目錄

簡介

必要條件

需求

採用元件

慣例

背景資訊

設定

網路圖表

組態

驗證

疑難排解

疑難排解指令

相關資訊

簡介

本檔案將提供使用VPDN組和終端存取控制器存取控制系統Plus(TACACS+)的撥入虛擬專用撥接網路(VPDN)的組態範例。

必要條件

需求

嘗試此設定之前，請確保符合以下要求：

您需要：

- 一個用於客戶端訪問的Cisco路由器(NAS/LAC)，一個用於網路訪問的Cisco路由器(HGW/LNS)，兩者之間具有IP連線。

- 路由器的主機名或要在VPDN組上使用的本地名稱。

- 要使用的隧道協定。這可以是第2層通道(L2T)通訊協定，或是第2層轉送(L2F)通訊協定。

- 路由器驗證隧道的密碼。

- 隧道條件。這可以是域名，也可以是撥號號碼識別服務(DNIS)。

- 使用者的使用者名稱和密碼（客戶端撥入）。

- TACACS+伺服器的IP地址和金鑰。

採用元件

本文件所述內容不限於特定軟體和硬體版本。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

慣例

如需文件慣例的詳細資訊，請參閱思科技術提示慣例。

背景資訊

有關虛擬專用撥接網路(VPDN)和VPDN組的詳細說明，請參閱瞭解VPDN。本檔案將展開VDPN組態，並新增終端存取控制器存取控制系統Plus(TACACS+)。

設定

本節提供用於設定本文件中所述功能的資訊。

注意：要查詢有關本文檔中使用的命令的其他資訊，請使用命令查詢工具(僅限註冊客戶)。

網路圖表

本檔案會使用以下網路設定：

組態

本檔案會使用以下設定：

- NAS/LAC

- HGW/LNS

- NAS/LAC TACACS+組態檔

- HGW/LNS TACACS+配置檔案

NAS/LAC

!

version 12.0

service timestamps debug datetime msec

service timestamps log datetime msec

!

hostname as5300

!

aaa new-model

aaa authentication login default local

aaa authentication login CONSOLE none

aaa authentication ppp default if-needed group tacacs+

aaa authorization network default group tacacs+

enable password somethingSecret

!

username john password 0 secret4me

!

ip subnet-zero

!

vpdn enable

!

isdn switch-type primary-5ess

!

controller T1 0

framing esf

clock source line primary

linecode b8zs

pri-group timeslots 1-24

!

controller T1 1

framing esf

clock source line secondary 1

linecode b8zs

pri-group timeslots 1-24

!

controller T1 2

framing esf

linecode b8zs

pri-group timeslots 1-24

!

controller T1 3

framing esf

linecode b8zs

pri-group timeslots 1-24

!

interface Ethernet0

ip address 172.16.186.52 255.255.255.240

no ip directed-broadcast

!

interface Serial023

no ip address

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

dialer rotary-group 1

isdn switch-type primary-5ess

isdn incoming-voice modem

no cdp enable

!

interface Serial123

no ip address

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

dialer rotary-group 1

isdn switch-type primary-5ess

isdn incoming-voice modem

no cdp enable

!

interface Serial223

no ip address

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

dialer rotary-group 1

isdn switch-type primary-5ess

isdn incoming-voice modem

no cdp enable

!

interface Serial323

no ip address

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

dialer rotary-group 1

isdn switch-type primary-5ess

isdn incoming-voice modem

no cdp enable

!

interface FastEthernet0

no ip address

no ip directed-broadcast

shutdown

!

interface Group-Async1

ip unnumbered Ethernet0

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

async mode interactive

peer default ip address pool IPaddressPool

no cdp enable

ppp authentication chap

group-range 1 96

!

interface Dialer1

ip unnumbered Ethernet0

no ip directed-broadcast

encapsulation ppp

ip tcp header-compression passive

dialer-group 1

peer default ip address pool IPaddressPool

no cdp enable

ppp authentication chap

!

ip local pool IPaddressPool 10.10.10.1 10.10.10.254

no ip http server

ip classless

ip route 0.0.0.0 0.0.0.0 172.16.186.49

!

tacacs-server host 172.16.171.9

tacacs-server key 2easy

!

line con 0

login authentication CONSOLE

transport input none

line 1 96

autoselect during-login

autoselect ppp

modem Dialin

line aux 0

line vty 0 4

!

end

HGW/LNS

!

version 12.0

service timestamps debug uptime

service timestamps log uptime

!

hostname access-9

!

aaa new-model

aaa authentication login default local

aaa authentication login CONSOLE none

aaa authentication ppp default if-needed group tacacs+

aaa authorization network default group tacacs+

enable password somethingSecret

!

ip subnet-zero

!

vpdn enable

!

vpdn-group DEFAULT

! Default L2TP VPDN group

accept-dialin

protocol any

virtual-template 1

local name LNS

lcp renegotiation always

l2tp tunnel password 0 not2tell

!

