介紹
VPDN全稱是Virtual Private Dial-up Network。中文意思：虛擬專用撥號網(wǎng)絡。允許專用網(wǎng)絡撥入服務跨越遠程訪問服務器（定義為L2TP訪問集中器[LAC]）。
當點對點協(xié)議（PPP）客戶端撥入LAC時，LAC確定應將該PPP會話轉發(fā)到該客戶端的L2TP網(wǎng)絡服務器（LNS）。然后，LNS對用戶進行身份驗證并啟動PPP協(xié)商。PPP設置完成后，所有幀都將通過LAC發(fā)送到客戶端和LNS。
詞匯表
客戶端：連接到遠程訪問網(wǎng)絡的PC或路由器，它是呼叫的發(fā)起方。
L2TP：第2層隧道協(xié)議。PPP定義了一種封裝機制，用于在第2層（L2）點對點鏈路之間傳輸多協(xié)議數(shù)據(jù)包。通常，用戶使用撥號普通舊電話服務（POTS）、ISDN或非對稱數(shù)字用戶線路（ADSL）等技術獲得與網(wǎng)絡訪問服務器（NAS）的L2連接。然后，用戶通過該連接運行PPP。在此類配置中，L2端點和PPP會話端點駐留在同一物理設備（NAS）上。
L2TP通過允許L2和PPP端點駐留在通過網(wǎng)絡互連的不同設備上來擴展PPP模型。使用L2TP，用戶與接入集中器建立L2連接，然后集中器將各個PPP幀通過隧道傳輸?shù)絅AS。這允許PPP數(shù)據(jù)包的實際處理與L2電路的終止分離。
L2F：第2層轉發(fā)協(xié)議。L2F是比L2TP更早的隧道協(xié)議。
LAC：L2TP接入集中器。充當L2TP隧道端點的一端并且是LNS的對等方的節(jié)點。LAC位于LNS和客戶端之間，并將數(shù)據(jù)包轉發(fā)到每個客戶端和從每個客戶端轉發(fā)數(shù)據(jù)包。從LAC發(fā)送到LNS的數(shù)據(jù)包需要使用L2TP協(xié)議建立隧道。從LAC到客戶端的連接通常通過ISDN或模擬進行。
LNS：L2TP網(wǎng)絡服務器。充當L2TP隧道端點的一端并且是LAC的對等方的節(jié)點。LNS是LAC從客戶端通過隧道傳輸?shù)腜PP會話的邏輯終結點。
家庭網(wǎng)關：與L2F術語中的LNS定義相同。
NAS：與L2F術語中的LAC定義相同。
隧道：在L2TP術語中，隧道存在于LAC-LNS對之間。隧道由一個控制連接和零個或多個L2TP會話組成。隧道在LAC和LNS之間傳輸封裝的PPP數(shù)據(jù)報和控制消息。L2F的過程相同。
會話：L2TP是面向連接的。LNS和LAC為由LAC發(fā)起或應答的每個呼叫維護一個狀態(tài)。在客戶端和LNS之間建立端到端PPP連接時，將在LAC和LNS之間創(chuàng)建L2TP會話。與PPP連接相關的數(shù)據(jù)報通過LAC和LNS之間的隧道發(fā)送。已建立的L2TP會話與其關聯(lián)的呼叫之間存在一對一的關系。L2F的過程相同。
VPDN流程概述
在下面對VPDN流程的描述中，我們使用L2TP術語（LAC和LNS）。
客戶端呼叫LAC（通常使用調制解調器或ISDN卡）。
客戶端和LAC通過協(xié)商LCP選項（身份驗證方法密碼身份驗證協(xié)議[PAP]或質詢握手身份驗證協(xié)議[CHAP]、PPP多鏈路、壓縮等）來啟動PPP階段。
假設已在步驟2中協(xié)商了CHAP。LAC向客戶端發(fā)送CHAP質詢。
LAC會獲取響應（例如username@DomainName和密碼）。
根據(jù)CHAP響應中收到的域名或ISDN設置消息中收到的被叫號碼信息服務（DNIS），LAC檢查客戶端是否為VPDN用戶。它通過使用其本地VPDN配置或聯(lián)系身份驗證、授權和記帳（AAA）服務器來執(zhí)行此操作。
由于客戶端是VPDN用戶，因此LAC會獲取一些信息（從其本地VPDN配置或AAA服務器獲取這些信息），這些信息用于啟動與LNS的L2TP或L2F隧道。
LAC使用LNS啟動L2TP或L2F隧道。
