VPDN原理、實現(xiàn)及配置-安徽電信省網(wǎng)絡(luò)運營中心

1、VPDN原理、實現(xiàn)及常用配置安徽電信省網(wǎng)絡(luò)運營中心 安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心目錄目錄312安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心VPN分類分類IPsec VPN ( IP Security ) 網(wǎng)絡(luò)層和傳輸層進行加密 專門的VPN設(shè)備以及集成的防火墻/VPN產(chǎn)品 SSL VPN ( Secure Socket Tunneling Protocol ) 應(yīng)用層加密 客戶端加載軟件，大量的WEB應(yīng)用L2TP VPN ( Layer Two Tunneling Protocol ) 數(shù)據(jù)鏈路層加密 支持封裝的PPP幀在IP，X.25，幀中繼或ATM等的網(wǎng)絡(luò)上進行傳送。 安徽

2、電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心L2TP VPN名詞解釋（名詞解釋（1）遠端用戶遠端用戶 VPN撥號連接的發(fā)起者LNS （L2TP Network Server） LNS(L2TP 網(wǎng) 絡(luò) 服 務(wù) 器) 是 L2TP 隧 道 的 終 點。VPDN方案中的LNS，一般指企業(yè)客戶端的路由器，用來終結(jié)L2TP協(xié)議。LAC（L2TP Access Concentrator） L2TP 訪問集中器是附屬在網(wǎng)絡(luò)上的具有 PPP 端系統(tǒng)和 L2TP 協(xié)議處理能力的設(shè)備，LAC一般就是一個網(wǎng)絡(luò)接入服務(wù)器，用于為用戶提供網(wǎng)絡(luò)接入服務(wù) 安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心L2TP VPN名詞解釋（

3、名詞解釋（2）隧道（隧道（tunnel） 定義了一個 LNS 和 LAC 對會話（會話（session） 復(fù)用在隧道連接之上，用于表示承載在隧道連接中的每個 PPP 會話過程 AAA (Authenticationg、Authorizationg and Accountiong） 具有認證、授權(quán)、與計費服務(wù)器，在VPDN業(yè)務(wù)中完成域名的認證以及企業(yè)接入用戶名和密鑰的認證 Radius協(xié)議安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心L2TP VPN建立過程建立過程終端與終端與LACLAC、Radius與與LNSLNS與終端與終端LNS與與Radius安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心無

4、線無線VPDN有線有線VPDN無線無線VPDNLNS組組CarrierAAA ServerR R R RR R R RLNS組組LAC安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心目錄目錄123安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心客戶的一般需求客戶的一般需求傳統(tǒng)的寬帶傳統(tǒng)的寬帶VPDN ADSL LAN撥號基于基于CDMA 1X/EVDO的的VPDN CDMA 1X CDMA EVDO需要對需要對LNS設(shè)備進行主備設(shè)備進行主備/負載分擔(dān)負載分擔(dān) 主備 輪詢需要進行某些特殊認證的方式需要進行某些特殊認證的方式 用戶名/密碼 IMSI 二次認證安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心案例

5、案例1體彩體彩VPDN方案方案 負載均擔(dān)，實現(xiàn)冗余 一個域名對應(yīng)兩臺LNS路由器的IP地址，用輪詢的方式建立L2TP隧道 安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心案例案例2高速交警基于高速交警基于CDMA 1X VPDN方案方案 公網(wǎng)改私網(wǎng) 每個終端需要有固定IP地址安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心案例案例3招商銀行基于招商銀行基于3G VPDN方案方案 速率要求高 安全性要求高安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心目錄目錄123安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心VPDN業(yè)務(wù)申請流程業(yè)務(wù)申請流程有線有線 本地網(wǎng)做BRAS數(shù)據(jù) 合肥做Radius數(shù)據(jù)無線無線 PD

6、SN及Radius數(shù)據(jù)全由省NOC完成安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心客戶端路由器要求客戶端路由器要求支持支持L2TP VPN支持支持VPN并發(fā)數(shù)并發(fā)數(shù) 用戶數(shù)與并發(fā)數(shù)端口要求端口要求 電口、E1口常用設(shè)備常用設(shè)備 華為AR系列路由器 華為Eudemon系列防火墻 思科38系列路由器 思科72系統(tǒng)路由器安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心LNS路由器的路由器的L2TP關(guān)鍵配置關(guān)鍵配置1、啟用、啟用VPDN功能功能2、分配地址池、分配地址池3、配置虛接口模板、配置虛接口模板4、建立、建立VPDN組組5、配置隧道協(xié)議，隧道密碼等、配置隧道協(xié)議，隧道密碼等6、配置、配置AAA，R

7、adius認證等認證等7、全局模式配置用戶、全局模式配置用戶 安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心思科配置（思科配置（1）1、啟用、啟用VPDN功能功能vpdn enable2、配置撥號地址池、配置撥號地址池ip local pool pool1 192.168.100.2 192.168.100.2543、配置虛接口模板，地址池的網(wǎng)關(guān)、撥號地址池和、配置虛接口模板，地址池的網(wǎng)關(guān)、撥號地址池和ppp認證方式認證方式interface Virtual-Template1 ip unnumbered int loopback 10peer default ip address pool p

8、ool1ppp authentication pap chap4、配置隧道協(xié)議，隧道密碼，指定虛接口、配置隧道協(xié)議，隧道密碼，指定虛接口vpdn-group 1accept-dialinprotocol l2tpvirtual-template 1source-ip 218.22.0.2lcp renegotiation alwaysl2tp tunnel password 0 test安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心思科配置（思科配置（2）5、配置、配置aaa和和radius，服務(wù)器，服務(wù)器ip地址、密鑰和端口地址、密鑰和端口aaa new-modelaaa authentica

9、tion login default line localaaa authentication ppp default group radiusaaa accounting delay-start aaa accounting network default start-stop group radiusradius-server host 202.102.192.102 auth-port 4645 acct-port 4646 key test6、全局模式下配置撥號用戶名、密碼、全局模式下配置撥號用戶名、密碼username ciscogdyh.133vpdn.ah password 0

10、cisco現(xiàn)網(wǎng)配置現(xiàn)網(wǎng)配置 思科7206安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心華為配置（華為配置（1）1、啟用、啟用VPDN功能功能l2tp enable2、配置、配置radius，服務(wù)器，服務(wù)器ip地址、密鑰和端口地址、密鑰和端口radius scheme vpdnprimary authentication 202.102.192.102 4645primary accounting 202.102.192.102 4646secondary authentication 202.102.199.67 4645secondary accounting 202.102.199.67 4

11、646key authentication testkey accounting testnas-ip 218.22.0.23、建立、建立VPDN的域名，配置地址池的域名，配置地址池domain sf.hfscheme radius-scheme vpdnip pool 1 192.168.2.2 192.168.2.2544、配置虛接口模板，指定、配置虛接口模板，指定ppp認證方式、地址池網(wǎng)關(guān)和撥號地址認證方式、地址池網(wǎng)關(guān)和撥號地址池。池。interface Virtual-Template1ppp authentication-mode papip address 192.168.2.1 255.255.248.0remote address pool 1安徽電信省網(wǎng)絡(luò)運營中心安徽電信省網(wǎng)絡(luò)運營中心華為配置（華為配置（2）5、在、在L2TP組中應(yīng)用虛接口，配置隧道密碼、隧道名稱組中應(yīng)用虛接口，配置隧道密碼、隧道名稱l2tp-group 1mandatory-lcp