Cisco как L2TP/IPSEC клиент (например к Микротику)

Cisco IOS как L2TP/IPSEC клиент (подключаемся к Микротику)

yy.yy.yy.yy - внешний адрес микротика куда подключаться будем.
aa.aa.aa.aa/24 наша подсеть внутренняя
bb.bb.bb.bb/24 удаленная подсеть доступная через L2TP/IPSEC (может быть один хост)

pseudowire-class PTCLASS1
 encapsulation l2tpv2
 ip local interface GigabitEthernet0/0 !Интерфейс с которого будет устанавливаться соединение (внешний)
 
Сначала настроим IPSec

crypto isakmp policy 10
 encr aes
 authentication pre-share
 group 14
 
crypto isakmp key <общий ключ> address yy.yy.yy.yy
!
В режиме транспорт

crypto ipsec transform-set TSET esp-aes esp-sha-hmac
 mode transport
!

ip access-list extended L2TP_TRAFFIC
 permit udp any host yy.yy.yy.yy

crypto map L2TPMAP 10 ipsec-isakmp
 set peer yy.yy.yy.yy
 set transform-set TSET
 match address L2TP_TRAFFIC
 

Теперь L2TP

interface Virtual-PPP1
 ip address negotiated
 ip nat outside
 ip virtual-reassembly in
 ppp eap refuse
 ppp chap hostname <имя пользователя>
 ppp chap password 0 <пароль>
 ppp ipcp address accept
 no cdp enable
 pseudowire yy.yy.yy.yy 1 encapsulation l2tpv2 pw-class PTCLASS1

interface GigabitEthernet0/0
 ip address 7.8.9.10 255.255.255.252
 ip virtual-reassembly in
 duplex auto
 speed auto
 crypto map L2TPMAP
 
На внутреннем интерфейсе нужно включить ip nat inside

ip access-list extended NATTOPWACL
 permit ip aa.aa.aa.aa 0.0.0.255 bb.bb.bb.bb 0.0.0.255

ip nat inside source list NATTOPWACL interface Virtual-PPP1 overload

ip route bb.bb.bb.bb 255.255.255.0 Virtual-PPP1

---------------------

Дополнение:

В случае если у вас внешний интерфейс в vrf не global, например VRF1

interface GigabitEthernet0/0
 ip address 7.8.9.10 255.255.255.252

 ip vrf forwarding VRF1
 ip virtual-reassembly in
 duplex auto
 speed auto
 crypto map L2TPMAP

Тогда делаем keychain:

crypto keyring kchvr1 vrf VRF1
  pre-shared-key address yy.yy.yy.yy key <общий ключ>

 

Теперь профиль:

 

crypto isakmp profile isprof1
   vrf VRF1
   keyring kchvr1
   match identity address yy.yy.yy.yy 255.255.255.255

 

И применим профиль:

 

crypto map L2TPMAP 10 ipsec-isakmp
 set peer yy.yy.yy.yy
 set transform-set TSET

 set isakmp-profile isprof1
 match address L2TP_TRAFFIC