寬帶VPDN技術(shù)說(shuō)明和配置方法

寬帶VPDN技術(shù)說(shuō)明和配置方法江西省電信有限公司技術(shù)支撐中心寬帶VPDN技術(shù)說(shuō)明和配置方法VPDN業(yè)務(wù)的實(shí)現(xiàn)VPDN的定義VPDN（VirtualPrivateDialNetwork）虛擬撥號(hào)專網(wǎng)技術(shù)采用專用的網(wǎng)絡(luò)加密和通信協(xié)議，可以使企業(yè)在公共網(wǎng)絡(luò)上建立安全的虛擬專網(wǎng)。企業(yè)外出人員可以從遠(yuǎn)程經(jīng)過(guò)公共網(wǎng)絡(luò)，通過(guò)虛擬的加密通道與企業(yè)內(nèi)部的網(wǎng)絡(luò)連接，而公共網(wǎng)絡(luò)上的用戶則無(wú)法穿過(guò)虛擬通道訪問該企業(yè)的內(nèi)部網(wǎng)絡(luò)。2、網(wǎng)絡(luò)拓樸如圖所示，在VPDN業(yè)務(wù)的網(wǎng)絡(luò)拓?fù)渲?，紅線框內(nèi)的部分為一個(gè)寬帶PPPoE認(rèn)證的典型網(wǎng)絡(luò)結(jié)構(gòu)，撥號(hào)用戶通過(guò)接入層、聚合層設(shè)備連接到BAS上，BAS和RADIUS服務(wù)器之間通訊，在VPDN中，BAS通常稱為L(zhǎng)AC。LNS是企業(yè)網(wǎng)（私網(wǎng)）的網(wǎng)關(guān)服務(wù)器，為一個(gè)能支持L2TP協(xié)議的路由器。3、設(shè)備的要求LAC（BAS）必須支持L2TP協(xié)議，支持標(biāo)準(zhǔn)RADIUS協(xié)議中隧道相關(guān)屬性。經(jīng)過(guò)實(shí)際測(cè)試，以下BAS可以用來(lái)作LAC，包括ERX1400、SHASTA5000、ISN8850、MA5200F（需要軟件版本升級(jí)）、REDBACKSE800。LNS（路由器）必須支持L2TP協(xié)議、RADIUS協(xié)議，建議采用CISCO2600以上路由器。4、VPDN撥號(hào)過(guò)程用戶用指定的VPDN帳號(hào)撥號(hào)（包含且一定包含域名）和密碼撥號(hào)。BAS將用戶信息以RADIUS認(rèn)證包文的格式發(fā)送到RADIUS服務(wù)器進(jìn)行認(rèn)證。RADIUS服務(wù)器根據(jù)設(shè)置的用戶資料，返回認(rèn)證通過(guò)或者認(rèn)證拒絕的結(jié)果，如果為認(rèn)證通過(guò)的結(jié)果，在返回信息中將包含設(shè)定的LNS的地址、隧道協(xié)議、隧道密碼等信息。BAS接收到RADIUS返回的認(rèn)證結(jié)果，進(jìn)行相應(yīng)處理。如果是認(rèn)證拒絕的結(jié)果，用戶此次撥號(hào)失敗。如果是認(rèn)證通過(guò)的結(jié)果，BAS將根據(jù)RADIUS返回的信息嘗試和LNS建立隧道（L2TP協(xié)議），同時(shí)將用戶信息發(fā)送到LNS。LNS再次將用戶信息發(fā)送至RADIUS服務(wù)器進(jìn)行認(rèn)證（二次認(rèn)證）。RADIUS返回認(rèn)證通過(guò)的結(jié)果。LNS為用戶分配企業(yè)網(wǎng)地址（私網(wǎng)地址），用戶撥號(hào)成功。BAS向RADIUS發(fā)送計(jì)費(fèi)開始信息。RADIUS記錄計(jì)費(fèi)信息，返回計(jì)費(fèi)響應(yīng)報(bào)文。10）（用戶下線），BAS向RADIUS發(fā)送計(jì)費(fèi)結(jié)束信息。11）RADIUS記錄計(jì)費(fèi)信息，返回計(jì)費(fèi)響應(yīng)報(bào)文。計(jì)費(fèi)信息包含時(shí)長(zhǎng)及流量這樣計(jì)費(fèi)的基本元素。5、VPDN的技術(shù)核心

VPDN的技術(shù)核心主要在于隧道技術(shù)和安全技術(shù)。

隧道技術(shù)

通常，企業(yè)網(wǎng)采用保留IP建網(wǎng)，保留IP網(wǎng)絡(luò)要使用合法IP網(wǎng)絡(luò)(Internet)，可以采用隧道技術(shù)。隧道技術(shù)相對(duì)簡(jiǎn)單、有效和易于管理。它的最大優(yōu)點(diǎn)是既可以在ISP的節(jié)點(diǎn)完成，也可以在用戶處完成，或者可以兩者合作完成設(shè)置。而且，現(xiàn)有的許多網(wǎng)絡(luò)接入交換設(shè)備、接入服務(wù)器和廣域網(wǎng)路由器都支持相關(guān)的隧道技術(shù)標(biāo)準(zhǔn)。

安全技術(shù)

基于Internet的VPDN首先要考慮的就是安全問題。能否保證VPDN的安全性，是VPDN網(wǎng)絡(luò)能否實(shí)現(xiàn)的關(guān)鍵。一般系統(tǒng)可以采用下列技術(shù)保證VPDN的安全：口令保護(hù)、用戶認(rèn)證技術(shù)、一次性口令技術(shù)、用戶權(quán)限設(shè)置、在傳輸中采用加密技術(shù)、采用防火墻把用戶網(wǎng)絡(luò)中的對(duì)外服務(wù)器和對(duì)內(nèi)服務(wù)器隔離開。譬如，中國(guó)電信VPDN系統(tǒng)的業(yè)務(wù)安全通過(guò)第二層隧道協(xié)議在建立時(shí)的認(rèn)證、撥號(hào)用戶在企業(yè)內(nèi)部網(wǎng)認(rèn)證系統(tǒng)的用戶名和口令認(rèn)證與授權(quán)、分配企業(yè)內(nèi)部網(wǎng)地址等方式提供。

VPDN業(yè)務(wù)用戶信息的安全，是通過(guò)用戶由企業(yè)內(nèi)部網(wǎng)授權(quán)后分配企業(yè)內(nèi)部網(wǎng)地址、信息由L2TP協(xié)議封裝后在中國(guó)電信IP網(wǎng)上傳送、封裝后用戶信息到達(dá)企業(yè)內(nèi)部網(wǎng)后企業(yè)內(nèi)部網(wǎng)對(duì)內(nèi)部地址的認(rèn)證等方式提供。二、江西寬帶認(rèn)證計(jì)費(fèi)系統(tǒng)VPDN業(yè)務(wù)的要點(diǎn)VPDN業(yè)務(wù)提供了一種用戶利用PPPOE撥號(hào)訪問至企業(yè)網(wǎng)（私網(wǎng)）的方法，可以提供以下服務(wù)：企業(yè)員工可以通過(guò)在Internet上建立隧道訪問企業(yè)網(wǎng)