VPDN就是一张借用运营商网络搭建的企业内部网络。远程电脑打一个电话，就像是从小区侧门进入楼房一样。公共网络当作马路来用，企业的数据在隧道中奔跑。VPDN全称为Virtual Private Dial-up Network，即虚拟专用拨号网络。VPDN的核心就是拨号接入、隧道封装、身份认证、企业内网隔离。终端就是钥匙，LAC 就是车站，LNS 就是企业的大门，AAA 就是门禁刷卡机。数据包上车，外壳贴公网标签，内里装企业地址。到站卸货、进入内网。

VPDN是什么样子？

公共网络就如城市的道路一样，人来人往、目不暇接。VPDN就如公交专用道一样，在外面看起来依然是马路，而在里面行驶的是企业的班车。拨号就如拿钥匙一样，隧道就相当于密封车厢，LAC就相当于车站，LNS就相当于企业的大门。数据包上车，外壳贴公网标签，内里装企业地址。到站后卸货、进入内网。用户感觉就像是坐在公司的机房边上一样，实际上却绕了半个城市。公网依然很热闹，企业内网则安静地进行着自己的工作。

【骨架和零件】

LAC、LNS、NAS、AAA、RADIUS、地址池、路由、策略。终端拨号，NAS 接住，LAC 封装，LNS 解封。AAA 查身份、查权限、记日志。地址池发出的是内网IP。路由决定了可以到达的地方。策略则决定了不能到达的地方。LAC 负责将拨号流量引入隧道中，而 LNS 则负责把隧道中的流量落回到企业的内部网络里。一台终端就相当于一个快递车，LAC是分拨站，LNS是收货仓库。车厢已经封闭好了，路线也确定好了，门禁刷好了之后，货物才能进入。

隧道怎么走？

拨号请求到达NAS。NAS 能够看到域名和用户名，然后把它们转给LAC。LAC 和 LNS 之间建立 L2TP 隧道。认证成功后，地址下发完毕。数据封装好之后，就穿过了公网。落到了企业的内网上。回包沿着原来的路线返回。链路断了之后，心跳就会重新连接起来。配置错了之后，隧道就不会起来了。MTU大、分片多、速度下降。就像快递车穿行在狭窄的小巷中，稍微宽一些就会撞到墙壁。隧道协议主要有PPTP、L2TP、IPsec等。PPTP已经很老了，L2TP经常和IPsec一起使用，而IPsec更加强大。

【认证和隔离】

AAA 门禁一样。RADIUS就相当于一个刷卡机。TACACS+ 有点像老式的钥匙柜。双因素认证类似于门禁加上指纹识别。最小权限就是只给一把钥匙，不给整串。没有认证的隧道就相当于没有锁住的消防通道，任何人都可以进入。企业流量要隔离。各个部门有不同的晋升路径。不同的门店会走不同的VLAN。公网上看都是拨号，企业看各自为政。日志要留。账号、时间、地点、行为，四条线对齐。审计可以追查到责任人，并且能够落实到人。

成语释义精选

暗度陈仓：指用假象来欺骗对方，在暗中另外做一件事。VPDN中，公网表面上运行的是普通的拨号流量，企业的数据则隐藏于加密隧道之中。殊途同归：用不同的方法达到同样的结果。拨号、4G、5G、光纤入口不一样，但是到达企业的内网同一个出口。防微杜渐：当错误或者坏事开始生长的时候就及时地把它扼杀掉。认证、加密、审计等层层设防，将风险拒之门外。按图索骥：根据图示来寻找。LAC根据用户名、域名和策略来查找LNS。水到渠成：条件成熟了，事情自然就成功了。配置、路由、认证对齐，拨号即可通。天衣无缝：形容事物周密完备，找不出什么毛病来。封装使得公网只能看到外衣，而企业则能看到里面的衣服。各行其是：各人按照自己的道路前进。不同的企业、部门之间进行流量隔离，不能互相串门。虚中有实：虚假之中有真实。虚拟通道承载着真实的业务，就像云上的走廊一样运行着实体的货车。

