CN102447752A - 基于二层隧道协议的业务访问方法、系统和装置 - Google Patents

Abstract

本发明提供了基于二层隧道协议L2TP的业务访问方法、系统和装置，该方法中，LAC在与LNS建立L2TP会话过程中，获取LNS为本LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表，N与LAC欲申请的网络地址数量对应；所述LAC作为网关接收分支终端发送的数据报文，并在确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发所述数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中，如果是，通过所述L2TP隧道接口转发所述数据报文，否则，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文。

Description

基于二层隧道协议的业务访问方法、系统和装置

技术领域

本发明涉及网络通信技术领域，特别涉及基于二层隧道协议(L2TP：Layer2 Tunnel Protocol)的业务访问方法、系统和装置。

背景技术

随着网络化进程的发展和信息整合需求的增加，分支机构的整合经常发生。但由于IP地址段的紧缺，也由于管理上的独立性，分支机构通常采用独立的地址段规划。如图1所示，路由器Rtr1处于总部，路由器Rtr2、Rtr3分别处于分支机构1和分支机构2，这两个分支机构使用相互独立的IP地址。当一分支机构比如分支机构1或2与总部进行业务通信时，一种方案是：在分支机构与总部之间建立网络地址转换(NAT)设备，由该NAT设备在总部和分支机构之间执行IP地址转换，以实现总部与分支机构之间的业务通信。

但是，随着各种新业务的发展，例如IP监控的部署，很多报文内部都携带着IP地址，这就要求NAT设备频繁升级以识别报文内部的IP地址并对其进行转换，这显然非常麻烦。

为了解决上述方案中频繁升级NAT设备的缺陷，一种改进的方案是：采用虚拟专用网(VPN)，控制所有业务的报文都在VPN内部通信。该方案不涉及NAT设备的频繁升级，但是，由于各个分支机构使用的IP地址相互独立，很有可能出现不同分支结构中IP地址段重叠的问题，这会导致同一VPN内部的业务通信混乱，影响业务。

随着VPN技术的不断发展，出现了一种用于外地向总部拨号接入的VPN，为与上述改进方案中的VPN区别，这里的VPN称为远程访问虚拟专用网(AccessVPN)，其能够向出差流动员工、远程办公人员和远程小办公室提供通过公用网络与企业内部网络(Intranet)建立私有的网络连接。

二层隧道协议虚拟专用网(L2TP VPN)是Access VPN的一种，采用L2TP构建虚拟专用网络，其典型组网如图2所示，主要包括：远端设备、L2TP访问集中器(LAC)和L2TP网络接入服务器(LNS)。其中，远端设备是要接入Intranet网络的远端用户设备或分支结构，通常是一个用户主机或分支网络的一台路由设备。LAC是具有点对点(PPP)端系统和L2TP处理能力的设备，通常是当地网络服务提供商(ISP)的网络接入服务器(NAS)，为PPP端设备提供接入服务，其位于远端设备和LNS之间，用于在LNS和远端设备之间传递信息包。LNS既是PPP端设备，又是L2TP协议的服务器端，通常作为一个Intranet网络的边缘设备。在该组网中，L2TP的会话建立由PPP触发，主要为：由LAC发起会话建立请求(ICRQ)，LNS收到请求后返回应答(ICRP)，LAC收到应答后返回确认(ICCN)，至此，会话建立成功。而L2TP的隧道建立由会话触发，具体为：LAC发起隧道建立请求(SCCRQ)，LNS收到请求后进行应答(SCCRP)，最后LAC在收到应答后再给LNS返回确认(SCCCN)，至此，隧道建立成功。其中，多个会话可以复用在一条隧道上，如果会话建立前隧道已经建立，则隧道不用重新建立。

基于L2TP，现有技术提出了能解决上述两种方案中缺陷的优选方案：当分支结构中的某一终端与总部通信时，为该终端分配一个总部的IP地址，如此，该终端就利用被分配的总部IP地址访问总部，这不会对业务有任何影响。

但是，当一个分支机构中的多个终端都需要访问总部时，就需要为该各个终端分别分配一个总部的IP地址，以便各个终端利用被分配的IP地址各自接入至总部，这显然很难统一管理各个终端的访问，并且，由于各个终端所处的VPN不同，也会对总部的路由器维护VPN造成大量压力。

