构建基于L2TP协议的VPDN网络
【摘要】本文介绍了L2TP协议的消息类型、协议格式以及如何构建一个基于L2TP协议的经典VPDN网络。结合实际应用的案例，对L2TP的配置和工程应用做了探讨。
【关键词】L2TP、VPDN、VPN
1. 引言 
 随着互联网的快速发展，企业、学校等集团式客户对于建立一个跨区域的虚拟专用网络（VNP）的需求日益迫切。各大基础电信运行商，创建先进稳定、覆盖度广的基础网络，则为客户提供了快速、安全的接入平台。而为了实现企业VPN，近年来出现了许多构建VPN的协议和标准，如L2F、PPTP、L2TP、IPsec、MPLS等。这些协议或者标准，从本质思想上都基本一致，都是采用隧道封装（或者标签）的方式实现内部网络数据在公共网络上的透明传输。
 针对不同的客户网络实际需求，采用合适的协议，往往能使网络的构建更加快速和合理。如，当需要在几个企业园区间实现VPN时，采用MSPL是比较方便的；当需要将散在的用户拨号连接到企业服务器时，PPTP、L2TP等二层协议则更实际；如果既有多个园区需要互联，又有移动的用户需要拨号进入内部网络，则可结合MPLS和L2TP等协议来构建。
 VPDN（Virtual Private Dial Network）是指利用公共网络（如ISDN 和PSTN）的拨号功能及接入网来实现虚拟专用网，为企业、小型ISP、移动办公人员提供接入服务。企业驻外机构和出差人员可从远程经由公共网络，通过虚拟加密隧道实现和企业总部之间的网络连接，而公共网络上其它用户则无法穿过虚拟隧道访问企业网内部的资源。VPDN 常用的隧道协议有PPTP、L2F 和L2TP 等，目前使用最广泛的是L2TP。
2. L2TP 协议简介
 L2TP（Layer Two Tunneling Protocol）由RFC2661定义，它结合了L2F和PPTP的优点，把链路层PPP帧封装在公共网络设施如IP、ATM、帧中继中进行隧道传输，可以让用户从客户端或访问服务器端发起VPN连接。L2TP主要由LAC（L2TP Access Concentrator）和LNS（L2TP Network Server）构成。
 在一个LNS 和LAC 对之间存在着两种类型的连接，一种是隧道（Tunnel）连接，它定义了一个LNS 和LAC 对；另一种是会话（Session）连接，它复用在隧道连接之上，用于表示承载在隧道连接中的每个PPP 会话过程。
 同一对LAC 和LNS 之间可以建立多个L2TP 隧道，隧道由一个控制连接和一个或多个会话（Session）组成。会话连接必须在隧道建立成功之后进行，每个会话连接对应于LAC 和LNS 之间的一个PPP 数据流。控制消息和PPP 数据报文都在隧道上传输。L2TP 使用Hello 报文来检测隧道的连通性。LAC 和LNS 定时向对端发送Hello 报文，若在一段时间内未收到Hello 报文的应答，该会话将被清除。
2.1 L2TP的消息类型
 L2TP使用两种类型的消息：控制消息和数据消息。控制消息用于隧道和呼叫的建立、维护和清除，它使用L2TP内的可靠控制通道来保证传送。数据消息用于封装隧道传输的PPP帧，当发生包丢失时不再传送数据消息。
 PPP帧先由L2TP报头封装，再由一种包传输机制（如UDP、帧中继、ATM等）封装之后在一个不可靠的数据通道上传输。但是，控制消息在一个可靠的L2TP控制通道上传送，这个控制通道在同一包传输机制上传送包。在所有的控制消息中都需要有序列号，序列号还用于提供控制通道上的可靠传送。数据消息可以使用序列号来重新排序数据包和检测包的丢失。
 控制通道和数据通道的L2TP数据包的报头格式相同（如图2所示）。在该报头格式中，当一个可选字段未被选中时，在消息中不为这个字段预留空间。注意：当数据消息的可选项Ns在消息中出现（即被选中）则可选项Nr必须出现在所有控制消息中。

图1：L2TP数据包的报头格式
T：消息类型 Tunnel ID：控制连接的标识符
L：长度字段出现，可选 Session ID：隧道内的一次会话的标识符
S：序列号 Ns：数据消息或控制消息的序列号，可选
O：偏移字段 Nr：要收到的下一个控制消息中"预定"的序列号，可选
P：优先权 Offset Size：指定L2TP报头之后的字节数，可选
Version：版本号 Offset Pad：偏移填充，可变长度，可选。
Length：消息的总长度 Data：数据信息，可变长度

2.2 L2TP的协议结构
 通常，L2TP 数据以UDP 报文的形式发送。L2TP 注册了UDP 1701 端口，但这个端口仅用于初始的隧道建立过程中。隧道建立完成后，LAC和LNS间会使用隧道建立时选定的端口进行报文的传送。图2是L2TP的协议结构：

