整个L2TP数据包，包括有效附载（payload）及标头（header），皆是用用户数据报协议（UDP）来发送。L2TP本身并不提供加密和认证，但常用IPsec来确保L2TP的安全及完整性，两种协议的组合一般被称为L2TP/IPsec。L2TP tunnel的两端分别是LAC（L2TP Access Concentrator）与 LNS (L2TP Network Server)。LAC扮演起始者的角色；LNS则是服务器，等待新的隧道建立。而一旦隧道创建之后，两点之间的沟通就是双向性的。为了让更高层级的协议更容易使用L2TP隧道，每个更高层协议，例如：PPP，都会在隧道中创建一个L2TP会话（或称为"通话"）。无论是LAC或是LNS都可以打开会话，而每个会话的流量都会被L2TP隔开，因此在一个隧道之中可以创建多个虚拟网络。运行L2TP的时候应要考虑最大传输单元（MTU）。在L2TP隧道中交换的的数据包可分类为控制数据包或是数据包。L2TP提供控制数据包的可靠性，数据包则没有 。

• 隧道协议

• 点对点协议

• IPsec

• L2F

• 点对点隧道协议

1999年8月，互联网工程任务组发布RFC 2661，制定了L2TP协议的标准。

2005年，互联网工程任务组发布RFC 3931，制定了该协议标准的新版本——L2TPv3。

隧道技术的实质是如何利用一种网络层的协议来传输另一种网络层的协议，其基本功能是封装和加密，主要利用隧道协议来实现。封装是构建隧道的基本手段。从隧道的两端来看，封装就是用来创建、维持和撤销一个隧道，来实现信息的隐蔽和抽象。而如果流经隧道的数据不加密，那么整个隧道就暴露在公共网络中，VPN的安全性和私有性就得不到体现。

网路隧道技术涉及了3种网络协议：网络隧道协议、隧道协议下面的承载协议和隧道协议所承载的被承载协议。如图所示

隧道协议作为VPN IP层的底层，将VPN IP分组进行安装封装；隧道协议同时作为公用IP网的一种特殊形式，将封装的VPN分组利用公网内的IP协议栈进行传输，以实现隧道内的功能。隧道协议在这个协议体系中起着承上启下的作用。

隧道协议存在多种可能的实现方式，按照工作的层次，可分为两类：一类是二层隧道协议，用于传输二层网络协议，它主要应用于构建拨号VPN（Access VPN）；另一类是三层隧道协议，用于传输三层网络协议，它主要应用于构建内部网VPN（Intranet VPN）和外联网（VPN Extranet VPN）。

隧道协议二层隧道协议

二层隧道协议指用公用网络来封装和传输二层（数据链路层）协议，此时在隧道内传输的是数据链路层的帧。工作原理如图所示

在点到点的二层链路上，最常用的二层协议是PPP协议，隧道协议实现中，首先将IP分组封装在二层的PPP协议帧中，也就是会所，先把各种网络协议封装在PPP中，再把整个数据包装入二层隧道协议中。这种双层封装方法形成的数据包在公用网络中传输。

第二层隧道协议具有简单易行的优点，但是他没的可扩展性不太好，而且提供内在的安全机制安全强度低，因此它们不支持企业和企业的外部客户以及供应商之间通信的保密性需求，不适合用来构建连接企业内部网和企业的外部客户和供应商的企业外部网VPN。

隧道协议三层隧道协议

三层隧道协议是用公用网来封装和传输三层（网路层）协议（如IP、IPX、AppleTalk等），此时在隧道内传输的是网路层的分组。三层隧道协议并非是一种很新的技术，早已出现的RFC 1701 通路路由封装协议就是一个三层隧道协议。IETF制定的IP层加密标准协议IPSec 也是一个三层速到协议，利用IPSec（ESP/AN）的隧道模式构成的VPN隧道。三层隧道协议的协议栈如图所示，

隧道技术是一种通过使用网络的基础设施在网络之间传递数据的方式。使用隧道传递的数据(或负载)可以是不同协议的数据帧或包。隧道协议将这些其它协议的数据帧或包重新封装在新的包头中发送。新的包头提供了路由信息 ,从而使封装的负载数据能够通过互联网络传递。为创建隧道,隧道的客户机和服务器双方必须使用相同的隧道协议。隧道技术可以分别以第 2层或第 3层隧道协议为基础(分层按照开放系统互联(OSI)的参考模型划分)。第 2层隧道协议对应 OSI 模型中的数据链路层,使用帧作为数据交换单位。PPTP,L2TP和 L2F(第 2层转发)都属于第 2层隧道协议 ,都是将数据封装在点对点协议(PPP)帧中通过互联网络发送。第 3层隧道协议对应 OSI模型中的网络层 ,使用包作为数据交换单位。IP over IP以及 IPSec 隧道模式都属于第3 层隧道协议,都是将IP 包封装在附加的 IP包头中通过 IP网络传送。

目前 ,隧道协议已经被应用到许多网络中 ,并逐步制定了相应的技术规范。GPRS隧道协议 GTP(GPRSTunnelling Protocol)是隧道协议在GPRS 网络中的应用实例。

GTP 协议是由GTP 信令和数据传输程序组成的。在信令平台,GTP信令规定了移动台 MS接入 GPRS网络的隧道控制和管理功能要求 ,信令主要执行建立、修改和删除GSN之间隧道功能以及执行移动性管理、位置管理、 路径管理功能。在传输平台 ,GTP利用 GSN 之间建立的隧道传送用户分组数据,并给出了以GTP 为基础的IP组网技术,SGSN、GGSN执行GTP 、UDP或 TCP和 IP 字头封装功能和包括骨干路由器在内对用户分组数据的分段处理功能。

