h3c er3200g2

11.1  L2TP特性简介

11.1.1  概述

VPDN（Virtual Private Dial-up Network，虚拟专用拨号网络）是指利用公共网络（如ISDN或PSTN）的拨号功能接入公共网络，实现虚拟专用网，从而为企业、小型ISP、移动办公人员等提供接入服务。即，VPDN为远端用户与私有企业网之间提供了一种经济而有效的点到点连接方式。

VPDN采用隧道协议在公共网络上为企业建立安全的虚拟专网。企业驻外机构和出差人员可从远程经由公共网络，通过虚拟隧道实现和企业总部之间的网络连接，而公共网络上其它用户则无法穿过虚拟隧道访问企业网内部的资源。

VPDN隧道协议主要包括以下三种：

·     PPTP（Point-to-Point Tunneling Protocol，点到点隧道协议）

·     L2F（Layer 2 Forwarding，二层转发）

·     L2TP（Layer 2 Tunneling Protocol，二层隧道协议）

L2TP结合了L2F和PPTP的各自优点，是目前使用最为广泛的VPDN隧道协议。

L2TP（RFC 2661）是一种对PPP链路层数据包进行封装，并通过隧道进行传输的技术。L2TP允许连接用户的二层链路端点和PPP会话终点驻留在通过分组交换网络连接的不同设备上，从而扩展了PPP模型，使得PPP会话可以跨越分组交换网络，如Internet。

11.1.2  L2TP典型组网应用

使用L2TP协议构建的VPDN应用的典型组网如图11-1所示。

图11-1 应用L2TP构建的VPDN服务

在L2TP构建的VPDN中，网络组件包括以下三个部分：

·     远端系统

远端系统是要接入VPDN网络的远地用户和远地分支机构，通常是一个拨号用户的主机或私有网络的一台路由设备。

·     LAC（L2TP Access Concentrator，L2TP访问集中器）

LAC是具有PPP和L2TP协议处理能力的设备，通常是一个当地ISP的NAS（Network Access Server，网络接入服务器），主要用于为PPP类型的用户提供接入服务。

LAC作为L2TP隧道的端点，位于LNS和远端系统之间，用于在LNS和远端系统之间传递信息包。它把从远端系统收到的信息包按照L2TP协议进行封装并送往LNS，同时也将从LNS收到的信息包进行解封装并送往远端系统。

VPDN应用中，LAC与远端系统之间通常采用PPP链路。

·     LNS（L2TP Network Server，L2TP网络服务器）

LNS既是PPP端系统，又是L2TP协议的服务器端，通常作为一个企业内部网的边缘设备。

LNS作为L2TP隧道的另一侧端点，是LAC的对端设备，是LAC进行隧道传输的PPP会话的逻辑终止端点。通过在公网中建立L2TP隧道，将远端系统的PPP连接由原来的NAS在逻辑上延伸到了企业网内部的LNS。

11.1.3  L2TP消息类型及封装结构

L2TP中存在两种消息：

·     控制消息：用户隧道和会话连接的建立、维护和拆除。它的传输是可靠传输，并且支持对控制消息的流量控制和拥塞控制。

·     数据消息：用于封装PPP帧，并在隧道上传输。它的传输是不可靠传输，若数据报文丢失，不予重传，不支持对数据消息的流量控制和拥塞控制。

控制消息和数据消息共享相同的报文头，通过报文头中的Type字段来区分控制消息和数据消息。

图11-2描述了控制通道以及PPP帧和数据通道之间的关系。PPP帧在不可靠的L2TP数据通道上进行传输，控制消息在可靠的L2TP控制通道内传输。

图11-2 L2TP协议结构

图11-3描述了LAC与LNS之间的L2TP数据报文的封装结构。通常L2TP数据以UDP报文的形式发送。L2TP注册了UDP 1701端口，但是这个端口仅用于初始的隧道建立过程中。L2TP隧道发起方任选一个空闲的端口（未必是1701）向接收方的1701端口发送报文；接收方收到报文后，也任选一个空闲的端口（未必是1701），给发送方的指定端口回送报文。至此，双方的端口选定，并在隧道保持连通的时间段内不再改变。

图11-3 L2TP报文封装结构图

11.1.4  L2TP隧道和会话

在一个LNS和LAC对之间存在着两种类型的连接。

·     隧道（Tunnel）连接：它对应了一个LNS和LAC对。

·     会话（Session）连接：它复用在隧道连接之上，用于表示承载在隧道连接中的每个PPP会话过程。

在同一对LAC和LNS之间可以建立多个L2TP隧道，隧道由一个控制连接和一个或多个会话连接组成。会话连接必须在隧道建立（包括身份保护、L2TP版本、帧类型、硬件传输类型等信息的交换）成功之后进行，每个会话连接对应于LAC和LNS之间的一个PPP数据流。

