В данной пошаговой инструкции описаны два различных способа реализации L2TP соединения - с использованием пакета xl2tpd, либо с использованием пакета OpenL2TP. Перед началом настойки удостоверьтесь, что у вас есть рабочее соединение с интернетом по какому-либо другому протоколу для установки требуемых пакетов. Возможность автономной установки пакетов в данной инструкции не рассматривается.

• Вариант 1: настройка L2TP через xl2tpd
• Вариант 2: настройка L2TP через OpenL2TP

Вариант 1: настройка L2TP через xl2tpd

1. Откройте терминал с правами суперпользователя (root). Если в вашей системе это запрещено из соображений безопасности, вам следует выполнять все действия с использованием утилиты sudo.
2. Проверьте наличие поддержки PPP в вашем ядре: CONFIG_PPP=y Это можно сделать командой: cat /boot/config-`uname -r` | grep CONFIG_PPP Если некоторые опции не поддерживаются, вам необходимо переконфигурировать ядро ОС.
3. Проверьте наличие «ppp» устройства. При отсутствии его необходимо создать: # cd /dev # ls -ld ppp # mknod /dev/ppp c 108 0 # chmod 660 ppp
4. Установите пакет: # aptitude install xl2tpd
5. Откройте в текстовом редакторе файл /etc/xl2tpd/xl2tpd.conf и допишите в конец: [global] access control = yes auth file = /etc/ppp/pap-secrets [lac mephi] lns = vpn.mephi.ru redial = yes redial timeout = 10 refuse chap = yes require authentication = no ppp debug = yes pppoptfile = /etc/ppp/options.xl2tpd require pap = yes autodial = yes name = foo Здесь и далее место foo следует указать заголовок email адреса вашей служебной почты, а вместо bar - пароль к ней. Т.е. пример приведен для сотрудника, имеющего почтовый адрес foo@mephi.ru с паролем bar.
6. Создайте файл: # touch /etc/ppp/options.xl2tpd со следующим содержимым: unit 0 remotename l2tp ipparam mephi connect /bin/true mru 1400 mtu 1400 nodeflate nobsdcomp persist maxfail 0 nopcomp noaccomp defaultroute replacedefaultroute debug noproxyarp name foo require-pap refuse-eap refuse-chap refuse-mschap refuse-mschap-v2 noauth
7. Откройте в текстовом редакторе файл /etc/ppp/options, найдите строку auth, закомментируйте её и допишите noauth # Require the peer to authenticate itself before allowing network # packets to be sent or received. # Please do not disable this setting. It is expected to be standard in # future releases of pppd. Use the call option (see manpage) to disable # authentication for specific peers. #auth noauth
8. Допишите в конец файла /etc/ppp/pap-secrets foo l2tp bar
9. Проверьте, загружен ли у вас модуль ядра ppp-generic комндой lsmod. Если нет, загрузите его # lsmod | grep ppp-generic # # modprobe ppp-generic
10. Далее, необходимо отключить Network Manager. Для этого, проверьте стандартный runlevel в вашей системе. Например, # grep initdefault /etc/inittab id:2:initdefault: Т.е. в примере стандартным является runlevel 2. Затем, проверьте runlevel вашей системы в рабочем сотоянии: # runlevel S 3 Т.е. в примере система работает в runlevel 3. Обычно, эти значения совпадают, но, как видно из примера, не всегда.
11. Следует отключить загрузку Network Manager как в стандартном, так и в рабочем runlevel. Для этого надо переименовать ссылку на Network Manager в директории /etc/rdS, где S - номер runlevel. Для приведённого выше примера: # rename 's/\/S/\/K/' /etc/rc2.d/S??network-manager # rename 's/\/S/\/K/' /etc/rc3.d/S??network-manager
12. Перестройте запуск программ в соответствии с внесёнными изменениями: # update-rc.d network-manager defaults
13. Остановите Network Manager: # /etc/init.d/network-manager stop Если вам потребуется восстановить подключение к сети по старому протоколу, то можно снова запустить Network Manager командой: # /etc/init.d/network-manager start
14. Создайте файл «/etc/ppp/ip-up.d/mephivpn.sh»: cat <<EOF > /etc/ppp/ip-up.d/mephivpn.sh #!/bin/bash PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin DEFAULT_GW=$(netstat -nr | awk '{if($1=="0.0.0.0" && $3=="0.0.0.0") print $2}' | head -1) route add -host vpn.mephi.ru gw "$DEFAULT_GW" route add -net 0.0.0.0/1 gw $5 route add -net 128.0.0.0/1 gw $5 EOF Аналогично, создайте cat <<EOF > /etc/ppp/ip-down.d/mephivpn.sh #!/bin/bash route del -net 0.0.0.0/1 route del -net 128.0.0.0/1 route del -host vpn.mephi.ru EOF
15. Сделайте скрипты исполняемыми: # chmod +x /etc/ppp/ip-up.d/mephivpn.sh # chmod +x /etc/ppp/ip-down.d/mephivpn.sh
16. Запустите демон: # /etc/init.d/xl2tpd start
17. Проверьте таблицу маршрутизации командой # route -n. Она должна выглядеть примерно так: # route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 0.0.0.0 192.168.127.255 128.0.0.0 UG 0 0 0 ppp0 0.0.0.0 10.4.33.1 0.0.0.0 UG 0 0 0 eth0 10.4.33.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 128.0.0.0 192.168.127.255 128.0.0.0 UG 0 0 0 ppp0 192.168.127.255 0.0.0.0 255.255.255.255 UH 0 0 0 ppp0 194.67.76.7 10.4.33.1 255.255.255.255 UGH 0 0 0 eth0 Где вместо 10.4.33.1 должен быть указан ваш локальный шлюз, а вместо 10.4.33.0 - ваша локальная сеть.
18. Проверьте доступность PtP хоста # ping $(netstat -nr | awk '{if($1=="0.0.0.0" && $3=="128.0.0.0") print $2}' | head -1) PING 192.168.127.255 (192.168.127.255) 56(84) bytes of data. 64 bytes from vpn.mephi.ru (192.168.127.255): icmp_req=1 ttl=63 time=0.745 ms 64 bytes from vpn.mephi.ru (192.168.127.255): icmp_req=2 ttl=63 time=0.617 ms 64 bytes from vpn.mephi.ru (192.168.127.255): icmp_req=3 ttl=63 time=0.650 ms 64 bytes from vpn.mephi.ru (192.168.127.255): icmp_req=4 ttl=63 time=0.606 ms ^C --- vpn.mephi.ru ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3003ms rtt min/avg/max/mdev = 0.606/0.654/0.745/0.060 ms Если хост доступен, то настройка соединения прошла успешно.

