寬帶VPDN技術說明和配置方法

寬帶VPDN技術說明和配置方法江西省電信有限公司技術支撐中心寬帶VPDN技術說明和配置方法VPDN業(yè)務的實現VPDN的定義VPDN（VirtualPrivateDialNetwork）虛擬撥號專網技術采用專用的網絡加密和通信協(xié)議，可以使企業(yè)在公共網絡上建立安全的虛擬專網。企業(yè)外出人員可以從遠程經過公共網絡，通過虛擬的加密通道與企業(yè)內部的網絡連接，而公共網絡上的用戶則無法穿過虛擬通道訪問該企業(yè)的內部網絡。2、網絡拓樸如圖所示，在VPDN業(yè)務的網絡拓撲中，紅線框內的部分為一個寬帶PPPoE認證的典型網絡結構，撥號用戶通過接入層、聚合層設備連接到BAS上，BAS和RADIUS服務器之間通訊，在VPDN中，BAS通常稱為LAC。LNS是企業(yè)網（私網）的網關服務器，為一個能支持L2TP協(xié)議的路由器。3、設備的要求LAC（BAS）必須支持L2TP協(xié)議，支持標準RADIUS協(xié)議中隧道相關屬性。經過實際測試，以下BAS可以用來作LAC，包括ERX1400、SHASTA5000、ISN8850、MA5200F（需要軟件版本升級）、REDBACKSE800。LNS（路由器）必須支持L2TP協(xié)議、RADIUS協(xié)議，建議采用CISCO2600以上路由器。4、VPDN撥號過程用戶用指定的VPDN帳號撥號（包含且一定包含域名）和密碼撥號。BAS將用戶信息以RADIUS認證包文的格式發(fā)送到RADIUS服務器進行認證。RADIUS服務器根據設置的用戶資料，返回認證通過或者認證拒絕的結果，如果為認證通過的結果，在返回信息中將包含設定的LNS的地址、隧道協(xié)議、隧道密碼等信息。BAS接收到RADIUS返回的認證結果，進行相應處理。如果是認證拒絕的結果，用戶此次撥號失敗。如果是認證通過的結果，BAS將根據RADIUS返回的信息嘗試和LNS建立隧道（L2TP協(xié)議），同時將用戶信息發(fā)送到LNS。LNS再次將用戶信息發(fā)送至RADIUS服務器進行認證（二次認證）。RADIUS返回認證通過的結果。LNS為用戶分配企業(yè)網地址（私網地址），用戶撥號成功。BAS向RADIUS發(fā)送計費開始信息。RADIUS記錄計費信息，返回計費響應報文。10）（用戶下線），BAS向RADIUS發(fā)送計費結束信息。11）RADIUS記錄計費信息，返回計費響應報文。計費信息包含時長及流量這樣計費的基本元素。5、VPDN的技術核心

VPDN的技術核心主要在于隧道技術和安全技術。

隧道技術

通常，企業(yè)網采用保留IP建網，保留IP網絡要使用合法IP網絡(Internet)，可以采用隧道技術。隧道技術相對簡單、有效和易于管理。它的最大優(yōu)點是既可以在ISP的節(jié)點完成，也可以在用戶處完成，或者可以兩者合作完成設置。而且，現有的許多網絡接入交換設備、接入服務器和廣域網路由器都支持相關的隧道技術標準。

安全技術

基于Internet的VPDN首先要考慮的就是安全問題。能否保證VPDN的安全性，是VPDN網絡能否實現的關鍵。一般系統(tǒng)可以采用下列技術保證VPDN的安全：口令保護、用戶認證技術、一次性口令技術、用戶權限設置、在傳輸中采用加密技術、采用防火墻把用戶網絡中的對外服務器和對內服務器隔離開。譬如，中國電信VPDN系統(tǒng)的業(yè)務安全通過第二層隧道協(xié)議在建立時的認證、撥號用戶在企業(yè)內部網認證系統(tǒng)的用戶名和口令認證與授權、分配企業(yè)內部網地址等方式提供。

VPDN業(yè)務用戶信息的安全，是通過用戶由企業(yè)內部網授權后分配企業(yè)內部網地址、信息由L2TP協(xié)議封裝后在中國電信IP網上傳送、封裝后用戶信息到達企業(yè)內部網后企業(yè)內部網對內部地址的認證等方式提供。二、江西寬帶認證計費系統(tǒng)VPDN業(yè)務的要點VPDN業(yè)務提供了一種用戶利用PPPOE撥號訪問至企業(yè)網（私網）的方法，可以提供以下服務：企業(yè)員工可以通過在Internet上建立隧道訪問企業(yè)網