发明内容

本发明提供了基于二层隧道协议L2TP的业务访问方法、系统和装置，避免为各个终端分别分配总部IP地址所带来的问题。

本发明提供的技术方案包括：

一种基于二层隧道协议L2TP的业务访问方法，该方法包括：

L2TP访问集中器LAC在与L2TP网络接入服务器LNS建立L2TP会话过程中，获取LNS为本LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表，所述N与所述LAC欲申请的网络地址数量对应；

所述LAC作为网关接收分支终端发送的数据报文，并在确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发所述数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中，如果是，通过所述L2TP隧道接口转发所述数据报文，否则，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文。

一种基于二层隧道协议L2TP的业务访问系统，该系统包括分支终端、L2TP访问集中器LAC和L2TP网络接入服务器LNS，其中，

所述LNS，用于在与LAC建立L2TP会话过程中，为LAC分配L2TP隧道IP地址，以及分配N个IP地址，所述N与LAC欲申请的网络地址数量对应；

LAC，用于获取LNS为本LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表；并且，作为网关接收分支终端发送的数据报文，在确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发所述数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中，如果是，通过所述L2TP隧道接口转发所述数据报文，否则，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文。

一种LAC，包括：

获取单元，用于在与LNS建立L2TP会话过程中，获取LNS为所述LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表，所述N与所述LAC欲申请的网络地址数量对应；

路由确定单元，用于在所述LAC作为网关时接收分支终端发送的数据报文，并确定出转发所述数据报文的出接口；

判断单元，用于在所述路由确定单元确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中；

处理单元，用于在所述判断单元的判断结果为是时，通过所述L2TP隧道接口转发所述数据报文，在所述判断单元的判断结果为否时，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文。

一种LNS，包括：

分配单元，用于在所述LNS与LAC建立L2TP会话过程中为LAC分配L2TP隧道IP地址，以及分配N个IP地址，所述N与所述LAC欲申请的网络地址数量对应；

发送单元，用于将所述分配单元分配的L2TP隧道IP地址，以及N个IP地址发送至LAC。

由以上技术方案可以看出，本发明中，通过LAC在与LNS建立L2TP会话过程中，获取LNS为本LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表，所述N与所述LAC欲申请的网络地址数量对应；之后，LAC作为网关接收分支终端发送的数据报文，并在确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发所述数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中，如果是，通过所述L2TP隧道接口转发所述数据报文，否则，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文，即本发明实现了LAC与分支终端进行地址分配协商，并根据地址分配表转发来自分支终端的报文，这相比于背景技术中的三种方案，完全是从业务层面出发解决背景技术中三种方案出现的问题。

附图说明

图1为分支机构与总部的组网示意图；

图2为L2TP构建虚拟专用网络示意图；

图3为本发明提供方法应用的一个组网示意图；

图4为本发明实施例提供的基本流程图；

图5为本发明实施例提供的详细流程图；

图6为本发明实施例提供的AVP格式示意图；

图7为本发明实施例提供的LAC结构图；

图8为本发明实施例提供的LNS结构图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

本发明提供的方法应用于包含至少一个分支机构与总部连接的组网中，在该组网中，考虑到分支机构的规模比较小，可采用二层网络对每一分支机构进行组网，并在每一分支机构的出口路由器上设置网关，以便分支机构中的终端通过该网关与总部进行通信。

参见图3，图3为本发明提供方法应用的一个组网示意图。其中，图3只是为示图方便，仅示出了一个分支机构，并且，该分支结构仅包含一个终端，其他包含多个分支机构以及分支机构中包含多个终端的情况原理类似，不再一一赘述。

本发明中，针对每一分支结构，将该分支机构的出口路由器(其为分支机构与外部进行通信的路由器，可同时连接至少一个分支结构，简称分支出口路由器)作为L2TP访问集中器(LAC)，而将总部的其中一个出口路由器(其为总部与外部进行通信的路由器，简称总部出口路由器)作为该LAC接入的L2TP网络接入服务器(LNS)，具体可根据组网情况进行配置。该LAC与LNS之前建立L2TP隧道，其中，该L2TP隧道可采用现有常用的L2TP隧道永久建立方式(LAC-Auto-Initiated VPN)建立，或者其他方式建立，本发明并不加以限定。

