Документация: ПО Факел — разрабатываемая версия

Сервер L2TP

Обзор

L2TP сервер ПО Факел может использоваться как с локальной аутентификацией, так и совместно с подключенным сервером RADIUS (см. Аутентификация RADIUS).

Сеансы сервера L2TP завершают команды reset vpn l2tp: все сеансы (all), сеанс на указанном интерфейсе (interface) или сеансы указанного пользователя (user). Команды доступны только пользователю уровня «Администратор» (см. Уровни пользователей).

Параметры сервера L2TP, не связанные с основной настройкой, задают следующие группы команд (команды начинаются с vpn l2tp remote-access):

  • команды mtu, max-concurrent-sessions, thread-count и limits … задают MTU интерфейсов сеансов, максимальное количество одновременных попыток начала сеанса, количество рабочих потоков и ограничение частоты подключений к серверу;

  • команды ppp-options … задают параметры PPP: согласование IPv4 и IPv6, идентификаторы интерфейсов IPv6, минимальное значение MTU и предпочтительное значение MRU, отключение протокола CCP и размер кэша интерфейсов;

  • команды extended-scripts … задают сценарии, которые запускаются при переходах интерфейса сеанса: перед подъемом интерфейса, после его настройки, перед завершением сеанса и при изменении интерфейса в результате обработки RADIUS CoA;

  • команды authentication radius … задают дополнительные параметры RADIUS: приоритет сервера, резервный сервер, порт и отключение учета (accounting), интервал отправки данных учета, передачу атрибута NAS-Port-Id и множитель ограничения полосы пропускания;

  • команда client-ip-pool <client-ip-pool> next-pool задает следующий пул адресов клиентов;

  • команда shaper fwmark исключает из ограничения полосы пропускания трафик с заданной меткой межсетевого экрана;

  • команды log level и snmp master-agent задают уровень детализации журнала и включают режим главного агента SNMP;

  • команды wins-server и description задают адреса серверов WINS, которые передаются клиентам, и описание сервера;

  • команды client-ipv6-pool … и default-ipv6-pool задают пулы IPv6-адресов клиентов, в том числе делегирование префиксов по протоколу DHCPv6-PD (RFC 3633);

  • команды ipsec-settings authentication x509 … задают сертификат сервера, цепочку сертификатов УЦ из конфигурации PKI и пароль закрытого ключа для аутентификации IPsec по сертификатам; команды ipsec-settings ike-group, ipsec-settings esp-group, ipsec-settings ike-lifetime и ipsec-settings lifetime задают группы алгоритмов IKE и ESP (см. Стек протоколов IPsec) и время жизни IKE и ESP;

  • команда lns host-name задает имя хоста, которое сервер LNS передает клиенту (LAC).

Пример настройки

IPsec с использованием L2TP

Пример настройки простого использования протокола L2TP поверх стека протоколов IPsec для защищенного удаленного доступа (VPN).

В данном примере предполагается, что внешний адрес сервера 192.0.2.2 принадлежит интерфейсу eth0, а клиентам выдаются адреса из диапазона 192.168.255.2 - 192.168.255.254.

Настройка L2TP:

Шаг

Команда

Описание

1

set vpn ipsec interface eth0

Задает интерфейс eth0 для IPsec

2

set vpn l2tp remote-access outside-address 192.0.2.2

Задает внешний адрес, к которому подключаются VPN клиенты

3

set vpn l2tp remote-access gateway-address 192.168.255.1

Задает адрес шлюза, который передается клиентам

4

set vpn l2tp remote-access client-ip-pool L2TP-POOL range 192.168.255.2-192.168.255.254

Создает пул адресов клиентов L2TP-POOL и задает диапазон его адресов

5

set vpn l2tp remote-access default-pool L2TP-POOL

Задает пул L2TP-POOL пулом адресов клиентов по умолчанию

6

set vpn l2tp remote-access ipsec-settings authentication mode pre-shared-secret

Включает аутентификацию IPsec по общему секретному ключу

7

set vpn l2tp remote-access ipsec-settings authentication pre-shared-secret MYSECRETKEY

Задает общий секретный ключ MYSECRETKEY

8

set vpn l2tp remote-access authentication mode local

Включает локальную аутентификацию пользователей

9

set vpn l2tp remote-access authentication local-users username test password test

Создает локального пользователя test с паролем test

Если на внешнем интерфейсе установлена локальная политика межсетевого экрана, то необходимо разрешить сетевой трафик по указанным ниже портам:

  • Номер порта UDP 500 (для протокола IKE);

  • Номер протокола IP 50 (для протокола ESP);

  • Номер порта UDP 1701 (для протокола L2TP);

  • Номер порта UDP 4500 (для механизма NAT-Traversal).

Разрешение сетевого трафика по порту UDP 4500 необходимо для работы механизма NAT-Traversal (NAT-T), когда между VPN сервером и VPN клиентом находится шлюз, выполняющий трансляцию адресов (NAT). В этом случае сетевые пакеты ESP дополнительно упаковываются в UDP для обеспечения работы стека протоколов IPsec.

Настройка локальной политики межсетевого экрана:

Шаг

Команда

Описание

1

set firewall ipv4 input filter rule 40 action accept

Создает правило 40 в цепочке input с действием accept

2

set firewall ipv4 input filter rule 40 protocol esp

Применяет правило 40 к протоколу ESP

3

set firewall ipv4 input filter rule 41 action accept

Создает правило 41 с действием accept

4

set firewall ipv4 input filter rule 41 destination port 500

Применяет правило 41 к порту назначения 500 (IKE)

5

set firewall ipv4 input filter rule 41 protocol udp

Применяет правило 41 к протоколу UDP

6

set firewall ipv4 input filter rule 42 action accept

Создает правило 42 с действием accept

7

set firewall ipv4 input filter rule 42 destination port 4500

Применяет правило 42 к порту назначения 4500 (NAT-T)

8

set firewall ipv4 input filter rule 42 protocol udp

Применяет правило 42 к протоколу UDP

9

set firewall ipv4 input filter rule 43 action accept

Создает правило 43 с действием accept

10

set firewall ipv4 input filter rule 43 destination port 1701

Применяет правило 43 к порту назначения 1701 (L2TP)

11

set firewall ipv4 input filter rule 43 protocol udp

Применяет правило 43 к протоколу UDP

Для разрешения VPN клиенту подключаться через указанный внешний адрес также необходимо наличие правила трансляции (NAT).

