Cisco IOS L2TP强制隧道+Remote AAA实验
警告：工大瑞普内部资料，严禁泄漏！
作者：王琳琳
工大瑞普思科课程开发小组
拓扑图
图片附件: remote aaa l2tp.gif (2006-7-28 18:15, 37.05 K)
1、配置ISP的PSTN拨号，并测试连通性。
ISP_LAC(config)#line 129
ISP_LAC(config-line)#modem InOut
ISP_LAC(config-line)#modem autoconfigure type default
ISP_LAC(config-line)#transport input all
ISP_LAC(config-line)#stopbits 1
ISP_LAC(config-line)#flowcontrol hardware
ISP_LAC(config-line)#exit
ISP_LAC(config)#interface async 129
ISP_LAC(config-if)#ip address 192.168.1.1 255.255.255.0
ISP_LAC(config-if)#encapsulation ppp
ISP_LAC(config-if)#no ip route-cache
ISP_LAC(config-if)#async mode interactive
ISP_LAC(config-if)#peer default ip address 192.168.1.2
ISP_LAC(config-if)#ppp authentication chap
ISP_LAC(config-if)#exit
ISP_LAC(config)#username mytest password cisco
ISP_LAC(config)#line 129
ISP_LAC(config-line)#autoselect ppp
从Remote Access Client呼叫ISP路由器，并测试其连通性。
2、在ISP端配置L2TP准备工作。
ISP_LAC(config)#interface async 129
ISP_LAC(config-if)#no ip address
ISP_LAC(config-if)#no peer default ip address
ISP_LAC(config-if)#exit
ISP_LAC(config)#no username mytest
ISP_LAC(config)#interface Serial0/0
ISP_LAC(config-if)#ip address 173.16.1.1 255.255.255.252
ISP_LAC(config-if)#no shutdown
ISP_LAC(config-if)#exit
ISP_LAC(config)#interface FastEthernet0/0
ISP_LAC(config-if)#ip address 202.195.30.129 255.255.255.0
ISP_LAC(config-if)#no shutdown
ISP_LAC(config-if)#exit
ISP_LAC(config)#ip route 0.0.0.0 0.0.0.0 173.16.1.2
3、在ISP端配置AAA和启动VPDN。
ISP_LAC(config)#vpdn enable
ISP_LAC(config)#vpdn search-order domain
ISP_LAC(config)#aaa new-model
ISP_LAC(config)#username admin password cisco
ISP_LAC(config)#radius-server host 202.195.30.66 key cisco
ISP_LAC(config)#aaa authentication login default local
ISP_LAC(config)#aaa authentication ppp default group radius
ISP_LAC(config)#aaa authorization network default group radius
4、ISP端ACS主要配置。
隧道定义可以使用Cisco AV Pair或标准IETF属性定义，下面分别介绍这两种方法。
方法一：使用Cisco AV Pair
在Network Configuration中添加AAA Client，将认证协议选为Radius(Cisco IOS/PIX)。
在User Setup中添加用户，用户名为隧道的域名(例如：cisco.com)，密码固定为cisco。
编辑Group Setup，确保“IP Assignment”设置为“No IP address assignment”。
图片附件: 0副本.gif (2006-7-28 18:16, 15.51 K)
编辑“Cisco IOS/PIX RADIUS Attributes”中的“Cisco AV Pair”，按如下格式设置其属性：
vpdn:tunnel-id=ISP_LAC
vpdn:tunnel-type=l2tp
vpdn:ip-addresses=173.16.1.5
vpdn:l2tp-tunnel-password=juniper
图片附件: 1副本.gif (2006-7-28 18:16, 15.26 K)
编辑“IETF RADIUS Attributes”中的“Service-Type”，如下图：
图片附件: 2副本.gif (2006-7-28 18:17, 14.53 K)