基于建立的L2TP隧道，则如图4所示，本发明提供的方法可包括以下步骤：

步骤401，LAC在与LNS建立L2TP会话过程中获取LNS为本LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表，所述N与所述LAC欲申请的网络地址数量对应。

本发明中，优选地，该N可与接入该LAC的分支机构中被允许与总部建立连接的终端数量对应，比如，如图3所示，假如接入该LAC的分支机构中只有一个终端被允许与总部建立连接，则N取值为1。

步骤402，LAC作为网关接收分支终端发送的数据报文，并在确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发所述数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中，如果是，通过所述L2TP隧道接口转发所述数据报文，否则，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文。

下面结合具体实施例对上述方法进行详细描述。

参见图5，图5为本发明实施例提供的方法流程图。该流程应用于图3所示的组网中，包括以下步骤：

步骤501，LAC在与LNS建立L2TP会话的过程中，通过会话建立请求(ICRQ)携带数量N，并发送至LNS。

本步骤501中，N可预先被配置在LAC上，其与所述LAC欲申请的网络地址数量对应，具体可预先配置在LAC上。

另外，本步骤501中，可以通过扩展ICRQ来携带数量N，具体为：首先在ICRQ中扩展一个属性值对(AVP，Attribute-Value-Pair)，该扩展的AVP可定义为client number，用于描述数量N，其格式可以如图6所示。其中，M字段为强制位，用于表示该AVP是否为可识别，可以用0标识可识别，用1标识不可识别，其中，不可识别的AVP将会导致会话建立终止；H字段用于携带该属性是否需要隐藏，可以用0标识不需要隐藏，用1标识需要隐藏；rsvd字段为保留位，属性长度(Length)字段用于携带该AVP的长度信息；企业标识(Vendor ID)字段用于携带企业标识，由于不同的企业可能采用不同的AVP版本，因此，可以用该字段对不同版本进行区分；属性类型(Attribute Type)字段可以定义为区别已使用的所有属性类型的值；属性值(Attribute Value)字段携带网络地址数量N。

步骤502，LNS接收到携带数量N的ICRQ后，在会话建立应答(ICRP)中携带为LAC分配的L2TP隧道IP地址，以及N个IP地址。

本步骤502中，在ICRP中携带为LAC分配的L2TP隧道IP地址以及N个IP地址，可通过在ICRP中扩展两个AVP来实现，具体为：LNS在收到ICRQ后，首先，从配置的地址池中选取一个未被分配的IP地址，比如IP_SPri1，封装到ICRP扩展的一个AVP中，该AVP用于描述LNS分配给LAC的L2TP隧道IP地址，定义为LAC address AVP，其格式类似图6，只不过在这里Attribute Value字段携带LNS分配给LAC的L2TP隧道IP地址IP_SPri1；之后，LNS再从所述地址池中提取出N个IP地址，并封装至ICRP扩展的另一个AVP中，该AVP用于描述LNS分配的N个IP地址，定义为client address AVP，格式类似图6，只不过在这里Attribute Value字段携带N个IP地址。

优选地，本步骤502中，在LNS分配完LAC的L2TP隧道IP地址，以及N个IP地址之后，LNS可在地址池中标识这些被分配的IP地址为已分配，以便后续不再重复分配这些IP地址。

步骤503，LAC收到LNS的ICRP后，将ICRP中LAC address AVP的Attribute Value字段携带的IP地址作为本设备的L2TP隧道IP地址，将本设备上的L2TP隧道接口作为默认路由的出接口，并保存ICRP中client addressAVP的Attribute Value字段携带的IP地址到地址分配表中。

如图3所示，假如N取值为1，并以client address AVP的Attribute Value字段携带的IP地址为IP_SPri2为例，则，本步骤503中，IP_SPri2被放入地址分配表之后的格式如表1所示：