Настройка правила трансляции:

Шаг

Команда

Описание

1

set nat source rule 110 outbound-interface name eth0

Задает исходящий интерфейс eth0 для правила 110

2

set nat source rule 110 source address 192.168.255.0/24

Задает сеть клиентов, адреса которых транслируются

3

set nat source rule 110 translation address masquerade

Включает трансляцию адресов источника в адрес исходящего интерфейса

VPN клиент обычно запрашивает параметры конфигурации, в числе которых может быть и список DNS серверов для клиента.

Настройка DNS серверов для VPN клиентов:

Шаг

Команда

Описание

1

set vpn l2tp remote-access name-server 198.51.100.8

Добавляет DNS сервер 198.51.100.8 в список серверов для клиентов

2

set vpn l2tp remote-access name-server 198.51.100.4

Добавляет DNS сервер 198.51.100.4 в список серверов для клиентов

Список установленных соединений можно посмотреть с помощью команды show l2tp-server sessions в режиме Администрирования.

Пример работы команды show l2tp-server sessions:

fakel@fakel:~$ show l2tp-server sessions
ifname | username |       ip      | ip6 | ip6-dp | calling-sid  | rate-limit | state  |  uptime  | rx-bytes | tx-bytes
-------+----------+---------------+-----+--------+--------------+------------+--------+----------+----------+---------
l2tp0  | test     | 192.168.255.2 |     |        | 192.168.0.36 |            | active | 00:06:13 | 3.1 KiB  | 2.8 KiB

Сервер доступа LNS (L2TP Network Server)

Сервер доступа LNS зачастую используется для подключения к серверу LAC (L2TP Access Concentrator).

В приведенном примере в качестве внешнего IP адреса используется 192.0.2.2. Для сервера LAC обычно требуется пароль аутентификации, который в приведенной в примере конфигурации задан как lns shared-secret secret. Данная настройка требует отключения протокола управления сжатием (Compression Control Protocol, CCP), что достигается командой set vpn l2tp remote-access ppp-options disable-ccp.

Настройка сервера доступа LNS:

Шаг

Команда

Описание

1

set vpn l2tp remote-access outside-address 192.0.2.2

Задает внешний адрес, к которому подключаются VPN клиенты

2

set vpn l2tp remote-access gateway-address 192.168.255.1

Задает адрес шлюза, который передается клиентам

3

set vpn l2tp remote-access client-ip-pool L2TP-POOL range 192.168.255.2-192.168.255.254

Создает пул адресов клиентов L2TP-POOL и задает диапазон его адресов

4

set vpn l2tp remote-access default-pool L2TP-POOL

Задает пул L2TP-POOL пулом адресов клиентов по умолчанию

5

set vpn l2tp remote-access lns shared-secret secret

Задает пароль туннеля secret, который используется для аутентификации клиента (LAC)

6

set vpn l2tp remote-access ppp-options disable-ccp

Отключает протокол управления сжатием (CCP)

7

set vpn l2tp remote-access authentication mode local

Включает локальную аутентификацию пользователей

8

set vpn l2tp remote-access authentication local-users username test password test

Создает локального пользователя test с паролем test

Ограничение полосы пропускания

Лимиты пропускной способности могут быть установлены как для локальных пользователей так и для пользователей RADIUS с помощью специальных атрибутов (см. Аутентификация RADIUS).

Настройка ограничений полосы пропускания для локальных пользователей:

Шаг

Команда

Описание

1

set vpn l2tp remote-access outside-address 192.0.2.2

Задает внешний адрес, к которому подключаются VPN клиенты

2

set vpn l2tp remote-access gateway-address 192.168.255.1

Задает адрес шлюза, который передается клиентам

3

set vpn l2tp remote-access client-ip-pool L2TP-POOL range 192.168.255.2-192.168.255.254

Создает пул адресов клиентов L2TP-POOL и задает диапазон его адресов

4

set vpn l2tp remote-access default-pool L2TP-POOL

Задает пул L2TP-POOL пулом адресов клиентов по умолчанию

5

set vpn l2tp remote-access authentication mode local

Включает локальную аутентификацию пользователей

6

set vpn l2tp remote-access authentication local-users username test password test

Создает локального пользователя test с паролем test

7

set vpn l2tp remote-access authentication local-users username test rate-limit download 20480

Ограничивает полосу пропускания download для пользователя test значением 20480 кбит/с

8

set vpn l2tp remote-access authentication local-users username test rate-limit upload 10240

Ограничивает полосу пропускания upload для пользователя test значением 10240 кбит/с

Лимиты пропускной способности устанавливаются в единицах кбит/с (килобит в секунду).

Настроенные лимиты можно посмотреть с помощью команды show l2tp-server sessions в режиме Администрирования.

Пример работы команды show l2tp-server sessions:

fakel@fakel:~$ show l2tp-server sessions
ifname | username |       ip      | ip6 | ip6-dp | calling-sid  |  rate-limit | state  |  uptime  | rx-bytes | tx-bytes
-------+----------+---------------+-----+--------+--------------+-------------+--------+----------+----------+---------
l2tp0  | test     | 192.168.255.2 |     |        | 192.168.0.36 | 20480/10240 | active | 00:06:30 | 3.1 KiB  | 2.8 KiB

Список команд


Режим «Конфигурирование»


vpn ipsec interface <interface>

Описание:
Задает сетевой интерфейс, который используется для IPsec. Общие сведения о настройке IPsec приведены в разделе Site-to-Site VPN.