方法二：使用标准IETF属性
在Network Configuration中添加AAA Client，将认证协议选为Radius(Cisco IOS/PIX)。
在User Setup中添加用户，用户名为隧道的域名(例如：cisco.com)，密码固定为cisco。
编辑Group Setup，确保“IP Assignment”设置为“No IP address assignment”。
图片附件: 0副本.gif (2006-7-28 18:26, 15.51 K)
编辑“IETF RADIUS Attributes”中的“Service-Type”，如下图：
图片附件: 3副本.gif (2006-7-28 18:30, 17.93 K)
点击“Interface Configuration”，选中“Radius(IETF)”。选中[064] Tunnel-Type、[065] Tunnel-Medium-Type、[067] Tunnel-Server-Endpoint、[069] Tunnel-Password、[082] Tunnel-Assignment-ID。
图片附件: 4副本.gif (2006-7-28 18:17, 3.04 K)
重新编辑Group Setup，按下图所示设置“IETF RADIUS Attributes”。
图片附件: 3副本.gif (2006-7-28 18:17, 17.93 K)
6、在企业端配置L2TP准备工作。
ENT_LNS(config)#interface FastEthernet0/0
ENT_LNS(config-if)#ip address 10.10.1.1 255.255.255.0
ENT_LNS(config-if)#no shutdown
ENT_LNS(config)#interface Serial0/0
ENT_LNS(config-if)#ip address 173.16.1.5 255.255.255.252
ENT_LNS(config-if)#no shutdown
ENT_LNS(config)#ip route 0.0.0.0 0.0.0.0 173.16.1.6
7、在企业端配置L2TP与AAA。
ENT_LNS(config)#aaa new-model
ENT_LNS(config)#username admin password juniper
ENT_LNS(config)#radius-server host 10.10.1.2 key cisco
ENT_LNS(config)#aaa authentication login default local
ENT_LNS(config)#aaa authentication ppp default group radius
ENT_LNS(config)#aaa authorization network default group radius
ENT_LNS(config)#vpdn enable
ENT_LNS(config)#vpdn-group myl2tp
ENT_LNS(config-vpdn)#accept-dialin
ENT_LNS(config-vpdn-acc-in)#protocol l2tp
ENT_LNS(config-vpdn-acc-in)#virtual-template 1
ENT_LNS(config-vpdn-acc-in)#exit
ENT_LNS(config-vpdn)#terminate-from hostname ISP_LAC
ENT_LNS(config-vpdn)#l2tp tunnel password 0 juniper
ENT_LNS(config-vpdn)#local name ENT_LNS
ENT_LNS(config)#interface Virtual-Template1
ENT_LNS(config-if)#ip unnumbered FastEthernet0/0
ENT_LNS(config-if)#encapsulation ppp
ENT_LNS(config-if)#ppp authentication chap
8、在企业端配置ACS。
在Network Configuration中添加AAA Client，将认证协议选为Radius(Cisco IOS/PIX)。
在User Setup中添加用户，用户名为完整用户名(例如：wanglinlin@cisco.com)，
密码为用户自定义。
编辑Group Setup，按下图所示进行设置。
图片附件: 5副本.gif (2006-7-28 18:17, 14.73 K)
点击“Interface Configuration”，在“Advanced Options”中选中“IP Pools”，这样就会在“System Configuration”中出现“IP Pool Server”选项，如下图所示。图片附件: 6副本.gif (2006-7-28 18:17, 16.1 K)
点击“IP Pool Server”，可以在AAA Server上创建地址池，如下图所示。
图片附件: 7副本.gif (2006-7-28 18:17, 12.74 K)
编辑Group setup，为改组用户选择合适的地址池，如下图所示。
图片附件: 8副本.gif (2006-7-28 18:18, 14.88 K)
在上图中，我们也可以选择“Assigned from AAA Client pool”，这样当对用户进行授权时，ACS只返回AAA Client上地址池的名称。
因篇幅问题不能全部显示，请点此查看更多更全内容