VPN中的网络隧道技术.doc

《VPN中的网络隧道技术.doc》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、VPN中的网络隧道技术对于构建VPN来说，网络隧道(Tunnelling)技术是个关键技术。网络隧道技术指的是利用一种网络协议来传输另一种网络协议，它主要利用网络隧道协议来实现这种功能。网络隧道技术涉及了三种网络协议，即网络隧道协议、隧道协议下面的承载协议和隧道协议所承载的被承载协议。现有两种类型的网络隧道协议，一种是二层隧道协议，用于传输二层网络协议，它主要应用于构建远程访问虚拟专网（AccessVPN）；另一种是三层隧道协议，用于传输三层网络协议，它主要应用于构建企业内部虚拟专网（IntranetVPN）和扩展的企业内部虚拟专网（Extrane

2、tVPN）。二层隧道协议二层隧道协议主要有三种。一种是微软、Ascend、3COM等公司支持的PPTP（PointtoPointTunnelingProtocol，点对点隧道协议），在WindowsNT4.0以上版本中即有支持。另一种是Cisco、北方电信等公司支持的L2F（Layer2Forwarding，二层转发协议），在Cisco路由器中有支持。而由IETF起草，微软Ascend、Cisco、3COM等公司参与的L2TP（Layer2TunnelingProtocol，二层隧道协议）结合了上述两个协议的优点，将很快地成为IETF有关二层隧道协

3、议的工业标准。L2TP作为更优更新的标准，已经得到了如：CiscoSystems，Microsoft，Ascend，3Com等的支持，以后还必将为更多的网络厂商所支持，将是使用最广泛的VPN协议。下面将简单介绍一下L2TP网络协议。应用L2TP所构建的典型VPN服务的结构如图1所示：　　图1应用L2TP所构建的典型VPN　其中，LAC表示L2TP访问集中器（L2TPAccessConcentrator），是附属在交换网络上的具有PPP端系统和L2TP协议处理能力的设备，LAC一般就是一个网络接入服务器NAS（NetworkAccessServer）

4、它用于为用户通过PSTN/ISDN提供网络接入服务；LNS表示L2TP网络服务器（L2TPNetworkServer），是PPP端系统上用于处理L2TP协议服务器端部分的软件。在一个LNS和LAC对之间存在着两种类型的连接，一种是隧道（tunnel）连接，它定义了一个LNS和LAC对；另一种是会话（session）连接，它复用在隧道连接之上，用于表示承载在隧道连接中的每个PPP会话过程。L2TP连接的维护以及PPP数据的传送都是通过L2TP消息的交换来完成的，这些消息再通过UDP的1701端口承载于TCP/IP之上。L2TP消息可以分为两种类型，一

5、种是控制消息，另一种是数据消息。控制消息用于隧道连接和会话连接的建立与维护。数据消息用于承载用户的PPP会话数据包。L2TP连接的维护以及PPP数据的传送都是通过L2TP消息的交换来完成的，这些消息再通过UDP的1701端口承载于TCP/IP之上。控制消息中的参数用AVP值对（AttributeValuePair）来表示，使得协议具有很好的扩展性；在控制消息的传输过程中还应用了消息丢失重传和定时检测通道连通性等机制来保证了L2TP层传输的可靠性。数据消息用于承载用户的PPP会话数据包。L2TP数据消息的传输不采用重传机制，所以它无法保证传输的可靠性

6、，但这一点可以通过上层协议如TCP等得到保证；数据消息的传输可以根据应用的需要灵活地采用流控或不流控机制，甚至可以在传输过程中动态地使用消息序列号从而动态地激活消息顺序检测和流量控制功能；在采用流量控制的过程中，对于失序消息的处理采用了缓存重排序的方法来提高数据传输的有效性。L2TP还具有适用于VPN服务的以下几个特性：·灵活的身份验证机制以及高度的安全性L2TP可以选择多种身份验证机制（CHAP、PAP等），继承了PPP的所有安全特性，L2TP还可以对隧道端点进行验证，这使得通过L2TP所传输的数据更加难以被攻击。而且根据特定的网络安全要求还可以

7、方便地在L2TP之上采用隧道加密、端对端数据加密或应用层数据加密等方案来提高数据的安全性。·内部地址分配支持LNS可以放置于企业网的防火墙之后，它可以对于远端用户的地址进行动态的分配和管理，可以支持DHCP和私有地址应用（RFC1918）等方案。远端用户所分配的地址不是Internet地址而是企业内部的私有地址，这样方便了地址的管理并可以增加安全性。·网络计费的灵活性可以在LAC和LNS两处同时计费，即ISP处（用于产生帐单）及企业处（用于付费及审记）。L2TP能够提供数据传输的出入包数，字节数及连接的起始、结束时间等计费数据，可以根据这些数据方便

8、地进行网络计费。·可靠性L2TP协议可以支持备份LNS，当一个主LNS不可达之后，LAC（接入服务器）可以重新与备份LNS