vpdn-group POP1

accept-dialin

protocol l2tp

virtual-template 2

terminate-from hostname LAC

local name LNS

l2tp tunnel password 0 2secret

!

vpdn-group POP2

accept-dialin

protocol l2f

virtual-template 3

terminate-from hostname NAS

local name HGW

lcp renegotiation always

!

interface FastEthernet0/0

ip address 172.16.186.1 255.255.255.240

no ip directed-broadcast

!

interface Virtual-Template1

ip unnumbered FastEthernet0/0

no ip directed-broadcast

ip tcp header-compression passive

peer default ip address pool IPaddressPool

ppp authentication chap

!

interface Virtual-Template2

ip unnumbered Ethernet0/0

no ip directed-broadcast

ip tcp header-compression passive

peer default ip address pool IPaddressPoolPOP1

compress stac

ppp authentication chap

!

interface Virtual-Template3

ip unnumbered Ethernet0/0

no ip directed-broadcast

ip tcp header-compression passive

peer default ip address pool IPaddressPoolPOP2

ppp authentication pap

ppp multilink

!

ip local pool IPaddressPool 10.10.10.1 10.10.10.254

ip local pool IPaddressPoolPOP1 10.1.1.1 10.1.1.254

ip local pool IPaddressPoolPOP2 10.1.2.1 10.1.2.254

ip classless

no ip http server

!

tacacs-server host 172.16.186.9

tacacs-server key not2difficult

!

line con 0

login authentication CONSOLE

transport input none

line 97 120

line aux 0

line vty 0 4

!

!

end

NAS/LAC TACACS+組態檔

key = 2easy

# Use L2TP tunnel to 172.16.186.1 when 4085555100 is dialed

user = dnis:4085555100 {

service = ppp protocol = vpdn {

tunnel-id = anonymous

ip-addresses = 172.16.186.1

tunnel-type = l2tp

}

}

# Password for tunnel authentication

user = anonymous {

chap = cleartext not2tell

}

###

# Use L2TP tunnel to 172.16.186.1 when 4085555200 is dialed

user = dnis:4085555200 {

service = ppp protocol = vpdn {

tunnel-id = LAC

ip-addresses = 172.16.186.1

tunnel-type = l2tp

}

}

# Password for tunnel authentication

user = LAC {

chap = cleartext 2secret

}

###

# Use L2F tunnel to 172.16.186.1 when user authenticates with cisco.com domain

user = cisco.com {

service = ppp protocol = vpdn {

tunnel-id = NAS

ip-addresses = 172.16.186.1

tunnel-type = l2f

}

}

# Password for tunnel authentication

user = NAS {

chap = cleartext cisco

}

# Password for tunnel authentication

user = HGW {

chap = cleartext cisco

}

HGW/LNS TACACS+配置檔案

key = not2difficult

# Password for tunnel authentication

user = NAS {

chap = cleartext cisco

}

# Password for tunnel authentication

user = HGW {

chap = cleartext cisco

}

user = santiago {

chap = cleartext letmein

service = ppp protocol = lcp { }

service = ppp protocol = ip { }

}

user = santiago@cisco.com {

global = cleartext letmein

service = ppp protocol = lcp { }

service = ppp protocol = multilink { }

service = ppp protocol = ip { }

}

驗證

本節提供的資訊可用於確認您的組態是否正常運作。

輸出直譯器工具(僅供註冊客戶使用)支援某些show命令，此工具可讓您檢視show命令輸出的分析。

- show vpdn tunnel all — 顯示所有活動隧道的詳細資訊。

- show user — 顯示連線的使用者的名稱。

- show interface virtual-access # — 使您能夠檢查HGW/LNS上特定虛擬介面的狀態。

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

疑難排解指令

注意：發出debug命令之前，請參閱有關Debug命令的重要資訊。

- debug vpdn l2x-events — 顯示NAS/LAC和HGW/LNS之間用於隧道或會話建立的對話方塊。

- debug ppp authentication — 用於檢查客戶端是否通過身份驗證。

- debug ppp negotiation — 用於檢查客戶端是否正在通過PPP協商。您可以看到正在協商哪些選項（如回撥、MLP等），以及哪些協定（如IP、IPX等）。

- debug ppp error — 顯示與PPP連線協商和操作關聯的協定錯誤和錯誤統計資訊。

- debug vtemplate — 顯示HGW/LNS上虛擬訪問介面的克隆。您可以看到在撥號連線開始時建立（從虛擬模板克隆）介面的時間，以及在連線終止時銷毀介面的時間。

- debug aaa authentication — 使您能夠檢查使用者或隧道是否正由身份驗證、授權和記帳(AAA)伺服器進行身份驗證。

- debug aaa authorization — 使您能夠檢查使用者是否正由AAA伺服器授權。

- debug aaa per-user — 用於檢查應用於每個經過身份驗證的使用者的內容。這與上面列出的常規調試不同。

相關資訊

- 技術支援頁面 — 撥號

- 技術支援 - Cisco Systems