程序员经验分享-hwhale

华为***技术一：L2TP概述

2023-10-26

原理
名词解析：
VPDN：VPDN是承载PPP报文的×××，可以为企业、小型ISP、移动办公人员提供接入服务。
NAS：NAS网络接入服务器（Network Access Server）主要由ISP维护，连接拨号网络，是距离PPP终端地理位置最近的接入点。NAS用于传统的拨号网络中，为远程拨号用户提供VPDN服务，和企业总部建立隧道连接。
LAC： L2TP访问集中器LAC（L2TP Access Concentrator）是交换网络上具有PPP和L2TP处理能力的设备。LAC根据PPP报文中所携带的用户名或者域名信息，和LNS建立L2TP隧道连接，将PPP协商延展到LNS。
LNS： L2TP网络服务器LNS（L2TP Network Server）是终止PPP会话的一端，通过LNS的认证，PPP会话协商成功，远程用户可以访问企业总部的资源。对L2TP协商，LNS是LAC的对端设备，即LAC和LNS建立了L2TP隧道；对PPP，LNS是PPP会话的逻辑终止端点，即PPP终端和LNS建立了一条点到点的虚拟链路。

1、L2TP基于PPP协议，仅能对PPP类型的报文进行封装。
2、L2TP隧道是LAC和LNS之间的一条虚拟点到点的连接，在这条L2TP隧道内传输的消息包括对应的控制消息和数据消息。
控制消息：用于L2TP隧道和会话连接的建立、维护和拆除。
数据消息：用于封装PPP数据帧并在隧道上传输。
3、在同一对LAC和LNS之间可以建立多条L2TP隧道，每条隧道可以承载一个或多个L2TP会话。
4、L2TP协议使用UDP端口1701，这个端口号仅用于初始隧道的建立。L2TP隧道发起方任选一个空闲端口向接收方的1701端口发送报文；接收方收到报文后，也任选一个空闲端口，给发起方的选定的端口回送报文。至此，双方的端口选定，并在隧道连通的时间内不再改变。

L2TP报文封装、解封装过程
华为***技术一：L2TP概述
1、PPP终端：IP数据报文进行PPP（链路层）封装，发送报文。
2、LAC：收到PPP报文后，根据报文携带的用户名或者域名判断接入用户是否为VPDN用户。
是VPDN用户：对PPP报文进行L2TP封装，根据LNS的公网地址，再对L2TP报文进行UDP和IP封装。封装后的报文最外层为公网IP地址，经过公网路由转发到达LNS。
非VPDN用户：对PPP报文进行PPP解封装，此时LAC为PPP会话的终止节点。
3、LNS：收到L2TP报文后，依次解除外层的IP封装、L2TP封装、PPP封装，得到PPP承载的信息，即PPP终端发送的IP数据报文。根据报文中的目的地址，查找路由表使报文达到企业总部的目的主机。
隧道建立过程：
1、PPP建立阶段
PPP建立详细过程请查看笔记： PPPOE论述
2、L2TP隧道建立阶段
LAC收到远程用户的PPP协商请求时，LAC向LNS发起L2TP隧道请求。LAC和LNS之间通过L2TP的控制消息，协商隧道ID、隧道认证等内容，协商成功后则建立起一条L2TP隧道，由隧道ID进行标识。
3、L2TP会话建立阶段
如果L2TP隧道已存在，则在LAC和LNS之间通过L2TP的控制消息，协商会话ID等内容，否则先建立L2TP隧道连接。会话中携带了LAC的LCP协商信息和用户认证信息，LNS对收到的信息认证通过后，则通知LAC会话建立成功。L2TP会话连接由会话ID进行标识。