控制消息和PPP数据报文都在隧道上传输。L2TP使用Hello报文来检测隧道的连通性。LAC和LNS定时向对端发送Hello报文，若在一段时间内未收到Hello报文的应答，隧道断开。

11.1.5  L2TP隧道模式及隧道建立过程

L2TP隧道的建立支持以下两种典型模式。

·     Client-Initiated

如图11-4所示，直接由LAC客户（指本地支持L2TP协议的用户）发起L2TP隧道连接。LAC客户获得Internet访问权限后，可直接向LNS发起隧道连接请求，无需经过一个单独的LAC设备建立隧道。LAC客户的私网地址由LNS分配。

在Client-Initiated模式下，LAC客户需要具有公网地址，能够直接通过Internet与LNS通信。

图11-4 Client-Initiated L2TP隧道模式

·     LAC-Auto-Initiated

如图11-5所示，LAC上创建一个虚拟的PPP用户，LAC将自动向LNS发起建立隧道连接的请求，为该虚拟PPP用户建立L2TP隧道。远端系统访问LNS连接的内部网络时，LAC将通过L2TP隧道转发这些访问数据。

在该模式下，远端系统和LAC之间可以是任何基于IP的连接，不局限于拨号连接。

图11-5 LAC-Auto-Initiated L2TP隧道模式

11.1.6  协议规范

与L2TP相关的协议规范有：

·     RFC 1661：The Point-to-Point Protocol （PPP）

·     RFC 1918：Address Allocation for Private Internets

·     RFC 2661：Layer Two Tunneling Protocol “L2TP”

11.2  设置L2TP特性

支持L2TP特性的设备，既可以担任L2TP客户端（LAC）的角色，又可以担任L2TP服务端（LNS）的角色，下面将对这两种应用场景分别进行介绍。

11.2.1  设置L2TP客户端（设备作为LAC时的配置）

页面向导：VPN→L2TP VPN→L2TP客户端

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表11-1 页面关键项描述

11.2.2  设置L2TP服务端（设备作为LNS时的配置）

1. 设置L2TP服务端

页面向导：VPN→L2TP VPN→L2TP服务端

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表11-2 页面关键项描述

2. 设置LNS用户管理

页面向导：VPN→L2TP VPN→LNS用户管理

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表11-3 页面关键项描述

3. 查看L2TP状态

页面向导：VPN→L2TP VPN→L2TP状态

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表11-4 页面关键项描述

11.3  L2TP典型配置举例

11.3.1  设备作为L2TP客户端的配置举例

1. 组网需求

VPN用户访问公司总部过程如下：

(1)     LAC上创建虚拟PPP用户，LAC自动向LNS发起建立隧道连接的请求，为该虚拟PPP用户建立L2TP隧道。

(2)     VPN用户通过LAN将访问公司总部的报文发送给LAC。

(3)     LAC封装该报文，并通过已经建立的L2TP隧道将报文发送给LNS，VPN用户与公司总部间的通信都通过LAC与LNS之间的隧道进行传输。

2. 组网图

公司办事处通过L2TP客户端，与远端的公司总部的LNS进行连接。

3. 组网配置方案

·     将路由器的WAN口接公网线路；

·     设置WAN口通过静态方式连接到因特网；

·     启用LAC功能；

·     设置用于建立PPP连接的用户名、密码，以及公司总部提供的L2TP服务器地址；

·     设置L2TP客户端地址获取方式为动态获取；

·     设置公司总部提供的L2TP隧道认证密码；

·     设置指向隧道对端的静态路由。

4. 设置步骤

(1)     LAC侧配置

(2)     LNS侧配置

公司总部的LNS服务器运行正常，并提供LNS侧配置信息，如下表所示。

表11-5 LNS管理员提供的配置

(3)     验证配置结果

11.3.2  设备作为L2TP服务端的配置举例

1. 组网需求

VPN用户访问公司总部过程如下：

(1)     配置用户侧主机的IP地址和路由，确保用户侧主机和LNS之间路由可达。

(2)     由用户向LNS发起Tunnel连接的请求。

(3)     在LNS接受此连接请求之后，VPN用户与LNS之间就建立了一条虚拟的L2TP tunnel。

(4)     用户与公司总部间的通信都通过VPN用户与LNS之间的隧道进行传输。

2. 组网图

公司办事处员工通过Windows 7的L2TP客户端接入公司总部的设置L2TP服务端，来访问内部资源。

3. 组网配置方案

·     将路由器的WAN口接公网线路；

·     设置WAN口通过静态方式连接到因特网；

·     设置LNS服务为启用状态，并配置信息；

·     添加允许接入的用户信息。

4. 设置步骤

(1)     LNS侧配置

完成以上所有设置后，您可以通过下列操作来查看当前LNS配置情况：

(2)     设置Windows 7的L2TP客户端

(3)     验证配置结果