pfSense L2TP和IPsec的设置
L2TP / IPsec是一种常见的×××类型，它将L2TP（一种不安全的隧道协议）包含在使用IPsec传输模式构建的安全通道内。从pfSense 2.2-RELEASE开始支持L2TP / IPsec。 本文将介绍如何配置服务器和设置客户端。
L2TP设置
配置 L2TP 服务器
· 导航到××× > L2TP
· 选择启用L2TP服务器
· 选择WAN接口
· 将Server Address （服务器地址）设置为未使用的专用子网IP，如192.168.32.1 注意: 这不是公共IP地址或L2TP服务的"监听"IP，它是一个本地IP地址，用作客户端上的"网关"
· 将 Remote Address Range （远程地址范围）设置为未使用的专用子网，如192.168.32.128
· 将Subnet Mask（子网掩码）设置为客户端地址范围的适当值，例如25
· 将Number of L2TP Users （L2TP用户数）设置为预期的L2TP用户的最高并发数，例如8个
· 把Secret（密码）选项留空
· 设置Authentication Type （认证类型）为CHAP
· 设置L2TP DNS 服务器或留空
· 如果需要，设置RADIUS选项
添加 L2TP 用户
如果未使用RADIUS，请将L2TP用户添加到pfSense。
· 导航到××× > L2TP, Users（用户）选项卡
· 单击 "+"添加新用户
· 填写 Username（用户名）, Password/Confirmation（密码和确认密码）
· 如果需要，在所选择的子网中设置静态IP address （IP地址）
· 单击保存
· 根据需要重复添加更多用户
IPsec设置
设置好L2TP服务器后，我们来进行IPsec的设置。 以下设置已经过测试并有效，但是其他类似的设置也可能会起作用。
Mobile Clients Tab（移动客户端）
· 导航到××× > IPsec, Mobile Clients（移动客户端）选项卡
· Enable IPsec Mobile Client Support（启用IPSec移动客户端支持）
· 将User Authentication （用户身份验证）设置为本地数据库
· 不要选中Provide a virtual IP address to clients（为客户端提供虚拟IP地址）
· 不要选中Provide a list of accessible networks to clients（提供可访问的网络列表给客户端）
· 单击Save（保存）
Phase 1
· 单击Tunnels（隧道）选项卡
· 设置 Enable IPsec（启用IPsec）
· 单击Save（保存）
· 单击Create Phase1（创建Phase1）按钮，或编辑现有的移动IPsec Phase 1
· 如果没有Phase 1, 并且没有出现创建Phase1按钮，请返回到移动客户端选项卡，然后单击它。
· 设置 Key Exchange version （密钥交换版本）为 1KEv1
· 填写Description（描述说明）
· 设置Authentication method （认证方法）为Mutual PSK
· 设置Negotiation Mode（谈判模式）为 Main
· 设置 My Identifier（我的标识符）为 My IP address
· 设置Encryption algorithm （加密算法）为 AES 256
· 设置 Hash algorithm（哈希算法）为 SHA1
· 设置 DH key group（DH密钥组）为14 (2048 bit)
· 注意: IOS和其他平台可能与DH key group 2 配合使用
· 设置Lifetime（有效期） 为 28800
· 不要选中 Disable Rekey（禁用预授密钥）
· 不要选中Disable Reauth（禁用预认证 ）
· 设置 NAT Traversal（NAT穿透）为 Auto
· 设置 Enable DPD（启用失效对等体检测）, 设置10秒和5次重试
· 单击 Save（保存）
Phase 2
· 单击 "+"显示Mobile IPsec Phase 2列表
· 单击"+"添加新的 Phase 2 条目，或单击 "e"编辑已有条目
· 设置 Mode（模式）为 Transport
· 填写Description（描述说明）
· 设置Protocol（协议） 为 ESP
· 设置 Encryption algorithms（加密算法）为AES 128
· 设置 Hash algorithms（哈希算法） 为SHA1
· 设置 PFS Key Group（密钥组）为off
· 设置 Lifetime（有效期）为 3600
· 单击 Save（保存）
Pre-Shared Key（预共享密钥）
IPsec隧道已配置完成，现在必须以特殊的方式配置预共享密钥，这对所有客户端都是常见的。
· 导航到 ××× > IPsec, Pre-Shared Keys选项卡
· 单击 "+" 添加新的PSK
· 设置Identifier（标识符）为 allusers
· 注意： "allusers"名称是pfSense用于配置通配符PSK的特殊关键字，这对于L2TP / IPsec来说是必需的。 不要为此PSK使用任何其他标识符!
