L2TP,GRE二三层隧道协议解说

第二层隧道协议L2TP详解

第二层隧道协议L2TP详解1、引言隧道技术是建立安全VPN的基本技术之一，类似于点对点连接技术，在公用网建立一条数据遂道，让数据包通过这条隧道传输。

隧道是由隧道协议形成的，分为第二、三层隧道协议。

第二层隧道协议有L2F、PPTP和L2TP等，是先把各种网络协议封装到PPP中，再把整个数据包装入隧道协议中。

这种双层封装方法形成的数据包靠第二层协议进行传输。

第三层隧道协议有GRE、IPSEC等。

第二层隧道协议和第三层隧道协议的本质区别在于在隧道内用户的数据包是被封装在哪种数据包中进行传输的。

L2TP隧道协议是典型的被动式隧道协议，它结合了L2F和PPTP的优点，可以让用户从客户端或访问服务器端发起VPN连接。

L2TP是把链路层PPP帧封装在公共网络设施如IP、ATM、帧中继中进行隧道传输的封装协议。

L2TP主要由LAC(L2TP Access Concentrator) 和LNS(L2TP Network Server) 构成，LAC支持客户端的L2TP，用于发起呼叫、接收呼叫和建立隧道；LNS是所有隧道的终点，LNS终止所有的PPP流。

在传统的PPP连接中，用户拨号连接的终点是LAC，L2TP使得PPP协议的终点延伸到LNS。

L2TP的好处在于支持多种协议，用户可以保留原有的IPX、Appletalk等协议或公司原有的IP 地址。

L2TP还解决了多个PPP链路的捆绑问题，PPP链路捆绑要求其成员均指向同一个NAS(Network Access Server)，L2TP可以使物理上连接到不同NAS的PPP链路，在逻辑上的终结点为同一个物理设备。

L2TP还支持信道认证，并提供了差错和流量控制。

L2TP利用IPsec增强了安全性，支持数据包的认证、加密和密钥管理。

L2TP/IPSec因此能为远程用户提供设计精巧并有互操作性的安全隧道连接。

这对安全的远程访问和安全的网关之间连接来说，它是一个很好的解决方案。

《L2TP协议概述》课件

L2TP公共基本配置：使能L2TPl2tp enable创建L2TP组l2tp-group group-number配置本端隧道名称tunnel name name
Page
L2TP的配置任务及命令(2)
LAC 配置配置LAC发起连接请求的参数start l2tp { ip X.X.X.X [ ip X.X.X.X ] [ ip X.X.X.X ] ... } { domaindomain-name | fullusername user-name }配置用户验证local-user username password { simple | cipher } password配置隧道源接口tunnel source interface-type interface-number
LNS
LACICRQ
ICRPICCN
Page
L2TP隧道和会话维护和拆除流程
LNS/LAC
隧道维护流程LAC/LNSHello
ZLB
LNS/LAC
隧道拆除流程LAC/LNSStopCNN
ZLB
LNS/LAC
会话维护流程LAC/LNS CDN
ZLB
Page
L2TP协议栈结构及数据包的封装过程
私有IP
LAC RADIUS
LNS RADIUS
Page
L2TP隧道和会话建立流程
会话建立流程：三次握手
隧道、会话建立流程：L2TP的会话建立由PPP触发，隧道建立由会话触发。由于多个会话可以复用在一条隧道上，如果会话建立前隧道已经建立，则隧道不用重新建立。隧道建立流程：三次握手LAC LNSSCCRQSCCRPSCCCN
Internet
L2TP的配置举例
[Quidway] local-user vpdnuser password cipher Hello [Quidway] aaa-enable[Quidway] aaa authentication-scheme login default local [Quidway] aaa accounting-scheme optional[Quidway] l2tp enable [Quidway] l2tp-group 1[Quidway-l2tp1] tunnel name lac-end[Quidway-l2tp1] start l2tp ip 202.38.160.2 fullusername vpdnuser[Quidway-l2tp1] tunnel authentication[Quidway-l2tp1] tunnel password simple quidway

