M0000009L2TP協(xié)議基礎(chǔ)(中文版V1.0)定稿

PL2TP:Layer2TunnelProtocol第二層隧道協(xié)議,是為在用戶和企業(yè)的服務(wù)器之間透明傳輸PPP報(bào)文而設(shè)置的隧道協(xié)議.特性靈活的身份驗(yàn)證機(jī)制以及高度的安全性多協(xié)議傳輸支持RADIUS服務(wù)器的驗(yàn)證支持內(nèi)部地址分配網(wǎng)絡(luò)計(jì)費(fèi)的靈活性可靠性今今今今今今L2TP特別適合單個(gè)或少數(shù)用戶接入企業(yè)的情況，其點(diǎn)到網(wǎng)的特性是其承載協(xié)議LTP進(jìn)行了封裝，因此在Internet上傳輸數(shù)據(jù)時(shí)，對(duì)數(shù)據(jù)包的網(wǎng)絡(luò)地址是透明的，并支持接入用戶的內(nèi)部動(dòng)態(tài)地址分配。與PPP模塊配合，支持本地和遠(yuǎn)端的認(rèn)證、授權(quán)和記費(fèi)(AAA)功能，對(duì)用戶的接入也可根據(jù)需要采用全用戶名，用戶域名和用戶撥入的特殊服務(wù)號(hào)碼來(lái)識(shí)別之前對(duì)數(shù)據(jù)報(bào)文加密(即用戶控制方式)，也可采用在VPN端系統(tǒng)LAC側(cè)加密(即服務(wù)提供商控制方式)。對(duì)于撥號(hào)用戶可以配置相應(yīng)的VPN撥號(hào)軟件，發(fā)起由用戶直接對(duì)企業(yè)私有網(wǎng)的連接，這樣用戶在上網(wǎng)時(shí)可以靈活選擇是否需要VPN服務(wù)。出差員工LAC總部NALL2TPAccessConcentratorL2TP的接入集中器L2TPNetworkServerL2TP的網(wǎng)絡(luò)服務(wù)器LAC/LNSRadius:LAC/LNS的遠(yuǎn)端驗(yàn)證服務(wù)器LAC:LNS:L2TP消息LACRADIUSLNSRADIUSPSTN/ISDNNSAL如圖所示，企業(yè)員工或小型的分支機(jī)構(gòu)可以通過(guò)多種方式靈活的接入總部的網(wǎng)方式1：?jiǎn)T工通過(guò)PSTN/ISDN接入IPS的LAC，LAC(L2TPAccessConcentrator)是L2TP的接入設(shè)備，它提供各種用戶接入的AAA服務(wù)，發(fā)起隧VPN服務(wù)器。由LAC通過(guò)Internet向LNS發(fā)起建立隧道連接LNSLTPNetworkServerLTP的VPN服務(wù)器，該服務(wù)器完成對(duì)用戶的最終授權(quán)和驗(yàn)證，接收來(lái)自LAC的隧道和連接請(qǐng)求，并建立連接LNS和用戶的PPP通道。對(duì)于用戶AAA數(shù)據(jù)也可以采用RADIUS服務(wù)器來(lái)保存，該服務(wù)器既可以在本地也可以在遠(yuǎn)端。采用這種方式，員工不需要配置VPN撥號(hào)軟件。這種方式的好處在于：對(duì)用戶是透明的，用戶只需要登錄一次就可以接入企業(yè)網(wǎng)絡(luò)，由企業(yè)網(wǎng)進(jìn)行用戶認(rèn)證和內(nèi)部地址分配 戶可使用各種平臺(tái)上網(wǎng)。這種方式需要ISP支持VPDN協(xié)議，需要認(rèn)證系統(tǒng)支N平臺(tái))，限制了用戶使用的平臺(tái)。L2TP中存在兩種消息：控制消息和數(shù)據(jù)消息?？刂葡⒂糜谒淼篮蜁?huì)話連接的建立、維護(hù)及刪除；數(shù)據(jù)消息則用于封裝PPP幀并在隧道上傳輸。隧道和會(huì)話建立流隧道和會(huì)話建立流程隧道、會(huì)話建立流程L2TP的會(huì)話建立由PPP觸發(fā),隧道建立由會(huì)話觸發(fā)。由于多個(gè)會(huì)話可以復(fù)用在一條隧道上，如果會(huì)話建立前隧道已經(jīng)建立，則隧道不用重隧道建立流程：三次握手會(huì)話建立流程：三次握手ICRQICRPICCNLACLAC今今為了在VPN用戶和服務(wù)器之間傳遞數(shù)據(jù)報(bào)文，必須在LAC和LNS之間建立傳遞數(shù)據(jù)報(bào)文的隧道和會(huì)話連接，隧道是保證具有相同會(huì)話連接特性的一組用戶可以共享的連接屬性所定義的通道，而會(huì)話是針對(duì)每個(gè)用戶與企業(yè)VPN服務(wù)器建個(gè)會(huì)話復(fù)用在一個(gè)隧道連接上。隧道和會(huì)話是動(dòng)態(tài)建立與刪除的。會(huì)話的建立是由PPP模塊觸發(fā)，如果該會(huì)話在建立時(shí)沒(méi)有可用的隧道，那么先建立隧道連接。會(huì)話建立完畢后，開始進(jìn)行數(shù)據(jù)傳輸。隧道的建立是一個(gè)三次握手的過(guò)程，首先由LAC發(fā)起隧道建立請(qǐng)求SCCRQ(Start-Control-Connection-Request)，LNS收到請(qǐng)求后進(jìn)行應(yīng)答SCCRP(Start-Control-Connection-Reply)，LAC在收到應(yīng)答后返回確認(rèn)SCCCN(Start-Control-Connection-Connected)，隧道建立。(Incoming-Call-Request)，LNS收到請(qǐng)求后返回應(yīng)答ICRP(Incoming-Call-Reply)，LAC收到應(yīng)答后返回確認(rèn)ICCN(Incoming-Call-Connected)，會(huì)話建立。隧道維護(hù)流程LAC/LNSo隧道拆除流程LAC/LNSStopCNN會(huì)話維護(hù)流程LAC/LNSCDNLNS/LACZLBLNS/LACZLBLNS/LACZLB隧道建立后，一直要等到該隧道所屬會(huì)話全部下線后才能進(jìn)行拆除，為了確認(rèn)對(duì)端的隧道依然存在，需要定時(shí)發(fā)送維護(hù)報(bào)文，其流程為L(zhǎng)AC或LNS發(fā)出Hello報(bào)文進(jìn)行查詢，對(duì)應(yīng)的LNS或LAC發(fā)出ZLB(Zero-LengthBody)進(jìn)行確認(rèn)。隧道拆除流程為，首先由隧道任一端(LAC/LNS)發(fā)出拆鏈通知消息StopCCN(Stop-Control-Connection-Notification)，對(duì)端返回ZLB確認(rèn)。會(huì)話的拆除流程為，會(huì)話一端發(fā)出拆鏈通知CDN(Call-Disconnect-Notify)，對(duì)私有IP物理層私有IPL2TP物理層公有IP鏈路層物理層LAC私有IPL2TPUDP鏈路層公有IP鏈路層物理層物理層私有IP鏈路層物理層LTP結(jié)構(gòu)LAC側(cè)封裝過(guò)程IP包(私有I