Синтаксис:

  • set vpn ipsec interface <interface>

  • delete vpn ipsec interface <interface>

  • show vpn ipsec interface

Аргументы:

  • <interface> — имя сетевого интерфейса. Формат: строка. Можно задать несколько значений.

Режим: «Конфигурирование».

vpn l2tp remote-access outside-address <outside-address>

Описание:
Задает внешний IP-адрес, к которому подключаются VPN клиенты.
Этот же адрес используется как локальный адрес IPsec, поэтому при настройке параметров ipsec-settings задание outside-address обязательно.

Синтаксис:

  • set vpn l2tp remote-access outside-address <outside-address>

  • delete vpn l2tp remote-access outside-address <outside-address>

  • show vpn l2tp remote-access outside-address

Аргументы:

  • <outside-address> — внешний IP-адрес сервера. Формат: IPv4-адрес (x.x.x.x).

Режим: «Конфигурирование».

vpn l2tp remote-access gateway-address <gateway-address>

Описание:
Задает IP-адрес шлюза по умолчанию, который передается клиенту.
Если параметр не задан, при проверке конфигурации выводится предупреждение о необходимости его настроить.

Синтаксис:

  • set vpn l2tp remote-access gateway-address <gateway-address>

  • delete vpn l2tp remote-access gateway-address <gateway-address>

  • show vpn l2tp remote-access gateway-address

Аргументы:

  • <gateway-address> — IP-адрес шлюза. Формат: IPv4-адрес (x.x.x.x).

Режим: «Конфигурирование».

vpn l2tp remote-access client-ip-pool <client-ip-pool> range <range>

Описание:
Создает пул IP-адресов, которые выдаются VPN клиентам, и задает диапазон адресов пула.
Для режимов аутентификации local и noauth необходимо настроить хотя бы один пул адресов клиентов (IPv4 или IPv6).

Синтаксис:

  • set vpn l2tp remote-access client-ip-pool <client-ip-pool> range <range>

  • delete vpn l2tp remote-access client-ip-pool <client-ip-pool> range <range>

  • show vpn l2tp remote-access client-ip-pool <client-ip-pool> range

Аргументы:

  • <client-ip-pool> — имя пула адресов клиентов. Формат: строка.

  • <range> — диапазон адресов пула. Формат: IPv4-префикс (x.x.x.x/x) или диапазон IPv4-адресов внутри сети /24 (x.x.x.x-x.x.x.x). Можно задать несколько значений.

Режим: «Конфигурирование».

vpn l2tp remote-access default-pool <default-pool>

Описание:
Задает пул адресов клиентов, из которого адреса выдаются по умолчанию.
Пул с этим именем должен быть создан командой client-ip-pool. В режимах аутентификации local и noauth при заданных пулах адресов и незаданном пуле по умолчанию выводится предупреждение.

Синтаксис:

  • set vpn l2tp remote-access default-pool <default-pool>

  • delete vpn l2tp remote-access default-pool <default-pool>

  • show vpn l2tp remote-access default-pool

Аргументы:

  • <default-pool> — имя пула адресов клиентов. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access ipsec-settings authentication mode pre-shared-secret

Описание:
Включает аутентификацию IPsec по общему секретному ключу (Pre-shared Secret). Ключ задается командой ipsec-settings authentication pre-shared-secret.

Синтаксис:

  • set vpn l2tp remote-access ipsec-settings authentication mode pre-shared-secret

  • delete vpn l2tp remote-access ipsec-settings authentication mode pre-shared-secret

  • show vpn l2tp remote-access ipsec-settings authentication mode

Режим: «Конфигурирование».

vpn l2tp remote-access ipsec-settings authentication pre-shared-secret <secret>

Описание:
Задает общий секретный ключ IPsec, который используется при аутентификации VPN клиентов, если выбран режим pre-shared-secret.

Синтаксис:

  • set vpn l2tp remote-access ipsec-settings authentication pre-shared-secret <secret>

  • delete vpn l2tp remote-access ipsec-settings authentication pre-shared-secret <secret>

  • show vpn l2tp remote-access ipsec-settings authentication pre-shared-secret

Аргументы:

  • <secret> — общий секретный ключ (последовательность символов). Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication mode <mode>

Описание:
Задает режим аутентификации пользователей на сервере L2TP.
В режиме local необходимо настроить хотя бы одного локального пользователя с паролем и хотя бы один пул адресов клиентов. В режиме radius необходимо настроить хотя бы один RADIUS сервер, см. Аутентификация RADIUS.

Синтаксис:

  • set vpn l2tp remote-access authentication mode <mode>

  • delete vpn l2tp remote-access authentication mode <mode>

  • show vpn l2tp remote-access authentication mode

Аргументы:

  • <mode> — режим аутентификации. Возможные значения: local — локальные пользователи, заданные в конфигурации; radius — пользователи RADIUS сервера; noauth — аутентификация отключена. Значение по умолчанию: local.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication local-users username <username> password <password>

Описание:
Создает локального пользователя и задает его пароль. Локальные пользователи используются при аутентификации в режиме local.

Синтаксис:

  • set vpn l2tp remote-access authentication local-users username <username> password <password>

  • delete vpn l2tp remote-access authentication local-users username <username> password <password>

  • show vpn l2tp remote-access authentication local-users username <username> password

Аргументы:

  • <username> — имя пользователя. Формат: строка.

  • <password> — пароль пользователя. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication local-users username <username> rate-limit download <download>

Описание:
Задает для локального пользователя ограничение полосы пропускания download. Ограничение задается в единицах кбит/с (килобит в секунду).
Ограничения download и upload необходимо задавать вместе: если задано только одно из них, проверка конфигурации завершается ошибкой.

