VPDN：L2TP技術介紹

一、簡單介紹

在PPP（點到點協議）中，1層物理鏈路建立和2層數據鏈路信息是可分離的。VPDN應用上述原理，使ISP可以通過3層網絡把用戶之間通過2層設備（鏈路訪問集中器，LAC），并通過IP封裝PPP幀轉發到真正的PPP終結設備（鏈路網絡服務器，LNS），從而建立完整的PPP鏈路。在用戶端看來，該PPP鏈路是直接連接到后端二層終接設備的，其間沒有三層信息交換。

虛擬撥號專網（VPDN）屬于LAC與LNS之間的隧道協議。LAC與LNS是三層設備，因此上述兩者可以部署在IP網絡內。VPDN包含有兩種技術，其中一種就是本文的核心部分：L2TP（2層隧道協議）。

如圖，Client需要與遠程網絡LNS建立PPP二層連接，但2層鏈路的終結點在LAC上。一方面，Client與LAC繼續保持PPP鏈路的建立；另一方面，LAC通過VPDN，在3層鏈路上與LNS建立L2TP隧道，并在Client和LNS之間轉發通過IP封裝的PPP幀。

二、配置

（一）Client撥號端

（一）物理端口

interface phy-intf

l 以太網口

pppoe enable

pppoe dialer-pool-member pool-number

l 其它口

encapsulation ppp

dialer pool pool-number

（二）撥號訪問列表

dialer-list dialer-list-number protocol ip permit

（三）撥號端口

interface dialer 0

ip address negotiated

#dialer參數

dialer pool-number pool-number

dialer-group dialer-list-number

#ppp參數

ppp authentication chap callin

//注意，這里設置的domain必須與LAC的VPDN-GROUP內設置的domain參數一致，否則LAC無法激活到達LNS的VPDN隧道

ppp chap hostname name@domain

ppp chap password ppp-password

二、鏈路集中連接LAC

（一）物理端口配置

interface phy-intf

l 以太網口

pppoe enable

pppoe-client dialer-pool-member pool-number

l 其它端口

encapsulation ppp

dialer pool-member pool-number

若使用以太網口，需要添加bba組，引用一個虛擬模板進行配置；使用其它口忽略該步驟

bba-group bba-gp-name global

 virtual-template intf-vt-num

interface virtual-template intf-vt-num

 ppp authentication chap

（二）撥號訪問列表

dialer-list dialer-list-number protocol ip permit

（三）撥號虛擬端口

interface dialer0

encapsulation ppp

#dialer配置

dialer pool pool-number//物理端口引用的dial pool

dialer-group dialer-list-number

#ppp驗證。這里只配置chap驗證命令，不配置具體驗證賬號。驗證賬號在LNS上

ppp authentication chap

（四）VPDN

vpdn enable

vpdn-group group-name

 request-dialin

  protocol l2tp

 domain domain//必須與Client的Dialer口所配置的domain一樣。否則無法激活VPDN隧道。

 initiate-to ip ip-address

下面兩條命令必須配至少其中一條： 

l l2tp tunnel password l2tp-password

l local name local-host-name

（五）AAA認證

aaa new-model

aaa authentication ppp default local

aaa authorization network default local

（六）本地訪問賬號

username LAC password vpdn-peer-password

username LNS password vpdn-peer-password

#綠色字體必須完全一致

三、鏈路網絡服務器LNS

（一）AAA認證

對PPP鏈路進行認證，通過后授權訪問本地網絡

aaa new-model

aaa authentication ppp default local

aaa authorization network default local

（二）本地訪問賬號

3個賬號，2個是與LAC建立VPDN隧道的，1個是與Client建立PPP鏈路的

user LNS password vpdn-peer-password

user LAC password vpdn-peer-password

user name@domain password ppp-password

（三）分配給對端撥號客戶的地址池

ip local pool ppp_pool_num 192.168.0.1 192.168.0.100

（四）VPDN配置

vpdn enable

vpdn-group l2cp-vg-name

 接收連接，所以只能

 accept-dialin

  protocol l2tp

  該參數與之后的l2tp-vt-num必須一致

  virtual-template 1000

 #accept-dialer只能指定對方主機名

 terminate from host HOST

下面兩條命令必須配至少其中一條： 

l l2tp tunnel password l2tp-password

l local name local-host-name

（五）虛擬模板

interface virtual-template intf-vt-num

 ip unnumbered Loopback

 peer default ip address pool POOL-NAME

 ppp authentication chap

三、檢查驗證

（一）在Client中可以使用show pppoe session檢查PPPOE鏈路狀態：

（二）在LAC/LNS中可以使用show vpdn session l2tp檢查L2TP的隧道狀態

（三）在LAC/LNS中使用debug vpdn l2x-events可以看到L2TP隧道建立過程。可以看到L2TP建立所經過的三個過程：IDLE、WAIT-CTL-REPLY、ESTABLISHED