隧道公网覆盖解决方案

隧道公网覆盖解决方案隧道协议选择是隧道公网覆盖解决方案的第一步。

常用的隧道协议有IPSec、GRE、L2TP等。

IPSec是一种广泛应用的隧道协议，它提供了强大的加密和认证功能，可以保证数据的机密性和完整性。

GRE是一种基于IP 隧道的协议，可以在IPv4和IPv6之间传输数据，具有较高的可伸缩性。

L2TP是一种基于PPP和IP隧道的协议，支持跨网段传输，适用于企业内部或不同地域之间的隧道连接。

选择合适的隧道协议需要考虑网络规模、安全性要求、性能等因素。

隧道设备选择是隧道公网覆盖解决方案的关键环节。

常见的隧道设备包括路由器、防火墙、VPN网关等。

路由器是网络中的核心设备，可以实现隧道连接的转发和控制功能。

防火墙可以对隧道传输进行过滤和安全监控，增强系统的安全性。

VPN网关是一种专门用于隧道连接的设备，可以提供高性能的数据传输和安全保证。

在选择隧道设备时，需要考虑设备的性能、可靠性、管理功能以及对应的技术支持与服务。

隧道配置与管理是隧道公网覆盖解决方案的核心内容。

隧道配置包括隧道的建立、参数的设置、安全策略的配置等。

在建立隧道时，需要确定隧道的两端地址、加密算法、密钥协商方式等参数。

在设置安全策略时，需要定义允许通过隧道的内网地址范围、限制隧道流量的带宽、设置访问控制列表等。

隧道管理包括对隧道的监控、故障诊断和性能优化等。

通过对隧道设备和隧道流量的监控，可以及时发现和解决问题，确保隧道公网覆盖的稳定性和可靠性。

隧道公网覆盖解决方案还需要考虑网络拓扑结构和路由配置。

网络拓扑结构包括星型、环形、全网状等，不同的拓扑结构对隧道公网覆盖的性能和可靠性有不同的影响。

路由配置则涉及到隧道设备之间的路由表设置，以实现数据包的正确转发。

此外，隧道公网覆盖解决方案还需要考虑网络安全。

在建立隧道连接之前，需要进行密钥协商和身份认证，以确保数据传输的安全性。

同时，还需要对隧道设备和隧道流量进行监控和管理，及时发现和防止安全威胁。

GRE隧道技术

Keywords 关键词：VPN GRE 隧道PDSN WAPGWAbstract 摘要：在传统的VPN组网场合中，GRE隧道技术得到了广泛的应用。

本文介绍了GRE基本原理以及GRE的应用等，可供使用GRE技术的人员参考。

List of abbreviations 缩略语清单：一、概述在传统的VPN 组网场合中，GRE 隧道技术得到了广泛的应用。

本文介绍了GRE 基本原理以及GRE 的应用等，可供使用GRE 技术的人员参考。

二、VPN 简介VPN（Virtual Private Network，虚拟专用网）是一种基于公共数据网的服务，它依靠ISP （Internet Service Provider）和NSP（Network Service Provider），在公共网络中建立虚拟专用通信网络。

VPN 可以极大地降低用户的费用，并且提供比传统专线方式更强的安全性和可靠性。

1. 隧道技术在VPN 中广泛使用了各种各样的隧道技术，有二层隧道技术，也有三层隧道技术。

那么，什么是隧道呢？隧道是一种封装技术，它利用一种网络协议来传输另一种网络协议，即利用一种网络传输协议，将其他协议产生的数据报文封装在它自己的报文中，然后在网络中传输。

实际上隧道可以看作一个虚拟的点到点连接。

例如，GRE 隧道仅支持点到点的业务接入。

隧道技术简单地说就是：原始报文在A 地进行封装，到达B 地后把封装去掉，还原成原始报文，这样就形成了一条由A 到B 的通信隧道。

隧道技术就是指包括数据封装、传输和解封装在内的全过程。

隧道是通过隧道协议实现的，隧道协议规定了隧道的建立，维护和删除规则，以及怎样将原始数据封装在隧道中进行传输。

2. 隧道协议分类隧道协议可分为：（1）第二层隧道协议，如PPTP、L2TP（2）第三层隧道协议，如GRE、IPsec三、GRE 简介GRE（Generic Routing Encapsulation，通用路由封装协议）是由Cisco 和Net Smiths 公司于1994 年提交给IETF，标号为RFC 1701、RFC 1702。

