VPDN原理、实现及配置

益丰无线VPDN解决方案VPDN(Virtual Private Dialup Networks)是虚拟拨号专网技术的简称，它是基于拨号用户的虚拟专用网络，利用IP网络的承载功能，结合相应的认证和授权机制，在公用网络中建立专用的虚拟数据通信网络。

联通的4G/3G (LTE-FDD/TD-LTE)无线VPDN网络是利用LTE-FDD第四代移动通信网络(向下兼容3G)，结合无线上网卡和无线路由器等设备，为解决大客户益丰药房的内部办公网、生产网应用的无线数据传输业务。

相比GSM/WCDMA的VPDN网络，LTE-FDD能够为客户提供更高的数据传输速率，满足客户各种应用。

VPDN作为远程访问和网络互联的高效低价、安全可靠的解决方案，集灵活性、安全性、经济性以及可扩展性于一身，可充分满足企业分支机构、移动办公安全通信的需求，已成为一项相当普及的网络业务。

目前，无线VPDN技术已经在金融行业以及其他行业客户中得到了广泛应用。

联通VPDN产品是通过在客户端LNS和联通GGSN之间建立L2TP隧道的技术实现方式。

其采用统一的VPDN.JXAPN接入点名接入客户内网，不同的客户通过用户名中的企业域名进行区分。

该企业域名出现在无线终端拨号时所用的用户名中，一般为username@企业域名。

VPDN方式不采用三层的GRE隧道，采用更为安全的二层L2TP隧道在GGSN 与客户端之间建立专用通道连接。

VPDN方式可以支持客户端设置AAA，把认证请求送到客户端，由客户端AAA进行用户身份的第二次认证。

VPDN方式，客户可以自由规划其内网的网络设备与服务器的IP地址，不同客户的IP地址可以重叠。

VPDN业务技术实现方式1、VPDN网络拓扑结构客户的无线接入终端利用联通的LTE-FDD网络，接入联通VPDN平台，经过认证后，通过联通与客户的互联专线，实现无线接入终端与企业之间的数据传输。