表1

源IP地址	终端MAC地址	出接口	分配地址
							IP_SPri2

可以看出，执行到本步骤503时，LAC并未将ICRP中client address AVP的Attribute Value字段携带的IP地址发送给其接入的各个分支机构中的终端，因此，各个分支机构中的终端并不知道其被分配了新的IP地址，在与总部进行业务通信时，仍然使用原来的IP地址，具体见步骤504。

步骤504，当图3中的分支终端1向总部(如图3中的总部服务器)发送数据报文时，如果发现目的IP地址(以目的IP地址为总部服务器的IP地址IP_HS1为例)与本终端的IP地址不在同一个网段，则将数据报文转发到其接入的设置了网关的LAC。

由于在步骤503中，分支终端1并不知道其被LNS分配的新IP地址，因此，本步骤504中，分支终端1仍然使用原来的IP地址(以IP_SC1为例)作为本终端的IP地址。

另外，当分支终端1向总部服务器发送数据报文时，会先向网络中的域名解析服务器获取总部服务器的IP地址，之后比较本终端的IP地址IP_SC1是否和总部服务器的IP地址IP_HS1在同一网段，如果否，则先将数据报文发送给网关。

步骤505，LAC接收该数据报文，并确定该数据报文的路由。

本步骤505中，LAC在接收到数据报文时，利用该数据报文的目的IP地址从路由表中匹配出对应的路由，而如果无法匹配出对应的路由，比如总部服务器的IP地址还没有发布至LAC上等，则确定该数据报文的路由为默认路由，执行以下步骤506。

步骤506，判断地址分配表中是否存在包含所述数据报文的源IP地址、且状态为第二标识的地址表项，如果否，执行步骤507，如果是，执行步骤511。

这里，第二标识可为用于表示该地址表项处于连接状态，比如为up等。

步骤507，丢弃该数据报文，LAC从地址分配表中选取一个未被分配的IP地址(以IP_SPri2为例)作为分配给分支终端1的IP地址，携带在地址重分配消息中发送给分支终端1。

优选地，本步骤507中的发送具体实现时可包括：LAC从地址解析协议(ARP)表项中提取目的IP地址为IP_SC1的表项信息，利用所述表项信息中的终端MAC地址封装地址重分配消息中的MAC头，并通过所述表项信息中的出接口转发所述地址重分配消息。

优选地，本步骤507进一步可包括：LAC利用所述表项信息更新地址分配表中被选取的IP地址所在的地址表项，并标识该地址表项的状态为第一标识，这里该第一标识可为用于表示该地址表项未处于连接状态比如为down等。

其中，所述利用提取的表项信息更新地址分配表中被选取的IP地址(记为分配地址)所在的地址表项包括：将表项信息中的目的IP地址如IP_SC1、终端MAC地址、出接口分别作为所述地址表项的源IP地址、终端MAC地址、出接口记录在地址表项中。如此，执行完本步骤507后，上述表1可更新为下述表2：

表2：

源IP地址	终端MAC地址	出接口	分配地址	状态
					IP_SC1	MAC_SC1	E1	IP_SPri2	down

步骤508，分支终端1收到LAC发送的地址重分配消息后，将LAC分配的IP地址IP_SPri2绑定到本终端的出接口，更改默认路由为LAC的隧道IP地址IP_SPri1，并返回确认消息给LAC。

优选地，为便于终端与同一分支机构内其他终端进行通信，本步骤508进一步保留原来的IP地址IP_SC1。

步骤509，LAC收到分支终端1发送的确认消息后，比较所述确认消息携带的终端MAC地址、终端被分配的IP地址、以及本LAC接收到所述确认消息的接口是否均与所述地址表项中的终端MAC地址、分配地址和出接口一致，如果是，则刷新地址表项的状态为第二标识。

假如本步骤509的比较结果为一致，则本步骤509后，上述表2可更新为以下示出的表3：

源IP地址	终端MAC地址	出接口	分配地址	状态
					IP_SPri2	MAC_SC1	E1	IP_SPri2	up

优选地，本步骤509中，LAC还可进一步将地址分配表中的IP_SPri2标识为已分配，以避免后续被重复分配。

优选地，如果本步骤509比较结果不一致，或者步骤506判断出存在包含所述数据报文源IP地址的地址表项，但状态不为第二标识，则返回执行步骤507，直到状态为第二标识。

