L2TP VPN

1、L2TP VPN的概念

        1.1、L2TP VPN属于二层VPN，与L2TP VPN相似的二层VPN还包括：PPTP VPN、Cisco Easy VPN、L2F等；

        1.2、L2TP属于VPDN【Virtual Private Dial-up Network|虚拟私有拨号网络】隧道技术的一种，用户使用ISDN或PSTN等方式拨入Internet

        1.3、L2TP扩展来了PPP协议的应用，建立在PPP的基础之上，同属二层协议；

2、L2TP VPN的架构分为2大部分

        2.1、LAC【L2TP Access Concentrator|L2TP 接入集中器】：一般指安装在客户端的设备，向服务器发起连接请求；

        2.2、LNS【L2TP Network Server|L2TP 网络服务器】：工作在企业边界VPN网关设备；

3、L2TP的消息类型

        3.1、控制消息：用来完成L2TP会话的建立、维护与拆除；控制消息使用重传机制与定时检测机制，可以保证控制消息的可靠性；

        3.2、数据消息：用来封装PPP帧，并在隧道中传输；数据消息不能够保证可靠性，不使用重传机制，不对数据进行流量控制与拥塞控制的管理；

4、L2TP的3种连接场景

        4.1、NAS-Init场景：客户通过ISDN/PSTN等方式拨入Internet，令Internet的设备向企业总部的LNS设备发起L2TP VPN的连接；拨号用户的IP地址还是由LNS设备分配，远端拨号用户的验证与计费既可以由ISP的LAC侧带肋设备完成，也可以由LNS设备完成；用户通过PPPoE的方式连入运营商，需要运营商的设备【BAS|带宽接入服务器】开通相应的VPN服务，通过NAS-Init场景建立L2TP VPN可以包含多个L2TP会话；

        4.2、Client-Init场景：客户端主动向企业总部的LNS设备发起连接请求，无需运营商的设备做任何的配置，客户端使用系统自带的工具或安装第三方软件。来直接向LNS设备发起请求；该方式需要让LAC侧设备明确知道LNS端外网接口IP地址；当LNS设备接收到LAC设备的连接请求后，根据用户名、密钥等参数进行验证，若成功，则直接为其分配IP地址等参数；通过上述方式建立的L2TP VPN连接，仅仅只能承载一个会话；

        4.3、Call-LNS场景：建立在企业的分支路由器与总部的边界路由器上（类似与site-to-site的VPN），企业分支的VPN网关设备充当LAC设备，与总部的LNS设备发起连接请求，若连接成功，则可以令分支内部的用户与总部的用户连接；

5、L2TP的缺点及解决方案

L2TP在数据传输阶段不提供任何的可靠性，若想要实现安全的数据传输、L2TP VPN可以与IPSec VPN绑定使用，成为L2TP over IPSec VPN。