L2TP协议

L2TP(Layer 2 Tunneling Protocol) 第二层隧道协议。该协议是工业标准的Internet隧道协议。

LAC （L2TP Access Concentrator L2TP访问集中器） 是附属在交换机网络中具有PPP端系统和L2TP协议处理能力的设备。LAC一般是一个网络接入服务器NAS（Network Access Server），主要用于通过PSTN/ISDN网络为用户提供接入服务。
LNS （L2TP Network Server L2TP网络服务器） 是PPP端系统上用于处理L2TP协议服务器端部分的设备。
VPDN (virtual Private Dial Network，虚拟私有拨号网） 指利用公共网络（如ISDN,PSDN）的编号功能及接入网来实现虚拟专用网。
（1）PC机和LNS直连

PC机的报文在PPP内网环境中发送到LAC，由LAC封装L2TP，再通过外网的报文正常转发给LNS的报文封装过程。

LAC和LNS之间存在两种连接，隧道连接（一对LAC和LNS之间可以有多个L2TP隧道）和会话连接（复用在隧道连接之上，用于表示承载在隧道连接中的每个PPP会话进程）
隧道由一个控制连接和一个或多个会话连接组成。会话必须在隧道建立（包括身份保护、L2TP版本、帧类型、硬件传输类型等信息的交换）成功之后进行，每个会话连接对应于LAC和LNS之间的一个PPP数据流。控制消息和PPP数据报文都在隧道上传输。
L2TP使用Hello报文来检测隧道的连通性。LAC和LNS定时向对端发送Hello报文，若在一段时间内未收到Hello报文的应答，该隧道连接将被断开。
L2TP报文头中包含隧道标识符（Tunnel ID）和会话标识符（Session ID）信息，用来标识不同的隧道和会话。隧道标识相同、会话标识不同的报文将被复用在一个隧道上，报文头中的隧道标识符与会话标识符由对端分配。

L2TP是数据链路层协议，报文分为数据消息和控制消息。数据消息用PPP帧，该帧作为L2TP报文的数据区，L2TP不保证数据消息的可靠投递，若报文丢失，不予重传，不支持对数据消息的流量控制和拥塞控制。
控制消息用以建立、维护和终止控制连接及会话，L2TP确保其可靠投递，并支持对控制消息的流量控制和拥塞控制。

通常，L2TP会和IPSec结合使用，IPSec提供加密功能，此时数据封装形式为：

L2TP vs PPTP
（1）PPTP要求互联网络为IP网络，L2TP只要求隧道媒介提供面向数据包的点对点连接。L2TP可以在IP（使用UDP），帧中继永久虚拟电路，ATM 虚拟电路网络上使用
（2）PPTP只能在两端点之间建立单一隧道，L2TP支持在两端点见使用多隧道。使用L2TP，用户可以针对不同的服务质量创建不同的隧道
（3）L2TP可以提供包头压缩。当压缩包头时，系统开销占用4个字节，而PPTP协议要用6个字节
（4）PPTP依靠MPPE提供加密服务，而L2TP依靠IPSec提供加密服务

L2TP是一种工业标准的Internet隧道协议，功能大致和PPTP协议类似，需要服务器请到TG@Daisy9677/@Vicky105805找我，比如同样可以对网络数据流进行加密。不过也有不同之处，下面我详细带大家了解L2TP

l2tp是什么意思？

第2 层隧道协议 (L2TP)是IETF基于L2F

(Cisco的第二层转发协议)开发的PPTP的后续版本。是一种工业标准Internet 隧道协议，其可以为跨越面向数据包的媒体发送点到点协议(PPP) 框架提供封装。PPTP和L2TP都使用PPP协议对数据进行封装，然后添加附加包头用于数据在互联网络上的传输。PPTP只能在两端点间建立单一隧道。L2TP支持在两端点间使用多隧道，用户可以针对不同的服务质量创建不同的隧道。L2TP可以提供隧道验证，而PPTP则不支持隧道验证。但是当L2TP 或PPTP与IPSEC共同使用时，可以由IPSEC提供隧道验证，不需要在第2层协议上验证隧道使用L2TP。 PPTP要求互联网络为IP网络。L2TP只要求隧道媒介提供面向数据包的点对点的连接，L2TP可以在IP(使用UDP)，桢中继永久虚拟电路(PVCs),X25虚拟电路(VCs)或ATM VCs网络上使用。

L2TP通过拨号网络，基于PPP的协商，建立企业分支用户到企业总部的隧道，使远程用户可以接入企业总部。PPPoE（PPP

over Ethernet）技术更是扩展了L2TP的应用范围，通过以太网络连接Internet，建立远程移动办公人员到企业总部的L2TP隧道。

PPTP和L2TP有哪些区别？

1、PPTP要求互联网络为IP网络。L2TP只要求隧道媒介提供面向数据包的点对点的连接。L2TP可以在IP（使用UDP），帧中继永久虚拟电路（PVCs）、X25虚拟电路（VCs）或ATM网络上使用。

