问下有关 L2TP/IPSec 和路由器端口映射的问题

[lichao]

准备用局域网里一台 Ubuntu 做 L2TP/IPSec 服务器，只分配局域网 IP 地址，然后外网通过路由器映射 500，4500，1701 端口抵达这台 VPN Server。

现在遇到的问题是：
配置 VPN 的时候，都提到了 /etc/ipsec.conf 和 /etc/ipsec.secrets 文件中需要设置服务器 IP 地址，请问我这里应该输这台服务器局域网 IP 地址，还是广域网 IP 地址？

我现在是在这两个文件中设置了局域网 IP，然后从局域网中可以拨通这台 VPN 服务器，但是通过广域网却拨不通。

请问正确的方式应该是什么？

[ijse]

在局域网里访问广域网IP，应该也能访问吧？
所以换成广域网IP试试？

[lichao]

@ijse 我在想，是不是路由器映射这个环节有问题

[ijse]

@lichao 用DMZ 试下？ 排除下端口映射配置问题

[lbright]

l2tp方式似乎在国内被电信屏蔽了

[lichao]

@lbright 不会吧，我只是在我们公司内部搭建 VPN Server，方便分公司的人拨进来，不涉及GFW的，应该不是这个原因。

[lbright]

@lichao 我测试过两个国内的服务器是这样的情况 pptp能连 l2tp都连不上

[carrionlee]

应该不会和gfw有关，我家里局域网内的nas可以通过pptp和l2tp连上。路由器要设置端口映射和ddns。

[ijse]

@lichao 可以试下hamachi

[lichao]

@carrionlee 公司是固定 IP，应该不需要 ddns


@ijse 方案选型已经定了

[fucker]

1，此服务器设置在DMZ区
2，此服务器有双网卡，其中一个网卡要有外网IP

以上满足一个就可以建立连接，如果1和2都不能满足，只靠端口映射，是不行的。

[vibbow]

@fucker 在DMZ的话局域网怎么连？

[fucker]

@vibbow DMZ还是内网IP啊，只不过你在这台机器上ipconfig或者ifconfig只看得到内网的ip，但是外网机器ssh或者mstsc的时候用的是外网ip。

[fucker]

@vibbow 我现在用的就是DMZ设置vpn，外网pptp外网ip，内网pptp内网ip，都可以成功拨号。

[vibbow]

@fucker DMZ的概念不是内网之间无法互通的么？

[lichao]

@fucker 你好，再问一下，L2TP/IPSec 情况下，似乎我局域网里拨外网服务器，同时只能有一台电脑可以拨通，是有这个限制吗，如果是，有解决方案吗？

[fucker]

@vibbow 这看你怎么设置了啊

[fucker]

@lichao 一般来说，不应该是这样的。即便是使用同一账号，也是可以多台机器同事拨的（PPTP是这样，L2TP应该也是可以的，我还没有论证，抱歉）。。
我认为有一台可以拨通，那么防火墙一定是设置L2TP可穿透，不会是防火墙的问题。两台独立的内网机器分别拨也可以拨通，那也不会是那两台客户端的问题。
可能性有两点：
1，VPN服务器的问题，windows2003默认只允许5台客户端同时连接，如果设置只允许一台，或者仅剩一个拨号名额的情况下，你的两台当然只能有一个成功了。
2，正如我之前所说的，我确实不清楚你两台机器是不是同一账号，也不清楚同一账号是否可以同时拨。