VPDN：L2TP技術(shù)介紹

一、簡單介紹

在PPP（點(diǎn)到點(diǎn)協(xié)議）中，1層物理鏈路建立和2層數(shù)據(jù)鏈路信息是可分離的。VPDN應(yīng)用上述原理，使ISP可以通過3層網(wǎng)絡(luò)把用戶之間通過2層設(shè)備（鏈路訪問集中器，LAC），并通過IP封裝PPP幀轉(zhuǎn)發(fā)到真正的PPP終結(jié)設(shè)備（鏈路網(wǎng)絡(luò)服務(wù)器，LNS），從而建立完整的PPP鏈路。在用戶端看來，該P(yáng)PP鏈路是直接連接到后端二層終接設(shè)備的，其間沒有三層信息交換。

虛擬撥號專網(wǎng)（VPDN）屬于LAC與LNS之間的隧道協(xié)議。LAC與LNS是三層設(shè)備，因此上述兩者可以部署在IP網(wǎng)絡(luò)內(nèi)。VPDN包含有兩種技術(shù)，其中一種就是本文的核心部分：L2TP（2層隧道協(xié)議）。

如圖，Client需要與遠(yuǎn)程網(wǎng)絡(luò)LNS建立PPP二層連接，但2層鏈路的終結(jié)點(diǎn)在LAC上。一方面，Client與LAC繼續(xù)保持PPP鏈路的建立；另一方面，LAC通過VPDN，在3層鏈路上與LNS建立L2TP隧道，并在Client和LNS之間轉(zhuǎn)發(fā)通過IP封裝的PPP幀。

二、配置

（一）Client撥號端

（一）物理端口

interface phy-intf

l 以太網(wǎng)口

pppoe enable

pppoe dialer-pool-member pool-number

l 其它口

encapsulation ppp

dialer pool pool-number

（二）撥號訪問列表

dialer-list dialer-list-number protocol ip permit

（三）撥號端口

interface dialer 0

ip address negotiated

#dialer參數(shù)

dialer pool-number pool-number

dialer-group dialer-list-number

#ppp參數(shù)

ppp authentication chap callin

//注意，這里設(shè)置的domain必須與LAC的VPDN-GROUP內(nèi)設(shè)置的domain參數(shù)一致，否則LAC無法激活到達(dá)LNS的VPDN隧道

ppp chap hostname name@domain

ppp chap password ppp-password

二、鏈路集中連接LAC

（一）物理端口配置

interface phy-intf

l 以太網(wǎng)口

pppoe enable

pppoe-client dialer-pool-member pool-number

l 其它端口

encapsulation ppp

dialer pool-member pool-number

若使用以太網(wǎng)口，需要添加bba組，引用一個虛擬模板進(jìn)行配置；使用其它口忽略該步驟

bba-group bba-gp-name global

 virtual-template intf-vt-num

interface virtual-template intf-vt-num

 ppp authentication chap

（二）撥號訪問列表

dialer-list dialer-list-number protocol ip permit

（三）撥號虛擬端口

interface dialer0

encapsulation ppp

#dialer配置

dialer pool pool-number//物理端口引用的dial pool

dialer-group dialer-list-number

#ppp驗(yàn)證。這里只配置chap驗(yàn)證命令，不配置具體驗(yàn)證賬號。驗(yàn)證賬號在LNS上

ppp authentication chap

（四）VPDN

vpdn enable

vpdn-group group-name

 request-dialin

  protocol l2tp

 domain domain//必須與Client的Dialer口所配置的domain一樣。否則無法激活VPDN隧道。

 initiate-to ip ip-address

下面兩條命令必須配至少其中一條： 

l l2tp tunnel password l2tp-password

l local name local-host-name

（五）AAA認(rèn)證

aaa new-model

aaa authentication ppp default local

aaa authorization network default local

（六）本地訪問賬號

username LAC password vpdn-peer-password

username LNS password vpdn-peer-password

#綠色字體必須完全一致

三、鏈路網(wǎng)絡(luò)服務(wù)器LNS

（一）AAA認(rèn)證

對PPP鏈路進(jìn)行認(rèn)證，通過后授權(quán)訪問本地網(wǎng)絡(luò)

aaa new-model

aaa authentication ppp default local

aaa authorization network default local

（二）本地訪問賬號

3個賬號，2個是與LAC建立VPDN隧道的，1個是與Client建立PPP鏈路的

user LNS password vpdn-peer-password

user LAC password vpdn-peer-password

user name@domain password ppp-password

（三）分配給對端撥號客戶的地址池

ip local pool ppp_pool_num 192.168.0.1 192.168.0.100

（四）VPDN配置

vpdn enable

vpdn-group l2cp-vg-name

 接收連接，所以只能

 accept-dialin

  protocol l2tp

  該參數(shù)與之后的l2tp-vt-num必須一致

  virtual-template 1000

 #accept-dialer只能指定對方主機(jī)名

 terminate from host HOST

下面兩條命令必須配至少其中一條： 

l l2tp tunnel password l2tp-password

l local name local-host-name

（五）虛擬模板

interface virtual-template intf-vt-num

 ip unnumbered Loopback

 peer default ip address pool POOL-NAME

 ppp authentication chap

三、檢查驗(yàn)證

（一）在Client中可以使用show pppoe session檢查PPPOE鏈路狀態(tài)：

（二）在LAC/LNS中可以使用show vpdn session l2tp檢查L2TP的隧道狀態(tài)

（三）在LAC/LNS中使用debug vpdn l2x-events可以看到L2TP隧道建立過程?？梢钥吹?/span>L2TP建立所經(jīng)過的三個過程：IDLE、WAIT-CTL-REPLY、ESTABLISHED