2、PPTP只能在两端点间建立单一隧道。L2TP支持在两端点间使用多隧道。使用L2TP，用户可以针对不同的服务质量创建不同的隧道。

3、L2TP可以提供包头压缩。当压缩包头时，系统开销（overhead）占用4个字节，而PPTP协议下要占用6个字节。

4、L2TP可以提供隧道验证，而PPTP则不支持隧道验证。但是当L2TP或PPTP与IPsec共同使用时，可以由IPsec提供隧道验证，不需要在第2层协议上验证隧道。

L2TP协议支持备份LNS，当一个主LNS不可达之后，LAC可以与备份LNS建立连接，增强了异地组网服务的可靠性

□ 信息产业部电信规划研究院 翟海生
  
  一、IP 隧道协议
  
  目前IP网上较为常见的隧道协议大致有两类：第二层隧道协议（包括PPTP、L2F、L2TP）和第三层隧道协议（包括GRE、IPSec、MPLS）。二层和三层隧道协议的区别主要在于用户数据在网络协议栈的第几层被封装。第二层隧道技术的起始点在网络接入服务器（NAS），终点在用户网设备（CPE）上。另外，在隧道内整个PPP帧都封装在内，PPP会话要贯穿到CPE界内的网关或服务器上。第三层隧道技术的起点及终点均在ISP界内，PPP会话终止于NAS内，只携带第三层报文体，终接设备同时也作为CPE的网关。
  
  1．第二层隧道协议
  
  第二层隧道协议可以支持多种路由协议（如IP、IPX和AppleTalk）,也可以支持多种广域网技术（如FR、ATM、X25或SDH／SONET）,还可以支持任意局域网技术(如以太网、令牌环和FDDI等)。
  
  PPTP
  
  PPTP（点到点隧道协议）是由PPTP论坛开发的点到点的安全隧道协议，为使用电话上网的用户提供安全业务，1996年成为IETF草案。PPTP是PPP协议的一种扩展，提供了在IP网上建立多协议的安全的通信方式，远端用户能够通过任何支持PPTP的ISP访问企业的专用网络。PPTP提供PPTP客户机和PPTP服务器之间的保密通信。PPTP客户机是指运行该协议的PC机，PPTP服务器是指运行该协议的服务器。
  
  通过PPTP，客户可以采用拨号方式接入公共的IP网。拨号客户首先按常规方式拨号到ISP的接入服务器，建立PPP连接；在此基础上，客户进行二次拨号建立到PPTP服务器的连接，该连接称为PPTP隧道。PPTP隧道实质上是基于IP协议的另一个PPP连接，其中IP包可以封装多种协议数据，包括TCP／IP、IPX和NetBEUI。对于直接连接到IP网的客户则不需要第一次的PPP拨号连接，可以直接与PPTP服务器建立虚拟通路。
  
  PPTP的最大优势是Microsoft公司的支持。NT40已经包括了PPTP客户机和服务器的功能，并且考虑了Windows95环境。另外一个优势是它支持流量控制，可保证客户机与服务器间不拥塞，改善通信性能，最大限度地减少包丢失和重发现象。PPTP把建立隧道的主动权交给了客户，但客户需要在其PC机上配置PPTP，这样做既会增加用户的工作量，又会造成网络的安全隐患。另外，PPTP仅工作于IP，不具有隧道终点的验证功能，需要依赖用户的验证。
  
  L2F
  
  L2F（Layer 2 Forwarding）是由Cisco公司提出的，可以在多种介质（如 ATM、FR、IP）上建立多协议的安全的通信方式。它将链路层的协议（如 HDLC、PPP、ASYNC等）封装起来传送，因此网络的链路层完全独立于用户的链路层协议。该协议1998年提交给IETF，成为RFC2341。
  
  L2F远端用户能够通过任何拨号方式接入公共IP网络。首先，按常规方式拨号到ISP的接入服务器（NAS），建立PPP连接；NAS根据用户名等信息发起第二次连接，呼叫用户网络的服务器，这种方式下，隧道的配置和建立对用户是完全透明的。
  
  L2F允许拨号服务器发送PPP帧，并通过WAN连接到L2F服务器。L2F服务器将包去封装后，把它们接入到企业自己的网络中。与PPTP和L2F所不同的是，L2F没有定义客户。L2F的主要缺陷是没有把标准加密方法包括在内，因此它基本上已经成为一个过时的隧道协议。
  
  L2TP
  
  L2TP协议是由Cisco、Ascend、Microsoft、3Com和Bay等厂商共同制订的，1999年8月公布了L2TP的标准RFC2661。上述厂商现有的设备已具有L2TP的互 *** 作性。
  
