标签：之七 USG untrust 拨号 Server Client policy
掌握目标
1、在华为USG上PPPOE服务器的配置
2、在华为USG上PPPOE 客户端的配置（工作上常用）
3、配置NAT（上网使用）
4、默认路由+策略配置
拓扑
1、在华为USG上PPPOE服务器的配置
（1）用户配置与地址池
[USG-Server]aaa
[USG-Server-aaa]local-user test password cipher ccieh3c.com
[USG-Server-aaa]local-user test service-type ppp
[USG-Server-aaa]ip pool 1 123.1.1.2 123.1.1.254
（2）虚拟模板接口
[USG-Server]interface g0/0/0
[USG-Server-GigabitEthernet0/0/0]ip address 123.1.1.1 24
[USG-Server]interface Virtual-Template 1
[USG-Server-Virtual-Template1]ppp authentication-mode chap
[USG-Server-Virtual-Template1]ip address unnumbered interface g0/0/0
[USG-Server-Virtual-Template1]remote address pool 1
[USG-Server]interface g0/0/0
[USG-Server-GigabitEthernet0/0/0]USG-Server bind virtual-template 1
说明：G0/0/0接口已经加入对应的Zone了，否则需要加入后才能正常工作。
2、在华为USG上PPPOE 客户端的配置（工作上常用）
（1）拨号规则定义
[USG-Client]dialer-rule 1 ip permit
（2）拨号接口配置
[USG-Client]interface Dialer 1
[USG-Client-Dialer1]dialer user test （用该帐号拨号）
[USG-Client-Dialer1]dialer-group 1 （对应规则1）
[USG-Client-Dialer1]dialer bundle 1 （后续bundle调用在接口）
[USG-Client-Dialer1]ip address ppp-negotiate
[USG-Client-Dialer1]ppp chap user test
[USG-Client-Dialer1]ppp chap password cipher ccieh3c.com
（3）物理接口调用
[USG-Client]interface GigabitEthernet 0/0/0
[USG-Client-GigabitEthernet0/0/0]USG-Client dial-bundle-number 1
（4）注意事项
有的版本需要把拨号接口加入到对应的zone，有的版本则不需要，所以如果看到拨号一直没有成功，可以把拨号接口加入到Zone。
[USG-Client]firewall zone untrust
[USG-Client-zone-untrust]add interface Dialer 1
3、配置NAT（上网使用）
[USG-Client]nat-policy interzone trust untrust outbound
[USG-Client-nat-policy-interzone-trust-untrust-outbound]policy 0
[USG-Client-nat-policy-interzone-trust-untrust-outbound-0]policy source 192.168.1.0 mask 24
[USG-Client-nat-policy-interzone-trust-untrust-outbound-0]action source-nat
[USG-Client-nat-policy-interzone-trust-untrust-outbound-0]easy-ip Dialer 1
说明：这里NAT规定了从192.168.1.0/24网段来的流量进行源NAT转换，使用的是拨号接口的公网地址。
4、默认路由+策略配置
默认路由是为了访问internet用的，如果内网跨网段了，也需要写回程路由，而策略的话，对于型号不一样，默认策略也不一样，有的是全部允许放行了，有得没有默认策略，都是deny的，需要自己放行。
[USG-Client]ip route-static 0.0.0.0 0 Dialer 1
[USG-Client]policy interzone trust untrust outbound
[USG-Client-policy-interzone-trust-untrust-outbound]policy 0
[USG-Client-policy-interzone-trust-untrust-outbound-0]action permit
说明：这里是允许了全部的内网网段能主动访问外网。
容易遇到的问题
（1）一些网站或者应用打开慢以及打不开的情况，这个很有可能是MTU与TCP MSS导致，可以多尝试几个值来达到比较理想的效果。
[USG-Dialer0]mtu 1400
[USG]firewall tcp-mss 1200
（2）一些小企业或者SOHO级别的网络可能申请的是民用的拨号线路，那这个时候有可能自己用电脑先拨入测试效果，然后发现在路由器上面怎么都拨入不了，那很有可能是运营商那边绑定了，需要打电话过去松绑。
（3）ADSL有可能采用私网地址分配，所以在申请的时候需要考虑是否需要做映射服务出去或者一些VPN拨入，在申请的时候需要跟对方说明清楚。（包括80端口是否可以用）
如果大家有任何疑问或者文中有错误跟疏忽的地方，欢迎大家留言指出，博主看到后会第一时间修改，谢谢大家的支持，更多技术文章尽在网络之路Blog（其他平台同名），版权归网络之路Blog所有，原创不易，侵权必究，觉得有帮助的，关注、转发、点赞支持下！~。
标签：之七,USG,untrust,拨号,Server,Client,policy 来源： https://blog.csdn.net/weixin_46948473/article/details/114277116
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。