PPP 数据包的第 2 层隧道

L2TP 在 RFC 2661 第二 层隧道协议 （L2TP） 中定义。

L2TP 有助于以对最终用户和应用程序尽可能透明的方式在干预网络中建立 PPP 数据包的隧道。它使用访问配置文件进行组和个人用户访问，并使用身份验证在每个隧道的两端之间建立安全连接。还支持多链路 PPP 功能。

L2TP 服务仅在以下路由器上受支持：

• 带 AS PIC 的 M7i 路由器

• 具有 AS 和多服务 100 PIC 的 M10i 路由器

• 具有 AS、多服务 100 和多服务 400 PIC 的 M120 路由器

• 在 MX 系列路由器上，L2TP 访问集中器 （LAC） 和 L2TP 网络服务器 （LNS） 功能仅在 MPC 上受支持;它们在任何服务 PIC 或 MS-DPC 上均不受支持。有关 MPC 对 L2TP 的支持的详细信息，请参阅 MX 系列接口模块参考

有关更多信息，请参阅 L2TP 服务配置概述。

用于配置 L2TP 服务的语句位于以下层次结构级别：

• [编辑服务 L2TP 隧道组 group-name]

  L2TP 隧道组 语句标识 L2TP 实例或 L2TP 服务器。关联语句指定接受传入隧道和会话的本地网关地址、处理此隧道组中会话数据的自适应服务 （AS） 物理接口卡 （PIC）、对 L2TP 和 PPP 访问配置文件的引用，以及用于配置窗口大小和计时器值的其他属性。

• [编辑接口 sp-fpc/pic/port 单位 logical-unit-number 拨号选项]

  拨号选项语句包括 l2tp-interface-id 语句和共享/专用标志的配置。接口标识符将用户会话与逻辑接口相关联。会话可以使用共享或专用逻辑接口。要运行路由协议，会话必须使用专用逻辑接口。

• [编辑访问配置文件 profile-name 客户端 name L2TP]

  隧道配置文件在 [编辑访问权限] 层次结构级别定义。隧道客户端在这些配置文件中使用身份验证、多链路协商和分段以及其他 L2TP 属性进行定义。

• [编辑访问配置文件 profile-name 客户端 name PPP]

  用户配置文件在 [编辑访问权限] 层次结构级别定义。在这些配置文件中，使用身份验证和其他 PPP 属性定义用户客户端。指定本地身份验证时，将使用这些客户端配置文件。

• [编辑访问半径-服务器 address]

  在 [编辑访问配置文件profile-name] 层次结构级别配置身份验证顺序半径时，必须在 [编辑访问半径服务器] 层次结构级别配置 RADIUS 服务。

注意：

有关在 [edit access] 层次结构级别配置属性的详细信息，请参阅 Junos OS 路由设备管理库。有关 MX 系列路由器上用于订阅者访问的 L2TP LAC 和 LNS 配置的信息，请参阅 Junos 订阅者访问配置指南中的用于订阅者访问的 L2TP 概述。

要配置 L2TP 服务，必须至少执行以下任务：

• 使用以下属性在层次结构级别定义 [edit services l2tp] 隧道组：

  • l2tp-access-profile— L2TP 隧道的配置文件名称。

  • ppp-access-profile- L2TP 用户的配置文件名称。

  • local-gateway—L2TP 隧道的地址。

  • service-interface— L2TP 服务的 AS PIC 接口。

  • （可选）您可以进行配置 traceoptions 以进行调试。

  以下示例显示了具有跟踪选项的隧道组的最低配置：

• 在 [edit interfaces] 层次结构级别：

  • 标识 L2TP 隧道数据包进入路由器的物理接口，例如 ge-0/3/0。

  • 使用 为 unit 0 family inet IP 服务定义配置 AS PIC 接口，并使用 和family inetdial-options语句配置另一个逻辑接口。

  以下示例显示了 L2TP 的最低接口配置：

• 在 [edit access] 层次结构级别：

  • 配置隧道配置文件。每个客户端指定一个唯一的 L2TP 接入集中器 （LAC） 名称，其 interface-id 值与 AS PIC 接口单元上配置的值匹配; shared-secret 即 LAC 和 L2TP 网络服务器 （LNS） 之间的身份验证。

  • 配置用户配置文件。如果使用 RADIUS 作为身份验证方法，则需要对其进行定义。

  • 使用路由器和 RADIUS 服务器之间共享的 IP 地址、端口和身份验证数据定义 RADIUS 服务器。

    注意：

    当 L2TP 网络服务器 （LNS） 配置 RADIUS 身份验证时，默认行为是接受首选的 RADIUS 分配的 IP 地址。以前，默认行为是接受并安装 IPCP 配置请求数据包的 IP 地址选项中的非零对等方 IP 地址。

  • 或者，您可以为公共属性定义组配置文件，例如 keepalive 0 关闭激活消息。

  以下示例显示了 L2TP 的最低配置文件配置：

要在路由器上建立 L2TP 服务，您需要标识 L2TP 隧道组并指定多个值，用于定义在创建隧道时使用的访问配置文件、接口地址和其他属性。要标识隧道组，请在层次结构级别包含 tunnel-group 语句 [edit services l2tp] 。

注意：

如果删除隧道组或将其标记为非活动状态，则该隧道组中的所有 L2TP 会话都将终止。如果更改 或 local-gateway address 语句的值 service-interface ，则使用这些设置的所有 L2TP 会话都将终止。如果在层次结构级别更改 [edit services l2tp tunnel-group group-name] 或删除其他语句，则您建立的新隧道将使用更新的值，但现有隧道和会话不受影响。