在网络安全性方面，客户可以通过客户端的AAA服务器实现二次认证，并在联通与企业客户之间建立L2TP隧道，提高数据传输的安全性。

第一章.VPDN_组网方案1. 第一节什么是vpdnVPDN全名为VPDN_组网方案VPDN_组网方案PSTN+公用数据网）的架构来构筑企业的专用网络.2. 第二节Vpdn与Vpn的区别1. 1.VPN传统的VPN（Virtual Private Network ）系指电信网络架构提供者（Carrier Provider）利用Frame Relay、tunnel技术或者是ATM的广域网络架构，提供虚拟的带宽享功能，达到企业无须自己投资昂贵网络与人力即可建构企业广域的专用数据、多媒体通讯网络.2. 2.VPDNInternet VPN：在Internet 上，ISP亦可利用将VPN同样的观念应用在其主干网络上，提供企业以带宽共享的方式建构私有网络.VPN架构均系建筑在物理链接（Physical Link）的网络架构上，即是说网络各点均要以专线固定连接的方式连结始可运作.故对于那些具有大量移动通讯使用者的企业而言，VPN 就不是那么恰当了！因应上述需求，企业内部大量使用网际网络的技术来提供现有企业内部与外部网络信息的需求，故有Intranet、Extranet 市场的形成. 而在企业外部网络的应用上，因应网际网络的特质，无可避免的需考虑网际网络安全性、使用的方便性与周边应用软件、作业系统的配合性.3. 3.差异比较第二章.第二章.VPN技术简介第一节第一节二层隧道协议第二层隧道协议基于第三层隧道协议，它先把各种网络协议封装到PPP中，再把整个数据包装入隧道协议中，这种双层封装方法形成的数据包需靠第二层协议进行传输.第二层隧道协议有：✧✧点对点隧道协议(PPTP，Point to point protocol，微软公司支持)、✧✧第二层转发（L2F，layer 2 Forwarding，Cisco与北电支持）、✧✧第二层隧道协议（L2TP，Layer 2 tunneling protocol，由IETP起草）、在本方案中我们主要指得是L2TP的第二层隧道协议.3. 第二节协议的封装如图1：当vpdn用户拨号时，拨号服务器与公司的企业网关之间直接建立tunnel，在此过程中用户的数据如IPX，IP等协议，经过系列封装，通过tunnel传递到企业网关，在进行解包，传递到企业内部.图一具体封装如图2：所示REMOTEENTERPRISE HOST图二第三章.第三章.VPN的应用第二节第一节VPDN能给企业带来什么获取信息的重要媒体✧✧自我推介和广告宣传的好地方✧✧进行网上交易✧✧企业内部和企业间的信息传递4. 第二节企业信息化的需求••企业需要的服务完善的管理系统(OA、MIS、MRPII)••企业网络建设的模式(1)简单的局域网(LAN)(2)通过合法IP连接到广域网(WAN)(3)通过IP转换网关连接WAN(4)应用IP通道技术扩展企业网虚拟专网VPDN、VPN）••企业要考虑的问题安全管理业务资费••企业信息化的解决之道——拥有标志企业形象的信息站点——拥有连接和沟通世界信息通道——建立完善内部信息管理系统——建立企业的Intranet系统——建立企业的Extranet系统——虚拟公司、虚拟企业的建立5. 第三节虚拟拨号专网(VPDN)与企业的应用••企业信息网络的扩展是企业发展的必要••不同企业对网络应用有不同的需求，但企业网络的延伸是必要的——销售企业将企业信息网延伸到销售点——生产企业将企业信息网延伸到代理点——制造企业将购销信息网延伸到各地——行业管理部门把信息发布网延伸到下属企业——行政管理部门把办公网络拓展到相关部门——医疗保健部门把保健信息网拓展——银行金融机构需要拓展金融网络——ISP和ICP………••信息的双向传输是企业网络拓展的关键••企业信息网络扩展的长途拨号方式••企业信息网络扩展的专网组网方式••采用邮电公网建立企业虚拟专网••虚拟拨号专用网(VPDN)的特点——安全性好，不易受攻击——保密性好，可有效防止非法访问——价钱便宜，方便快捷——用户网络建设快——网络管理方便，可以自行生成和管理VPDN用户——组网灵活第四章.第四章.VPDN企业端接入的模式••从一般的企业来看，企业内部的intranet可以分为以下五种模式，针对与这五种模式，我们分别提出了vpdn的解决方案.••此种结构如图所示，企业只有一个路由器，内部使用合法（或私有）的ip地址，此时的vpdn 功能相当于一个普通的用户接入，但是对于某些特定的环境有一定的意义.••例如，某些网管设备限定某个网段的人能够登录，这样来讲，一个远程用户在远程无法对这些网管设备进行配置，但是vpdn可以实现这样的功能.••通过在企业网关以太口上设双地址，在内部使用代理服务器的方式，使VPDN拨入及局域网用户访问Internet.PSTN/ADSL 骨干互联网企业端LNS企业端移动用户••一个企业内部有多个子网，子网直接可以进行特定的访问.Vpdn远程用户可以于其中一个子网进行远程通讯，可以通过设定其网关来限定此用户是否可以访问其他子网内容.••通过使用代理服务器或者在router上进行地址翻译（Nat），可以达到VPDN拨入用户及保留地址子网内的用户访问Internet的功能.PSTN/ADSL 骨干互联网移动用户Vpdn Gateway企业端Radius serverproxy server•企业有自己的防火墙，并做nat ，某些防火墙本身（如pix ）支持vpdn ，这样以实现vpdn 穿透防火墙，以对企业内网进行访问.请注意，这种方式与第一种方式不同，企业内部使用的保留ip ，可以一部分进行静态翻译，一部分进行动态翻译.第五节 第四节 防火墙与企业网关并列•• 当企业的防火墙不支持vpdn 时候，可以采用此种方式实现vpdn ，主要采取access list 来保障PSTN/ADSL骨干互联网移动用户Vpdn Gateway企业端Radius serverproxy server 防火墙系统的安全性.pstn InternetAccess server企业端移动用户第五节企业网关在防火墙内部•针对于某些防火墙不能实现vpdn，也可以将企业网关放在防火墙内部，将防火墙中对于企业网关的限制打开，这样接入服务器才能于企业网关建立隧道，然后企业网关与内部进行通讯.11 / 11以上列举了VPDN 企业用户的5种应用模式.实际上，根据用户不同的应用需求、不同的局域网结构，可以选择不同的、适合企业自身的设计方案.以上5种方案仅供企业用户参考.Internet 移动用户pstn Access server Fire Wall Vpdn GateWay 企业端。

VPDN的工作原理1、一个vpdn用户拨叫网络访问服务器（NAS）。

这是一个标准的PPP呼叫。

用户名和密码以[email=username@domain]username@domain[/email] 的形式发送到NAS。

2、如果NAS上vpdn是启用的，它会假设拨入的用户是一个vpdn用户，它会将[email=username@domain]username@domain[/email]进行剥离，将domain部分作为用户名交给ACS进行授权（不进行认证）。

3、如果domain授权失败，NAS会认为这个用户不是一个VPDN用户，然后NAS会认证（不授权）这个用户是否是一个标准的非VPDN拨号用户。

如果domain授权成功，ACS会返回用以建立隧道的tunnel id 和home gateway（HG）的ip地址。

4、HG使用它自己的ACS来认证隧道，认证的用户名为NAS端隧道名字（the name of the tunnel。

5、HG和NAS之间开始认证隧道，请求NAS端进行认证的用户名为自己的tunnel id。

6、NAS使用自己的ACS来认证HG的隧道。

7、如果认证成功，隧道就建立了起来。

现在刚才拨入的用户就需要进行认证。

8、这时，HG开始认证刚才拨入的用户是否是直接拨入自己。

HG需要通过用户提供的密码来认证。

NAS 可以配置为剥离[email=username@domain]username@domain[/email]中的@和domain,只提供username信息，HG端的ACS通过username来认证用户。