L2TP OVER IPSEC
拓扑
华为***技术一：L2TP概述

配置信息
LAC：
####################################################################
[LAC]dis cu
[V200R003C00]
#
l2tp enable
#
acl number 3000
rule 5 permit ip source 1.1.2.0 0.0.0.255 destination 1.1.1.0 0.0.0.255
#
ipsec proposal pro1
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-128
#
ike proposal 5
encryption-algorithm aes-cbc-128
authentication-algorithm md5
#
ike peer spub v1
pre-shared-key cipher %$%$}H"z!S,^u*;l(AQmOU4+,.2n%$%$
ike-proposal 5
remote-address 1.1.1.1
#
ipsec policy policy1 10 isakmp
security acl 3000
ike-peer spub
proposal pro1
#
aaa
authentication-scheme default
authorization-scheme default
accounting-scheme default
domain default
domain default_admin
local-user admin password cipher %$%$K8m.Nt84DZ}e#<0`8bmE3Uw}%$%$
local-user admin service-type http
#
interface Virtual-Template1
ppp chap user huawei
ppp chap password cipher Huawei@1234
ip address ppp-negotiate
l2tp-auto-client enable
#
interface GigabitEthernet0/0/0
ip address 10.1.1.254 255.255.255.0
#
interface GigabitEthernet0/0/1
ip address 1.1.2.1 255.255.255.0
ipsec policy policy1
#
l2tp-group 1
tunnel password cipher huawei
tunnel name lac
start l2tp ip 1.1.1.1 fullusername huawei
#
ip route-static 1.1.1.0 255.255.255.0 1.1.2.2
ip route-static 10.1.2.0 255.255.255.0 Virtual-Template1
#
Return
###############################################################
[LAC]dis ike sa
Conn-ID Peer ××× Flag(s) Phase 

    3    1.1.1.1         0     RD                     2     
    2    1.1.1.1         0     RD                     1

Flag Description:
RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIMEOUT
HRT--HEARTBEAT LKG--LAST KNOWN GOOD SEQ NO. BCK--BACKED UP

############################################################### [LAC]dis l2tp tunnel

Total tunnel = 1
LocalTID RemoteTID RemoteAddress Port Sessions RemoteName
1 1 1.1.1.1 42246 1 lns
###############################################################
LNS：
###################################################################
[LNS]dis cu
[V200R003C00]
#
sysname LNS
#
l2tp enable
#
acl number 3000
rule 5 permit ip source 1.1.1.0 0.0.0.255 destination 1.1.2.0 0.0.0.255
#
ipsec proposal pro1
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-128
#
ike proposal 5
encryption-algorithm aes-cbc-128
authentication-algorithm md5
#
ike peer spua v1
pre-shared-key cipher %$%$}H"z!S,^u*;l(AQmOU4+,.2n%$%$
ike-proposal 5
remote-address 1.1.2.1
#
ipsec policy policy1 10 isakmp
security acl 3000
ike-peer spua
proposal pro1
#
ip pool 1
gateway-list 10.10.10.1
network 10.10.10.0 mask 255.255.255.0
#
aaa
authentication-scheme default
authorization-scheme default
accounting-scheme default
domain default
domain default_admin
local-user admin password cipher %$%$K8m.Nt84DZ}e#<08bmE3Uw}%$%$<br/>local-user admin service-type http<br/>local-user huawei password cipher %$%$G35+X&>RR]`+**l&i|2MB[@%$%$
local-user huawei service-type ppp
#
interface Virtual-Template1
ppp authentication-mode chap
remote address pool 1
ip address 10.10.10.1 255.255.255.0
#
interface GigabitEthernet0/0/0
ip address 10.1.2.254 255.255.255.0
#
interface GigabitEthernet0/0/1
ip address 1.1.1.1 255.255.255.0
ipsec policy policy1
#
l2tp-group 1
allow l2tp virtual-template 1 remote lac
tunnel password cipher %$%$1cAxHh|u:OCGT=H0d1p6,"HF%$%$
tunnel name lns
#
ip route-static 1.1.2.0 255.255.255.0 1.1.1.2
ip route-static 10.1.1.0 255.255.255.0 Virtual-Template1
#
Return
###################################################################
[LNS]dis ike sa
Conn-ID Peer ××× Flag(s) Phase 

    2    1.1.2.1         0     RD|ST                  2     
    1    1.1.2.1         0     RD|ST                  1

Flag Description:
RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIMEOUT
HRT--HEARTBEAT LKG--LAST KNOWN GOOD SEQ NO. BCK--BACKED UP

################################################################### [LNS]dis l2tp tunnel

Total tunnel = 1
LocalTID RemoteTID RemoteAddress Port Sessions RemoteName
1 1 1.1.2.1 42246 1 lac
###################################################################