L2TP,GRE二三层隧道协议解说

L2TP,GRE二三层隧道协议解说
二三层隧道协议
一直知道L2TP是第二层隧道协议，GRE是第三层隧道协议，可是一直不是太明白，今天总结一下自己理解的。

L2TP是用于三层网络上承载二层协议报文的隧道协议，是用于在三层网络上跑PPP 的。

GRE是通用路由封装协议，内部能封装二层，三层，MPLS……它能封装的报文类型很多，但一般都用于封装三层报文，所以也有叫三层隧道协议的，但这个说法也不严谨。

例如：GRE能封装MPLS，ISIS 等，这些都不是三层报文。

Gre over ipsec就是通过GRE将广播，组播，非IP报文通过GRE 封装变成单播IP报文，然后再用IPSEC封装加密，IPSEC是个标准的三层隧道协议，它只能承载单播IP报文。

VPN的典型隧道协议

VPN的典型隧道协议隧道技术是一种通过使用互联网络的基础设施在网络之间传递数据的方式。

使用隧道传递的数据（或负载）可以是不同协议的数据桢（此字不正确）或包。

隧道协议将这些其它协议的数据桢或包重新封装在新的包头中发送。

新的包头提供了路由信息，从而使封装的负载数据能够通过互联网络传递。

被封装的数据包在隧道的两个端点之间通过公共互联网络进行路由。

被封装的数据包在公共互联网络上传递时所经过的逻辑路径称为隧道。

一旦到达网络终点，数据将被解包并转发到最终目的地。

注意隧道技术是指包括数据封装，传输和解包在内的全过程。

1、点对点隧道协议(PPTP)点对点隧道协议(PPTP,Point-to-point Tunneling Protocol)是一种用于让远程用户拨号连接到本地ISP，通过因特网安全远程访问公司网络资源的新型技术。

PPTP对PPP协议本身并没有做任何修改，只是使用PPP拨号连接，然后获取这些PPP包，并把它们封装进GRE头中。

PPTP使用PPP协议的PAP或CHAP(MS-CHAP)进行认证，另外也支持Microsoft公司的点到点加密技术（MPPE）。

PPTP支持的是一种客户-LAN型隧道的VPN实现。

传统网络接入服务器(NAS) 执行以下功能：它是PSTN或ISDN的本地接口，控制着外部的MODEM或终端适配器：它是PPP链路控制协议会话的逻辑终点；它是PPP认证协议的执行者；它为PPP多链路由协议进行信道汇聚管理；它是各种PPP网络控制协议的逻辑终点。

PPTP 协议将上述功能分解成由两部分即PAC(PPTP接入集中器)和PNS(PPTP网络服务器)来分别执行。

这样一来，拨号PPP链路的终点就延伸至PNS。

PPTP协议正是利用了“NAS功能的分解”这样的机制支持在因特网上的VPN实现。

ISP的NAS 将执行PPTP协议中指定的PAC的功能。

而企业VPN中心服务器将执行PNS的功能，通过PPTP，远程拥护首先拨号到本地ISP的NAS，访问企业的网络和应用，而不再需要直接拨号至企业的网络，这样，由GRE将PPP报文封装成IP报文就可以在PAC－PNS之间经由因特网传递，即在PAC和PNS之间为用户的PPP会话建立一条PPTP隧道。

(整理)GRE、P、L2TP隧道协议.