Синтаксис:

  • set vpn l2tp remote-access authentication local-users username <username> rate-limit download <download>

  • delete vpn l2tp remote-access authentication local-users username <username> rate-limit download <download>

  • show vpn l2tp remote-access authentication local-users username <username> rate-limit download

Аргументы:

  • <username> — имя пользователя. Формат: строка.

  • <download> — ограничение полосы пропускания в кбит/с. Формат: целое число. Диапазон значений: от 1 до 10000000.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication local-users username <username> rate-limit upload <upload>

Описание:
Задает для локального пользователя ограничение полосы пропускания upload. Ограничение задается в единицах кбит/с (килобит в секунду).
Ограничения download и upload необходимо задавать вместе: если задано только одно из них, проверка конфигурации завершается ошибкой.

Синтаксис:

  • set vpn l2tp remote-access authentication local-users username <username> rate-limit upload <upload>

  • delete vpn l2tp remote-access authentication local-users username <username> rate-limit upload <upload>

  • show vpn l2tp remote-access authentication local-users username <username> rate-limit upload

Аргументы:

  • <username> — имя пользователя. Формат: строка.

  • <upload> — ограничение полосы пропускания в кбит/с. Формат: целое число. Диапазон значений: от 1 до 10000000.

Режим: «Конфигурирование».

vpn l2tp remote-access name-server <name-server>

Описание:
Задает адрес DNS сервера, который передается VPN клиенту в параметрах конфигурации.
Можно задать не более двух IPv4-адресов и не более трех IPv6-адресов.

Синтаксис:

  • set vpn l2tp remote-access name-server <name-server>

  • delete vpn l2tp remote-access name-server <name-server>

  • show vpn l2tp remote-access name-server

Аргументы:

  • <name-server> — адрес DNS сервера. Формат: IPv4-адрес (x.x.x.x) или IPv6-адрес (h:h:h:h:h:h:h:h). Можно задать несколько значений.

Режим: «Конфигурирование».

vpn l2tp remote-access lns shared-secret <shared-secret>

Описание:
Задает пароль туннеля, который используется для аутентификации клиента (LAC) на сервере доступа LNS. Данная настройка требует отключения протокола управления сжатием (CCP) командой ppp-options disable-ccp.

Синтаксис:

  • set vpn l2tp remote-access lns shared-secret <shared-secret>

  • delete vpn l2tp remote-access lns shared-secret <shared-secret>

  • show vpn l2tp remote-access lns shared-secret

Аргументы:

  • <shared-secret> — пароль туннеля (последовательность символов). Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options disable-ccp

Описание:
Отключает протокол управления сжатием (Compression Control Protocol, CCP).

Синтаксис:

  • set vpn l2tp remote-access ppp-options disable-ccp

  • delete vpn l2tp remote-access ppp-options disable-ccp

  • show vpn l2tp remote-access ppp-options disable-ccp

Режим: «Конфигурирование».

vpn l2tp remote-access authentication local-users username <username> disable

Описание:
Отключает учетную запись пользователя.

Синтаксис:

  • set vpn l2tp remote-access authentication local-users username <username> disable

  • delete vpn l2tp remote-access authentication local-users username <username> disable

  • show vpn l2tp remote-access authentication local-users username <username> disable

Аргументы:

  • <username> — логин пользователя. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication local-users username <username> static-ip <static-ip>

Описание:
Назначает учетной записи пользователя статический IP-адрес.

Синтаксис:

  • set vpn l2tp remote-access authentication local-users username <username> static-ip <static-ip>

  • delete vpn l2tp remote-access authentication local-users username <username> static-ip <static-ip>

  • show vpn l2tp remote-access authentication local-users username <username> static-ip

Аргументы:

  • <username> — логин пользователя. Формат: строка.

  • <static-ip> — IP-адрес, назначаемый пользователю. Формат: IPv4-адрес (x.x.x.x). Значение по умолчанию: *.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication protocols <protocols>

Описание:
Задает протоколы аутентификации узла-участника VPN. Можно указать несколько протоколов.

Синтаксис:

  • set vpn l2tp remote-access authentication protocols <protocols>

  • delete vpn l2tp remote-access authentication protocols <protocols>

  • show vpn l2tp remote-access authentication protocols

Аргументы:

  • <protocols> — протокол аутентификации. Возможные значения: pap — протокол PAP; chap — протокол CHAP; mschap — протокол MS-CHAP; mschap-v2 — протокол MS-CHAP v2. Можно задать несколько значений. Значение по умолчанию: pap chap mschap mschap-v2.

Режим: «Конфигурирование».

vpn l2tp remote-access client-ip-pool <client-ip-pool> next-pool <next-pool>

Описание:
Задает имя следующего пула адресов (next-pool) для пула адресов клиентов <client-ip-pool>.

Синтаксис:

  • set vpn l2tp remote-access client-ip-pool <client-ip-pool> next-pool <next-pool>

  • delete vpn l2tp remote-access client-ip-pool <client-ip-pool> next-pool <next-pool>

  • show vpn l2tp remote-access client-ip-pool <client-ip-pool> next-pool

Аргументы:

  • <client-ip-pool> — имя пула адресов клиентов. Формат: строка.

  • <next-pool> — имя следующего пула адресов. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool>

Описание:
Создает пул IPv6-адресов клиентов.

Синтаксис:

  • set vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool>

  • delete vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool>

  • show vpn l2tp remote-access client-ipv6-pool

Аргументы:

  • <client-ipv6-pool> — имя пула IPv6-адресов клиентов. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> delegate <delegate>

Описание:
Задает IPv6-префикс, из которого клиентам делегируются префиксы по протоколу DHCPv6-PD согласно RFC 3633.

Синтаксис:

  • set vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> delegate <delegate>

  • delete vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> delegate <delegate>

  • show vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> delegate

Аргументы:

  • <client-ipv6-pool> — имя пула IPv6-адресов клиентов. Формат: строка.