步骤510，分支终端1在还需要和总部进行通信时，采用被分配的IP地址即IP_SPri12作为源IP地址发送数据报文至LAC，并返回步骤505。

步骤511，封装该数据报文的L2TP头和公网IP头，并通过本LAC上的L2TP隧道接口转发该数据报文。

其中，公网IP头中的源IP地址为本LAC的公网IP地址比如IP_SPub，目的IP地址为本LAC对端即LNS的公网IP地址比如IP_HPub。

步骤512，LNS通过本LNS上的L2TP隧道接口收到数据报文后，将公网IP头和L2TP头剥离，依据剥离后的数据报文携带的目的地址即IP_HS1转发到总部服务器。

至此，通过以上步骤完成分支终端1访问总部服务器。

优选地，本发明中，为便于总部访问分支，在上述步骤502中，LNS还生成主机路由信息，主机路由信息的目的地址为上述N个IP地址，下一跳为分配给LAC的L2TP隧道IP地址，并发布至总部网络中，以便总部在后续访问分支机构时，利用该发布的主机路由信息进行。基于此，当总部服务器需要向分支终端1返回应答报文，或者，主动发送访问分支终端1的报文时(为和上述分支终端1发送的数据报文区分，这里可将上述分支终端1发送的数据报文记为数据报文1，而将总部服务器发送的数据报文记为数据报文2，其中，数据报文2的目的IP地址为分支终端1被分配的IP地址即IP_SPri2)，总部首先依据LNS发布的路由信息将数据报文2发送至LNS，LNS收到数据报文2后，会发现目的地址为IP_SPri2的下一跳地址为LAC被分配的隧道IP地址IP_SPri1，如此，LNS为数据报文2封装L2TP头和公网IP头(该公网IP头的源IP地址为本LNS的公网IP地址如IP_HPub，目的IP地址为LAC的公网IP地址如IP_SPub)，并通过本LNS上的L2TP隧道接口向LAC转发数据报文2；当LAC从L2TP隧道接口收到LNS转发的数据报文2后，剥离公网IP头和L2TP头，根据剥离后的数据报文2的目的IP地址IP_SPri2查找地址分配表，查找到对应该目的IP地址的MAC(MAC_SC1)和出接口(E1)，将该数据报文2的目的MAC更改为查找到的MAC地址并通过查找到的出接口转发，以使数据报文2最终到达分支终端，即完成了总部与分支终端1的通信。

以上对本发明提供的方法进行了描述，下面对本发明提供的系统和装置进行描述：

本发明提供的系统主要包括：分支终端、LAC和LNS，其中，分支终端为LAC接入的分支机构中的终端，LAC由采用二层网络组网的分支机构所接入的分支出口路由器担任，所述LNS由总部接入的且用于接入所述LAC的总部出口路由器担任；

其中，所述LNS，用于在与LAC建立L2TP会话过程中，为LAC分配L2TP隧道IP地址，以及分配N个IP地址，所述N与LAC欲申请的网络地址数量对应；

LAC，用于获取LNS为本LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表；并且，作为网关接收分支终端发送的数据报文，在确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发所述数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中，如果是，通过所述L2TP隧道接口转发所述数据报文，否则，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文。

下面对上述的LAC和LNS的结构进行详细描述：

参见图7，图7为本发明实施例提供的LAC结构图。如图7所示，该LAC包括：

获取单元，用于在与LNS建立L2TP会话过程中，获取LNS为所述LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表，所述N与所述LAC欲申请的网络地址数量对应；

路由确定单元，用于在所述LAC作为网关时接收分支终端发送的数据报文，并确定出转发所述数据报文的出接口；

判断单元，用于在所述路由确定单元确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中；

处理单元，用于在所述判断单元的判断结果为是时，通过所述L2TP隧道接口转发所述数据报文，在所述判断单元的判断结果为否时，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文。

