CentOS7怎么部署L2TP

发布时间：2022-02-17 10:02:37 作者：iii
来源：亿速云阅读：836

# CentOS7怎么部署L2TP

## 前言

在企业网络环境或个人远程访问场景中，VPN（虚拟专用网络）技术扮演着至关重要的角色。L2TP（Layer 2 Tunneling Protocol）作为一种常见的VPN协议，因其兼容性好、配置简单等特点被广泛使用。本文将详细介绍在CentOS 7系统上部署L2TP/IPSec VPN服务的完整流程，涵盖从环境准备到最终测试的全过程。

## 一、L2TP协议简介

### 1.1 L2TP协议概述
L2TP（Layer 2 Tunneling Protocol）是一种网络隧道协议，结合了PPTP和L2F协议的优点。它工作在OSI模型的第二层（数据链路层），常用于创建虚拟专用网络（VPN）连接。

### 1.2 L2TP/IPSec的优势
- **安全性**：L2TP通常与IPSec结合使用，提供数据加密和完整性验证
- **跨平台兼容**：支持Windows、macOS、Linux、iOS和Android等主流操作系统
- **NAT穿透**：能够穿越大多数NAT设备
- **双重认证**：支持PPP认证和IPSec预共享密钥双重验证

### 1.3 应用场景
- 远程办公人员访问内网资源
- 分支机构与总部网络的安全互联
- 保护公共WiFi环境下的网络通信

## 二、部署前准备

### 2.1 系统要求
- CentOS 7 x86_64操作系统（最小化安装）
- 至少1GB内存（推荐2GB以上）
- 10GB可用磁盘空间
- 稳定的网络连接

### 2.2 网络环境要求
- 服务器需要有公网IP地址
- 防火墙开放UDP 500、4500和1701端口
- 确保服务器未被其他VPN服务占用这些端口

### 2.3 软件包准备
需要安装以下软件包：
- libreswan（IPSec实现）
- xl2tpd（L2TP实现）
- ppp（点对点协议）

## 三、安装必要软件

### 3.1 更新系统
```bash
yum update -y
yum install epel-release -y

3.2 安装libreswan

yum install libreswan -y

3.3 安装xl2tpd和ppp

yum install xl2tpd ppp -y

3.4 验证安装

ipsec --version
xl2tpd --version

四、配置IPSec（libreswan）

4.1 配置ipsec.conf

编辑配置文件：

vi /etc/ipsec.conf

添加以下内容：

config setup
    virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12
    protostack=netkey
    interfaces=%defaultroute
    uniqueids=no

conn l2tp-psk
    authby=secret
    pfs=no
    auto=add
    keyingtries=3
    ikelifetime=8h
    keylife=1h
    type=transport
    left=%any
    leftprotoport=17/1701
    right=%any
    rightprotoport=17/1701

4.2 配置预共享密钥

编辑secrets文件：

vi /etc/ipsec.secrets

添加内容（将YourSharedSecret替换为你的密钥）：

%any %any : PSK "YourSharedSecret"

4.3 启动IPSec服务

systemctl start ipsec
systemctl enable ipsec

4.4 验证IPSec配置

ipsec verify

确保所有检查项都显示为”[OK]”

五、配置L2TP（xl2tpd）

5.1 配置xl2tpd.conf

vi /etc/xl2tpd/xl2tpd.conf

添加以下内容：

[global]
ipsec saref = yes
listen-addr = 服务器公网IP

[lns default]
ip range = 192.168.100.100-192.168.100.200
local ip = 192.168.100.1
require authentication = yes
ppp debug = yes
pppoptfile = /etc/ppp/options.xl2tpd
length bit = yes

5.2 配置PPP选项

vi /etc/ppp/options.xl2tpd

添加内容：

require-mschap-v2
ms-dns 8.8.8.8
ms-dns 8.8.4.4
asyncmap 0
auth
crtscts
lock
hide-password
modem
debug
name l2tpd
proxyarp
lcp-echo-interval 30
lcp-echo-failure 4

5.3 配置用户认证

vi /etc/ppp/chap-secrets

添加用户（格式：用户名 * 密码 *）：

user1 * password1 *
user2 * password2 *

5.4 启动xl2tpd服务

systemctl start xl2tpd
systemctl enable xl2tpd

六、防火墙和内核参数配置

6.1 配置防火墙

firewall-cmd --permanent --add-service=ipsec
firewall-cmd --permanent --add-port=1701/udp
firewall-cmd --permanent --add-port=4500/udp
firewall-cmd --reload

6.2 配置内核参数

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
echo "net.ipv4.conf.all.accept_redirects = 0" >> /etc/sysctl.conf
echo "net.ipv4.conf.all.send_redirects = 0" >> /etc/sysctl.conf
sysctl -p

七、测试VPN连接

7.1 Windows客户端测试

进入”网络和共享中心” > “设置新的连接或网络”
选择”连接到工作区” > “使用我的Internet连接(VPN)”
输入服务器IP地址，目标名称随意
在安全选项卡中选择”L2TP/IPSec”，输入预共享密钥
使用配置的用户名密码连接

7.2 Linux客户端测试

安装必要软件：

sudo apt install network-manager-l2tp network-manager-l2tp-gnome

通过Network Manager添加L2TP连接，填写相应参数。

7.3 连接成功验证

ip addr show ppp0

应显示已分配的VPN IP地址

八、常见问题排查

8.1 连接失败

检查防火墙设置
验证IPSec服务状态：systemctl status ipsec
查看日志：journalctl -xe

8.2 能连接但无法上网

检查内核转发是否启用：sysctl net.ipv4.ip_forward
验证NAT规则：iptables -t nat -L

8.3 认证失败

检查/etc/ppp/chap-secrets文件格式
确认客户端使用MS-CHAP v2认证方式

九、安全加固建议

9.1 更换默认预共享密钥

定期更换/etc/ipsec.secrets中的密钥

9.2 限制访问IP

在防火墙中限制只允许特定IP连接VPN

9.3 启用日志监控

vi /etc/rsyslog.conf

添加：

daemon.* /var/log/ppp.log

9.4 定期更新软件

yum update libreswan xl2tpd ppp

十、性能优化

10.1 调整MTU大小

在/etc/ppp/options.xl2tpd中添加：

mtu 1400
mru 1400

10.2 启用压缩

在options文件中添加：

deflate 0

10.3 连接保持

调整/etc/xl2tpd/xl2tpd.conf中的：

lcp-echo-interval = 30
lcp-echo-failure = 4

结语

通过本文详细的步骤指导，您应该已经在CentOS 7系统上成功部署了L2TP/IPSec VPN服务。这种解决方案不仅提供了安全的远程访问能力，还具有良好的兼容性和稳定性。建议定期维护和更新系统，确保VPN服务的安全可靠运行。

附录

A. 常用命令参考

重启服务：systemctl restart ipsec xl2tpd
查看活动连接：ipsec whack --trafficstatus
查看PPP连接：tail -f /var/log/messages

B. 参考文档

libreswan官方文档：https://libreswan.org/
xl2tpd项目主页：https://www.xelerance.com/software/xl2tpd/
CentOS官方文档：https://www.centos.org/docs/

C. 推荐工具

Wireshark：网络协议分析工具
tcpdump：命令行抓包工具
nmap：端口扫描工具

”`