· 设置Secret Type （加密类型）为PSK
· 输入 Pre-Shared Key（预共享密钥）, 如aaabbbccc - 可以比这个更长一些，那将更随机、更安全！
· 单击Save（保存）
· 单击Apply Changes（应用更改）
Firewall Rules and NAT（防火墙规则和NAT）
从客户端主机通过IPsec传输流量以建立L2TP隧道，并且在L2TP内部将实际的隧道×××流量传递到跨×××的系统，必须要设置防火墙规则。
IPsec Rules（IPsec规则）
· 导航到Firewall > Rules, IPsec选项卡
· 查看当前规则。 如果有一个"允许全部"样式规则，则不需要另外添加。 可以继续下一个任务。
· 单击 "+"添加新规则
· 设置 Protocol （协议）为any，设置 Source（源）和 Destination （目标）为any
注意： 这不必通过所有流量，但至少必须通过L2TP（UDP端口1701）到防火墙的WAN IP地址
· 单击Save（保存）
· 单击Apply Changes（应用更改）
L2TP Rules（L2TP 规则）
· 导航到 Firewall > Rules, L2TP ×××选项卡
· 查看当前规则。 如果有一个"允许全部"样式规则，则不需要另外添加。 可以继续下一个任务。
· 单击 "+"添加新规则
· 设置 Protocol （协议）为any，设置 Source（源）和 Destination （目标）为any
注意：这不必传递所有流量，更严格的规则是可以限制客户端可以去的地方
· 单击Save（保存）
· 单击Apply Changes（应用更改）
Outbound NAT（出站NAT）
如果客户端必须通过×××，然后再返回到Internet，则很有可能需要出站NAT。
· 导航到Firewall > NAT, Outbound 选项卡
· 检查规则，看看它们是否适用于L2TP客户端。 在自动或混合模式下，L2TP子网应列在自动规则部分。
· 如果启用手动出站NAT，并且不存在相应规则，则添加规则来覆盖L2TP客户端。
DNS Configuration（DNS配置）
如果DNS服务器提供给客户端，并且如果使用未绑定DNS解析器，则为L2TP客户端选择的子网必须添加到它的访问列表。
· 导航到 Services > DNS Resolver, Access Lists（访问列表） 选项卡
· 单击"+"添加新的访问列表
· 输入 Access List Name（访问列表名称）, 如××× Users
· 设置Action（动作）为 Allow（允许）
· 单击 "+"添加Networks（网络）
· 在"网络"框中输入×××客户端子网，例如。192.168.32.128
· 选择正确的CIDR值，例如： 25
· 单击Save（保存）
· 单击Apply Changes（应用更改）
Client Setup（客户端设置）
Windows
现在我来创建客户端×××连接。 根据正在使用的Windows的版本，有几种方法来添加这样的连接。 你可以根据需要来进行调整。
· 在客户端电脑上打开网络和共享中心
· 单击设置新的连接或网络
· 选择连接到工作区
· 单击下一步
· 如果没有就创建一个新的连接
· 单击下一步
· 单击使用我的Internet连接(×××)
· 在Internet地址栏输入IP地址或主机名
· 输入目标名称以标识连接
· 单击创建
连接已创建，但有几个默认值还必须进行修改才能正确使用。 例如，类型默认为自动，如果存在PPTP连接，则会锁定到PPTP连接，这将是非常糟糕的。 所以一定要先修改部分默认：
· 在Windows中的网络连接/适配器设置中，找到刚才创建的连接
· 在连接上单击右键
· 单击属性
单击安全选项
· 设置×××类型为使用IPsec（L2TP / IPsec）的2层隧道协议 IPsec (L2TP/IPsec)
· 单击高级设置
· 选择使用预共享的密钥作身份验证
· 输入密钥，例如： aaabbbccc
· 单击确认
· 设置数据加密为：需要加密（如果服务器拒绝将断开连接）
· 设置身份验证/允许使用这些协议为质询握手身份验证协议 (CHAP) （H）- 以匹配L2TP中的设置
· 单击确认
Try it Out（试试看）
经过上面的设置，现在应该可以连接到×××了。
Troubleshooting（故障排查）
Firewall traffic blocked outbound（防火墙流量阻塞了出站）
如果防火墙日志显示L2TP上的流量阻塞"out"，则添加一个浮动防火墙规则来解决该问题发生：
· 导航到 Firewall > Rules, Floating（浮动）选项卡
· 单击 "+"添加新规则
· 设置Action（动作） 为 Pass（通过）
· 设置 Quick（快速）
· 接口选择为L2TP ×××
· 设置 Direction（方向）为 Out
· 设置Protocol （协议）为 TCP
· 根据需要设置 Source/Destination （源和目标），或设置为any
· 高级选项：
· 设置TCP Flags（TCP标识） 为 Any flags
· 设置State Type （状态类型）为Sloppy State
Precautions（注意事项）
如果客户端在NAT后面，Windows客户端将不能连接到服务器。 可以考虑通过IKEv2来实现×××连接（如果你通过路由上网，而不是直接分配外网IP上网，将不能使用L2TP / IPsec类型的×××）。可以参考这篇文章：http://fxn2025.blog.51cto.com/24757/1983419。
原文地址：https://doc.pfsense.org/index.php/L2TP/IPsec
2017年5月31日
