企业VPN在GPRS网络中的实现.doc

《企业VPN在GPRS网络中的实现.doc》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、.word格式.企业VPN在GPRS网络中的实现王晓金概要本文介绍了目前GPRS网络的企业VPN的各种实现方案，及企业VPN漫游方式的限制，对于多GGSN网络中的企业VPN备份方案的设置做了简单的介绍。关键词GPRSVPNIPSECDNS在Internet上，企业可以架构虚拟专用网（VPN）来建立自己的Intranet或Extranet，这种VPN与传统的VPN不同，它利用在Internet或其他与之互联的公网中形成的虚拟专用链路，并与原来的企业网连接，在网上主要传送IP数据包，这种VPN叫Inter

2、net-VPN（I-VPN）或IP-VPN。这种VPN接入点比较固定，因此使用起来必须有线路到达的地方才可以。GPRS网络为企业VPN的移动性的实现提供了可能，因此相对比传统的VPN，基于GPRS的VPN更具优势。一、企业VPN的实现方式概述目前通过专线接入的企业VPN主要有通过两种方式实现，一种是企业通过接入CMNET或者使用企业原有的INTERNET接入来实现，另外一种是企业接入GPRS骨干网内部的接入路由器来实现。目前一般是在企业端接入路由器与GGSN之间通过GRE来实现，也就是后者。这种方式实

3、现起来比较灵活。GPRS网络企业分配专门的APN，并且将建立的GRE隧道作为该APN的DEFAULT路由。这样接入企业VPN的用户就可以路由到企业内部网络。对于企业APN的IP的分配目前一般通过GGSN来实现，对于企业端拥有RADUIS的也可以通过RADUIS来分配。APN的IPPOOL可以动态分配也可以静态分配，对于静态分配的APN，HLR中必须实现用户手机号码与IP地址的对应，否则用户将无法进行PDP激活。APN的IPPOOL如果已经分配为动态方式，就不能再实现静态方式，就是说一个APN.专业.专

4、注..word格式.只能同时有一种分配方式。对于有一部分企业用户要求在一个传输通路上既实现静态接入又实现动态接入，必须在同一个传输上做两个APN来实现。这样可以通过一个TUNNELKEY来实现。之前我们做VPN的时候一般是在GGSN配置一个GRE源地址，企业VPN的接入地址作为GRE的目的地址，这样不同的企业通过TUNNELKEY可以配置不同的GRE隧道。如果一个企业通过一个传输实现不同的APN，那么企业端的目的地址是相同，必须让GGSN侧的源地址使用不同的地址，这样才可以配置不同的GRE隧道。这样做

5、主要是因为使用TUNNELKEY来识别不同的GRE隧道的时候，必须保证至少有一端的地址是不相同的才可能实现。一、企业漫游区域的限制按照市场部门的协议，对于不同的企业我们允许企业漫游的范围会不一样。比如有些企业只允许在省内漫游，有些企业允许在省外漫游使用，还有一些企业只允许在省内的某些区域可以漫游。目前我们能做到的只能限制企业APN在某个或者某些个GGSN覆盖的区域内是否能漫游，这样的限制也只能做到省内的范围。这种限制的实现是通过DNS的配置来实现的，也就是不同的APN允许接入的GGSN的不同来实现漫游

6、区域的不同。在GPRS骨干网的DNS（DomainNameServer，域名服务器）主要是用来解析GSN的IP地址的：在PDP上下文激活过程中，SGSN需要通过对APN进行域名解析，获得用户上网所使用的GGSN的IP地址。DNS完成对APN的解析，它将SGSN提供的APN解析为相应的GGSN的IP地址，并返回给SGSN，SGSN根据DNS提供的GGSN的IP地址建立至相应的GGSN的连接。因此，在配置DNS的时候我们可以通过限制源地址的方式，将以不同的SGSN进来的地址分别到不同的DNS的解析表，对于

7、不同区域的APN配置在不同的ZONE里面。这样就可以实现解析的限制。在DNS中设置不同的ZONE是在named.conf文件中实现的。针对不同IP地址的限制是使用DNS的VIEW参数来实现的，如下面是VIEW的语法。语法:view“view_name”{match-clients{address_match_list};[view_option;...][zone_statement;...]};下面举例说明该参数的应用。options{directory"/var/named";//设定路径forw

8、ardfirst;forwarders{//设定根DNS的地址211.136.230.245;211.136.70.99;};auth-nxdomainyes;};view"Shandong"{//该VIEW只允许本省两个SGSN和备DNS//访问match-clients{.专业.专注..word格式.10.14.0.1;//本地SGSN,因为和DNS同在一个局域网，这里使用私有地址10.14.0.162;//备DNS地址211.137.195.***