***协议PPTP、L2TP、Open***

一、[b]PPTP、L2TP、Open***三种隧道协议的概念[/b]1、PPTP（Point to Point Tunneling Protocol，点对点隧道协议）默认端口号：1723PPTP，即PPTF协议。该协议是在PPP协议的基础上开发的一种新的增强型安全协议，支持多协议虚拟专用网（***），可以通过密码身份验证协议（PAP）、可扩展身份验证协议（EAP）等方法增强安全性。可以使远程用户通过拨入ISP、通过直接连接Internet或其他网络安全地访问企业网。点对点隧道协议（PPTP）是一种支持多协议虚拟专用网络的网络技术，它工作在第二层。通过该协议，远程用户能够通过 Microsoft Windows NT工作站、Windows xp 、Windows 2000 和windows2003、windows7操作系统以及其它装有点对点协议的系统安全访问公司网络，并能拨号连入本地ISP，通过Internet 安全链接到公司网络。PPTP协议是点对点隧道协议，其将控制包与数据包分开，控制包采用TCP控制。PPTP使用TCP协议，适合在没有防火墙限制的网络中使用。百度百科：http://baike.baidu.com/link?url=hHnpi2pyUWox7o6tbuGhyEi-jUPBmtpxlWRvVvE_LZfTAFmQOY2KPXqUzfAPHcql2、L2TP（Layer 2 Tunneling Protocol，第二层隧道协议）L2TP是一种工业标准的Internet隧道协议，功能大致和PPTP协议类似，比如同样可以对网络数据流进行加密。不过也有不同之处，比如PPTP要求网络为IP网络，L2TP要求面向数据包的点对点连接；PPTP使用单一隧道，L2TP使用多隧道；L2TP提供包头压缩、隧道验证，而PPTP不支持。L2TP是一个数据链路层协议，基于UDP。其报文分为数据消息和控制消息两类。数据消息用投递 PPP 帧，该帧作为L2TP报文的数据区。L2TP不保证数据消息的可靠投递，若数据报文丢失，不予重传，不支持对数据消息的流量控制和拥塞控制。控制消息用以建立、维护和终止控制连接及会话，L2TP确保其可靠投递，并支持对控制消息的流量控制和拥塞控制。L2TP是国际标准隧道协议，它结合了PPTP协议以及第二层转发L2F协议的优点，能以隧道方式使PPP包通过各种网络协议，包括ATM、SONET和帧中继。但是L2TP没有任何加密措施，更多是和IPSec协议结合使用，提供隧道验证。L2TP使用UDP协议，一般可以穿透防火墙，适合在有防火墙限制、局域网用户，如公司、网吧、学校等场合使用。PPTP和L2TP二个连接类型在性能上差别不大，如果使用PPTP不正常，那就更换为L2TP。百度百科：http://baike.baidu.com/link?url=t6G3hu_r6-pfi-GN8cCXg5Vx3F_Rk4fEdvXS80l2zstTub7gXMNQzOIPTKfjd_FU3、Open***Open***的技术核心是虚拟网卡，其次是SSL协议实现。虚拟网卡是使用网络底层编程技术实现的一个驱动软件，安装后在主机上多出现一个网卡，可以像其它网卡一样进行配置。服务程序可以在应用层打开虚拟网卡，如果应用软件（如IE）向虚拟网卡发送数据，则服务程序可以读取到该数据，如果服务程序写合适的数据到虚拟网卡，应用软件也可以接收得到。虚拟网卡在很多的操作系统下都有相应的实现，这也是Open***能够跨平台一个很重要的理由。Open***使用OpenSSL库加密数据与控制信息：它使用了OpenSSL的加密以及验证功能，意味着，它能够使用任何OpenSSL支持的算法。它提供了可选的数据包HMAC功能以提高连接的安全性。此外，OpenSSL的硬件加速也能提高它的性能。Open***所有的通信都基于一个单一的IP端口，默认且推荐使用UDP协议通讯，同时TCP也被支持。在选择协议时候，需要注意2个加密隧道之间的网络状况，如有高延迟或者丢包较多的情况下，请选择TCP协议作为底层协议，UDP协议由于存在无连接和重传机制，导致要隧道上层的协议进行重传，效率非常低下。Open***是一个基于SSL加密的纯应用层***协议，是SSL ***的一种，支持UDP与TCP两种方式（说明：UDP和TCP是2种通讯协议，这里通常UDP的效率会比较高，速度也相对较快。所以尽量使用UDP连接方式，实在UDP没法使用的时候，再使用TCP连接方式）。由于其运行在纯应用层，避免了PPTP和L2TP在某些NAT设备后面不被支持的情况，并且可以绕过一些网络的封锁（通俗点讲，基本上能上网的地方就能用Open***）。Open***客户端软件可以很方便地配合路由表，实现不同线路（如国内和国外）的路由选择，实现一部分IP走***，另一部分IP走原网络。百度百科：http://baike.baidu.com/link?url=00I2C_Gm7Xvcma3QJYHCrJJ0-xcdcNbcSAMNyuxozggQ0LVxeOkZklkiMqbL_j37D0ucvHfsWmlaZbQUlhxO3q 二、PPTP、L2TP、Open***三种隧道协议的优缺点对比易用性： PPTP > L2TP > Open***
速度： PPTP > Open*** UDP > L2TP > Open*** TCP
安全性： Open*** > L2TP > PPTP
稳定性： Open*** > L2TP > PPTP
网络适用性：Open*** > PPTP > L2TP 三、***协议的选择电脑上优先使用PPTP，无法使用可以尝试L2TP，对安全性要求高的优先使用Open***。手持设备推荐使用L2TP。PPTP： 最常用，设置最简单，大多数设备都支持；
L2TP： 支持PPTP的设备基本都支持此种方式，设置略复杂，需要选择L2TP/IPSec PSK方式，且设置预共享密钥PSK；
Open***：最稳定，适用于各种网络环境，但需要安装第三方软件和配置文件，较复杂。 四、CentOS PPTP 安装与部署1、准备环境