配置步骤
1、配置接口的IP地址和到对端的静态路由，保证两端路由可达。
LAC：
ip route-static 1.1.1.0 255.255.255.0 1.1.2.2
LNS：
ip route-static 1.1.2.0 255.255.255.0 1.1.1.2
2、在LAC上配置L2TP功能，PPP用户通过L2TP隧道向总部发出接入请求，总部认证成功后建立隧道。
LAC：
##使能L2TP
l2tp enable
##配置L2TP组
l2tp-group 1
tunnel name lac ###配置隧道名称，用于发起L2TP连接时，LNS根据LAC的隧道名称接入
start l2tp ip 1.1.1.1 fullusername huawei
tunnel authentication ###使能隧道验证功能，缺省已使能
tunnel password cipher huawei ###配置L2TP隧道的共享密钥
##创建VT虚拟接口模板
interface Virtual-Template1
ppp chap user huawei ###配置CHAP认证用户名、密码
ppp chap password cipher huawei
ip address ppp-negotiate ###配置接口通过PPP协商获取IP地址
3、在LAC上配置到达LNS的路由，使能LAC的自拨号功能。
interface Virtual-Template1 ###触发自动拨号建立L2TP隧道
l2tp-auto-client enable
ip route-static 10.1.2.0 255.255.255.0 Virtual-Template1 ###配置私网路由，使企业分支用户与总部私网互通
4、在LNS上配置L2TP功能及PPP用户，并配置访问公网的路由。
LNS：
##使能L2TP
l2tp enable
##配置AAA认证
aaa
local-user huawei password cipher Huawei@1234
local-user huawei service-type ppp
##配置LNS的IP地址池，为LAC的拨号接口分配IP地址
ip pool 1
gateway-list 10.10.10.1
network 10.10.10.0 mask 255.255.255.0
##创建VT虚拟接口模板，配置PPP协商等参数
interface Virtual-Template1
ppp authentication-mode chap ###配置PPP认证方式为CHAP
remote address pool 1 ###调用地址池
ip address 10.10.10.1 255.255.255.0 ###配置VT接口的私网地址，作为远程用户访问总部网络的网关地址
##配置L2TP组
l2tp-group 1
allow l2tp virtual-template 1 remote lac ###配置响应L2TP隧道建立连接请求
tunnel password cipher huawei ###配置L2TP隧道认证的共享密钥，与LAC一致
tunnel name lns ###配置隧道名称
##在LNS上配置私网路由，使企业总部与企业分支用户私网互通
ip route-static 10.1.1.0 255.255.255.0 Virtual-Template1
5、配置ACL，以定义需要IPSec保护的数据流。
acl number 3000
rule 5 permit ip source 1.1.2.0 0.0.0.255 destination 1.1.1.0 0.0.0.255
6、配置IPSec安全提议，定义IPSec的保护方法。
ipsec proposal pro1
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-128
7、配置IKE对等体，定义对等体间IKE协商时的属性。
ike proposal 5
encryption-algorithm aes-cbc-128
authentication-algorithm md5
ike peer spub v1
pre-shared-key cipher huawei
ike-proposal 5
remote-address 1.1.1.1
8、配置安全策略，并引用ACL、IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方法。
ipsec policy policy1 10 isakmp
security acl 3000
ike-peer spub
proposal pro1
9、在接口上应用安全策略组，使接口具有IPSec的保护功能。
interface GigabitEthernet0/0/1
ip address 1.1.2.1 255.255.255.0
ipsec policy policy1

转载于:https://blog.51cto.com/xiaojiejt/2044327

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

网络

华为***技术一：L2TP概述 的相关文章

随机推荐

  • php-MD5()函数漏洞

    一 数字与字符串之间的比较 var dump 0 a true var dump 0 a false php把字母开头的字符串转化为整型时 转化为0 前面数字后面字母的话就只取到第一个字母出现的位置之前的数字 二 MD5函数漏洞 GET n

  • P3391 【模板】文艺平衡树（Splay）

    题目链接 splay的学习链接 基于这道题的关于splay的讲解 将由这篇博客开始 include

  • vue页面添加锚点

    本文实例为大家分享了vue实现锚点定位的具体代码 供大家参考 具体内容如下 这里主要是实现了一个简单的滚动触发锚点高亮 以及点击锚点触发滚动的功能 如果是获取浏览器的滚动高度 各个浏览器有所差异 使用以下几种方式 Chrome docume

  • CVPR 2021 人脸编辑GAN汇总

    点击上方 机器学习与生成对抗网络 关注星标 获取有趣 好玩的前沿干货 1 Exploiting Spatial Dimensions of Latent in GAN for Real time Image Editing 生成对抗网络 G

  • Vue项目引入Echarts可视化图表库教程&踩坑

    Apache ECharts是一个基于 JavaScript 的开源可视化图表库 ECharts是一款基于JavaScript的数据可视化图表库 提供直观 生动 可交互 可个性化定制的数据可视化图表 ECharts最初由百度团队开源 并于2