  • <delegate> — IPv6-префикс пула, из которого делегируются префиксы. Формат: IPv6-префикс (h:h:h:h:h:h:h:h/x).

Режим: «Конфигурирование».

vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> delegate <delegate> delegation-prefix <delegation-prefix>

Описание:
Настраивает механизм делегирования префикса DHCPv6 согласно RFC 3633: задает длину префикса, который делегируется клиенту из пула <delegate>.

Синтаксис:

  • set vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> delegate <delegate> delegation-prefix <delegation-prefix>

  • delete vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> delegate <delegate> delegation-prefix <delegation-prefix>

  • show vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> delegate <delegate> delegation-prefix

Аргументы:

  • <client-ipv6-pool> — имя пула IPv6-адресов клиентов. Формат: строка.

  • <delegate> — IPv6-префикс пула, из которого делегируются префиксы. Формат: IPv6-префикс (h:h:h:h:h:h:h:h/x).

  • <delegation-prefix> — длина делегируемого префикса. Формат: целое число. Диапазон значений: от 32 до 64.

Режим: «Конфигурирование».

vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> prefix <prefix>

Описание:
Задает IPv6-префикс, из которого клиентам выдаются IPv6-адреса.

Синтаксис:

  • set vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> prefix <prefix>

  • delete vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> prefix <prefix>

  • show vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> prefix

Аргументы:

  • <client-ipv6-pool> — имя пула IPv6-адресов клиентов. Формат: строка.

  • <prefix> — IPv6-префикс пула. Формат: IPv6-префикс (h:h:h:h:h:h:h:h/x).

Режим: «Конфигурирование».

vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> prefix <prefix> mask <mask>

Описание:
Задает длину префикса (маску), который получает клиент из пула IPv6-адресов.

Синтаксис:

  • set vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> prefix <prefix> mask <mask>

  • delete vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> prefix <prefix> mask <mask>

  • show vpn l2tp remote-access client-ipv6-pool <client-ipv6-pool> prefix <prefix> mask

Аргументы:

  • <client-ipv6-pool> — имя пула IPv6-адресов клиентов. Формат: строка.

  • <prefix> — IPv6-префикс пула. Формат: IPv6-префикс (h:h:h:h:h:h:h:h/x).

  • <mask> — длина префикса, который получает клиент. Формат: целое число. Диапазон значений: от 48 до 128. Значение по умолчанию: 64.

Режим: «Конфигурирование».

vpn l2tp remote-access default-ipv6-pool <default-ipv6-pool>

Описание:
Задает пул IPv6-адресов клиентов, который используется по умолчанию.

Синтаксис:

  • set vpn l2tp remote-access default-ipv6-pool <default-ipv6-pool>

  • delete vpn l2tp remote-access default-ipv6-pool <default-ipv6-pool>

  • show vpn l2tp remote-access default-ipv6-pool

Аргументы:

  • <default-ipv6-pool> — имя пула IPv6-адресов клиентов. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access description <description>

Описание:
Задает описание сервера L2TP.

Синтаксис:

  • set vpn l2tp remote-access description <description>

  • delete vpn l2tp remote-access description <description>

  • show vpn l2tp remote-access description

Аргументы:

  • <description> — описание. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access extended-scripts on-change <on-change>

Описание:
Задает сценарий, который запускается при изменении интерфейса сеанса в результате обработки RADIUS CoA.

Синтаксис:

  • set vpn l2tp remote-access extended-scripts on-change <on-change>

  • delete vpn l2tp remote-access extended-scripts on-change <on-change>

  • show vpn l2tp remote-access extended-scripts on-change

Аргументы:

  • <on-change> — сценарий. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access extended-scripts on-down <on-down>

Описание:
Задает сценарий, который запускается перед завершением сеанса.

Синтаксис:

  • set vpn l2tp remote-access extended-scripts on-down <on-down>

  • delete vpn l2tp remote-access extended-scripts on-down <on-down>

  • show vpn l2tp remote-access extended-scripts on-down

Аргументы:

  • <on-down> — сценарий. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access extended-scripts on-pre-up <on-pre-up>

Описание:
Задает сценарий, который запускается перед тем, как интерфейс сеанса переходит в рабочее состояние.

Синтаксис:

  • set vpn l2tp remote-access extended-scripts on-pre-up <on-pre-up>

  • delete vpn l2tp remote-access extended-scripts on-pre-up <on-pre-up>

  • show vpn l2tp remote-access extended-scripts on-pre-up

Аргументы:

  • <on-pre-up> — сценарий. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access extended-scripts on-up <on-up>

Описание:
Задает сценарий, который запускается, когда интерфейс сеанса полностью настроен и запущен.

Синтаксис:

  • set vpn l2tp remote-access extended-scripts on-up <on-up>

  • delete vpn l2tp remote-access extended-scripts on-up <on-up>

  • show vpn l2tp remote-access extended-scripts on-up

Аргументы:

  • <on-up> — сценарий. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access ipsec-settings authentication x509 ca-certificate <ca-certificate>

Описание:
Задает цепочку сертификатов удостоверяющего центра (УЦ) из конфигурации PKI для аутентификации IPsec по сертификатам X.509.

Синтаксис:

  • set vpn l2tp remote-access ipsec-settings authentication x509 ca-certificate <ca-certificate>

  • delete vpn l2tp remote-access ipsec-settings authentication x509 ca-certificate <ca-certificate>

  • show vpn l2tp remote-access ipsec-settings authentication x509 ca-certificate

Аргументы:

  • <ca-certificate> — имя сертификата УЦ в конфигурации PKI (pki ca). Формат: строка. Можно задать несколько значений.

Режим: «Конфигурирование».

vpn l2tp remote-access ipsec-settings authentication x509 certificate <certificate>

Описание:
Задает сертификат сервера из конфигурации PKI для аутентификации IPsec по сертификатам X.509.

