【正文】 otocol ppp ip address interface VirtualTemplate0 ppp authenticationmode chap ppp mp remote address pool 1 ip address interface VirtualTemplate1 remote address ip address 10. MPLS 里面不同VPN用戶之間如何互訪？（前面是講的網(wǎng)絡(luò)之外的用戶如何其訪問自己所屬VPN，而這個只是簡單的翻版，講的一個VPN怎樣去訪問另外的VPN）需求：如果VPN1里面的部分用戶需要訪問VPN2的業(yè)務(wù)，有沒有一種不需要用MPLS技術(shù)或者添加什么策略路由等等就能夠?qū)崿F(xiàn)的方式，有，如下圖：請使用L2TP方式；在MPLS網(wǎng)絡(luò)選擇一臺PE或者是MCE配置成LNS設(shè)備即可，相應(yīng)的VT口與相應(yīng)的VPN綁定，想要訪問其他VPN的客戶首先通過L2TP撥號，只要你有該權(quán)限，你就可以訪問任何你想要訪問的VPN。Mpls網(wǎng)絡(luò)PE MCEVpn1 用戶Vpn2 用戶lns 配置示例MPLS backbonePE1PPE2VPN 2VPN1lns1組網(wǎng)需求：2張VPN網(wǎng)絡(luò)，正常情況下互相不能訪問。現(xiàn)要求VPN1網(wǎng)絡(luò)里面的一臺PC能夠訪問VPN2網(wǎng)絡(luò)。配置步驟：（1） 配置MPLS的基本能力（配置省略）（2） 配置LNS設(shè)備（隨便選取一臺PE作為LNS設(shè)備，該處選取PE1） l2tp enable //使能L2TP domain authentication ppp local authorization ppp local accounting ppp local //建立VPN1用戶撥號的域名，否則使用默認(rèn)域localuser h3c servicetype ppppassword simple h3c //建立撥號使用的帳號 l2tpgroup 1 undo tunnel authentication allow l2tp virtualtemplate 0 interface VirtualTemplate0 ppp authenticationmode chap remote address ip binding vpninstance vpn2 //注意，該處綁定的是VPN2，即撥號成功就把該用戶綁定到VPN2. ip address interface LoopBack1 ip binding vpninstance vpn1 //該處的地址很關(guān)鍵，表示用于接收VPN1網(wǎng)絡(luò)里面的用戶L2TP撥號。 ip address （3）在PC機(jī)上使用INODE建立L2TP撥號注意事項(xiàng)： 該用法與具體的設(shè)備有關(guān)，此處是用SR6602 Version , Release 2420P03做LNS.11. 總結(jié)PPP OVER 什么都不重要，重要的是它能傳遞PPP。PPP能夠提供認(rèn)證。能夠建立通道，所以才想盡一切辦法讓PPP OVER 到任何能OVER 的地方，為了能在二層Ethernet上傳遞我們開發(fā)了PPPOE ，為了能夠在廣域網(wǎng)上傳遞，我們開發(fā)出L2TP。12. 附錄PPP用戶的IP地址分配原則如下:(1) 對于域的用戶（包括userid和userid＠ispname兩種用戶）分配地址的優(yōu)先級如下： 如果采用RADIUS或TACACS認(rèn)證和授權(quán)，并且服務(wù)器給用戶下發(fā)了地址，則采用服務(wù)器下發(fā)的地址。 如果服務(wù)器沒有下發(fā)地址，而是下發(fā)地址池，則在域視圖下相應(yīng)的地址池中查找地址給用戶。如果上述兩種方式?jīng)]有分配到地址或是采用本地認(rèn)證，則根據(jù)接口下的配置給用戶分配地址。如果接口配置了remote address ipaddress并且此地址沒有被使用，則給用戶分配此地址。如果接口配置了remote address pool則在域視圖下相應(yīng)的地址池中查找地址給用戶分配。如果接口沒有配置remote address，則在域視圖下遍歷所有的地址池查找地址給用戶分配。 (2) 對于不認(rèn)證用戶，采用接口下指定的地址或指定的全局地址池（即在系統(tǒng)視圖下定義的地址池）給用戶分配地址。13. 參考文檔19 / 19