图2：L2TP的协议结构
 
2.3 L2TP协议的安全特性
 L2TP 本身并不提供连接的安全性，但它可利用PPP 提供的认证，如CHAP
（Challenge Handshake Authentication Protocol）、PAP（Password
Authentication Protocol），因此具有PPP 的所有安全特性。
 L2TP 也可根据特定的网络安全要求，在L2TP 之上采用隧道加密技术、端对端数据加密或应用层数据加密等方案来提高数据的安全性。
3. 使用L2TP协议构建VPDN网络
 一个使用L2TP协议构建的经典VPDN网络由访问集中器LAC、网络服务器LNS、拨号用户以及企业内部服务器等组成。LAC支持客户端的L2TP，用于发起呼叫、接收呼叫和建立隧道，LNS是所有隧道的终点。应用L2TP 构建的VPDN网络典型拓扑如图3所示：

图3：L2TP构建VPDN应用示意图

 L2TP 访问集中器LAC（L2TP Access Concentrator）是连接交换网络具有PPP 端系统和L2TP 协议处理能力的设备，直接接收用户呼叫。通常LAC本身就是一台是网络接入服务器NAS，其位于LNS 和远端系统（远地用户和远地分支机构）之间，把从远端系统收到的报文按照L2TP 协议封装并送往LNS，将从LNS 收到的报文解封装并送往远端系统。
 L2TP 网络服务器LNS（L2TP Network Server）是PPP 端系统上用于处理L2TP 协议服务器端部分的设备，是通过LAC 进行隧道传输的PPP 会话的逻辑终止端点。
 L2TP隧道在LAC与LNS之间建立。用户终端通过NAS接入网络，通过LAC与LNS之间的隧道，用户就可以登录到企业网上访问内部的服务器。在整个数据的传送过程中，L2TP隧道对用户来说是透明的。
 
4. 实际应用案例
 跟随着贵港市经济的蓬勃发展，贵港电信分公司的数据业务也快速发展着，通过提供当前最流行的网络技术，满足各行业大小客户的多种需求。其中构建基于L2TP协议的VPDN网络，就是这些先进技术中的一种。
 贵港市教育网在2003年建起的VPN，各学校单位在接入层以二层VLAN或者PVC设置静态IP接入。贵港市及其管辖的桂平市、平南县等三县市的学校和教育系统通过中国电信的城域网平台互联在一起，用户规模庞大。在过去互联网络规模不是很大的情况下，这种组网方式有其先进的地方，IP二层VLAN和ATM的PVC技术都发展得比较成熟，网络功能的相对简单以及VPN客户相对较少，对于运营商的维护工作并没有造成太大的压力。随着网络的不段扩张，网络拓扑的结构更加复杂，VPN用户也日益增多。而跨县市的二层网络也日显臃肿，一旦某个VLAN内产生了ARP等病毒攻击的时候，受影响的往往是同一个VLAN内的许多用户，还有IP地址冲突、故障定位困难不利于我们运营商的维护工作，于是对原有VPN的网络改造便提到了日程上来。
 经过调研和规划，贵港电信数据维护组决定利用新增BAS设备的先进功能，采用L2TP协议构建适合教育系统当前以及以后相当一段时间内的发展需求的VPDN网络，提高维护的效率。新的VPDN网络采用华为公司的MA5200G宽带接入服务器和NE40综合业务路由器分别作为LAC和LNS设备，教育网VPN贯穿贵港接入骨干路由器构建的MPSL网络，将全市各接入点与服务器连接起来。
 贵港市教育网VPDN的网络结构如图4所示：

 图4：贵港市教育网VPDN拓扑
 
 教育网的服务器以及少部分旧有的专线固定IP用户通过S6505交换机接入到城北NE40，在贵港、桂平、平南三台MA5200G上均启用了L2TP功能，作为LAC与和平NE40路由器建立隧道，和平NE40充当LNS的角色，终结来自各地的L2TP逻辑连接。教育网拨号用户通过BAS认证后，由LAC向LNS发起建立L2TP隧道的请求，LNS对用户进行重新认证，并分配VPN内部IP地址。教育网用户对外网的访问，通过在城北NE40上进行NAT转换实现。在本文关注的范围内，要实现教育网VPDN的L2TP接入，需要完成以下基本的配置内容。
LAC侧：
 配置aaa认证
 使能LAC功能
 创建L2TP 组
 配置本端隧道名称
 配置LAC发起连接请求的参数
LNS侧：
 使能LAC功能
 创建L2TP组
 配置LNS组参数
 配置虚拟接口模板
 配置LNS 侧的L2TP连接参数
 配置LNS 侧的用户验证和地址分配地址
 在作为LAC的贵港、桂平和平南的宽带接入服务器上，均需要进行LAC的相关配置，但LNS的配置只需要在和平NE40上进行一次。根据贵港城域网的实际情况，我们当然还需要在城北路由器上做其他的一些相关配置，如NAT转换、绑定MPLS vpn-instance、配置VPN路由等，这些超出了本文讨论的范围，不做更深入的探讨。
5 小结
 在贵港教育网改网后的这段时间，基于L2TP构建的VPDN网络运行稳定，维护工作量大幅降低，很大的提高了我们的工作效率，比较适合散在客户较多的VPN接入的情况。

【参考文献】
RFC2661：Layer Two Tunneling Protocol "L2TP"
RFC1918：Address Allocation for Private Internets

相关论文