3G虚拟专网产品解决方案.doc

3G虚拟专网产品解决方案 1 项目简介 1 2 四川联通3G虚拟专网产品技术标准选型介绍 1 2.1 什么是VPDN 1 2.2 什么是L2TP 2 2.3 3G虚拟专网产品为什么采用L2TP 2 3 四川联通3G虚拟专网产品的安全性 2 3.1 口令验证协议（PAP） 3 3.2 挑战—握手验证协议（CHAP） 3 3.3 防入侵的安全策略 3 3.4 IPSEC VPN 3 4 网络元素结构 4 4.1 WCDMA无线网络结构 4 4.2 基于专线的3G虚拟专网产品连接图 4 5 四川联通3G虚拟专网产品的实现过程 5 5.1 系统构成部分 5 5.2 实现过程 5 项目简介 中国银行各营业厅、移动银行车、ATM、POS需要实时和中央数据平台进行数据交互，需快速部署网络接入。 随着3G的推广，未来为机器与机器（M2M）之间的数据通信提供移动数据服务，一定会成为3G新的业务增长点。为充分利用3G网络的高速率、实施方便、可移动性的优点，解决政企行业最后一到数十公里的数据传输业务需求，四川联通开发了“3G虚拟专网”产品，该产品将是四川联通在3G行业应用时代发展潜力最大、发展速度最快的业务之一。Layer 2 Tunneling Protocol）协议的VPDN（Virtual Private Dial-up Network）专网。终端由企业分配其内部IP地址，终端只需一次拨号就可以连入企业内部网络，企业客户具有很好的操控性。 什么是VPDN VPDN全称是Virtual Private Dial-up Network，又称为虚拟专用（或私有）拨号网，是VPN业务的一种，是基于拨号用户的虚拟专用拨号网（VPN）业务。亦即以拨号接入方式上网，通过利用联通公司WCDMA分组网络上传输数据时，对网络数据的封包和加密，可以传输私有数据，达到私有网络的安全级别。它是利用IP网络的承载功能结合相应的认证和授权机制建立起来的安全的虚拟专用网（VPN）。 VPDN的具体实现是采用隧道技术，即将企业网的数据封装在隧道中进行传输。隧道技术的基本过程是在源局域网与公网的接口处将数据（是OSI七层模型中的网络层数据）作为负载封装在一种可以在公网上传输的数据格式中，在目的局域网与公网的接口处将数据解封装，取出负载。被封装的数据包在互联网上传递时所经过的逻辑路径被称为“隧道”。要使数据顺利地被封装、传送及解封装，通信协议是保证的核心。目前VPN隧道协议可分为第三层隧道协议和第二层隧道协议。第二层隧道协议有点对点隧道协议（PPTP）、第二层转发（L2F）、第二层隧道协议（L2TP）三种。 什么是L2TP PPTP是PPP的扩展，它增加了一个新的安全等级，并且可以通过Internet进行多协议通信，它支持通过公共网络（如Internet）建立按需的、多协议的、虚拟专用网络。通过启用PPTP的VPN传输数据就像在企业的一个局域网内那样安全。另外还可以使用PPTP建立专用LAN到LAN的网络。 　　L2F（第二层转发）协议是由Cisco公司提出的可以在多种媒质如ATM、帧中继、IP网上建立多协议的全VPN通信方式。远端用户能够透过任何支持用户采用拨号方式接入公共IP网络，首先按常规方式拨号到ISP的接入服务器NAS，建立PPP连接；NAS根据用户名等信息，发起第二重连接，通向隧道终结点服务器。在这种情况下隧道的配置、建立对用户是完全透明的。 　　L2TP（第二层隧道协议）结合了L2F和PPTP的优点，它和PPTP的功能大致相同。L2TP也会压缩PPP的帧，从而压缩IP、IPX或NetBEUI协议，同样允许用户远程运行依赖特定网络协议的应用程序。目前L2TP只支持通过IP网络建立隧道，不支持通过X.25、帧中继或ATM网络的本地隧道。 3G虚拟专网产品为什么采用L2TP VPDN主要是采用第二层隧道协议（L2TP），四川联通3G虚拟专网产品为什么会采用L2TP？有以下几点原因： （1）对于GRE及IPSec这些三层隧道协议，区分用户将比较困难；因为在三层（IP层），一般只能通过IP 地址来区分用户。对于VPN来说，用户的地址是可以重复的，这样，三层隧道协议不适合区分用户。 （2）L2TP 是二层（链路层）的隧道协议，是作为PPP 的扩展提出来的。PPP适合区分不同的用户，比如拨号用户、采取专线直连的对端路由器等等，因为PPP 可以得到对端的用户名。对于拨号用户接入这种情况来说，需要区分不同的VPN 用户，使用L2TP进行VPDN组建。 （3）采用L2TP隧道协议，只分配企业网内部IP地址，而PPTP等第二层的隧道协议，要求有正式的IP地址，在拨入拨号服务器时，由拨号服务器提供，再二次拨入企业网关时，由企业网关分配内部网地址。 四川联通3G虚拟