Question

我已将Windows Server 2016配置为通过预共享密钥进行L2TP VPN连接。服务器的LAN端地址是192.10.0.100。我可以从LAN端访问VPN。

从本地网络外部，我收到一条错误消息，提示“远程服务器没有响应”，并提到了NAT或防火墙问题的可能性。

以下是我为VPN制定的规则：

NAT

   add action=dst-nat chain=dstnat comment="NAT Rule for L2TP General Port 500" \
        dst-address="Mikrotik public IP Address" dst-port=500 protocol=udp to-addresses=\
        192.10.0.100 to-ports=500
    add action=dst-nat chain=dstnat comment="NAT Rule for L2TP General Port 1701" \
       dst-address="Mikrotik public IP Address" dst-port=1701 protocol=udp to-addresses=\
       192.10.0.100 to-ports=1701
    add action=dst-nat chain=dstnat comment="NAT Rule for L2TP General Port 4500" \
       dst-address="Mikrotik public IP Address" dst-port=4500 protocol=udp to-addresses=\
       192.10.0.100 to-ports=4500

防火墙：

add action=accept chain=input comment="allow L2TP port 500" dst-port=4500 \
    protocol=udp
add action=accept chain=input comment="allow L2TP port 1701" dst-port=1701 protocol=udp
add action=accept chain=input comment="allow L2TP port 4500" dst-port=4500 \
    protocol=udp
add action=accept chain=forward comment=\
    "Allow forwarding for L2TP VPN (udp)" dst-address=192.10.0.100 \
    protocol=udp

似乎客户端可以联系服务器，但是没有响应。是否有另一个我想回程的NAT？预先感谢。

Answer 1

如果收到指示防火墙有问题的错误消息，请检查客户端和服务器端注册表项。

here关于在Windows服务器上设置L2TP VPN的说明指出，您必须在服务器和客户端上的注册表中都添加DWord值才能使NPS更改生效。

转到

HKEY_LOCAL_MACHINE -> SYSTEM -> CurrentControlSet -> Services -> PolicyAgent

添加

AssumeUDPEncapsulationContextOnSendRule

将数值数据更改为2。

结果证明，您不需要在LAN端测试VPN，而是在WAN端测试VPN。因此，直到我能够从MacBook Pro连接到VPN之前，才考虑检查我的拼写。

Mikrotik路由器后面的L2TP服务器的正确NAT和防火墙规则

1 个答案: