寬帶VPDN技術(shù)說明和配置方法

1、江西省電信有限公司技術(shù)支撐中心寬帶VPDN技術(shù)說明和配置方法一、VPDN業(yè)務(wù)的實(shí)現(xiàn)1、VPDN的定義VPDN（VirtualPrivateDialNetwork）虛擬撥號專網(wǎng)技術(shù)采用專用的網(wǎng)絡(luò)加密和通信協(xié)議，可以使企業(yè)在公共網(wǎng)絡(luò)上建立安全的虛擬專網(wǎng)。企業(yè)外出人員可以從遠(yuǎn)程經(jīng)過公共網(wǎng)絡(luò)，通過虛擬的加密通道與企業(yè)內(nèi)部的網(wǎng)絡(luò)連接，而公共網(wǎng)絡(luò)上的用戶則無法穿過虛擬通道訪問該企業(yè)的內(nèi)部網(wǎng)絡(luò)。2、網(wǎng)絡(luò)拓樸InternetPrivateNetwork多，SwitchDialupUserComputerLAC(BrAS)LNSAAA(RadiusServer)如圖所示，在VPDN業(yè)務(wù)的網(wǎng)絡(luò)拓?fù)渲?，紅線框內(nèi)的部

2、分為一個(gè)寬帶PPPoE認(rèn)證的典型網(wǎng)絡(luò)結(jié)構(gòu)，撥號用戶通過接入層、聚合層設(shè)備連接到BAS上，BAS和RADIUS服務(wù)器之間通訊，在VPDN中，BAS通常稱為LAC。LNS是企業(yè)網(wǎng)（私網(wǎng)）的網(wǎng)關(guān)服務(wù)器，為一個(gè)能支持L2TP協(xié)議的路由器。3、設(shè)備的要求LAC（BAS）必須支持L2TP協(xié)議，支持標(biāo)準(zhǔn)RADIUS協(xié)議中隧道相關(guān)屬性。經(jīng)過實(shí)際測試，以下BAS可以用來作LAC，包括ERX1400、SHASTA5000、ISN8850、MA5200F（需要軟件版本升級）、REDBACKSE800。LNS（路由器）必須支持L2TP協(xié)議、RADIUS協(xié)議，建議采用CISCO2600以上路由器。4、VPDN撥號過程1

3、)用戶用指定的VPDN帳號撥號(包含且一定包含域名)和密碼撥號。BAS將用戶信息以RADIUS認(rèn)證包文的格式發(fā)送到RADIUS服務(wù)器進(jìn)行認(rèn)證。RADIUS服務(wù)器根據(jù)設(shè)置的用戶資料，返回認(rèn)證通過或者認(rèn)證拒絕的結(jié)果，如果為認(rèn)證通過的結(jié)果，在返回信息中將包含設(shè)定的LNS的地址、隧道協(xié)議、隧道密碼等信息。BAS接收至URADIUS返回的認(rèn)證結(jié)果，進(jìn)行相應(yīng)處理。如果是認(rèn)證拒絕的結(jié)果，用戶此次撥號失敗。如果是認(rèn)證通過的結(jié)果，BAS將根據(jù)RADIUS返回的信息嘗試和LNS建立隧道(L2TP協(xié)議)，同時(shí)將用戶信息發(fā)送到LNS。LNS再次將用戶信息發(fā)送至RADIUS服務(wù)器進(jìn)行認(rèn)證(二次認(rèn)證)。RADIUS返回認(rèn)

4、證通過的結(jié)果。LNS為用戶分配企業(yè)網(wǎng)地址(私網(wǎng)地址)，用戶撥號成功。BAS向RADIUS發(fā)送計(jì)費(fèi)開始信息。RADIUS記錄計(jì)費(fèi)信息，返回計(jì)費(fèi)響應(yīng)報(bào)文。10)(用戶下線)，BAS向RADIUS發(fā)送計(jì)費(fèi)結(jié)束信息。11)RADIUS記錄計(jì)費(fèi)信息，返回計(jì)費(fèi)響應(yīng)報(bào)文。計(jì)費(fèi)信息包含時(shí)長及流量這樣計(jì)費(fèi)的基本元素。5、VPDN的技術(shù)核心VPDN的技術(shù)核心主要在于隧道技術(shù)和安全技術(shù)。隧道技術(shù)通常，企業(yè)網(wǎng)采用保留IP建網(wǎng)，保留IP網(wǎng)絡(luò)要使用合法IP網(wǎng)絡(luò)(Internet),可以采用隧道技術(shù)。隧道技術(shù)相對簡單、有效和易于管理。它的最大優(yōu)點(diǎn)是既可以在ISP的節(jié)點(diǎn)完成，也可以在用戶處完成，或者可以兩者合作完成設(shè)置。而且

5、，現(xiàn)有的許多網(wǎng)絡(luò)接入交換設(shè)備、接入服務(wù)器和廣域網(wǎng)路由器都支持相關(guān)的隧道技術(shù)標(biāo)準(zhǔn)。安全技術(shù)基于Internet的VPDN首先要考慮的就是安全問題。能否保證VPDN的安全性，是VPDN網(wǎng)絡(luò)能否實(shí)現(xiàn)的關(guān)鍵。一般系統(tǒng)可以采用下列技術(shù)保證VPDN的安全：口令保護(hù)、用戶認(rèn)證技術(shù)、一次性口令技術(shù)、用戶權(quán)限設(shè)置、在傳輸中采用加密技術(shù)、采用防火墻把用戶網(wǎng)絡(luò)中的對外服務(wù)器和對內(nèi)服務(wù)器隔離開。譬如，中國電信VPDN系統(tǒng)的業(yè)務(wù)安全通過第二層隧道協(xié)議在建立時(shí)的認(rèn)證、撥號用戶在企業(yè)內(nèi)部網(wǎng)認(rèn)證系統(tǒng)的用戶名和口令認(rèn)證與授權(quán)、分配企業(yè)內(nèi)部網(wǎng)地址等方式提供。VPDN業(yè)務(wù)用戶信息的安全，是通過用戶由企業(yè)內(nèi)部網(wǎng)授權(quán)后分配企業(yè)內(nèi)部網(wǎng)地

6、址、信息由L2TP協(xié)議封裝后在中國電信IP網(wǎng)上傳送、封裝后用戶信息到達(dá)企業(yè)內(nèi)部網(wǎng)后企業(yè)內(nèi)部網(wǎng)對內(nèi)部地址的認(rèn)證等方式提供。二、江西寬帶認(rèn)證計(jì)費(fèi)系統(tǒng)VPDN業(yè)務(wù)的要點(diǎn)VPDN業(yè)務(wù)提供了一種用戶利用PPPOE撥號訪問至企業(yè)網(wǎng)(私網(wǎng))的方法，可以提供以下服務(wù)：企業(yè)員工可以通過在Internet上建立隧道訪問企業(yè)網(wǎng)，和企業(yè)網(wǎng)內(nèi)用戶進(jìn)行協(xié)作。為家庭用戶提供訪問專用網(wǎng)的服務(wù)。VPDN計(jì)費(fèi)可以采用下面的方式：企業(yè)和電信運(yùn)營商之間采用協(xié)議費(fèi)用的方式。因?yàn)橄到y(tǒng)可以提供企業(yè)內(nèi)單個(gè)用戶的所有計(jì)費(fèi)帳單，并且可以針對帳單采用系統(tǒng)允許的各種資費(fèi)政策，如按時(shí)長，按流量，時(shí)長包月，包月限時(shí)等等。1、開始業(yè)務(wù)的準(zhǔn)備工作按網(wǎng)絡(luò)拓樸

7、圖建立網(wǎng)絡(luò)環(huán)境，保證網(wǎng)絡(luò)聯(lián)通。2）LAC（BAS）的配置。在BAS上新開一個(gè)域（或丫區(qū)），將RADIUS服務(wù)器地址設(shè)置為17，認(rèn)證端口為1645，計(jì)費(fèi)端口為1646,Key為vpdntestkey（Key可以根據(jù)實(shí)際情況設(shè)置為一個(gè)任意字符串，只需和RADIUS上注冊的Key保持一致即可）。其它與L2TP協(xié)議相關(guān)的配置可以咨詢相應(yīng)的BAS廠商。3）LNS（路由器）的配置。用戶認(rèn)證采用RADIUS認(rèn)證，RADIUS服務(wù)器地址為202.101.224,217，認(rèn)證端口為1645,計(jì)費(fèi)端口為1646，Key為vpdntestkey（Key可以根據(jù)實(shí)際情況設(shè)置為一個(gè)任意字符串，只需和RADIUS上注冊的

