1、L2TP VPN的概念
1.1、L2TP VPN属于二层VPN,与L2TP VPN相似的二层VPN还包括:PPTP VPN、Cisco Easy VPN、L2F等;
1.2、L2TP属于VPDN【Virtual Private Dial-up Network|虚拟私有拨号网络】隧道技术的一种,用户使用ISDN或PSTN等方式拨入Internet
1.3、L2TP扩展来了PPP协议的应用,建立在PPP的基础之上,同属二层协议;
2、L2TP VPN的架构分为2大部分
2.1、LAC【L2TP Access Concentrator|L2TP 接入集中器】:一般指安装在客户端的设备,向服务器发起连接请求;
2.2、LNS【L2TP Network Server|L2TP 网络服务器】:工作在企业边界VPN网关设备;
3、L2TP的消息类型
3.1、控制消息:用来完成L2TP会话的建立、维护与拆除;控制消息使用重传机制与定时检测机制,可以保证控制消息的可靠性;
3.2、数据消息:用来封装PPP帧,并在隧道中传输;数据消息不能够保证可靠性,不使用重传机制,不对数据进行流量控制与拥塞控制的管理;
4、L2TP的3种连接场景
4.1、NAS-Init场景:客户通过ISDN/PSTN等方式拨入Internet,令Internet的设备向企业总部的LNS设备发起L2TP VPN的连接;拨号用户的IP地址还是由LNS设备分配,远端拨号用户的验证与计费既可以由ISP的LAC侧带肋设备完成,也可以由LNS设备完成;用户通过PPPoE的方式连入运营商,需要运营商的设备【BAS|带宽接入服务器】开通相应的VPN服务,通过NAS-Init场景建立L2TP VPN可以包含多个L2TP会话;
4.2、Client-Init场景:客户端主动向企业总部的LNS设备发起连接请求,无需运营商的设备做任何的配置,客户端使用系统自带的工具或安装第三方软件。来直接向LNS设备发起请求;该方式需要让LAC侧设备明确知道LNS端外网接口IP地址;当LNS设备接收到LAC设备的连接请求后,根据用户名、密钥等参数进行验证,若成功,则直接为其分配IP地址等参数;通过上述方式建立的L2TP VPN连接,仅仅只能承载一个会话;
4.3、Call-LNS场景:建立在企业的分支路由器与总部的边界路由器上(类似与site-to-site的VPN),企业分支的VPN网关设备充当LAC设备,与总部的LNS设备发起连接请求,若连接成功,则可以令分支内部的用户与总部的用户连接;
5、L2TP的缺点及解决方案
L2TP在数据传输阶段不提供任何的可靠性,若想要实现安全的数据传输、L2TP VPN可以与IPSec VPN绑定使用,成为L2TP over IPSec VPN。