Cisco как L2TP/IPSEC клиент (например к Микротику)

Cisco IOS как L2TP/IPSEC клиент (подключаемся к Микротику)

yy.yy.yy.yy - внешний адрес микротика куда подключаться будем.
aa.aa.aa.aa/24 наша подсеть внутренняя
bb.bb.bb.bb/24 удаленная подсеть доступная через L2TP/IPSEC (может быть один хост)

pseudowire-class PTCLASS1
 encapsulation l2tpv2
 ip local interface GigabitEthernet0/0 !Интерфейс с которого будет устанавливаться соединение (внешний)
 
Сначала настроим IPSec

crypto isakmp policy 10
 encr aes
 authentication pre-share
 group 14
 
crypto isakmp key <общий ключ> address yy.yy.yy.yy
!
В режиме транспорт

crypto ipsec transform-set TSET esp-aes esp-sha-hmac
 mode transport
!

ip access-list extended L2TP_TRAFFIC
 permit udp any host yy.yy.yy.yy

crypto map L2TPMAP 10 ipsec-isakmp
 set peer yy.yy.yy.yy
 set transform-set TSET
 match address L2TP_TRAFFIC
 

Теперь L2TP

interface Virtual-PPP1
 ip address negotiated
 ip nat outside
 ip virtual-reassembly in
 ppp eap refuse
 ppp chap hostname <имя пользователя>
 ppp chap password 0 <пароль>
 ppp ipcp address accept
 no cdp enable
 pseudowire yy.yy.yy.yy 1 encapsulation l2tpv2 pw-class PTCLASS1!

interface GigabitEthernet0/0
 ip address 7.8.9.10 255.255.255.252
 ip virtual-reassembly in
 duplex auto
 speed auto
 crypto map L2TPMAP
 
На внутреннем интерфейсе нужно включить ip nat inside

ip access-list extended NATTOPWACL
 permit ip aa.aa.aa.aa 0.0.0.255 bb.bb.bb.bb 0.0.0.255

ip nat inside source list NATTOPWACL interface Virtual-PPP1 overload

ip route bb.bb.bb.bb 255.255.255.0 Virtual-PPP1