vpdn原理

VPDN无线专网组网方案

信息安全对于民航企业而言，有着至关重要的意义。正因如此，各大民航企业，无不在信息化建设上进行了大力投入。以关键数据传输电路为例，各大航空企业均使用不同运营商的电路互为主备，甚至再开通第三条电路作为再备。随着WCDMA技术的大规模应用，组建无线专网，代替传统电路作为备份电路，为企业降低运营成本成为一种趋势。

以下为中国联通为民航企业所做VPDN无线专网组网方案：

1.1 拓扑结构

图1专线备份VPDN组网方式

图1描述的是VPDN专网的网络拓扑图，采用本组网方式，航空企业所有专线备份设备都处于一个客户专用网络内，用户可以给自己给无线终端设备来分配IP地址。同时，采用本组网方式，航空企业专网和互联网完全隔离，数据保密性好，航空企业专网不会受到来自互联网上的黑客及病毒的侵袭，能够有效保证稳定的传输速率和带宽。下面分别对图中各个设备进行介绍。

●WCDMA无线路由器：通过网线连接航空企业需进行专线备份信息点。

● 联通GGSN：即网关支持节点, 用户通过WCDMA接入网络接入到GGSN，GGSN判断是VPN用户，向指定的LNS发起L2TP连接。

● 联通AAA服务器：负责对用户的域名进行鉴权认证，AAA服务器对登录用户的域名和该用户的用户名密码核对验证。验证通过后，方可接入联通网络。

● 专线：采用联通的专线，此专线将联通的GGSN和用户的LNS设备连接起来。

● 用户侧路由器（LNS）：需支持L2TP协议，RADIUS协议,要与GGSN建立L2TP隧道。

● 企业AAA服务器：用于认证、授权、计费，实现对拨号用户名、密码和IP地址的管理，此服务器为可选配置，用于提高网络的安全性。

● 航空企业内部营业网服务器：为用户侧应用服务器，在连接建立之后此服务器可以自由地与无线终端进行通信。

1.2 VPDN建立流程

SGSNGGSN图2 VPDN连接建立流程

用户的拨号呼叫流程如下：

第一章. 第一章. VPDN与VPN技术概述

1. 第一节 什么是vpdn

VPDN全名为Virtual Private Dial-Up Networks 虚拟拨号专用网络，亦即利用公众电话网络（PSTN+公用数据网）的架构来构筑企业的专用网络。

2. 第二节 Vpdn与Vpn的区别

1. 1. VPN

传统的VPN（ Virtual Private Network ）系指电信网络架构提供者（Carrier Provider）利用Frame

Relay、tunnel技术或者是ATM的广域网络架构，提供虚拟的带宽享功能，达到企业无须自己投资昂贵网络与人力即可建构企业广域的专用数据、多媒体通讯网络。

2. 2. VPDN

Internet VPN：在 Internet 上，ISP亦可利用将VPN同样的观念应用在其主干网络上，提供企业以带宽共享的方式建构私有网络。

VPN架构均系建筑在物理链接（Physical Link）的网络架构上，即是说网络各点均要以专线固定连接的方式连结始可运作。故对于那些具有大量移动通讯使用者的企业而言，VPN 就不是那么恰当了！

因应上述需求，企业内部大量使用网际网络的技术来提供现有企业内部与外部网络信息的需求，故有Intranet、Extranet 市场的形成。 而在企业外部网络的应用上，因应网际网络的特质，无可避免的需考虑网际网络安全性、使用的方便性与周边应用软件、作业系统的配合性。

3. 3. 差异比较

网络功能 传统网络 VPN VPDN

Connection Dialup Connection 有 无 有

Leased Line Connection 有 有 有

Security Encryption 无 有 有

Authentication 无 有 有

Firewall 无 有 有

Bandwidth

VPDN组网技术

一．VPDN简介

VPDN（Virtual Private Dial Network，虚拟私有拨号网）是指利用公共网络（如ISDN和PSTN）的拨号功能及接入网来实现虚拟专用网，从而为企业、小型ISP、移动办公人员提供接入服务。