  • AD如何设置单个元器件规则

    在我们使用AD进行PCB绘制时 有时候可以将两个元器件重叠放置 但这时由于规则设置的原因 导致DRC检检查报错 那么如何将这种报错解决呢 一 在英文模式下 按下T M 忽视掉这个检查 但这种方法一旦移动元器件又会显示报错 二 设置单个元器件

  • 负载均衡器ribbon和LoadBalancer

    负载均衡器ribbon和LoadBalancer 客户端负载均衡器 目前主流的负载方案分为以下两种 集中式负载均衡 在消费者和服务提供方中间使用独立的代理方式进行负载 有硬件的 比如 F5 也有软件的 比如 Nginx 客户端根据自己的请求

  • 测试key-value

    package com datacloudsec test collect import com alibaba fastjson JSON import com datacloudsec UEBAApplication import co

  • 【ERROR】本地计算机上的mysql服务启动停止后 Windows下mysql数据库恢复

    MySQL突然连不上的 提示 本地计算机上的mysql服务启动停止后 某些服务在未由其他服务或程序使用时将自动停止 折腾半天网上各种查 才找到方法完美解决 数据库恢复 步骤1 删除原有mysql服务 mysqld remove lt 你的m

  • 面向应用学习stm32(7)-TIM通用定时器-PWM输出和输入

    前导 本文的目的与 意在于面向应用的学习单片机 故不会涉及太多的原理知识 例如寄存器之类的 主要目的在于面向应用的学习单片机 学会单片机的基础用法 开发板采取野火的指南者f103 作者大二小白 写的不好的地方轻点喷 欢迎评论区交流 全部工程

  • 常见的函数式接口介绍

    Supplier

  • linux环境下python编程指南,在Linux系统中搭建Python编程环境

    Linux系统是为编程而设计的 因此在大多数Linux计算机中都默认安装了Python 1 检查Python版本 在系统中运行应用程序Terminal 如果是Ubuntu 可按Ctrl Alt T 打开终端窗口 通过执行python 注意是

  • [学习opencv]彩色图像通道分离、合成

    将彩色图像RGB三色分离出来是一个很有意义的操作 用到void split const Mat mtx vector

  • LeetCode 61. 旋转链表

    题目链接 61 旋转链表 一共用两个指针 第一个记录链表的尾节点 第一次遍历记录链表的长度 由于k可能很大所有我们对k模上n 第二次遍历记录我们用第二个指针记录要翻转的第二段链表的前一个节点 然后用尾部指针tail的next指针指向头结点

  • (超详细)基于MTCNN+FaceNet实现人脸识别及轻量级网络探索和改进(附数据集及预训练模型)

    目录 一 原理分析 二 FcaeNet源码使用 三 爬虫自制数据集 提高亚洲人脸准确率 四 加载预训练模型 五 加载自制pairs验证文档 六 轻量级网络研究 七 FaceNet扩展使用 FaceNet SVM KNN或者改进损失函数 八

  • Windows安装Linux虚拟机详细教程

    文章目录 一 VirtualBox安装 二 Vagrant安装 三 Centos安装 在线安装 离线安装 四 启动与连接 方式一 命令行登入 无需输入用户名与密码 方式二 Xshell登入 自定义ip 一 VirtualBox安装 下载 V

  • raid技术快速入门

    RAID技术 简介 raid全称为Redundant Arrays of Independent Drives 即磁盘冗余阵列 这是由多块独立磁盘 多为硬盘 组合的一个超大容量磁盘组 Raid技术意图在于把多个独立的磁盘设备组成一个容量更大

  • linux配置网络yum源

    yum是Linux环境安装软件包的一种方式 yum仓库用来存放所有的现有的 rpm包 当使用yum安装一个rpm包时 需要依赖关系 会自动在仓库中查找依赖软件并安装 yum仓库可以是本地的 也可以是HTTP FTP nfs形式的网络仓库 简

  • 运放的相位补偿 ?

    两个作用 1 改变反馈网络相移 补偿运放相位滞后 2 补偿运放输入端电容的影响 其实最终还是补偿相位 因为我们所用的运放都不是理想的 一般实际使用的运算放大器对一定频率的信号都有相应的相移作用 这样的信号反馈到输入端将使放大电路工作不稳定甚

  • 华为***技术一：L2TP概述

    原理名词解析 VPDN VPDN是承载PPP报文的 可以为企业 小型ISP 移动办公人员提供接入服务 NAS NAS网络接入服务器 Network Access Server 主要由ISP维护 连接拨号网络 是距离PPP终端地理位置最近的接

热门标签