yum install perl ppp iptables

2、安装PPTPD对于32位CentOS，执行：

wget http://acelnmp.googlecode.com/files/pptpd-1.3.4-1.rhel5.1.i386.rpmrpm -ivh pptpd-1.3.4-1.rhel5.1.i386.rpm

对于64位CentOS，执行：

wget http://acelnmp.googlecode.com/files/pptpd-1.3.4-1.rhel5.1.x86_64.rpmrpm -ivh pptpd-1.3.4-1.rhel5.1.x86_64.rpm

3、修改配置（1）修改主配置文件/etc/pptpd.conf.只需要加入下面两行：

ocalip 192.168.254.1remoteip 192.168.254.100-254

Localip这行是给***服务器设置一个隧道ip，Remoteip是自动分配给客户端的ip地址范围。（2）修改选项文件/etc/ppp/options.pptpd.需要设定分配给客户端的dns，因此仅需把ms-dns前的注释去掉，改成可用的dns如下：
ms-dns 61.135.154.5 ms-dns 159.226.240.66
为了方便查看调试信息，把debug行前面的注释取消即可。Dump前的注释也取消。

ms-dns 8.8.8.8ms-dns 8.8.4.4

（3）CentOS安装pptpd添加帐号。通过编辑文件/etc/ppp/chap-secrets逐行加入；一个账号占一行。
一行分4列，其表示如下：用户名 服务器名 密码 ip

testuser pptpd testpwd *

testuser、testpwd对应修改为自己希望的***登录用户名和密码，* 表示有pptpd随机分配ip。

（4）开启ip转发功能，将/etc/sysctl.conf 文件中net.ipv4.ip_forward设置为 1 （如果没有，则按照格式新建一行）：

net.ipv4.ip_forward = 1

保存退出，执行：

/sbin/sysctl -p

4、设置iptables转发

/etc/init.d/iptables start/sbin/iptables -t nat -A POSTROUTING -o eth0 -s 192.168.254.0/24 -j MASQUERADE/etc/init.d/iptables save/etc/init.d/iptables restart

注意，上面的192.168.254.0 应该与之前设置的网段对应。5、设置开机启动

chkconfig pptpd on
chkconfig iptables on

重启计算机即可进行连接，并且能够正常上网。如果重启服务器后，无法连接***，首先检查服务器的PPTP服务1723端口是否已打开（注意设置防火墙允许此端口）；如果可以连接***，但是无法正常上网，则检查iptables是否正常转发。