用CISCO路由器实现L2TP-VPDN

[深蓝原创]用CISCO路由器实现L2TP-VPDN
工程实录系列之一
作者deep blue 深蓝
欢迎转载，请保留作者版权信息
2005-04-28
术语：
L2TP：第二层隧道协议Layer 2 Tunneling Protocol
L2TP：访问集中器L2TP Access Concentrator
L2TP：网络服务器L2TP Network Server
NAS：网络访问服务器Network Access Server
二层隧道协议L2TP是一种基于点对点协议PPP的二层隧道协议。

在由L2TP构建的VPN中，有两种类型的服务器，一种是L2TP 访问集中器LAC，它是附属在网络上的具有PPP 端系统和L2TP 协议处理能力的设备，LAC一般就是一个网络接入服务器，用于为用户提供网络接入服务；另一种是L2TP 网络服务器LNS，一般就是路由器，是PPP 端系统上用于处理L2TP 协议服务器端部分的设备。

在LNS 和LAC 之间存在着两种类型的连接，一种是隧道（tunnel）连接，它定义了一个LNS 和LAC 对；另一种是会话
（session）连接，它复用在隧道连接之上，用于表示承载在隧道连接中的每个PPP 会话过程。

L2TP 连接的维护以及PPP 数据的传送都是通过L2TP 消息的交换来完成的，L2TP 消息可以分为两种类型，一种是控制消息，另一种是数据消息。

控制消息用于隧道连接和会话连接的建立与维护，数据消息用于承载用户的PPP 会话数据包。

这些消息都通过UDP 的1701 端口承载于TCP/IP 之上。

L2TP访问集中器（LAC）作为L2TP隧道的一个端点，是L2TP 网络服务器（LNS）的对端。

LAC放在LNS和远端系统之间，并在两者之间传送数据包。

从LAC向LNS发送数据包需要L2TP隧道。

LAC与远端系统的连接是通过本地或PPP链路。

LNS是L2TP隧道的一个端点，是LAC的对端。

LNS是LAC从远端系统传输的PPP 会话的逻辑终结点。

NAS为远程访问网络上的用户提供本地网络访问，如PSTN网络。

NAS通常可作为LAC。

L2TP只要求隧道媒介提供面向数据包的点对点的连接。

L2TP可以在IP（使用UDP），桢中继永久虚拟电路（PVCs),X.25虚拟电路（VCs）或ATM VCs网络上使用。

LNS路由器配置：
Building configuration...
Current configuration:
!
version 12.1
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
//配置主机名
hostname vpdn
!
//配置AAA
//AAA访问控制
aaa new-model
aaa authentication login default local group radius
//用户登录的认证顺序为先在接入服务器本机认证，如未找到该用户，则通过radius服务器认证，仍未通过，则认证失败。

aaa authentication login radius enable
aaa authentication ppp default local group radius
//PPP连接的认证方式，过程同上。

用户登录的认证顺序为先在接入服务器本机认证，如未找到该用户，则通过radius服务器认证，仍未通过，则认证失败。

aaa authorization network default group radius local
//所有认证通过的用户都有访问网络的权限。

aaa accounting network default start-stop group radius
//网络访问的记账方式为在radius服务器上记录网络访问的开始和结束时间。

aaa nas port extended
enable password 7 <removed>
!
//设置本地认证用户名和密码
username cisco password 7 cisco
username test@test.l2tp.vpdn password 7 test
!
memory-size iomem 25
ip subnet-zero
no ip finger
no ip domain-lookup
!
//指定地址池的工作方式 ip address-pool [dhcp-proxy-client | local] ip address-pool local
virtual-profile virtual-template 1
//配置VPDN功能
//打开VPDN功能
vpdn enable
no vpdn logging
!
//建立一个VPDN-GROUP
vpdn-group 1
! Default L2TP VPDN group
accept-dialin
//使用的VPDN协议为L2TP
protocol l2tp
virtual-template 1
lcp renegotiation on-mismatch
//L2TP TUNNEL 的密码设置，需双方约定
l2tp tunnel password 7 001C0710145F05
!
//配置Virtual-Template1
interface Virtual-Template1
//根据具体可选设置IP地址与Serial0.1相同，即配置借用地址ip unnumbered Serial0.1
ip mroute-cache
//设置用户的IP地址从地址池中分配
//peer default ip address {ip-address | dhcp | pool [pool-name]} peer default ip address pool default
//设置认证方式
ppp authentication pap
!
interface Serial0
no ip address
encapsulation frame-relay IETF
no fair-queue
frame-relay lmi-type ansi
!
interface Serial0.1 point-to-point
ip address 211.90.34.193 255.255.255.252
no arp frame-relay
frame-relay interface-dlci 100
!
interface FastEthernet0
ip address 10.1.1.1 255.255.0.0
speed auto
!
//设置用户的IP地址池
// local pool {default | pool-name low-ip-address [high-ip-address]} ip local pool default 10.1.1.2 10.1.16.254
ip classless
ip route 0.0.0.0 0.0.0.0 Serial0.1
no ip http server
!
//设置认证服务器地址、端口、关键字和重传次数
radius-server host 211.90.8.197 auth-port 1645 acct-port 1646 key vpdn radius-server retransmit 3
!
line con 0
transport input none
line aux 0
line vty 0 4
password 7 cisco
!
End
附：华为路由器L2TP配置参考如下：
/network/html/2004720/20720048844_1.htm。