目录

简介

先决条件

要求

使用的组件

规则

背景信息

配置

网络图

配置

验证

故障排除

故障排除命令

相关信息

简介

本文档提供使用VPDN组和增强型终端访问控制器访问控制系统(TACACS+)的拨入虚拟专用拨号网络(VPDN)的示例配置。

先决条件

要求

在尝试此配置前，请保证您符合这些要求：

您需要：

- 用于客户端访问(NAS/LAC)的Cisco路由器，以及用于网络访问(HGW/LNS)的Cisco路由器，它们之间具有IP连接。

- 路由器的主机名，或VPDN组上使用的本地名。

- 要使用的隧道协议。这可以是第2层隧道(L2T)协议或第2层转发(L2F)协议。

- 路由器验证隧道的口令。

- 隧道条件。这可以是域名或拨号号码标识服务(DNIS)。

- 用户（客户端拨入）的用户名和密码。

- TACACS+服务器的IP地址和密钥。

使用的组件

本文档不限于特定的软件和硬件版本。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

规则

有关文档规则的详细信息，请参阅 Cisco 技术提示规则。

背景信息

有关虚拟专用拨号网络(VPDN)和VPDN组的详细说明，请参阅了解VPDN。本文档扩展了VDPN配置，并添加了终端访问控制器访问控制系统Plus(TACACS+)。

配置

本部分提供有关如何配置本文档所述功能的信息。

注：要查找有关本文档中使用的命令的其他信息，请使用命令查找工具(仅注册客户)。

网络图

本文档使用以下网络设置：

配置

本文档使用以下配置：

- NAS/LAC

- HGW/LNS

- NAS/LAC TACACS+配置文件

- HGW/LNS TACACS+配置文件

NAS/LAC

!

version 12.0

service timestamps debug datetime msec

service timestamps log datetime msec

!

hostname as5300

!

aaa new-model

aaa authentication login default local

aaa authentication login CONSOLE none

aaa authentication ppp default if-needed group tacacs+

aaa authorization network default group tacacs+

enable password somethingSecret

!

username john password 0 secret4me

!

ip subnet-zero

!

vpdn enable

!

isdn switch-type primary-5ess

!

controller T1 0

framing esf

clock source line primary

linecode b8zs

pri-group timeslots 1-24

!

controller T1 1

framing esf

clock source line secondary 1

linecode b8zs

pri-group timeslots 1-24

!

controller T1 2

framing esf

linecode b8zs

pri-group timeslots 1-24

!

controller T1 3

framing esf

linecode b8zs

pri-group timeslots 1-24

!

interface Ethernet0

ip address 172.16.186.52 255.255.255.240

no ip directed-broadcast

!

interface Serial023

no ip address

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

dialer rotary-group 1

isdn switch-type primary-5ess

isdn incoming-voice modem

no cdp enable

!

interface Serial123

no ip address

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

dialer rotary-group 1

isdn switch-type primary-5ess

isdn incoming-voice modem

no cdp enable

!

interface Serial223

no ip address

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

dialer rotary-group 1

isdn switch-type primary-5ess

isdn incoming-voice modem

no cdp enable

!

interface Serial323

no ip address

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

dialer rotary-group 1

isdn switch-type primary-5ess

isdn incoming-voice modem

no cdp enable

!

interface FastEthernet0

no ip address

no ip directed-broadcast

shutdown

!

interface Group-Async1

ip unnumbered Ethernet0

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

async mode interactive

peer default ip address pool IPaddressPool

no cdp enable

ppp authentication chap

group-range 1 96

!

interface Dialer1

ip unnumbered Ethernet0

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

dialer-group 1

peer default ip address pool IPaddressPool

no cdp enable

ppp authentication chap

!

ip local pool IPaddressPool 10.10.10.1 10.10.10.254

no ip http server

ip classless

ip route 0.0.0.0 0.0.0.0 172.16.186.49

!

tacacs-server host 172.16.171.9

tacacs-server key 2easy

!

line con 0

login authentication CONSOLE

transport input none

line 1 96

autoselect during-login

autoselect ppp

modem Dialin

line aux 0

line vty 0 4

!

end

HGW/LNS

!

version 12.0

service timestamps debug uptime

service timestamps log uptime

!

hostname access-9

!

aaa new-model

aaa authentication login default local

aaa authentication login CONSOLE none

aaa authentication ppp default if-needed group tacacs+

aaa authorization network default group tacacs+

enable password somethingSecret

!

ip subnet-zero

!

vpdn enable

!

vpdn-group DEFAULT

! Default L2TP VPDN group

accept-dialin

protocol any

virtual-template 1

local name LNS

lcp renegotiation always

l2tp tunnel password 0 not2tell

!

vpdn-group POP1

accept-dialin

protocol l2tp

virtual-template 2

terminate-from hostname LAC

local name LNS

l2tp tunnel password 0 2secret

!