Синтаксис:

  • set vpn l2tp remote-access ipsec-settings authentication x509 certificate <certificate>

  • delete vpn l2tp remote-access ipsec-settings authentication x509 certificate <certificate>

  • show vpn l2tp remote-access ipsec-settings authentication x509 certificate

Аргументы:

  • <certificate> — имя сертификата в конфигурации PKI (pki certificate). Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access ipsec-settings authentication x509 passphrase <passphrase>

Описание:
Задает пароль для расшифровки закрытого ключа сертификата сервера.

Синтаксис:

  • set vpn l2tp remote-access ipsec-settings authentication x509 passphrase <passphrase>

  • delete vpn l2tp remote-access ipsec-settings authentication x509 passphrase <passphrase>

  • show vpn l2tp remote-access ipsec-settings authentication x509 passphrase

Аргументы:

  • <passphrase> — пароль закрытого ключа. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access ipsec-settings esp-group <esp-group>

Описание:
Задает группу алгоритмов ESP (Encapsulating Security Payload), которая используется для защиты трафика L2TP средствами IPsec. Группа создается командами vpn ipsec esp-group <esp-group> … (см. Стек протоколов IPsec).

Синтаксис:

  • set vpn l2tp remote-access ipsec-settings esp-group <esp-group>

  • delete vpn l2tp remote-access ipsec-settings esp-group <esp-group>

  • show vpn l2tp remote-access ipsec-settings esp-group

Аргументы:

  • <esp-group> — имя группы алгоритмов ESP. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access ipsec-settings ike-group <ike-group>

Описание:
Задает группу алгоритмов IKE (Internet Key Exchange), которая используется при согласовании IPsec для L2TP. Группа создается командами vpn ipsec ike-group <ike-group> … (см. Стек протоколов IPsec).

Синтаксис:

  • set vpn l2tp remote-access ipsec-settings ike-group <ike-group>

  • delete vpn l2tp remote-access ipsec-settings ike-group <ike-group>

  • show vpn l2tp remote-access ipsec-settings ike-group

Аргументы:

  • <ike-group> — имя группы алгоритмов IKE. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access ipsec-settings ike-lifetime <ike-lifetime>

Описание:
Задает время жизни IKE в секундах.

Синтаксис:

  • set vpn l2tp remote-access ipsec-settings ike-lifetime <ike-lifetime>

  • delete vpn l2tp remote-access ipsec-settings ike-lifetime <ike-lifetime>

  • show vpn l2tp remote-access ipsec-settings ike-lifetime

Аргументы:

  • <ike-lifetime> — время жизни в секундах. Формат: целое число. Диапазон значений: от 30 до 86400. Значение по умолчанию: 3600.

Режим: «Конфигурирование».

vpn l2tp remote-access ipsec-settings lifetime <lifetime>

Описание:
Задает время жизни ESP в секундах.

Синтаксис:

  • set vpn l2tp remote-access ipsec-settings lifetime <lifetime>

  • delete vpn l2tp remote-access ipsec-settings lifetime <lifetime>

  • show vpn l2tp remote-access ipsec-settings lifetime

Аргументы:

  • <lifetime> — время жизни в секундах. Формат: целое число. Диапазон значений: от 30 до 86400. Значение по умолчанию: 3600.

Режим: «Конфигурирование».

vpn l2tp remote-access limits burst <burst>

Описание:
Задает количество подключений (burst) для ограничения частоты подключений к серверу.

Синтаксис:

  • set vpn l2tp remote-access limits burst <burst>

  • delete vpn l2tp remote-access limits burst <burst>

  • show vpn l2tp remote-access limits burst

Аргументы:

  • <burst> — количество подключений. Формат: целое число.

Режим: «Конфигурирование».

vpn l2tp remote-access limits connection-limit <connection-limit>

Описание:
Ограничивает допустимую частоту подключений к серверу.

Синтаксис:

  • set vpn l2tp remote-access limits connection-limit <connection-limit>

  • delete vpn l2tp remote-access limits connection-limit <connection-limit>

  • show vpn l2tp remote-access limits connection-limit

Аргументы:

  • <connection-limit> — допустимая частота подключений. Формат: число и единица времени, например 1/min или 60/sec.

Режим: «Конфигурирование».

vpn l2tp remote-access limits timeout <timeout>

Описание:
Задает время в секундах (timeout) для ограничения частоты подключений к серверу.

Синтаксис:

  • set vpn l2tp remote-access limits timeout <timeout>

  • delete vpn l2tp remote-access limits timeout <timeout>

  • show vpn l2tp remote-access limits timeout

Аргументы:

  • <timeout> — время в секундах. Формат: целое число.

Режим: «Конфигурирование».

vpn l2tp remote-access lns host-name <host-name>

Описание:
Задает имя хоста, которое сервер LNS передает клиенту (LAC) в атрибуте Host-Name.

Синтаксис:

  • set vpn l2tp remote-access lns host-name <host-name>

  • delete vpn l2tp remote-access lns host-name <host-name>

  • show vpn l2tp remote-access lns host-name

Аргументы:

  • <host-name> — имя хоста. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access log level <level>

Описание:
Задает уровень детализации журнала сервера L2TP.

Синтаксис:

  • set vpn l2tp remote-access log level <level>

  • delete vpn l2tp remote-access log level <level>

  • show vpn l2tp remote-access log level

Аргументы:

  • <level> — уровень журналирования. Возможные значения: 0 — журналирование отключено; 1 — только сообщения об ошибках; 2 — сообщения об ошибках и предупреждения; 3 — сообщения об ошибках, предупреждения и минимум информационных сообщений; 4 — сообщения об ошибках, предупреждения и все информационные сообщения; 5 — все сообщения, включая отладочные. Значение по умолчанию: 3.

