山石网科Hillstone防火墙L2TP详细配置步骤（官方最新版）

1. 需求分析

• 通过L2TP ***（***不要做太多介绍)远程终端用户访问企业内部服务器资源。

2. L2TP 配置说明

2.1 软硬件信息

硬件平台	软件版本
SG-6000-C1200W	SG-6000-M-3-5.5R8P5-v6
拨号端PC	Windows 10 专业版

2.2 组网拓扑

2.3 环境说明

• PC(Windows 10)的地址为100.0.0.9/24；
• 防火墙的外网出接口E0/1地址为120.0.0.9/24，内网接口E0/6为110.0.0.9/24；
• 内网服务器地址110.0.0.1/24。

2.4 配置步骤

2.4.1 防火墙基本上网配置(略)

2.4.2 L2TP ***实例配置

2.4.3 隧道接口配置

2.4.4 L2TP 地址池配置

2.4.5 创建登录用户

2.5 拨号客户端配置

2.5.1 Windows 10客户端配置

(1)控制面板->网络与共享中心->设置新的连接或网络。

(2)连接到工作区->否则，创建新的连接->使用我的Internet连接（***）->填写***点击确定域名、地址和连接名。

（3）Internet 选项->连接->L2tp 连接->设置。

（4）属性->安全->允许使用这些协议(P)检查以下两个选项。

(5)默认修改登记表参数 Win10 启用 IPSec 需要禁止加密。

• 单击开始regedit单击确定弹出注册表编辑窗口。
• 点击左侧注册表项目：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RasMan\Parameters
• 为 Parameters 参 数 添 加 SWORD 值 ， 单 击 Parameters 项 ， 确 定 名 称为“ProhibitIPSec，数据类型为REG_DWORD”、值为 1，然后单击确定。
• 在注册表HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\PolicyAgent中添加 DWORD 值类型“AssumeUDPEncapsulationContextOnSendRule” 、值为“2” ，点击确定，重启计算机生效。

(6)重启计算机后，单击桌面右下角

图标，点击L2tp *** 连接，输入帐号密码，即可成功登录。

2.5.2 Windows 7 客户端配置

1、创建一个 *** 连接。

1) 控制面板-网络与共享中心；

2) 点击设置新的连接或网络进入网络和共享中心界面；

3) “选择一个连接选项”下面点击“连接到工作区”----下一步，使用我的 Internet连接(***)；

4) 输入 ***的域名或 IP 地址，输入 L2TP 点击连接用户名和密码。

2、调整 *** 参数。

1)控制面板-网络和 internet 点击，点击连接到网络*** 右键选择查看连接属性进行连接；

2）选择“安全”属性页面，L2TP类型选择自动，数据加密选择可选加密(无加密可连接)；

3)单击确定保存修改。

2.5.3 WinXP 客户端配置

1、创建一个 L2TP 连接。

1)在控制面板-网络和共享中心，

进入网络和共享中心界面后，点击设置新的连接或网络

3)选择连接选项下面点击连接到工作区-下一步，使用我Internet 连接(L2TP)，

4）输入 L2TP 的域名或 IP 地址，输入 L2TP 单击连接用户名和密码

2.默认确认登记表参数 WinXP 启用 IPSec 需要禁止加密。

1)单击开始，单击操作regedit单击确定弹出注册表编辑窗口。

2)在左侧注册表项目中逐步点击:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters

3）为 Parameters 参数添加 SWORD 值 ，单击 Parameters 项 ，确定名称为ProhibitIpSec，数据类型为REG_DWORD”、值为 “1”，然后单击“确定”，重启计算机生效。

3、调整 L2TP 参数。

1)控制面板-网络和 internet 点击，点击连接到网络 ***右键选择查看连接属性进行连接；

2)选择安全属性页面，数据加密选择可选加密(无加密即可连接)；

3)在允许这些协议选项中勾选未加密密码（PAP）质询握手验证协会（CHAP）”；

4）点击 L2TP 属性对话框的网络标签是*** 下拉菜单选择类型L2TP IPSec此连接使用以下项目栏中的Internet 协议（TCP/IP）”。

5)点击确定保存修改。

注意：内网环境连接L2TP测试公网地址时，需要调整防火墙内外网的安全域，否则会导致无法成功连接L2TP。

3. 补充说明

• L2TP over IPSec配置可参考《L2TP over IPSec 配置案例_WebUI》。
• 如果不能成功拨入，消除客户端侧问题后，需要防火墙L2TP服务端进行debug可根据故障调试《StoneOS Debug(抓包)故障调试手册抓包操作。

?更多精彩有用的干货知识(知识脑)！