优选地，所述获取单元包括：

请求子单元，用于通过会话建立请求ICRQ携带所述N，并发送至LNS，

获取子单元，用于接收所述LNS返回的会话建立应答ICRP，从所述ICRP中获取所述LNS分配的L2TP隧道IP地址和N个IP地址。

优选地，所述处理单元通过以下子单元分配IP地址给分支终端：

选取子单元，用于从地址分配表记录的N个IP地址中选取一个未被分配的IP地址作为分配给所述分支终端的IP地址，携带在地址重分配消息中；

提取子单元，用于从ARP表项中提取以所述数据报文源IP地址为目的IP地址的表项信息；

转发子单元，用于利用所述表项信息中的终端MAC地址封装地址重分配消息中的MAC头，并通过所述表项信息中的出接口转发所述地址重分配消息。

另外，本发明中，如图7所示，所述LAC进一步包括：

第一更新单元，用于将表项信息中的目的IP地址、终端MAC地址、出接口分别作为所述地址表项的源IP地址、终端MAC地址、出接口记录在地址表项中；

第二更新单元，用于接收所述分支终端返回的确认消息，比较所述确认消息携带的终端MAC地址、分支终端被分配的IP地址、以及所述LAC接收到所述确认消息的接口是否均与所述地址表项中的终端MAC地址、被选取的IP地址和出接口一致，如果是，则刷新地址表项的状态为第二标识；其中，所述分支终端是在将所述LAC分配给本终端的IP地址绑定到本终端的出接口，并更改默认路由为所述LAC上的L2TP隧道IP地址之后，返回确认消息给LAC的；

基于此，所述判断单元判断所述数据报文的源IP地址是否处于所述地址分配表中包括：判断所述地址分配表中是否存在包含所述数据报文的源IP地址、且状态为第二标识的地址表项。

另外，本发明中，所述路由确定单元进一步通过本LAC上的L2TP隧道接口接收LNS转发的总部访问分支终端的数据报文，并剥离该数据报文的L2TP头和公网IP头，利用剥离后的数据报文的目的IP地址在地址分配表中查找到用于转发该数据报文的出接口并进行转发。

本发明还提供了LNS结构，具体如图8所示。如图8所示，所述LNS包括：

分配单元，用于在所述LNS与LAC建立L2TP会话过程中为LAC分配L2TP隧道IP地址，以及分配N个IP地址，所述N与所述LAC欲申请的网络地址数量对应；

发送单元，用于将所述分配单元分配的L2TP隧道IP地址，以及N个IP地址发送至LAC。

其中，所述分配单元包括：

接收子单元，用于接收所述LAC发送的会话建立请求ICRQ，所述ICRQ携带所述N；

发送子单元，用于从所述LNS被配置的地址池中选取一个未被分配的IP地址分配给LAC作为该LAC的L2TP隧道IP地址，并继续从所述地址池中选取N个未被分配的IP地址，并通过会话建立应答ICRP将选取的L2TP隧道IP地址、以及N个IP地址发送给LAC。

优选地，如图8所示，所述LNS进一步包括：

转发单元，用于接收总部发送的数据报文，并对该数据报文封装L2TP头和公网IP头，通过本LNS上的L2TP隧道接口转发该数据报文，所述总部是利用所述LNS发布的主机路由信息将数据报文发送至LNS的，所述主机路由信息中的目的IP地址为所述N个IP地址，下一跳为所述L2TP隧道IP地址。

至此，完成本发明提供的装置描述。

由以上技术方案可以看出，本发明中，通过LAC在与LNS建立L2TP会话过程中，获取LNS为本LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表，所述N与所述LAC欲申请的网络地址数量对应；之后，LAC作为网关接收分支终端发送的数据报文，并在确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发所述数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中，如果是，通过所述L2TP隧道接口转发所述数据报文，否则，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文，即本发明实现了LAC与分支终端进行地址分配协商，并根据地址分配表转发来自分支终端的报文，这相比于背景技术中的三种方案，完全是从业务层面出发解决背景技术中三种方案出现的问题。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (16)

1.一种基于二层隧道协议L2TP的业务访问方法，其特征在于，该方法包括：

L2TP访问集中器LAC在与L2TP网络接入服务器LNS建立L2TP会话过程中，获取LNS为本LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表，所述N与所述LAC欲申请的网络地址数量对应；

所述LAC作为网关接收分支终端发送的数据报文，并在确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发所述数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中，如果是，通过所述L2TP隧道接口转发所述数据报文，否则，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文。