暗度陈仓：公网作掩护、隧道藏业务。殊途同归：入口万千条，内网只有一个门。防微杜渐：认证加密审计，风险挡门外。按照图示的方法来寻找 LNS 的方法就是 LAC 使用的策略。水到渠成：配置对齐、拨号即通。天衣无缝：封装周密，公网看不到。各司其职：企业内部不同部门之间的流量隔离。虚中有实：虚拟通道运行着真实的业务。

【场景落地】

连锁店、远程办公、银行网点、政府外网、工业设备、POS机、ATM、抄表器等。门店如同毛细血管一般，VPDN把毛细血管又接到企业的主动脉上。收银小票一跳，后台库存一减。远程工作者在家里用电话线连接到互联网上，就像把办公室搬到书房一样。工业网关会把温度、压力、电量等数据发送出去。金融网点的交易通过加密隧道进行，日志留痕。政务窗口可以查询数据、使用专用通道。门店好比是毛细血管，VPDN把毛细血管又接到企业的主动脉上。设备很多，地址需要规划。门店很多，模板要统一。交易频繁，冗余要提前做好准备。

【和VPN的界限】

VPN 更宽一些。站点到站点、SSLVPN、IPsecVPN。VPDN是拨号接入方式，运营商参与到汇聚中来。VPDN一般被认为是VPN的一个分支。企业自己搭建VPN就相当于自己修路。VPDN就相当于租用运营商的道路，然后在上面挂上企业的牌子。VPDN的重点是拨号接入以及运营商网络侧的汇聚，而VPN的重点则是两端的私有连接。选择终端的数量、覆盖范围、运维团队以及账期等进行考量。终端分散的话，VPDN就比较省心了。两点不变，专线或者IPSec更直接。

【选型看哪几眼】

覆盖、协议、带宽、时延、并发、计费、冗余、备份、认证方式、加密强度、终端兼容。门店很多，要看它的覆盖面以及并发能力。交易频繁，要看时延以及冗余。设备杂，要看它是否能兼容各种协议。预算紧张的时候，要考虑到计费、复用的问题。选择型号之前要先了解业务运行的是什么，然后再考虑线路如何准备，最后再计算账目。线路要备好。主要设备出现故障的时候，备用设备就会启动起来。所有的设备都要配备双机备份系统。LNS也要实现双活功能。地址池要留有一定的余量。日志需要保留足够多的天数。密钥要定期更换。账号离职之后要停止使用。

运维手记

查看拨号日志、隧道状态、认证失败、地址池、路由、MTU、心跳、断线重连。认证失败的话，可以检查账号、密码、域和策略等信息。隧道起不来的话，就去查一下LAC和LNS地址、密钥、协议。可以打通电话，但是访问速度很慢，要检查MTU、分片、路由环路。地址池已经满了，新的用户无法进来。MTU不对，网页可以打开，但是大文件就会卡住，就像门框太矮了，小推车可以过去，大箱子进不来一样。监控要观察到趋势。断线率、时延、丢包、并发数。曲线抬升之后，首先查询线路信息，然后查询设备信息，最后查询认证信息。排障就像剥笋一样，一层层地往里面走。

【安全底线】

加密、双因素认证、最小权限原则、日志保存、终端准入、补丁更新、关闭低效协议。PPTP已经过时了，可以更换的话就更换吧；L2TP/IPsec、IPsec、SSL 更稳定。PPTP已经过时了，可以更换的话就更换一下；L2TP/IPsec、IPsec、SSL 更稳定。隧道密钥要定期更换。账号离岗即停止服务，设备丢失则需要锁定，日志不能只保存在本地。审计可以追查到人、时间、地点、行为。公网扫描很多，弱口令好像没有关过门一样。补丁晚了一步，风险就多了一点。终端准入类似于检查工牌，没有工牌是不能进入的。

放在桌子上的那句话

VPDN就是运营商网络中的企业暗道。拨号就是一把钥匙，隧道就是一条走廊，认证就是一道门禁，LNS就是内网大门。成语释义就是路标。暗度陈仓、殊途同归、防微杜渐、按图索骥、水到渠成、天衣无缝、各行其道、虚中有实。记住这些，排障、选型、运维都可以对得上。终端一拨、隧道一建、身份一验、数据一跑。公网依然很热闹，企业内网则安静地进行着自己的工作。