GRE、PPTP、L2TP隧道协议在IPSec 和Multiprotocol Label Switching (MPLS) VPN出现前，GRE被用来提供Internet上的VPN功能。

GRE将用户数据包封装到携带数据包中。

因为支持多种协议，多播，点到点或点到多点协议，如今，GRE仍然被使用。

在GRE隧道中，路由器会在封装数据包的IP头部指定要携带的协议，并建立到对端路由器的虚拟点对点连接∙Passenger: 要封装的乘客协议 (IPX, AppleTalk, IP, IPSec, DVMRP, etc.).∙Carrier: 封装passenger protocol的GRE协议，插入到transport和passenger 包头之间, 在GRE包头中定义了传输的协议∙Transport: IP协议携带了封装的passenger protocol. 这个传输协议通常实施在点对点的GRE连接中(GRE是无连接的).GRE的特点：∙GRE是一个标准协议∙支持多种协议和多播∙能够用来创建弹性的VPN∙支持多点隧道∙能够实施QOSGRE的缺点：∙缺乏加密机制∙没有标准的控制协议来保持GRE隧道（通常使用协议和keepalive）∙隧道很消耗CPU∙出现问题要进行DEBUG很困难∙MTU和IP分片是一个问题配置：这里配置对端的IP地址和tunnel ID (tunnel key 2323)来进行简单的认证。

两端配置的tunnel ID必须配置相同。

在Cisco IOS versions 12.2(8)T允许配置keepalive，定期发送报文检测对端是否还活着GRE隧道GRE建立的是简单的（不进行加密）VPN隧道，他通过在物理链路中使用ip地址和路由穿越普通网络。

大部分协议都没有内建加密机制，所以携带他们穿越网络的很常见的方法就是使用加密（如使用IPSec）的GRE隧道，这样可以为这些协议提供安全性。

（相关配置请参看GRE over IPSec）网状连接（Full-Mesh）由于GRE是建立点对点的隧道，如果要多个端点的网状互联，则必须采用这种Hub-and-spoke的拓扑形式但是可以通过使用NHRP（Next-Hop Resolution Protocol）来自动建立全网状拓扑。

GRE、PPTP、L2TP(L2)隧道协议

隧道技术是VPN的基本技术类似于点对点连接技术，它在公用网建立一条数据通道（隧道），让数据包通过这条隧道传输。

隧道是由隧道协议形成的，分为第二、三层隧道协议。

第二层隧道协议是先把各种网络协议封装到PPP中，再把整个数据包装入隧道协议中。

这种双层封装方法形成的数据包靠第二层协议进行传输。

第二层隧道协议有L2F、PPTP、L2TP等。

L2TP协议是目前IETF的标准，由IETF融合PPTP与L2F而形成。

第三层隧道协议是把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输。

第三层隧道协议有VTP、IPSec等。

IPSec（IP Security）是由一组RFC文档组成，定义了一个系统来提供安全协议选择、安全算法，确定服务所使用密钥等服务，从而在IP层提供安全保障。

GRE、PPTP、L2TP隧道协议在IPSec 和Multiprotocol Label Switching (MPLS) VPN出现前，GRE被用来提供Internet上的VPN功能。

GRE将用户数据包封装到携带数据包中。

因为支持多种协议，多播，点到点或点到多点协议，如今，GRE仍然被使用。

在GRE隧道中，路由器会在封装数据包的IP头部指定要携带的协议，并建立到对端路由器的虚拟点对点连接∙Passenger: 要封装的乘客协议 (IPX, AppleTalk, IP, IPSec, DVMRP, etc.).∙Carrier: 封装passenger protocol的GRE协议，插入到transport和passenger 包头之间, 在GRE包头中定义了传输的协议∙Transport: IP协议携带了封装的passenger protocol. 这个传输协议通常实施在点对点的GRE连接中(GRE是无连接的).GRE的特点：∙GRE是一个标准协议∙支持多种协议和多播∙能够用来创建弹性的VPN∙支持多点隧道∙能够实施QOSGRE的缺点：∙缺乏加密机制∙没有标准的控制协议来保持GRE隧道（通常使用协议和keepalive）∙隧道很消耗CPU∙出现问题要进行DEBUG很困难∙MTU和IP分片是一个问题配置：这里配置对端的IP地址和tunnel ID (tunnel key 2323)来进行简单的认证。