2.根据权利要求1所述的方法，其特征在于，所述LAC通过以下步骤获取L2TP隧道IP地址和N个IP地址：

所述LAC通过会话建立请求ICRQ携带所述N，并发送至LNS；

所述LNS接收所述ICRQ，从本LNS被配置的地址池中选取一个未被分配的IP地址分配给LAC作为该LAC的L2TP隧道IP地址，并继续从所述地址池中选取N个未被分配的IP地址，并通过会话建立应答ICRP将选取的L2TP隧道IP地址、以及N个IP地址发送给LAC。

3.根据权利要求1所述的方法，其特征在于，所述LAC从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给分支终端包括：

所述LAC从地址分配表记录的N个IP地址中选取一个未被分配的IP地址作为分配给所述分支终端的IP地址，携带在地址重分配消息中，并从地址解析协议ARP表项中提取以所述数据报文源IP地址为目的IP地址的表项信息，利用所述表项信息中的终端MAC地址封装地址重分配消息中的MAC头，并通过所述表项信息中的出接口转发所述地址重分配消息。

4.根据权利要求3所述的方法，其特征在于，该方法进一步包括：

所述LAC利用提取的表项信息更新地址分配表中被选取的IP地址所在的地址表项，并标识该地址表项的状态为第一标识；

所述LAC接收所述分支终端返回的确认消息，并刷新所述地址表项的状态为第二标识；所述分支终端是在将所述LAC分配给本终端的IP地址绑定到本终端的出接口，并更改默认路由为所述LAC上的L2TP隧道IP地址之后，返回确认消息给LAC的；

所述LAC判断数据报文的源IP地址是否处于地址分配表中包括：LAC判断所述地址分配表中是否存在包含所述数据报文的源IP地址、且状态为第二标识的地址表项。

5.根据权利要求4所述的方法，其特征在于，所述利用提取的表项信息更新地址分配表中被选取的IP地址所在的地址表项包括：将表项信息中的目的IP地址、终端MAC地址、出接口分别作为所述地址表项的源IP地址、终端MAC地址、出接口记录在地址表项中；

所述刷新地址表项的状态为第二标识包括：比较所述确认消息携带的终端MAC地址、分支终端被分配的IP地址、以及所述LAC接收到所述确认消息的接口是否均与所述地址表项中的终端MAC地址、被选取的IP地址和出接口一致，如果是，则刷新地址表项的状态为第二标识。

6.根据权利要求1所述的方法，其特征在于，该方法进一步包括：

所述LAC通过L2TP隧道接口接收由LNS转发的用于总部访问分支终端的数据报文，剥离该数据报文的L2TP头和公网IP头，利用剥离后的数据报文的目的IP地址在地址分配表中查找到用于转发该数据报文的出接口并进行转发。

7.根据权利要求6所述的方法，其特征在于，所述总部是利用所述LNS发布的主机路由信息将数据报文发送至LNS的；

所述主机路由信息中的目的IP地址为所述N个IP地址，下一跳为所述L2TP隧道IP地址。

8.一种基于二层隧道协议L2TP的业务访问系统，其特征在于，该系统包括分支终端、L2TP访问集中器LAC和L2TP网络接入服务器LNS，其中，

所述LNS，用于在与LAC建立L2TP会话过程中，为LAC分配L2TP隧道IP地址，以及分配N个IP地址，所述N与LAC欲申请的网络地址数量对应；

LAC，用于获取LNS为本LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表；并且，作为网关接收分支终端发送的数据报文，在确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发所述数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中，如果是，通过所述L2TP隧道接口转发所述数据报文，否则，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文。

9.一种LAC，其特征在于，所述LAC包括：

获取单元，用于在与LNS建立L2TP会话过程中，获取LNS为所述LAC分配的L2TP隧道IP地址，以及获取并记录LNS分配的N个IP地址至地址分配表，所述N与所述LAC欲申请的网络地址数量对应；