Вариант 2: настройка L2TP через OpenL2TP

1. Откройте терминал с правами суперпользователя (root). Если в вашей системе это запрещено из соображений безопасности, вам следует выполнять все действия с использованием утилиты sudo.
2. Проверьте наличие поддержки PPP over L2TP в вашем ядре: CONFIG_PPP=y CONFIG_PPPOL2TP=y Это можно сделать командой: cat /boot/config-`uname -r` | grep ИМЯ_ПЕРЕМЕННОЙ , например, cat /boot/config-`uname -r` | grep CONFIG_PPP Если некоторые опции не поддерживаются, вам необходимо переконфигурировать ядро ОС.
3. Проверьте наличие «ppp» устройства. При отсутствии его необходимо создать: # cd /dev # ls -ld ppp # mknod /dev/ppp c 108 0 # chmod 660 ppp
4. Проверьте последнюю опубликованную версию программы на странице «http://openl2tp.org/downloads». На момент написания инструкции - это «openl2tp-1.8». Далее в тексте будет упоминаться именно эта версия.
5. Проверьте версию вашего дистрибутива: # more /etc/debian_version Если в данном файле версия debian указана в численном виде, то можно использовать следующее соответствие чисел и имени:
   • 5 - это "lenny"
   • 6 - это "squeeze"
   • 7 - это "wheezy"
   Например, 6.0.2 - это "squeeze"
6. Внутри ftp://ftp.openl2tp.org/releases/openl2tp-1.8/ находятся директории с пакетами, соответсвующими конкретным дистрибутивам. Например, директория ftp://ftp.openl2tp.org/releases/openl2tp-1.8/debian-squeeze/ содержит пакеты: openl2tp_1.8-1_amd64.deb openl2tp_1.8-1_i386.deb Скачайте пакет, соответствующий вашему дистрибутиву и релизу вашего ядра. Релиз ядра можно узнать командай uname -r. Например: # uname -r 2.6.32-5-amd64 # wget ftp://ftp.openl2tp.org/releases/openl2tp-1.8/debian-squeeze/openl2tp_1.8-1_amd64.deb Также предлагается отдельно собранная версия openl2tp-1.8 под debian wheezy[amd64], пакеты доступны по ссылкам [1] и [2] или из репозитория "deb http://mirror.mephi.ru/debian-mephi unstable main".
7. Установите полученный пакет: # dpkg -i openl2tp_1.8-1_amd64.deb или если вы подключили репозиторий "deb http://mirror.mephi.ru/debian-mephi unstable main" (только для wheezy[amd64]): # apt-get install openl2tp openl2tp-ppp
8. Далее, необходимо отключить Network Manager. Для этого, проверьте стандартный runlevel в вашей системе. Например, # grep initdefault /etc/inittab id:2:initdefault: Т.е. в примере стандартным является runlevel 2. Затем, проверьте runlevel вашей системы в рабочем сотоянии: # runlevel S 3 Т.е. в примере система работает в runlevel 3. Обычно, эти значения совпадают, но, как видно из примера, не всегда.
9. Следует отключить загрузку Network Manager как в стандартном, так и в рабочем runlevel. Для этого надо переименовать ссылку на Network Manager в директории /etc/rdS, где S - номер runlevel. Для приведённого выше примера: # rename 's/\/S/\/K/' /etc/rc2.d/S??network-manager # rename 's/\/S/\/K/' /etc/rc3.d/S??network-manager
10. Перестройте запуск программ в соответствии с внесёнными изменениями: # update-rc.d network-manager defaults
11. Остановите Network Manager: # /etc/init.d/network-manager stop Если вам потребуется восстановить подключение к сети по старому протоколу, то можно снова запустить Network Manager командой: # /etc/init.d/network-manager start Однако, для дальнейшей настройки L2TP его следует снова выключить.