以下部分说明如何配置 L2TP 隧道组：

• 为 L2TP 隧道组配置访问配置文件
• 配置本地网关地址和 PIC
• 配置 L2TP 隧道的窗口大小
• 为 L2TP 隧道配置计时器
• 隐藏 L2TP 隧道的属性值对
• 配置 L2TP 隧道活动的系统日志记录

您只能在 M7i、M10i、M120 和 MX 系列路由器上的自适应服务接口上配置 L2TP 服务。您必须将逻辑接口配置为专用或共享。如果逻辑接口是专用的，则一次只能表示一个会话。一个共享逻辑接口可以有多个会话。

要配置逻辑接口，请在层次结构级别包含 l2tp-interface-id 语句 [edit interfaces interface-name unit logical-unit-number dial-options] ：

l2tp-interface-id必须在层次结构级别复制[edit access profile name]在逻辑接口上配置的名称：

• 对于特定于用户的标识符，请在层次结构级别包含l2tp-interface-id[edit access profile name ppp]语句。

• 对于组标识符，请在层次结构级别包含 l2tp-interface-id 语句 [edit access profile name l2tp] 。

您可以使用相同的接口标识符配置多个逻辑接口，以用作多个用户的池。有关配置访问配置文件的详细信息，请参阅 Junos OS 路由设备管理库。

注意：

如果删除在逻辑接口上配置的 dial-options 语句设置，则在该接口上运行的所有 L2TP 会话都将终止。

L2TP 服务支持 AS PIC 冗余。要配置冗余，请指定冗余服务 PIC （rsp） 接口，其中主 AS PIC 处于活动状态，辅助 AS PIC 处于备用状态。如果主 AS PIC 发生故障，辅助 PIC 将变为活动状态，并且所有服务处理都将传输到它。如果主 AS PIC 已恢复，它将保持待机状态，并且不会抢占辅助 AS PIC;您需要手动将服务还原到主 PIC。要确定哪个 PIC 当前处于活动状态，请发出 show interfaces redundancy 命令。

注意：

在 L2TP 上，唯一支持的服务选项是 热备用，其中一个备份 PIC 支持多个工作 PIC。无法保证恢复时间，因为在检测到故障后，必须在备份 PIC 上完全还原配置。隧道和会话在切换时被拆除，需要分别由 LAC 和 PPP 客户端重新启动。但是，尽管需要重新建立协议状态，但配置将保留并在新的活动 PIC 上可用。

与其他支持热备用的 AS PIC 服务一样，您可以发出命令以 request interfaces (revert | switchover) 在主 L2TP 接口和辅助 L2TP 接口之间手动切换。

有关更多信息，请参阅 配置 AS 或多服务 PIC 冗余。有关示例配置，请参阅 示例：配置 L2TP 服务。有关操作模式命令的信息，请参阅 CLI 资源管理器。

为并发隧道会话配置具有多个组和用户配置文件以及逻辑接口池的 L2TP：

配置 L2TP 冗余：

跟踪操作跟踪所有 AS PIC 操作，并将其记录在 / var/log 目录下的日志文件中。默认情况下，此文件名为 / var/log/l2tpd。

注意：

本主题涉及跟踪 M 系列路由器上的 L2TP LNS 操作。要跟踪 MX 系列路由器上的 L2TP LAC 操作，请参阅 跟踪 L2TP 事件以进行故障排除。

要跟踪 L2TP 操作，请在层次结构级别包含 traceoptions 语句 [edit services l2tp] ：

您可以指定以下 L2TP 跟踪标志：

• all—追踪一切。

• configuration- 跟踪配置事件。

• protocol— 跟踪路由协议事件。

• routing-socket— 跟踪路由套接字事件。

• rpd— 跟踪路由协议进程事件。

您可以为 PPP、L2TP、RADIUS 和用户数据报协议 （UDP） 跟踪指定跟踪级别。要配置跟踪级别，请在层次结构级别包括[edit services l2tp traceoptions]该debug-level语句，并指定以下值之一：

• detail- 详细的调试信息

• error- 仅错误

• packet-dump—数据包解码信息

您可以按协议进行筛选。要配置过滤器，请在层次结构级别包含 filter protocol 语句 [edit services l2tp traceoptions] ，并指定以下一个或多个协议值：

• ppp

• l2tp

• radius

• udp

要实现按协议名称过滤，还必须配置 flag protocol 或 flag all。

您还可以在特定自适应服务接口上为 L2TP 配置跟踪选项。要配置每个接口的跟踪，请在层次结构级别包含 interfaces 语句 [edit services l2tp traceoptions] ：

注意：

实现跟踪选项会消耗 CPU 资源并影响数据包处理性能。

您可以为接口指定 and debug-level flag 语句，但这些选项与常规 L2TP 跟踪选项略有不同。将调试级别指定为 detail、 error或 extensive，这将提供完整的 PIC 调试信息。以下标志可用：

• all—追踪一切。

• ipc— 跟踪 PIC 和路由引擎之间的 L2TP 进程间通信 （IPC） 消息。

• packet-dump— 根据调试级别转储每个数据包的内容。

• protocol—跟踪 L2TP、PPP 和多链路处理。

• system— PIC 上的跟踪数据包处理。