吴响 臧浩 俞啸 赵强

摘要： 采用GNS3网络模拟器结合Vmware虚拟机实现对L2TPv3 over IPSec的仿真配置，解决跨地理位置的多个站点间的安全访问，分析L2TPv3 over IPSec相比于其他VPN的优势，通过设计和配置实验可以更好的掌握理论知识、提升实践能力，进而说明GNS3结合Vmware的应用价值。

关键词： GNS3；Vmware；L2TPv3 over IPSec

中图分类号：TP393 文献标识码：A 文章编号：1672-3791（2015）03（b）-0000-00

引 言

随着网络当中服务类型和需求越来越多，大型公司、医院、科研机构都在不断的拓展自己的业务，并购竞争对手或者并购不同业务的公司。为了使得公司的员工能够快捷、方便、安全的获取不同分部机构网络的资源，需要租赁服务提供商的专线业务，如果使用服务提供商的专线业务，将会面临巨大的资金投入。

VPN的出现彻底解决了这样的问题，它是一种使用价格低廉的网络建立网络隧道以解决上述问题的技术[1-2]。基于隧道发展出来的VPN技术有很多，不同的网络类型和网络需求我们需要使用不同的VPN技术，以保证网络的连续性和高效性[3]。

1实施背景分析及VPN技术的选定

1.1 实施背景分析

现有一个机构总部和一个分支机构，选定的技术既能够满足总部和分支信息资源的专用性，又能够确保数据在公网传输过程时不被劫持和破坏。因此VPN方案应当满足数据源认证、数据完整性、数据私密性、防止中间人攻击、防止数据重放以及地址重叠等方面的问题[4-5]。

1.2 VPN技术的选定

目前市面上的VPN技术有很多，大概分为两类：三层VPN技术和二层VPN技术。主流三层VPN技术有L2L VPN、GRE、EZVPN、SSL VPN、GETVPN。主流二层VPN技术有PPPoE

、PPTP、L2TPv2、L2TPv3。在保障VPN流量正常工作的同时，仍然希望其他业务流量不受影响，或者说尽量少的占用设备资源，推荐使用的是二层VPN[6-7]。在二层VPN技术里面能够保证两个网络完美对接同时又能解決地址重叠问题的技术只有L2TPv3。

在网络中有一个IPSec组件，这个组件定义的是高度解决网络之间通信的安全性。IPSec组件可以和多数的VPN技术结合使用，所以最终选定L2TPv3 over IPSec来解决上述问题的特殊需求[8-9]。

2 L2TPv3 VPN系统组成

一个基本的L2TPv3 over IPSec组网架构如图2.1所示，系统由VPDN、远端系统、LAC和LNS组成。其中VPDN采用隧道协议在公共网络上为企业建立安全的虚拟专网。分部机构可从远程经由公共网络，通过虚拟隧道实现和总部之间的网络连接。远端系统是要接入VPDN网络的分部机构，一般是私有网络的一台路由设备。LAC是具有PPP和L2TP协议处理能力的设备，一般是一个ISP的网络接入服务器，主要用于为PPP类型的用户提供接入服务，在这样一个网络里面，对应的LAC设备我们要做设备等级的下放，让私有的设备充当LAC。LNS既是PPP端系统，又是L2TP的服务器端。LNS是LAC的对端设备，是LAC进行隧道传输的PPP会话的逻辑终止端点。通过在公网中建立L2TP隧道，将远端系统的连接由原来的LAC在逻辑上传输到企业网内部的LNS。

3 仿真环境搭建

3.1 实验环境简介

实验中使用的仿真软件包括GNS3 0.7.3[10]、SecureCRT 5.1、VMware Workstation 10、Windows 7-64bit、Windows Server 2003 Enterprise Edition。GNS3中使用的Cisco IOS是c3640-jk9s-mz.124-16.BIN。

3.2 仿真实验拓扑结构

远程网络处于172.16.1.0/24、172.16.2.0/24和172.16.3.0/24中，remot network A site ip地址为172.16.3.200/24，网关地址为172.16.3.254/24，remot network A通过R2的IP地址为202.100.1.1/24的端口与Internet相连。Remot network B site ip地址为172.16.2.200，网关地址为172.16.3.254/24，该网络通过ip地址64.102.51.2连接Internet。

