思科ASA防火墙VPDN拨号配置命令整理v8.2.docxVIP

思科ASA防火墙VPDN拨号配置命令整理 (ASA版本8.2,包括PPPoE/L2TP)本文是Adreaman根据思科ASA8.2配置文档手册中的L2TP和PPPoE功能介绍整理出来的，介绍思科ASA（软件版本8.2）防火墙中PPPoE/L2TP这两种VPDN特性的配置步骤。思科ASA防火墙支持作为PPPoE客户端拨号，支持作为L2TP服务器接受拨入，并且，仅支持L2TP over IPsec方式拨入，不支持纯L2TP方式拨入。ASA思科文档中未介绍PPTP，并且命令行中也去掉了PPTP的部分，应该已经取消了对于PPTP的支持。注：本文并非个人真实配置步骤的记录，而是思科配置手册的分析和注释，旨在帮助我们理解一个整体的配置思路。一、 PPPoE的配置1.1 定义PPPoE服务VPDN组vpdn group group_name request dialout pppoe1.2 指定PPP认证使用的协议vpdn group group_name ppp authentication {chap | mschap | pap} mschap只支持v1。1.3 将PPPoE客户端用户名绑定到该VPDN组vpdn group group_name localname username1.4 为用户指定密码vpdn username username password password [store-local]1.5 接口使能PPPoE功能接口视图下 ip address pppoe [setroute] 注：相对于PIX6.3，此命令已经转移到接口视图下，所以无需指定接口名作为参数。1.6 为接口指定VPDN组接口视图下 pppoe client vpdn group grpname 注：PIX6.3下没有这个命令，如果不用此命令指定VPDN group，将随机使用一个VPDN组。1.7 启动PPPoE，但是由用户指定IP地址接口视图下 ip address ipaddress mask pppoe 由用户指定地址和掩码1.8 show命令。“show ip address outside pppoe ” 文档没有详细介绍，模拟器有此命令。show vpdn session [l2tp | pppoe] [id sess_id | packets | state | window]show vpdn tunnel [l2tp | pppoe] [id tnl_id | packets | state | summary | transport] 命令可以显示拨号的session信息和tunnel信息，模拟器可以help出一些show命令，应该都可以支持。show vpdn group [group_name] 8.2文档未介绍，从PIX6.3继承而来show vpdn username [user_name] 8.2文档未介绍，从PIX6.3继承而来1.9 debug命令。“[no] debug pppoe event | error | packet”二、 L2TP的配置2.1 在开始L2TP的配置之前，先要配置ipsec（此处省略了IPsec的许多细节配置）crypto ipsec transform-set transform_name algorithmExample:hostname(config)# crypto ipsec transform-set sales_l2tp_transform esp-3des2.2 设置ipsec为传输模式crypto ipsec transform-set trans_name mode transportExample:hostname(config)# crypto ipsec transform-set trans_name mode transport2.3 设置一个L2TP/IPsec的组策略vpn-tunnel-protocol l2tp-ipsecExample:hostname(config)# group-policy sales_policy attributeshostname(config-group-policy)# vpn-tunnel-protocol l2tp-ipsec2.4 为组策略中的客户端设置DNS服务器地址（命令位于组策略视图下）dns value [none | IP_primary [IP_secondary] （注：命令行手册和模拟器上此命令为dns-server {value ip_address [ip_address] | none}，应以命令行手册为准）Example:hostname(config)# group-policy