ORB305與CISCO路由器構建L2TP over IPSec VPN操作手冊
1、網絡拓撲
在思科路由器與ORB305之間建立一個安全隧道，對客戶路由器端設備子網，與思科路由器端服務器子網之間的數據流進行安全保護，組網拓撲圖如圖所示。

2、思科路由器端配置指導
(此處以多數客戶使用專線上網形式為例)
Cisco（AR1）配置配置1.AAA配置aaa new-model//啟用AAA
aaa authentication ppp default local//定義默認的認證列表default,其對PPP認證為本地認證
2.VPDN配置vpdn enable//啟用vpdn
vpdn-group 1//新建一個VPDN組
accept-dialin//接收撥號進來的鏈接
protocol l2tp//定義協議為L2TP，可選的還有PPTP
virtual-template 1//使用虛模板接口1
no l2tp tunnel authentication//注意我們是基于access模式的vpdn，所以不需要對隧道進行認證,也就是說每一個用戶都是一個LAC
username test1 password 0 123456//定義一個本地用戶
3.IPSec配置crypto isakmp policy 10//定義isakmp策略,注意路由器會按序號匹配策略所定義的參數，先匹配的先采用，如果一個都沒有匹配到，則ipsec第一階段協商失敗
encr 3des//加密方式
hash md5//哈希算法
authentication pre-share//驗證方式預共享密鑰
group 2//使用DH組2來協商第一階段
sa crypto isakmp key 1234 address 0.0.0.0 0.0.0.0//這里定義預共享密鑰，所有地址都使用這個密鑰，路由器會尋找一個地址最匹配的預共享密鑰，如果還有更精確的地址匹配，則采用其定義的預共享密鑰
crypto ipsec transform-set myset esp-3des esp-md5-hmac//這里定義變換集，IPSEC階段2將使用其定義的參數，創建SA
mode transport//定義模式為傳輸模式
crypto dynamic-map mydynamic 10//定義動態映射表mydynamic
set transform-set myset//此映射圖引用了前面定義的轉換集
crypto map mymap 10 ipsec-isakmp dynamic mydynamic//定義映射表mymap
4.配置接口地址：
interface GigabitEthernet0/1
ip address 113.208.113.38 255.255.255.248 crypto map mymap//在接口上應用此映射圖
5.Virtual-Template配置：interface Virtual-Template1 ip unnumbered GigabitEthernet0/1//借用物理接口
peer default ip address pool mypool/指定客戶端地址池為DHCP地址池
ppp authentication pap chap ms-chap ms-chap-v2//配置驗證方式
ip local pool mypool 192.168.10.2 192.168.10.5//定義地址池
6.配置內網接口：
interface GigabitEthernet0/0
ip address 192.168.10.1 255.255.255.0 ip nat inside
7.配置nat：access-list 11 permit 192.168.10.0 0.0.0.255
//配置匹配流ip nat inside source list 11 interface GigabitEthernet0/1 overload
3、ORB305路由器端配置指導
將SIM卡插入路由器卡槽
給設備上電，登入路由器web頁面（默認為192.168.2.1）
進入網絡→接口→連鏈路備份界面啟用對應SIM卡并上調鏈路優先級，保存配置

對應SIM卡撥號成功，當前鏈路變為綠色
進入網絡→VPN→IPsec界面進行路由器（IPsec VPN客戶端）配置保存并應用，進入狀

態→VPN頁面看到IPsec VPN狀態為已連接

點擊“網絡-VPN-L2TP”勾選“啟用”；遠端地址填寫思科路由器的公網IP地址；用戶名密碼填寫在思科路由器default中添加的用戶名及密碼；認證類型選擇“chap”；遠端子網填思科路由器下設備的子網地址及掩碼。保存并應用。

等待5分鐘，在“狀態-VPN”查看VPN連接狀態。