根據(jù)從LAC的請求中收到的名稱，LNS檢查是否允許LAC打開隧道（LNS檢查其本地VPDN配置）。此外，LAC和LNS相互進行身份驗證（它們使用本地數(shù)據(jù)庫或聯(lián)系AAA服務器）。然后，隧道在兩個設備之間啟動。在此隧道中，可以承載多個VPDN會話。
對于客戶端username@DomainName，將觸發(fā)從LAC到LNS的VPDN會話。每個客戶端有一個VPDN會話。
LAC將其協(xié)商的LCP選項以及從客戶端收到的username@DomainName和密碼轉發(fā)給LNS。
LNS從VPDN配置中指定的虛擬模板克隆虛擬訪問。LNS采用從LAC收到的LCP選項，并在本地或通過聯(lián)系AAA服務器對客戶端進行身份驗證。
LNS向客戶端發(fā)送CHAP響應。
執(zhí)行IP控制協(xié)議（IPCP）階段，然后安裝路由：PPP會話在客戶端和LNS之間啟動并運行。LAC只是轉發(fā)PPP幀。PPP幀在LAC和LNS之間通過隧道傳輸。
隧道協(xié)議
可以使用第2層轉發(fā)（L2F）或第2層隧道協(xié)議（L2TP）構建VPDN隧道。
L2F由思科在征求意見（RFC）2341中引入，也用于轉發(fā)多機箱多鏈路PPP的PPP會話。
RFC2661中引入的L2TP結合了思科L2F協(xié)議和微軟點對點隧道協(xié)議（PPTP）的優(yōu)點。此外，L2F僅支持撥入VPDN，而L2TP同時支持撥入和撥出VPDN。
兩種協(xié)議都使用UDP端口1701通過IP網(wǎng)絡構建隧道以轉發(fā)鏈路層幀。對于L2TP，隧道PPP會話的設置包括兩個步驟：
在LAC和LNS之間建立隧道。僅當兩個設備之間沒有活動隧道時，才會發(fā)生此階段。
在LAC和LNS之間建立會話。
LAC決定必須啟動從LAC到LNS的隧道。
LAC發(fā)送啟動-控制-連接-請求（SCCRQ）。此消息中包含CHAP質詢和AV對。
LNS使用啟動-控制-連接-應答（SCCRP）進行響應。此消息中包含CHAP質詢、對LAC質詢的響應和AV對。
LAC發(fā)送啟動-控制-連接連接（SCCCN）。CHAP響應包含在此消息中。
LNS以零長度正文確認（ZLBACK）進行響應。該確認可能會在另一條消息中攜帶。隧道已啟動。
LAC向LNS發(fā)送傳入呼叫請求（ICRQ）。
LNS使用傳入-呼叫-回復（ICRP）消息進行響應。
LAC發(fā)送傳入呼叫連接（ICCN）。
LNS以ZLBACK進行響應。該確認也可能在另一條消息中攜帶。
會話已結束。
注意： 上述用于打開隧道或會話的消息帶有RFC2661中定義的屬性值對（AVP）。它們描述屬性和信息（例如持有者帽、主機名、供應商名稱和窗口大?。?。一些AV對是必需的，而另一些是可選的。
注意： 隧道ID用于在LAC和LNS之間多路復用和解復用隧道。會話ID用于標識與隧道的特定會話。
對于L2F，隧道傳輸PPP會話的設置與L2TP相同。它涉及：
在NAS和家庭網(wǎng)關之間建立隧道。僅當兩個設備之間沒有活動隧道時，才會發(fā)生此階段。
在NAS和家庭網(wǎng)關之間建立會話。
NAS決定必須啟動從NAS到主網(wǎng)關的隧道。
NAS會向家庭網(wǎng)關發(fā)送L2F_Conf。此消息中包含CHAP質詢。
家庭網(wǎng)關以L2F_Conf響應。此消息中包含CHAP質詢。
NAS發(fā)送L2F_Open。此消息中包含家庭網(wǎng)關質詢的CHAP響應。
家庭網(wǎng)關以L2F_Open響應。NAS質詢的CHAP響應包含在此消息中。隧道已啟動。
NAS會向主網(wǎng)關發(fā)送L2F_Open。數(shù)據(jù)包包括客戶端的用戶名（client_name）、NAS發(fā)送到客戶端的CHAP質詢（challenge_NAS）及其響應（response_client）。
家庭網(wǎng)關通過發(fā)回L2F_OPEN接受客戶端。流量現(xiàn)在可以在客戶端和家庭網(wǎng)關之間自由地沿任一方向流動。
注意： 隧道由CLID（客戶端ID）標識。多路復用ID（MID）標識隧道內的特定連接。