Режим: «Конфигурирование».

vpn l2tp remote-access max-concurrent-sessions <max-concurrent-sessions>

Описание:
Задает максимальное количество одновременных попыток начала сеанса.

Синтаксис:

  • set vpn l2tp remote-access max-concurrent-sessions <max-concurrent-sessions>

  • delete vpn l2tp remote-access max-concurrent-sessions <max-concurrent-sessions>

  • show vpn l2tp remote-access max-concurrent-sessions

Аргументы:

  • <max-concurrent-sessions> — максимальное количество попыток. Формат: целое число. Диапазон значений: от 0 до 65535.

Режим: «Конфигурирование».

vpn l2tp remote-access mtu <mtu>

Описание:
Задает максимальный размер блока данных (MTU) PPP интерфейсов сеансов.

Синтаксис:

  • set vpn l2tp remote-access mtu <mtu>

  • delete vpn l2tp remote-access mtu <mtu>

  • show vpn l2tp remote-access mtu

Аргументы:

  • <mtu> — значение MTU в байтах. Формат: целое число. Значение по умолчанию: 1436.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options interface-cache <interface-cache>

Описание:
Задает количество интерфейсов PPP, которые хранятся в кэше.

Синтаксис:

  • set vpn l2tp remote-access ppp-options interface-cache <interface-cache>

  • delete vpn l2tp remote-access ppp-options interface-cache <interface-cache>

  • show vpn l2tp remote-access ppp-options interface-cache

Аргументы:

  • <interface-cache> — количество интерфейсов. Формат: целое число. Диапазон значений: от 1 до 256000.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options ipv4 <ipv4>

Описание:
Задает алгоритм согласования IPv4 (IPCP) с клиентом.

Синтаксис:

  • set vpn l2tp remote-access ppp-options ipv4 <ipv4>

  • delete vpn l2tp remote-access ppp-options ipv4 <ipv4>

  • show vpn l2tp remote-access ppp-options ipv4

Аргументы:

  • <ipv4> — алгоритм согласования. Возможные значения: deny — не согласовывать IPv4; allow — согласовывать IPv4 только по запросу клиента; prefer — предлагать клиенту согласование IPv4, при отказе клиента соединение сохраняется; require — требовать согласования IPv4.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options ipv6 <ipv6>

Описание:
Задает алгоритм согласования IPv6 (IPCP6) с клиентом.

Синтаксис:

  • set vpn l2tp remote-access ppp-options ipv6 <ipv6>

  • delete vpn l2tp remote-access ppp-options ipv6 <ipv6>

  • show vpn l2tp remote-access ppp-options ipv6

Аргументы:

  • <ipv6> — алгоритм согласования. Возможные значения: deny — не согласовывать IPv6; allow — согласовывать IPv6 только по запросу клиента; prefer — предлагать клиенту согласование IPv6, при отказе клиента соединение сохраняется; require — требовать согласования IPv6. Значение по умолчанию: deny.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options ipv6-accept-peer-interface-id

Описание:
Разрешает принимать идентификатор интерфейса IPv6, предложенный узлом-участником VPN.

Синтаксис:

  • set vpn l2tp remote-access ppp-options ipv6-accept-peer-interface-id

  • delete vpn l2tp remote-access ppp-options ipv6-accept-peer-interface-id

  • show vpn l2tp remote-access ppp-options ipv6-accept-peer-interface-id

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options ipv6-interface-id <ipv6-interface-id>

Описание:
Задает идентификатор интерфейса IPv6 сервера: фиксированный или случайный.

Синтаксис:

  • set vpn l2tp remote-access ppp-options ipv6-interface-id <ipv6-interface-id>

  • delete vpn l2tp remote-access ppp-options ipv6-interface-id <ipv6-interface-id>

  • show vpn l2tp remote-access ppp-options ipv6-interface-id

Аргументы:

  • <ipv6-interface-id> — идентификатор интерфейса IPv6. Возможные значения: random — случайный идентификатор; x:x:x:x — заданный идентификатор.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options ipv6-peer-interface-id <ipv6-peer-interface-id>

Описание:
Задает идентификатор интерфейса IPv6 узла-участника VPN.

Синтаксис:

  • set vpn l2tp remote-access ppp-options ipv6-peer-interface-id <ipv6-peer-interface-id>

  • delete vpn l2tp remote-access ppp-options ipv6-peer-interface-id <ipv6-peer-interface-id>

  • show vpn l2tp remote-access ppp-options ipv6-peer-interface-id

Аргументы:

  • <ipv6-peer-interface-id> — идентификатор интерфейса IPv6. Возможные значения: x:x:x:x — заданный идентификатор; random — случайный идентификатор; ipv4-addr — идентификатор вычисляется из IPv4-адреса, например 192:168:0:1; calling-sid — идентификатор вычисляется из атрибута calling-station-id.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options lcp-echo-failure <lcp-echo-failure>

Описание:
Задает максимальное количество сообщений Echo Request по протоколу LCP, по достижении которого PPP сессия будет сброшена.

Синтаксис:

  • set vpn l2tp remote-access ppp-options lcp-echo-failure <lcp-echo-failure>

  • delete vpn l2tp remote-access ppp-options lcp-echo-failure <lcp-echo-failure>

  • show vpn l2tp remote-access ppp-options lcp-echo-failure

Аргументы:

  • <lcp-echo-failure> — максимальное количество сообщений. Формат: целое положительное число. Значение по умолчанию: 3.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options lcp-echo-interval <lcp-echo-interval>

Описание:
Задает периодичность в секундах отправки модулем PPP сообщений Echo Request по протоколу LCP.

Синтаксис:

  • set vpn l2tp remote-access ppp-options lcp-echo-interval <lcp-echo-interval>

  • delete vpn l2tp remote-access ppp-options lcp-echo-interval <lcp-echo-interval>

  • show vpn l2tp remote-access ppp-options lcp-echo-interval

Аргументы:

  • <lcp-echo-interval> — периодичность отправки в секундах. Формат: целое положительное число. Значение по умолчанию: 30.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options lcp-echo-timeout <lcp-echo-timeout>

Описание:
Задает время ожидания активности любых узлов-участников VPN.