GPRS隧道协议GTP 字头

GTP 字头是由 20 个字节组成的固定格式, 适合全部的 GTP 消息 , GTP 字头组成和隧道标识符格式如图 2 、 图 3 所示。

其中 , 版本比特和 PT 比特合用表示协议类型及版本号 ;SNN 用于指示 SNDCP(子网相关的收敛协议)的N -PDU序号是否被包括 ;消息类型指示 GTP 消息的类型 :路径管理、 隧道管理、 位置管理、 移动性管理等信令消息类型 ;序列号用于信令消息的事务处理标识和隧道传送 T -PDU 的递增序号;TID(隧道标识符)用于指出MM(移动性管理)和 PDP 上下文 。其结构如图 3 所示。

图 3 中 MCC 是移动网国家代码 , MNC 是移动网代码 , MSIN 是移动台识别号 , 属于国际移动用户识别 IMSI 中的一部分。NSAPI 是网络业务访问点标识符 , 用于识别PDP 上下文。

GPRS隧道协议信令平台

与 GPRS移动性管理功能有关的信令平台包括 GPRS连接,GPRS路由区更新和 PDP上下文激活等。GSN 节点之间的信令是由 GPRS 隧道协议 GTP 来执行的。信令平台(协议栈)如图 4 所示。

GTP 信令流与GTP 隧道仅是逻辑上的结合 , 实际上是分开的。一对 GSN -GSN 之间可存在一条或多条路径。每条路径又可能包含一条和多条隧道。GTP 是一种手段 ,通过 GTP 来建立、 使用、 管理和释放隧道。利用保持激活的回送消息来保持路径 , 保证 GSN之间连接中断时能及时检测到。GTP 定义了 2 个相关的 GSN 之间的一组信令消息。GSN 之间(SGSN 和GGSN 之间 ;SGSN 和 SGSN 之间)以及生成 CDR 的网络单元和 CGF 之间的信令消息类型值分配如表 1 所示:

对于信令消息, GTP 字头的用法如下 :

(1)SNN 置 0 ;

(2)消息类型按上表取定为唯一值 ;

(3)长度是指不包括 GTP 字头在内信令消息长度(字节数);

(4)序列号是指一条路径或一条隧道的有效消息号码, 在路径或隧道中发送的每条 GTP 信令消息的序列号是唯一的, 连续序列号范围为 0 至 65535 ;

(5)在全部路径管理消息 、 位置管理消息和移动性管理消息中 TID 置 0。在隧道管理消息中 , TID 用于指出目的地 GSN 中的 MM 和 PDP 上下文 ;

(6)在全部路径管理消息 、 位置管理消息中 , 流标志没有使用置 0。 在隧道管理消息和移动性管理消息中 , 流标志置成所请求的值, 用于指示 GTP 流。信令消息是由用于信令的 GTP 字头加后面跟随着的一系列信息单元组成各种信令消息 , 主要取决于信令消息的类型 , 不同的信令消息类型 GTP 字头后面跟随不同的信令消息。信令消息格式如图 5 所示。

GPRS隧道协议传输平台

隧道用于在一个给定的GSN 对之间为单独的一个MS 承载封装的 T -PDU。出现在 GTP 字头中的关键隧道标志应说明一个特定的 T -PDU 属于哪个隧道。以这样一种格式 , 分组通过 GTP 在一个给定的 GSN -GSN 对之间进行复用和解复用 。在关键字段使用的TID 值是由发生在信令平台上的创建 PDP 上下文建立规程来建立的。

GTP 协议承载 T -PDU 通过 GPRS 骨干网 。 T -PDU 封装在 G -PDU中 , 在一对 GSN 之间的一个隧道中承载。一个 G -PDU 是由一个 GTP 字头和一个 T -PDU 组成的分组。路径协议规定路径 , GTP 字头规定隧道。几个隧道可以复用到一条路径上。帧结构如图6 所示。

对于传输平台消息 , GTP 字头应如下进行使用:

(1)SNN 标志 :如果 SNN 标志置 1 , 则 GTP 字头包括可选的 SNDCP N-PDU 序号。

(2)消息类型置十进制 255 , 表明是一个 T -PDU。

(3)序列号 :用于决定是否丢弃一个收到的 T -PDU。

(4)SNDCP N -PDU序列号:如果 SNN 置 1 , 此序列号应该被包括。在 SGSN 间路由区更新时 , 此序列号被原 SGSN 用来告诉新 SGSN 指派给 T -PDU 包的N -PDU 序列号 。如果一个 T -PDU 包没有被 SNDCP指定序号, 或 T -PDU 包在 LLC层上使用非确认的方式传送 , 那么 SNN 标志应置 0, SNDCP N -PDU 序号应置 255 。

(5)流标志用于识别 T -PDU 属于哪个数据流。流标志是接收方在上下文建立、 更新或 SGSN改变时选择的。

(6)TID:隧道标识符指示该T-PDU所属的隧道。由接收 GSN利用 TID来查找 MM和 PDP的上下文。

GPRS隧道协议路径协议

UDP/IP 是在GTP 的第一版本中唯一规定用来传送 GTP信令消息的路径协议。UDP/IP也作为在无连接路径上的隧道传送无连接 T-PDU的推荐选择。

TCP/IP 作为在一个可靠的面向连接路径上的隧道传送面向连接 T-PDU的推荐选择。