3.3 仿真环境搭建

步骤1：使用VMware虚拟出一台Windows server 2003作为remote network B site。

步骤2：在GNS3上使用cisco c3600系列三层交换模拟内网的LAC和LNS。

步骤3：使用GNS3使用两个cloud分别连接到VMnet 8和本地无线网卡。

步骤4：使用VMware把VMnet 8和Windows server 2003桥接在一起，模式为host-only。

3.4 主要配置命令

在R2和R4上配置L2TPv3 over IPSec VPN主要配置如下：

1） 创建L2TPv3控制面板

l2tp-class remot.network.A

hidden

authentication

hello 180

hostname remote-A

password 7 0822455D0A16

retransmit retries 16

timeout setup 60

cookie size 4

2） 创建L2TP的pseudowire-class模板

pseudowire-class remote.network.A

encapsulation l2tpv3

sequencing both

protocol none

ip local interface Loopback0

ip dfbit set

ip tos reflect

3） 抓取兴趣流

ip access-list extended l2tp-over-ipsec

permit 115 host 1.1.1.1 host 2.2.2.2

4） 创建IPSec组件

crypto isakmp policy 10

authentication pre-share

crypto isakmp key cisco address 64.102.51.2

crypto ipsec transform-set cisco esp-des esp-md5-hmac

crypto map cisco 10 ipsec-isakmp

set peer 64.102.51.2

set transform-set cisco

match address l2tp-over-ipsec

5） 接口绑定XCONNECT服务

interface FastEthernet0/0

xconnect 2.2.2.2 888888 encapsulation l2tpv3 manual pw-class remote.network.A

l2tp id 1111 2222

l2tp cookie local 4 12345

l2tp cookie remote 4 54321

l2tp hello remote.network.A

3.5 仿真结果分析

在R2和R4上配置L2TPv3 over IPSec VPN之前，虽然PC能够和网关通信，但是两个内网之间是不能能通信的。当我们把VPN部署完成之后，内网各个节点都是可以互相访问的，即使它们的IP地址存在重叠。如图2所示，建立了隧道之后，设备上面拥有了对方网络的路由条目。

4 结束语

传统的VPN技术对于现在的网络需求日益疲惫，设备厂商和机构也在不断的研发新的VPN技术，这有利于架构多样性的网络，传统VPN技术注定会被淘汰。L2TPv3是VPN隧道尽头的曙光，因为它的出现让运营商出现了商机，虽然L2TPv3是面向运营商级别的协议，但是这并不妨碍我们降级使用这个技术，利用GNS3模拟器结合Vmware虚拟机，通过实验探讨了L2TPv3的部署，同时也让VPN技术的灵活使用变成了可能。

[1] 徐家臻，陈莘萌.基于IPSec与基于SSL的VPN的比较与分析[J].计算机工程与设计，2004，25（4）：586-588.

[2] 赵阿群，吉逸，顾冠群等.支持VPN的隧道技术研究[J].通信学报，2000，21（6）：85-91.

[3] 皮建勇，刘心松，廖东颖等.基于VPN的电力调度数据网络安全方案[J].电力系统自动化，2007，31（14）：94-97.

[4] 曾巧红.VPN技术在高校图书馆的应用[J].情报学报，2005，24（3）：357-362.

[5] 楊浩淼，程红蓉，张文科等.基于虚拟机的VPN综合实验设计[J].信息安全与通信保密，2012，（6）：56-58.

[6] 沈振兴.一种高可用L2TP校园网认证方案的设计及实现[J].现代计算机（专业版），2014，（24）：47-50.

[7] 刘学普，周阳.基于L2TP/IPSec的企业远程移动办公网的构建[J].宁波职业技术学院学报，2013，（5）：99-101.

[8] 文建阔，昂志敏.基于L2TP和IPSec集成的车载无线终端传输网络设计[J].微型机与应用，2012，31（14）：47-50.

[9] 邹县芳，宋杰，陈蕴等.基于L2TP/IPSec的VPN技术在校园网中的研究和应用[J].阜阳师范学院学报（自然科学版），2007，24（3）：70-74.

[10] 刘诗瑾.GNS3在网络安全实验教学中的应用[J].价值工程，2015，（25）：176-176，177.

一定保留：

江苏省产学研联合创新项目（BY2014033）徐州市科技计划项目（XM13B021）；徐州市科技计划项目（XM12B077）；

作者信息：吴响（1985-），男，江苏徐州，博士，实验师，从事医学物联网、无线体域网的研究工作