M0000009L2TP協(xié)議基礎(chǔ)(中文版V1.0)定稿

PL2TP:Layer2TunnelProtocol第二層隧道協(xié)議,是為在用戶和企業(yè)的服務(wù)器之間透明傳輸PPP報文而設(shè)置的隧道協(xié)議.特性靈活的身份驗證機制以及高度的安全性多協(xié)議傳輸支持RADIUS服務(wù)器的驗證支持內(nèi)部地址分配網(wǎng)絡(luò)計費的靈活性可靠性今今今今今今L2TP特別適合單個或少數(shù)用戶接入企業(yè)的情況，其點到網(wǎng)的特性是其承載協(xié)議LTP進行了封裝，因此在Internet上傳輸數(shù)據(jù)時，對數(shù)據(jù)包的網(wǎng)絡(luò)地址是透明的，并支持接入用戶的內(nèi)部動態(tài)地址分配。與PPP模塊配合，支持本地和遠(yuǎn)端的認(rèn)證、授權(quán)和記費(AAA)功能，對用戶的接入也可根據(jù)需要采用全用戶名，用戶域名和用戶撥入的特殊服務(wù)號碼來識別之前對數(shù)據(jù)報文加密(即用戶控制方式)，也可采用在VPN端系統(tǒng)LAC側(cè)加密(即服務(wù)提供商控制方式)。對于撥號用戶可以配置相應(yīng)的VPN撥號軟件，發(fā)起由用戶直接對企業(yè)私有網(wǎng)的連接，這樣用戶在上網(wǎng)時可以靈活選擇是否需要VPN服務(wù)。出差員工LAC總部NALL2TPAccessConcentratorL2TP的接入集中器L2TPNetworkServerL2TP的網(wǎng)絡(luò)服務(wù)器LAC/LNSRadius:LAC/LNS的遠(yuǎn)端驗證服務(wù)器LAC:LNS:L2TP消息LACRADIUSLNSRADIUSPSTN/ISDNNSAL如圖所示，企業(yè)員工或小型的分支機構(gòu)可以通過多種方式靈活的接入總部的網(wǎng)方式1：員工通過PSTN/ISDN接入IPS的LAC，LAC(L2TPAccessConcentrator)是L2TP的接入設(shè)備，它提供各種用戶接入的AAA服務(wù)，發(fā)起隧VPN服務(wù)器。由LAC通過Internet向LNS發(fā)起建立隧道連接LNSLTPNetworkServerLTP的VPN服務(wù)器，該服務(wù)器完成對用戶的最終授權(quán)和驗證，接收來自LAC的隧道和連接請求，并建立連接LNS和用戶的PPP通道。對于用戶AAA數(shù)據(jù)也可以采用RADIUS服務(wù)器來保存，該服務(wù)器既可以在本地也可以在遠(yuǎn)端。采用這種方式，員工不需要配置VPN撥號軟件。這種方式的好處在于：對用戶是透明的，用戶只需要登錄一次就可以接入企業(yè)網(wǎng)絡(luò)，由企業(yè)網(wǎng)進行用戶認(rèn)證和內(nèi)部地址分配 戶可使用各種平臺上網(wǎng)。這種方式需要ISP支持VPDN協(xié)議，需要認(rèn)證系統(tǒng)支N平臺)，限制了用戶使用的平臺。L2TP中存在兩種消息：控制消息和數(shù)據(jù)消息?？刂葡⒂糜谒淼篮蜁掃B接的建立、維護及刪除；數(shù)據(jù)消息則用于封裝PPP幀并在隧道上傳輸。隧道和會話建立流隧道和會話建立流程隧道、會話建立流程L2TP的會話建立由PPP觸發(fā),隧道建立由會話觸發(fā)。由于多個會話可以復(fù)用在一條隧道上，如果會話建立前隧道已經(jīng)建立，則隧道不用重隧道建立流程：三次握手會話建立流程：三次握手ICRQICRPICCNLACLAC今今為了在VPN用戶和服務(wù)器之間傳遞數(shù)據(jù)報文，必須在LAC和LNS之間建立傳遞數(shù)據(jù)報文的隧道和會話連接，隧道是保證具有相同會話連接特性的一組用戶可以共享的連接屬性所定義的通道，而會話是針對每個用戶與企業(yè)VPN服務(wù)器建個會話復(fù)用在一個隧道連接上。隧道和會話是動態(tài)建立與刪除的。會話的建立是由PPP模塊觸發(fā)，如果該會話在建立時沒有可用的隧道，那么先建立隧道連接。會話建立完畢后，開始進行數(shù)據(jù)傳輸。隧道的建立是一個三次握手的過程，首先由LAC發(fā)起隧道建立請求SCCRQ(Start-Control-Connection-Request)，LNS收到請求后進行應(yīng)答SCCRP(Start-Control-Connection-Reply)，LAC在收到應(yīng)答后返回確認(rèn)SCCCN(Start-Control-Connection-Connected)，隧道建立。(Incoming-Call-Request)，LNS收到請求后返回應(yīng)答ICRP(Incoming-Call-Reply)，LAC收到應(yīng)答后返回確認(rèn)ICCN(Incoming-Call-Connected)，會話建立。隧道維護流程LAC/LNSo隧道拆除流程LAC/LNSStopCNN會話維護流程LAC/LNSCDNLNS/LACZLBLNS/LACZLBLNS/LACZLB隧道建立后，一直要等到該隧道所屬會話全部下線后才能進行拆除，為了確認(rèn)對端的隧道依然存在，需要定時發(fā)送維護報文，其流程為LAC或LNS發(fā)出Hello報文進行查詢，對應(yīng)的LNS或LAC發(fā)出ZLB(Zero-LengthBody)進行確認(rèn)。隧道拆除流程為，首先由隧道任一端(LAC/LNS)發(fā)出拆鏈通知消息StopCCN(Stop-Control-Connection-Notification)，對端返回ZLB確認(rèn)。會話的拆除流程為，會話一端發(fā)出拆鏈通知CDN(Call-Disconnect-Notify)，對私有IP物理層私有IPL2TP物理層公有IP鏈路層物理層LAC私有IPL2TPUDP鏈路層公有IP鏈路層物理層物理層私有IP鏈路層物理層LTP結(jié)構(gòu)LAC側(cè)封裝過程IP包(私有I