Синтаксис:

  • set vpn l2tp remote-access ppp-options lcp-echo-timeout <lcp-echo-timeout>

  • delete vpn l2tp remote-access ppp-options lcp-echo-timeout <lcp-echo-timeout>

  • show vpn l2tp remote-access ppp-options lcp-echo-timeout

Аргументы:

  • <lcp-echo-timeout> — время ожидания в секундах. Формат: целое положительное число. Значение по умолчанию: 0.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options min-mtu <min-mtu>

Описание:
Задает минимально допустимое значение MTU.

Синтаксис:

  • set vpn l2tp remote-access ppp-options min-mtu <min-mtu>

  • delete vpn l2tp remote-access ppp-options min-mtu <min-mtu>

  • show vpn l2tp remote-access ppp-options min-mtu

Аргументы:

  • <min-mtu> — минимальное значение MTU. Формат: целое число. Диапазон значений: от 68 до 65535.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options mppe <mppe>

Описание:
Определяет режим использования протокола шифрования MPPE.

Синтаксис:

  • set vpn l2tp remote-access ppp-options mppe <mppe>

  • delete vpn l2tp remote-access ppp-options mppe <mppe>

  • show vpn l2tp remote-access ppp-options mppe

Аргументы:

  • <mppe> — режим использования протокола MPPE. Возможные значения: require — запросить у клиента использование протокола MPPE, если клиент отклоняет запрос, то соединение сбрасывается; prefer — запросить у клиента использование протокола MPPE, если клиент отклоняет запрос, то соединение сохраняется; deny — не использовать протокол MPPE. Значение по умолчанию: prefer.

Режим: «Конфигурирование».

vpn l2tp remote-access ppp-options mru <mru>

Описание:
Задает предпочтительное значение MRU.

Синтаксис:

  • set vpn l2tp remote-access ppp-options mru <mru>

  • delete vpn l2tp remote-access ppp-options mru <mru>

  • show vpn l2tp remote-access ppp-options mru

Аргументы:

  • <mru> — значение MRU. Формат: целое число. Диапазон значений: от 68 до 65535.

Режим: «Конфигурирование».

vpn l2tp remote-access shaper fwmark <fwmark>

Описание:
Задает значение метки межсетевого экрана (fwmark): трафик с этой меткой исключается из ограничения полосы пропускания.

Синтаксис:

  • set vpn l2tp remote-access shaper fwmark <fwmark>

  • delete vpn l2tp remote-access shaper fwmark <fwmark>

  • show vpn l2tp remote-access shaper fwmark

Аргументы:

  • <fwmark> — значение метки. Формат: целое число. Диапазон значений: от 1 до 2147483647.

Режим: «Конфигурирование».

vpn l2tp remote-access snmp master-agent

Описание:
Включает режим главного агента SNMP (master agent) для сервера L2TP.

Синтаксис:

  • set vpn l2tp remote-access snmp master-agent

  • delete vpn l2tp remote-access snmp master-agent

  • show vpn l2tp remote-access snmp master-agent

Режим: «Конфигурирование».

vpn l2tp remote-access thread-count <thread-count>

Описание:
Задает количество рабочих потоков сервера L2TP.

Синтаксис:

  • set vpn l2tp remote-access thread-count <thread-count>

  • delete vpn l2tp remote-access thread-count <thread-count>

  • show vpn l2tp remote-access thread-count

Аргументы:

  • <thread-count> — количество потоков. Возможные значения: all — использовать все доступные ядра процессора; half — использовать половину доступных ядер процессора; число от 1 до 512 — заданное количество потоков. Значение по умолчанию: all.

Режим: «Конфигурирование».

vpn l2tp remote-access wins-server <wins-server>

Описание:
Задает адреса серверов WINS (Windows Internet Name Service), которые передаются клиенту.

Синтаксис:

  • set vpn l2tp remote-access wins-server <wins-server>

  • delete vpn l2tp remote-access wins-server <wins-server>

  • show vpn l2tp remote-access wins-server

Аргументы:

  • <wins-server> — адрес сервера WINS. Формат: IPv4-адрес (x.x.x.x). Можно задать несколько значений.

Режим: «Конфигурирование».

Режим «Администрирование»


l2tp-server sessions

Описание:
Показывает список установленных L2TP соединений (активных сеансов) и их параметры, в том числе настроенные ограничения полосы пропускания.

Синтаксис:

  • show l2tp-server sessions

Режим: «Администрирование».

l2tp-server statistics

Описание:
Показывает сводную статистику для сервера L2TP: время работы службы, использование ресурсов и число сеансов в разных состояниях. Если сервер L2TP не настроен, выводит сообщение Service l2tp is not configured.

Синтаксис:

  • show l2tp-server statistics

Режим: «Администрирование».

reset vpn l2tp all

Описание:
Завершает все сеансы сервера L2TP.

Синтаксис:

  • reset vpn l2tp all

Режим: «Администрирование».

Уровень привилегий: «Администратор».

reset vpn l2tp interface <interface>

Описание:
Завершает сеанс сервера L2TP на указанном интерфейсе.

Синтаксис:

  • reset vpn l2tp interface <interface>

Аргументы:

  • <interface> — имя интерфейса сеанса. Формат: строка.

Режим: «Администрирование».

Уровень привилегий: «Администратор».

reset vpn l2tp user <user>

Описание:
Завершает сеансы сервера L2TP указанного пользователя.

Синтаксис:

  • reset vpn l2tp user <user>

Аргументы:

  • <user> — имя пользователя. Формат: строка.

Режим: «Администрирование».

Уровень привилегий: «Администратор».