搞了半天，最后发现其实很简单，在ASA默认配置的基础上，把所有crypto ipsec ikev1 transform-set 加上mode transport，然后把tunnel-group DefaultRAGroup的pre-shared-key输入到Windows L2TP/IPSec VPN设置的Advanced Settings里就行了。不过会影响Cisco VPN Client的连接，因为它不能用mode transport。如果都要用，就要保留原来的tranform-set，新建tranform-set，设置mode transport，然后加入到dynamic-map里。
详情请看：
http://popravak.wordpress.com/2013/03/06/l2tpipsec-with-windows-8-and-cisco-asa-8-x9-x/