12. Создайте файл «/etc/ppp/ip-up.d/mephivpn.sh»: cat <<EOF > /etc/ppp/ip-up.d/mephivpn.sh #!/bin/bash PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin DEFAULT_GW=$(netstat -nr | awk '{if($1=="0.0.0.0" && $3=="0.0.0.0") print $2}' | head -1) route add -host vpn.mephi.ru gw "$DEFAULT_GW" route add -net 0.0.0.0/1 gw $5 route add -net 128.0.0.0/1 gw $5 EOF Аналогично, создайте cat <<EOF > /etc/ppp/ip-down.d/mephivpn.sh #!/bin/bash route del -net 0.0.0.0/1 route del -net 128.0.0.0/1 route del -host vpn.mephi.ru EOF
13. Сделайте скрипты исполняемыми: # chmod +x /etc/ppp/ip-up.d/mephivpn.sh # chmod +x /etc/ppp/ip-down.d/mephivpn.sh
14. Запустите утилиту настройки OpenL2TP: # l2tpconfig > system modify deny_remote_tunnel_creates=yes tunnel_establish_timeout=60 session_establish_timeout=30 tunnel_persist_pend_timeout=60 session_persist_pend_timeout=30 > peer profile modify profile_name=default lac_lns=lac > ppp profile modify profile_name=default mru=1400 mtu=1400 default_route=yes proxy_arp=no auth_pap=no auth_chap=no auth_mschapv1=no auth_mschapv2=yes auth_eap=no > tunnel create tunnel_name=mephi dest_ipaddr=svpn-ipsectunnel.mephi.ru use_udp_checksums=off persist=yes > session create tunnel_name=mephi session_name=mephi user_name=foo user_password=bar Вместо foo следует указать заголовок email адреса вашей служебной почты, а вместо bar - пароль к ней. Т.е. пример приведен для сотрудника, имеющего почтовый адрес foo@mephi.ru с паролем bar. Проверьте состояние соединения: > system show status L2TP service status:- tunnels: 1, sessions: 1 > user list TunId SesId User Create Time 17767 9158 foo Thu Jul 5 13:45:10 2012 > session show tunnel_id=17767 session_id=9158 Session 9158 on tunnel 17767:- type: LAC Incoming Call, state: ESTABLISHED created at: Jul 5 16:22:18 2012 created by admin: YES, peer session id: 17432 ppp user name: foo ppp interface name: ppp0 data sequencing required: O use data sequence numbers: OFF trace flags: NONE framing types: SYNC ASYNC bearer types: DIGITAL ANALOG connect speed: 1000000 use ppp proxy: NO Peer configuration data:- data sequencing required: OFF framing types: SYNC bearer types: ANALOG connect speed: 54000000 data rx packets: 593, rx bytes: 608676, rx errors: 1 data tx packets: 135, tx bytes: 40145, tx errors: 0 Если в строке state: указано ESTABLISHED, то конфигурирование пакета прошло успешно. Сохраните файл с настройками: > config save file=/etc/openl2tpd.conf > exit # После этого таблица маршрутизации должна выглядеть примерно так: # route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 0.0.0.0 192.168.127.255 128.0.0.0 UG 0 0 0 ppp0 0.0.0.0 10.4.33.1 0.0.0.0 UG 0 0 0 eth0 10.4.33.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 128.0.0.0 192.168.127.255 128.0.0.0 UG 0 0 0 ppp0 192.168.127.255 0.0.0.0 255.255.255.255 UH 0 0 0 ppp0 194.67.76.7 10.4.33.1 255.255.255.255 UGH 0 0 0 eth0 Где вместо 10.4.33.1 должен быть указан ваш локальный шлюз, а вместо 10.4.33.0 - ваша локальная сеть.
15. Проверьте доступность PtP хоста # ping $(netstat -nr | awk '{if($1=="0.0.0.0" && $3=="128.0.0.0") print $2}' | head -1) PING 192.168.127.255 (192.168.127.255) 56(84) bytes of data. 64 bytes from vpn.mephi.ru (192.168.127.255): icmp_req=1 ttl=63 time=0.745 ms 64 bytes from vpn.mephi.ru (192.168.127.255): icmp_req=2 ttl=63 time=0.617 ms 64 bytes from vpn.mephi.ru (192.168.127.255): icmp_req=3 ttl=63 time=0.650 ms 64 bytes from vpn.mephi.ru (192.168.127.255): icmp_req=4 ttl=63 time=0.606 ms ^C --- vpn.mephi.ru ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3003ms rtt min/avg/max/mdev = 0.606/0.654/0.745/0.060 ms Если хост доступен, то настройка соединения прошла успешно.