8、Key保持一致即可）。路由器上必須配置好地址池。其它與L2TP協(xié)議相關(guān)的配置可以咨詢相應(yīng)的路由器廠商。2、開戶以下操作都是通過“IP綜合業(yè)務(wù)運(yùn)營平臺(tái)”完成，以下所指前臺(tái)即“IP綜合業(yè)務(wù)營運(yùn)平臺(tái)”。注冊接入服務(wù)器，操作如下。選擇菜單“系統(tǒng)管理”下“接入服務(wù)器管理”，將BAS和路由器進(jìn)行注冊。對于BAS來說，“服務(wù)器IP地址”即BAS的IP地址，“設(shè)備類型”根據(jù)實(shí)際情況選擇，“共享密鑰”和“計(jì)費(fèi)密鑰”根據(jù)BAS上設(shè)置的Key輸入；對于路由器來說，“服務(wù)器IP地址”即路由器的IP地址，“設(shè)備類型”選擇“隧道服務(wù)器”，“共享密鑰”和“計(jì)費(fèi)密鑰”根據(jù)路由器上設(shè)置的Key輸入。注意，同一個(gè)IP地址的設(shè)備只

9、能有一條注冊信息。增加新的VPDN業(yè)務(wù)代碼“B_VPDNTEST”。選擇菜單“業(yè)務(wù)管理”下的“業(yè)務(wù)類別管理”，增加一個(gè)業(yè)務(wù)，用戶類別選擇“VPDN用戶”，設(shè)置好服務(wù)屬性，資費(fèi)政策，優(yōu)惠模板，時(shí)段限制模板等信息。增加新的VPDN企業(yè)（域名）。選擇菜單“客戶管理”下的“VPDN企業(yè)管理”，點(diǎn)擊“開戶”，輸入企業(yè)域名、企業(yè)名稱，所屬城市域密碼（兩個(gè)相同的字符串，目前沒有實(shí)際使用），隧道號（為一個(gè)整數(shù)，1至31），認(rèn)證方式選擇“電信代理認(rèn)證”，隧道密碼根據(jù)LNS上的設(shè)置填寫，企業(yè)網(wǎng)關(guān)為LNS的IP地址?？捎脴I(yè)務(wù)使用“B_VPDNTEST”在VPDN企業(yè)（域名）下開戶。選擇菜單“客戶管理”下的“VPDN

10、帳號用戶資料管理”。點(diǎn)擊“開戶”，在域下增加用戶。使所有設(shè)定生效。因?yàn)樾伦粤私尤敕?wù)器，新增了業(yè)務(wù)，所以必須通過RADIUS命令或等待12小時(shí)使RADIUS更新數(shù)據(jù)區(qū)數(shù)據(jù)。三、附件:VPDN（LNS：CISCO2601）典型配置version12.2noservicetimestampsdebuguptimenoservicetimestampsloguptimenoservicepassword-encryption!hostnameXXXXX!bootsystemflashc2600-is-mz.122-11.T11.binaaanew-model!aaaauthenticationpp

11、pdefaultgroupradiuslocal/密碼本地認(rèn)證aaaauthenticationpppvpdngroupradiusaaaauthorizationnetworkdefaultgroupradiusaaasession-idcommonenablepasswordXXXXXX!usernamebybydxpassword0123456增加一個(gè)VPDN用戶要與LAC對應(yīng)起來。ipsubnet-zeroipcef!noipdomainlookup!vpdnenable打開VPDN!vpdn-group1!defaultl2tpvpdngroupaccept-dialinprotoc

12、oll2tpvirtual-template1lcprenegotiationon-mismatchl2tptunnelpassword709555A1F090119!voicecallcarriercapacityactivemtareceivemaximum-recipients0interfaceFastEthernet0/0ipaddress2252noipredirectsnoipunreachablesduplexautospeedauto!interfaceFastEthernet0/1ipaddressduplexautospeedauto!interfaceVirtual-Template1/虛模板接口ipunnumberedFastEthernet0/1配置無編號IP地址（從以太口0/1上借用IP地址）peerdefaultipaddresspoolvpdnpoolpppauthenticationpapchap使用PAP對PPP進(jìn)行論證!iplocalpoolvpdn01050配置LNS地址池iplocalpoolvpdnpool0055配置LNS地址池ipclasslessiproute21/配置靜態(tài)路由noiphttpserver!radius-serverhost17auth-port1645acct-port1646ra