9、如果隧道已经建立起来，另一个用户拨入NAS，NAS不会再经过上述的认证、授权过程，而是将新拨入用户的用户名信息提交给HG，由HG端的ACS来进行身份验证！总结：上述完整的实例中包含两个ACS角色，NAS端的和HG端的。

NAS端的ACS并不对首次拨入的用户进行身份认证，而是将域信息提取出来，提交给自己的ACS来认证。

中国联通3G网络组网解决方案利用3G网络实现分支网络节点的接入，利用中国联通的移动VPDN业务实现。

移动VPDN业务（以下简称VPDN业务）是利用中国联通基于WCDMA的3G宽带高速分组数据网为集团客户构建更加安全的、移动的、高速率的、有质量保证的虚拟专用数据网络，并能提供差异化的、安全可靠的无线数据解决方案。

适用于需要建立星型网络实现分支业务节点的安全接入并传输数据的客户用于取代有线网络。

客户总部需配备LNS路由器一台，并通过租用专线连接至中国联通行业应用专用GGSN。

当分支节点需要通过3G网络与企业总部进行通信时，分支节点的3G路由器发起呼叫，在LNS 与3G路由器之间建立L2TP通道，形成虚拟专网。

用户数据在L2TP通道中透明传输，从而做到与专网外部数据的逻辑隔离，保障了数据的安全性。

该方案的组网拓扑图如下：此组网方案中的重要网元主要有以下几个1. GGSNGGSN全称Gateway GPRS Support Node，是3G核心网中重要的网络设备。

GGSN负责3G网络与外部网络（如企业内网）的互联。

GGSN将从SGSN接收到的GPRS数据包转换成合适的网络协议的数据包，并转发至对应的外部网络，同时将从外部网络接收的数据包经地址转换后发送给SGSN。

GGSN的其他功能还包括PDP Contexts激活、APN（接入点）解析、IP地址分配及外网接入的路由选择、以及用户识别、业务控制等。

中国联通为集团客户行业应用建设了专属GGSN，在各省均有部署。

集团客户的VPDN数据业务与3G互联网的数据业务分别由不同的GGSN承载，从而保证也集团客户数据业务的安全和性能。

2. AAA平台AAA平台的作用是对用户的身份进行验证并授权。

中国联通3G核心网内设置AAA平台，可统一代客户进行介入客户的身份验证和授权，也可在企业内网部署AAA平台，客户自行对用户进行身份验证和授权。

对于银行等对网络安全性要求高的客户，建议在客户内网部署AAA平台。

华侨大学厦门工学院电信VPDN专网配置指南●Windows XP●Windows vista●Windows 7建立拨号前首先需确认电脑网卡设置为自动获取IP方式自动获取IP地址设置说明如下：控制面板→网络连接→本地连接→属性→Internet协议（TCP/IP）→属性→选择自动获取IP地址和自动获取DNS 服务器地址→确定。

Wind ows XP1、修改注册表由于WindowsXP系统缺省情况下启动了IPSec功能，因此在发起VPN请求时应禁止IPSec功能。

方法一：首先要完成一个必要的Windows注册表条目导入工作。

使用Windows XP/2000操作系统的用户，请双击下一行名为“L2TP Pro.....reg”图标。

弹出以下对话框。

点击“是”，接着部分Windows XP系统可能弹出以下对话框选择“运行”；出现以下对话框：选择“是”；即将相应注册表值导入。

弹出以下窗口：单击确定，此时相应注册表条目已导入。

然后重新启动计算机。

方法二：在命令行模式下执行regedit命令，弹出“注册表编辑器”对话框。

在左侧注册表项目中逐级找到：HKEY_LOCAL_MACHINE\System\ CurrentControlSet\Services \Rasman\Parameters，单击Parameters参数，接着在右边窗口空白处单击鼠标右键，选择［新建/DWORD］并新建一个注册表值（名称为ProhibitIPSec，值为1），然后重新启动WindowsXP。

2、创建VPN连接第一步：新建连接。

在控制面板里进入网络连接，在页面左侧点击“创建一个新的连接”。

第二步：创建新连接向导，点击下一步。

第三步：在网络连接类型里选择“连接到我的工作场所的网络”，点击下一步。

第四步：在网络连接对话框中选择虚拟专用网络连接，点击下一步。

第五步：输入接入VPN服务器组织的名称，点击下一步。

第六步：选择“不拨初始连接”，点击下一步。