vpdn-group POP2

accept-dialin

protocol l2f

virtual-template 3

terminate-from hostname NAS

local name HGW

lcp renegotiation always

!

interface FastEthernet0/0

ip address 172.16.186.1 255.255.255.240

no ip directed-broadcast

!

interface Virtual-Template1

ip unnumbered FastEthernet0/0

no ip directed-broadcast

ip tcp header-compression passive

peer default ip address pool IPaddressPool

ppp authentication chap

!

interface Virtual-Template2

ip unnumbered Ethernet0/0

no ip directed-broadcast

ip tcp header-compression passive

peer default ip address pool IPaddressPoolPOP1

compress stac

ppp authentication chap

!

interface Virtual-Template3

ip unnumbered Ethernet0/0

no ip directed-broadcast

ip tcp header-compression passive

peer default ip address pool IPaddressPoolPOP2

ppp authentication pap

ppp multilink

!

ip local pool IPaddressPool 10.10.10.1 10.10.10.254

ip local pool IPaddressPoolPOP1 10.1.1.1 10.1.1.254

ip local pool IPaddressPoolPOP2 10.1.2.1 10.1.2.254

ip classless

no ip http server

!

tacacs-server host 172.16.186.9

tacacs-server key not2difficult

!

line con 0

login authentication CONSOLE

transport input none

line 97 120

line aux 0

line vty 0 4

!

!

end

NAS/LAC TACACS+配置文件

key = 2easy

# Use L2TP tunnel to 172.16.186.1 when 4085555100 is dialed

user = dnis:4085555100 {

service = ppp protocol = vpdn {

tunnel-id = anonymous

ip-addresses = 172.16.186.1

tunnel-type = l2tp

}

}

# Password for tunnel authentication

user = anonymous {

chap = cleartext not2tell

}

###

# Use L2TP tunnel to 172.16.186.1 when 4085555200 is dialed

user = dnis:4085555200 {

service = ppp protocol = vpdn {

tunnel-id = LAC

ip-addresses = 172.16.186.1

tunnel-type = l2tp

}

}

# Password for tunnel authentication

user = LAC {

chap = cleartext 2secret

}

###

# Use L2F tunnel to 172.16.186.1 when user authenticates with cisco.com domain

user = cisco.com {

service = ppp protocol = vpdn {

tunnel-id = NAS

ip-addresses = 172.16.186.1

tunnel-type = l2f

}

}

# Password for tunnel authentication

user = NAS {

chap = cleartext cisco

}

# Password for tunnel authentication

user = HGW {

chap = cleartext cisco

}

HGW/LNS TACACS+配置文件

key = not2difficult

# Password for tunnel authentication

user = NAS {

chap = cleartext cisco

}

# Password for tunnel authentication

user = HGW {

chap = cleartext cisco

}

user = santiago {

chap = cleartext letmein

service = ppp protocol = lcp { }

service = ppp protocol = ip { }

}

user = santiago@cisco.com {

global = cleartext letmein

service = ppp protocol = lcp { }

service = ppp protocol = multilink { }

service = ppp protocol = ip { }

}

验证

本部分所提供的信息可用于确认您的配置是否正常工作。

命令输出解释程序工具（仅限注册用户）支持某些 show 命令，使用此工具可以查看对 show 命令输出的分析。

- show vpdn tunnel all — 显示所有活动隧道的详细信息。

- show user — 显示已连接用户的名称。

- show interface virtual-access # — 使您能够检查HGW/LNS上特定虚拟接口的状态。

故障排除

本部分提供的信息可用于对配置进行故障排除。

故障排除命令

注意：在发出debug命令之前，请参阅有关Debug命令的重要信息。

- debug vpdn l2x-events — 显示NAS/LAC和HGW/LNS之间的对话框，用于创建隧道或会话。

- debug ppp authentication — 用于检查客户端是否正在通过身份验证。

- debug ppp negotiation — 用于检查客户端是否正在传递PPP协商。您可以看到正在协商的选项（如回叫、MLP等）和协议（如IP、IPX等）。

- debug ppp error — 显示与PPP连接协商和操作相关的协议错误和错误统计信息。

- debug vtemplate — 显示HGW/LNS上虚拟访问接口的克隆。您可以在拨号连接开始时创建接口（从虚拟模板克隆），以及连接终止时销毁接口。

- debug aaa authentication — 用于检查用户或隧道是否正由身份验证、授权和记帐(AAA)服务器进行身份验证。

- debug aaa authorization — 用于检查用户是否正被AAA服务器授权。

- debug aaa per-user — 用于检查应用于每个经过身份验证的用户的内容。这与上面列出的常规调试不同。

相关信息

- 技术支持页面 — 拨号

- 技术支持 - Cisco Systems