|
VPDN：L2TP技术先容 一、简单先容在PPP（点到点协议）中，1层物理链路建立和2层数据链路信息是可分离的。VPDN应用上述原理，使ISP可以通过3层网络把用户之间通过2层设备（链路访问集中器，LAC），并通过IP封装PPP帧转发到真正的PPP终结设备（链路网络服务器，LNS），从而建立完整的PPP链路。在用户端看来，该PPP链路是直接连接到后端二层终接设备的，其间没有三层信息交换。 虚拟拨号专网（VPDN）属于LAC与LNS之间的隧道协议。LAC与LNS是三层设备，因此上述两者可以部署在IP网络内。VPDN包含有两种技术，其中一种就是本文的核心部分：L2TP（2层隧道协议）。 如图，Client需要与远程网络LNS建立PPP二层连接，但2层链路的终结点在LAC上。一方面，Client与LAC继续保持PPP链路的建立；另一方面，LAC通过VPDN，在3层链路上与LNS建立L2TP隧道，并在Client和LNS之间转发通过IP封装的PPP帧。 二、配置（一）Client拨号端（一）物理端口 interface phy-intf l 以太网口 pppoe enable pppoe dialer-pool-member pool-number l 其它口 encapsulation ppp dialer pool pool-number （二）拨号访问列表 dialer-list dialer-list-number protocol ip permit （三）拨号端口 interface dialer 0 ip address negotiated #dialer参数 dialer pool-number pool-number dialer-group dialer-list-number #ppp参数 ppp authentication chap callin //注意，这里设置的domain必须与LAC的VPDN-GROUP内设置的domain参数一致，否则LAC无法激活到达LNS的VPDN隧道 ppp chap hostname name@domain ppp chap password ppp-password 二、链路集中连接LAC（一）物理端口配置 interface phy-intf l 以太网口 pppoe enable pppoe-client dialer-pool-member pool-number l 其它端口 encapsulation ppp dialer pool-member pool-number 若使用以太网口，需要添加bba组，引用一个虚拟模板进行配置；使用其它口忽略该步骤 bba-group bba-gp-name global virtual-template intf-vt-num interface virtual-template intf-vt-num ppp authentication chap （二）拨号访问列表 dialer-list dialer-list-number protocol ip permit （三）拨号虚拟端口 interface dialer0 encapsulation ppp #dialer配置 dialer pool pool-number//物理端口引用的dial pool dialer-group dialer-list-number #ppp验证。这里只配置chap验证命令，不配置具体验证账号。验证账号在LNS上 ppp authentication chap （四）VPDN vpdn enable vpdn-group group-name request-dialin protocol l2tp domain domain//必须与Client的Dialer口所配置的domain一样。否则无法激活VPDN隧道。 initiate-to ip ip-address 下面两条命令必须配至少其中一条： l l2tp tunnel password l2tp-password l local name local-host-name （五）AAA认证 aaa new-model aaa authentication ppp default local aaa authorization network default local （六）本地访问账号 username LAC password vpdn-peer-password username LNS password vpdn-peer-password #绿色字体必须完全一致 三、链路网络服务器LNS（一）AAA认证 对PPP链路进行认证，通过后授权访问本地网络 aaa new-model aaa authentication ppp default local aaa authorization network default local （二）本地访问账号 3个账号，2个是与LAC建立VPDN隧道的，1个是与Client建立PPP链路的 user LNS password vpdn-peer-password user LAC password vpdn-peer-password user name@domain password ppp-password （三）分配给对端拨号客户的地址池 ip local pool ppp_pool_num 192.168.0.1 192.168.0.100 （四）VPDN配置 vpdn enable vpdn-group l2cp-vg-name 接收连接，所以只能 accept-dialin protocol l2tp 该参数与之后的l2tp-vt-num必须一致 virtual-template 1000 #accept-dialer只能指定对方主机名 terminate from host HOST 下面两条命令必须配至少其中一条： l l2tp tunnel password l2tp-password l local name local-host-name （五）虚拟模板 interface virtual-template intf-vt-num ip unnumbered Loopback peer default ip address pool POOL-NAME ppp authentication chap 三、检查验证（一）在Client中可以使用show pppoe session检查PPPOE链路状态： （二）在LAC/LNS中可以使用show vpdn session l2tp检查L2TP的隧道状态 （三）在LAC/LNS中使用debug vpdn l2x-events可以看到L2TP隧道建立过程。可以看到L2TP建立所经过的三个过程：IDLE、WAIT-CTL-REPLY、ESTABLISHED
| 
发表于 2017-8-23 15:09:09