VPDN采用专用的网络加密通信协议，在公共网络上为企业建立安全的虚拟专网。企业驻外机构和出差人员可从远程经由公共网络，通过虚拟加密隧道实现和企业总部之间的网络连接，而公共网络上其它用户则无法穿过虚拟隧道访问企业网内部的资源。

二.VPDN有下列两种实现方式：

1.NAS通过隧道协议，与VPDN网关建立通道的方式。这种方式将客户的PPP连接直接连到企业的网关上，目前可使用的协议有L2F与L2TP。其好处在于：对用户是透明的，用户只需要登录一次就可以接入企业网络，由企业网进行用户认证和地址分配，而不占用公共地址，用户可使用各种平台上网。这种方式需要NAS支持VPDN协议，需要认证系统支持VPDN属性，网关一般使用路由器或VPN专用服务器。

2.客户机与VPDN网关建立隧道的方式。这种方式由客户机先建立与Internet的连接，再通过专用的客户软件（如Win2000支持的L2TP客户端）与网关建立通道连接。其好处在于：用户上网的方式和地点没有限制，不需ISP介

入。缺点是：用户需要安装专用的软件（一般都是Win2000平台），限制了用户使用的平台。

3.VPDN隧道协议可分为PPTP、L2F和L2TP三种，目前使用相当许多的是L2TP。

三、L2TP协议介绍

1.协议背景

2.PPP协议定义了一种封装技术，可以在二层的点到点链路上传输多种协议数据包，这时用户与NAS之间运行PPP协议，二层链路端点与PPP会话点驻留在相同硬件设备上。

3.L2TP协议提供了对PPP链路层数据包的通道（Tunnel）传输支持，允许二层链路端点和PPP会话点驻留在不同设备上并且采用包交换网络技术进行信息交互，从而扩展了PPP模型。L2TP协议结合了L2F协议和PPTP协议的各自优点，成为IETF有关二层隧道协议的工业标准。

黑龙江省通信公司VPDN虚拟拨号专网服务依托CNCnet全光纤高速骨干网，利用Internet公网隧道加密技术，通过灵活的拨号上网方式，为企业分支机构间的通信、移动办公、家庭办公提供便捷高效的解决方案。

主要特点如下：

▪ 组网灵活

黑龙江省通信公司VPDN依附于CNCnet宽带高速互联网。在全省网络覆盖范围内对VPDN业务提供安全、高速、有效的支持，使用户真正实现高效便捷的移动办公。

▪ 安全可靠

以L2TP技术在两端建立安全隧道（Tunnel），通过虚拟专用的通道来传输信息，防止来自Internet的恶意攻击，确保用户通信数据的安全。

▪ 管理方便

网络管理方便，用户可以自行添加、删除、管理自己的VPDN访问用户及访问权限。企业员工可以使用自己专用的账号和口令拨号上网访问本企业的内部网。

▪ 超强保密 （有效防止非法访问）

VPDN用户通过拨号上网访问本企业的内部网，需经过接入服务器的身份校验，在访问过程中同时也受到企业内部网访问权限的控制，不能任意访问所有资源,便于企业信息的安全管理。

▪ 操作简便

用户端无需做任何特别配置，同普通拨号上网一样，输入VPDN帐号就能自动连至公司的内部网络。

▪ 节省成本

用户可以随时随地拨通16900，通过本地电话线拨号访问企业的内部网，而不需要支付长途话费，大大节省电话费用。

基本原理：

VPDN主要由网络接入服务器（NAS）、用户端设备（CPE）组成,如下图所示。其中NAS由通信公司提供，目前我省接入服务器主要以华为、中兴、3COM设备为主，其作用是作为VPDN的接入服务，提供广域网接口，负责与PSTN、ISDN的连接，并支持各种LAN的协议、安全管理和认证、隧道及相关技术；CPE是VPDN的用户端设备，位于用户总部，根据网络功能的不同，可以是由NAS、路由器或防火墙等提供相关的设备来担任，目前我省用户端设备多为CISCO路由器。