分支不用人人装客户端：AR当L2TP Client主动拨号连总部
整理自华为官方发布的配置举例。
分支要连总部，常见两条路：给每个办公电脑装VPN客户端，或者让分支出口的路由器整网拨一条隧道。后一种就是L2TP Client主动拨号——总部部署LNS（L2TP网络服务器），分支路由器作为L2TP Client向总部发起L2TP连接，分支内任意用户自动经隧道接入，电脑上什么都不用装。华为官方案例的定位很明确：允许分支内任意用户接入时，LNS只需对L2TP Client做身份认证，在Client上配主动拨号即可。这条路的运维账也好算：凭据只管路由器一台设备，人员入职离职不再牵动VPN账号，终端换新不用重新装机，隧道断了路由器自己拨回来，分支侧几乎没有日常维护量。
配置思路
官方思路两步：在L2TP Client上配置L2TP功能；配置到达LNS的路由并使能主动拨号。注意一个前提：本例中的AR设备不支持作为LNS端，总部侧LNS由相应设备承担，配置参考对应设备的资料——这篇文章只覆盖分支侧Client的完整配置。整条链路的凭据有两层：通道验证密码保隧道两端可信，PPP的CHAP账密保用户身份过LNS，动手前把两套凭据从总部侧拿到手，配置一气呵成。
Client侧七步配置
第一步，公网口配地址（10GE0/0/1接外网）：
<HUAWEI> system-view
[HUAWEI] sysname L2TP Client
[L2TP Client] interface 10GE 0/0/1
[L2TP Client-10GE0/0/1] ip address 1.1.2.1 255.255.255.0
[L2TP Client-10GE0/0/1] quit
第二步，用户侧内网口配地址（10GE0/0/2接分支内网）：
[L2TP Client] interface 10GE 0/0/2
[L2TP Client-10GE0/0/2] ip address 192.168.10.1 255.255.255.0
[L2TP Client-10GE0/0/2] quit
第三步，全局使能L2TP，创建L2TP组，指定拨向LNS的地址1.1.1.1：
[L2TP Client] l2tp enable
[L2TP Client] l2tp-group 1
[L2TP Client-l2tp-group-1] tunnel name L2TP-Client
[L2TP Client-l2tp-group-1] start l2tp ip 1.1.1.1
Warning: This operation may cause traffic interruption, Continue? [Y/N]:y
第四步，开通道验证并设通道密码——隧道本身也要验明正身：
[L2TP Client-l2tp-group-1] tunnel authentication
Warning: This operation may cause traffic interruption, Continue? [Y/N]:y
[L2TP Client-l2tp-group-1] tunnel password cipher YsHsjx_123456
Warning: This operation may cause traffic interruption, Continue? [Y/N]:y
[L2TP Client-l2tp-group-1] quit
第五步，Dialer接口承载PPP：用户名密码走CHAP认证，隧道内的地址由对端分配：
[L2TP Client] interface Dialer 1
[L2TP Client-Dialer1] link-protocol ppp
[L2TP Client-Dialer1] ppp chap user huawei
[L2TP Client-Dialer1] ppp chap password cipher YsHsjx_202206
[L2TP Client-Dialer1] ip address ppp-negotiate
[L2TP Client-Dialer1] quit
第六步，公网路由可达LNS，静态路由指过去：
[L2TP Client] ip route-static 1.1.1.1 255.255.255.255 1.1.2.2
第七步，Dialer口下触发自动拨号，再把总部私网段的路由指到Dialer口——l2tp-auto-client让路由器开机即拨、断线重拨，分支侧无感维持；私网路由这一步做完，分支用户访问总部网段192.168.2.0/24的流量就进隧道了：
[L2TP Client] interface Dialer 1
[L2TP Client-Dialer1] l2tp-auto-client l2tp-group 1
[L2TP Client-Dialer1] quit
[L2TP Client] ip route-static 192.168.2.0 255.255.255.0 Dialer1
验证：隧道与会话两条命令
display l2tp tunnel看隧道，State为UP即建链成功：
[L2TP Client] display l2tp tunnel all
------------------------------------------------------------------------
Local Info:
Tunnel ID : 1 Tunnel Name : L2TP-Client
Negotiation IP : 1.1.2.1 Negotiation Port : 1701
RWS : 16 State : UP
Group Number : 1 Nego Interface : 10GE0/0/1
Session Number : 1 Last Fail Reason : --
Last Fail Time : --
Remote Info:
Tunnel ID : 1 Tunnel Name : AR6121H-12-42
Tunnel IP : 1.1.1.1 Tunnel Port : 1701
RWS : 16
------------------------------------------------------------------------
Total Number of L2TP Tunnel: 1
------------------------------------------------------------------------
display l2tp session看会话，同样认State UP：
[L2TP Client]display l2tp session all
------------------------------------------------------------------------
Local Info:
Session ID : 1 Tunnel Name : L2TP-Client
Negotiation IP : 1.1.2.1 Negotiation Port : 1701
State : UP Interface : Dialer1
Tunnel Id : 1 Nego Interface : 10GE0/0/1
Group Number : 1 Last Fail Reason : --
Last Fail Time : --
Remote Info:
Session ID : 1 Tunnel Name : AR6121H-12-42
Tunnel IP : 1.1.1.1 Tunnel Port : 1701
Tunnel Id : 1
------------------------------------------------------------------------
Total Number of L2TP Sessions: 1
------------------------------------------------------------------------
隧道会话都UP后，分支终端ping总部主机直接通，全过程中终端零配置。日常巡检把display l2tp tunnel纳入清单，State一旦离开UP就说明隧道断了，Last Fail Reason和Last Fail Time两个字段会记录最近一次失败的原因与时间，对号入座查公网可达性或凭据变更记录即可。
两点提醒
一是L2TP本身不加密数据内容，对机密性有要求的生产流量，官方另有L2TP over IPsec的组合方案，在隧道外再套一层加密；二是通道验证密码与PPP账号是两套凭据，隧道验隧道、用户验用户，改密时两处要同步，Last Fail Reason字段留了排障线索，拨不上去时先看它。
分支整网接总部，贵州诚鑫致达科技可以把两端隧道一次配通，欢迎搜索关注交流。
企业存储选型参考｜贵州诚鑫致达
做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西藏·拉萨企业数据存储与备份容灾，支持远程与驻场。