路由确定单元，用于在所述LAC作为网关时接收分支终端发送的数据报文，并确定出转发所述数据报文的出接口；

判断单元，用于在所述路由确定单元确定出通过所述L2TP隧道IP地址对应的L2TP隧道接口转发数据报文时，判断所述数据报文的源IP地址是否处于所述地址分配表中；

处理单元，用于在所述判断单元的判断结果为是时，通过所述L2TP隧道接口转发所述数据报文，在所述判断单元的判断结果为否时，丢弃所述数据报文，从地址分配表记录的N个IP地址中选取一个未被分配的IP地址分配给所述分支终端，由所述分支终端利用被分配的IP地址作为源IP地址重新发送数据报文。

10.根据权利要求9所述的LAC，其特征在于，所述获取单元包括：

请求子单元，用于通过会话建立请求ICRQ携带所述N，并发送至LNS，

获取子单元，用于接收所述LNS返回的会话建立应答ICRP，从所述ICRP中获取所述LNS分配的L2TP隧道IP地址和N个IP地址。

11.根据权利要求9所述的LAC，其特征在于，所述处理单元通过以下子单元分配IP地址给分支终端：

选取子单元，用于从地址分配表记录的N个IP地址中选取一个未被分配的IP地址作为分配给所述分支终端的IP地址，携带在地址重分配消息中；

提取子单元，用于从地址解析协议ARP表项中提取以所述数据报文源IP地址为目的IP地址的表项信息；

转发子单元，用于利用所述表项信息中的终端MAC地址封装地址重分配消息中的MAC头，并通过所述表项信息中的出接口转发所述地址重分配消息。

12.根据权利要求11所述的LAC，其特征在于，所述LAC进一步包括：

第一更新单元，用于将表项信息中的目的IP地址、终端MAC地址、出接口分别作为所述地址表项的源IP地址、终端MAC地址、出接口记录在地址表项中，并标识该地址表项的状态为第一标识；

第二更新单元，用于接收所述分支终端返回的确认消息，比较所述确认消息携带的终端MAC地址、分支终端被分配的IP地址、以及所述LAC接收到所述确认消息的接口是否均与所述地址表项中的终端MAC地址、被选取的IP地址和出接口一致，如果是，则刷新地址表项的状态为第二标识；其中，所述分支终端是在将所述LAC分配给本终端的IP地址绑定到本终端的出接口，并更改默认路由为所述LAC上的L2TP隧道IP地址之后，返回确认消息给LAC的；

所述判断单元判断所述数据报文的源IP地址是否处于所述地址分配表中包括：判断所述地址分配表中是否存在包含所述数据报文的源IP地址、且状态为第二标识的地址表项。

13.根据权利要求9所述的LAC，其特征在于，所述路由确定单元进一步通过本LAC上的L2TP隧道接口接收LNS转发的总部访问分支终端的数据报文，并剥离该数据报文的L2TP头和公网IP头，利用剥离后的数据报文的目的IP地址在地址分配表中查找到用于转发该数据报文的出接口并进行转发。

14.一种LNS，其特征在于，所述LNS包括：

分配单元，用于在所述LNS与LAC建立L2TP会话过程中为LAC分配L2TP隧道IP地址，以及分配N个IP地址，所述N与所述LAC欲申请的网络地址数量对应；

发送单元，用于将所述分配单元分配的L2TP隧道IP地址，以及N个IP地址发送至LAC。

15.根据权利要求14所述的LNS，其特征在于，所述分配单元包括：

接收子单元，用于接收所述LAC发送的会话建立请求ICRQ，所述ICRQ携带所述N；

发送子单元，用于从所述LNS被配置的地址池中选取一个未被分配的IP地址分配给LAC作为该LAC的L2TP隧道IP地址，并继续从所述地址池中选取N个未被分配的IP地址，并通过会话建立应答ICRP将选取的L2TP隧道IP地址、以及N个IP地址发送给LAC。

16.根据权利要求14或15所述的LNS，其特征在于，所述LNS进一步包括：

转发单元，用于接收总部发送的数据报文，并对该数据报文封装L2TP头和公网IP头，通过本LNS上的L2TP隧道接口转发该数据报文，所述总部是利用所述LNS发布的主机路由信息将数据报文发送至LNS的，所述主机路由信息中的目的IP地址为所述N个IP地址，下一跳为所述L2TP隧道IP地址。

Images