  L2TP结合了L2F和PPTP的优点，可以让用户从客户端或接入服务器端发起连接。L2TP定义了利用公共网络设施封装传输链路层PPP帧的方法。目前用户拨号访问因特网时，必须使用IP协议，并且其动态得到的IP地址也是合法的。L2TP的好处就在于支持多种协议，用户可以保留原来的IPX、AppleTalk等协议或企业原有的IP地址，企业在原来非IP网上的投资不致于浪费。另外，L2TP还解决了多个PPP链路的捆绑问题。
  
  L2TP主要由LAC（接入集中器）和LNS（L2TP网络服务器）构成。LAC支持客户端的L2TP，用于发起呼叫、接收呼叫和建立隧道。LNS是所有隧道的终点。在传统的PPP连接中，用户拨号连接的终点是LAC，L2TP使得PPP协议的终点延伸到LNS。
  
  在安全性考虑上

下面将简单介绍一下 L2TP 网络协议。应用 L2TP 所构建的典型 *** 服务的结构 其中，LAC 表示 L2TP 访问集中器（L2TP Access Concentrator ），是附属在交换网络上的具有 PPP 端系统和 L2TP 协议处理能力的设备，LAC 一般就是一个网络接入服务器 NAS（Network Access Server）它用于为用户通过 PSTN/ISDN 提供网络接入服务；LNS表示 L2TP 网络服务器（L2TP Network Server），是 PPP 端系统上用于处理 L2TP 协议服务器端部分的软件。
在一个 LNS 和 LAC 对之间存在着两种类型的连接，一种是隧道（tunnel）连接，它定义了一个 LNS 和 LAC 对；另一种是会话（session）连接，它复用在隧道连接之上，用于表示承载在隧道连接中的每个 PPP 会话过程。 L2TP 连接的维护以及 PPP 数据的传送都是通过 L2TP 消息的交换来完成的，这些消息再通过 UDP的 1701 端口承载于 TCP/IP 之上。L2TP 消息可以分为两种类型，一种是控制消息，另一种是数据消息。控制消息用于隧道连接和会话连接的建立与维护。数据消息用于承载用户的 PPP 会话数据包。
L2TP 连接的维护以及 PPP 数据的传送都是通过 L2TP 消息的交换来完成的，这些消息再通过UDP的1701端口承载于 TCP/IP之上。 控制消息中的参数用 AVP 值对（Attribute Value Pair）来表示，使得协议具有很好的扩展性；在控制消息的传输过程中还应用了消息丢失重传和定时检测通道连通性等机制来保证了 L2TP 层传输的可靠性。数据消息用于承载用户的 PPP 会话数据包。L2TP 数据消息的传输不采用重传机制，所以它无法保证传输的可靠性，但这一点可以通过上层协议如 TCP 等得到保证；数据消息的传输可以根据应用的需要灵活地采用流控或不流控机制，甚至可以在传输过程中动态地使用消息序列号从而动态地激活消息顺序检测和流量控制功能；在采用流量控制的过程中，对于失序消息的处理采用了缓存重排序的方法来提高数据传输的有效性。 L2TP 还具有适用于*** 服务的以下几个特性：
灵活的身份验证机制以及高度的安全性 L2TP 可以选择多种身份验证机制（CHAP、PAP 等），继承了 PPP 的所有安全特性，L2TP 还可以对隧道端点进行验证，这使得通过 L2TP 所传输的数据更加难以被攻击。而且根据特定的网络安全要求还可以方便地在 L2TP 之上采用隧道加密、端对端数据加密或应用层数据加密等方案来提高数据的安全性。
内部地址分配支持 LNS可以放置于企业网的防火墙之后，它可以对于远端用户的地址进行动态的分配和管理，可以支持 DHCP 和私有地址应用（RFC1918）等方案。远端用户所分配的地址不是Internet地址而是企业内部的私有地址，这样方便了地址的管理并可以增加安全性。
网络计费的灵活性
可以在LAC和LNS两处同时计费，即ISP处（用于产生帐单）及企业处（用于付费及审记）。L2TP 能够提供数据传输的出入包数，字节数及连接的起始、结束时间等计费数据，可以根据这些数据方便地进行网络计费。
可靠性
L2TP 协议可以支持备份 LNS，当一个主 LNS 不可达之后，LAC（接入服务器）可以重新与备份 LNS 建立连接，这样增加了 *** 服务的可靠性和容错性。 统一的网络管理 L2TP 协议将很快地成为标准的 RFC 协议，有关 L2TP 的标准 MIB 也将很快地得到制定，这样可以统一地采用 SNMP 网络管理方案进行方便的网络维护与管理。

---