广域网协议PPP

4.1 广域网协议封装与PPP的PAP认证【项目情境】假设你是公司的网络管理员，公司为了满足不断增长的业务需求，申请了专线接入，当客户端路由器与ISP进行链路协商时，需要验证身份，以保证链路的安全性。

也是对ISP进行正常的交费与后续合作的重要保证。

要求链路协商时以明文的方式进行传输。

【项目目的】1.掌握广域网链路的多种封装形式。

2.掌握ppp协议的封装与PAP验证配置。

3.掌握PAP配置的测试方法、观察和记录测试结果。

4.了解PAP以明文方式，通过两次握手，完成验证的过程。

【相关设备】路由器两台、V.35线缆一对。

【项目拓扑】【项目任务】1.如上图搭建网络环境，并对两个路由器关闭电源，分别扩展一个同异步高速串口模块(WIC-2T)。

两个路由器之间使用V.35的同步线缆连接，RouterA的S0/1口连接的是DCE端，RouterB的S0/1口连接的是DTE端。

配置RouterA和RouterB的S0/1口地址。

在RouterA的S0/1口上配置同步时钟为64000。

2.在两个路由器的连接专线上封装广域网协议PPP，并查看端口的显示信息，测试两个路由器之间的联连性。

(封装的广域网协议还有：HDLC、X.25、Frame-relay、ATM，双方封装的协议必须相同，否则不通)3.在两个路由器的连接专线上建立PPP协议的PAP认证，RouterA 为被验证方，RouterB为验证方(即密码验证协议，双方通过两次握手，完成验证过程)，并测试两个路由器之间的联连性(明文方式进行密码验证，通过PPP的LCP层链路建立成功，两个路由器才可互通)。

先通过show running-config来查看配置。

4.在RouterB上启用debug命令验证配置，需要把S0/1进行一次shutdown再开启，观察和感受链路的建立和认证过程。

5.最后把配置以及ping的结果截图打包，以“学号姓名”为文件名，提交作业。

6.使用锐捷设备（2、3人一组）完成上面的步骤（端口见如下拓扑图）【实验命令】1.在两个路由器的连接专线上封装广域网协议PPPRouterA(config)#interface serial 0/1RouterA(config-if)#encapsulation pppRouterB(config)#interface serial 0/1RouterB(config-if)#encapsulation ppp2.查看封装端口的显示信息RouterA#show interfaces serial 0/13.在两个路由器的连接专线上建立PPP协议的PAP认证RouterA(config)#interface serial 0/1RouterA(config-if)#ppp pap sent-username RouterA password 0 123RouterB(config)#username RouterA password 0 123RouterB(config)#interface serial 0/1RouterB(config-if)#ppp authentication pap4.在RouterB上启用debug命令RouterB#debug ppp authenticationRouterB#debug ppp negotiation5.把RouterB 的S0/1进行一次shutdown再开启，观察和感受链路的建立和认证过程。

终止链路
当物理链路丢失载波信号、认证失败、线路质量恶化、 当物理链路丢失载波信号、认证失败、线路质量恶化、链路空闲 时间过长、管理员主动关闭链路时， 将终止链路。 时间过长、管理员主动关闭链路时，PPP将终止链路。 将终止链路 PPP重新进入链路静止状态。 重新进入链路静止状态。 重新进入链路静止状态
PPP协议结构 PPP协议结构
PPP协议提供了一个可扩展的链路控制协议（LCP）和一组网络控制协议 （NCP）对可选配置参数和设备进行选择。 链路控制协议有可扩展性，被用来建立、配置、测试数据链路链接。 网络控制协议是一组NCP协议，用来建立和配置不同网络层协议。 PPP LCP提供了对点对点链接进行建立、配置、维护和终止的方法。LCP 配置需要经过建立链接、选择配置、决定链接质量、选择网络层协议配置 、终止链接四个阶段。
12.4 PAP验证 PAP验证
被验证方
Clent RA
Request 用户名+ 用户名+密码
验证方
Server RB
Auth Ack 验证成功 Auth Nak 验证失败
username: ruijie Password: 123 username ruijie password 123
PAP认证是两次握手， PAP认证是两次握手， PAP不是一种健壮的身份验证协议。身份验证时ቤተ መጻሕፍቲ ባይዱ链路上以明文发送 PAP不是一种健壮的身份验证协议。身份验证时在链路上以明文发送 ，而且由于验证重试的频率和次数由远程节点来控制，因此不能防止 回放攻击和重复的尝试攻击。
12.4 PAP验证的配置 PAP验证的配置
• 客户端（被验证方） 客户端（被验证方）
– RA(config)#interface seril 1/2 – RA(config-if)# encapsulation ppp RA(config– RA(config-if)#ppp pap sent-username ruijie password RA(configsent123 –指定 指定PPP PAP验证的用户名和密码 指定 验证的用户名和密码

PPP 协议配置简介一、实验目的1、掌握PPP 协议的配置；2、掌握PAP 与CHAP 协议配置；二、实验设备Quidway S3928以太网交换机 1 台 Quidway S3026以太网交换机 1 台 Quidway S2116以太网交换机 1 台 Quidway AR28-12路由器2台 Quidway AR28-31路由器1台计算机3台，网线若干根，V.35DTE 、DCE 电缆线3对三、实验原理及内容：（一）PAP 配置为了模拟实际环境，我们在实验中使用背靠背直接相连来模拟广域网连接。

下面是简单实验的模拟实验环境，共2台路由器（其中RB 为AR28-31），1台交换机，2台PC 。

1、路由器各接口IP 地址设置如下：2、PC 机的IP 地址与缺省网关的IP 地址如下：为了保证配置不受影响，请在实验之前清除路由器的所有配置后重新启动。

3、配置主机地址，参考下面的命令配置PAP 协议：PC1 202.0.0.2/24RARB192.0.0.1/24PC2 202.0.1.2/24 192.0.0.2/24<ra>sys[ra]sysname RA[RA]interface e0/1[RA-Ethernet0/1]ip addr 202.0.0.1 24[RA-Ethernet0/1]interface s0/0[RA-Serial0/0]ip addr 192.0.0.1 24[RA-Serial0/0][RA-Serial0/0]ppp authentication-mode pap[RA-Serial0/0]q[RA]local-user routerb[RA-luser-routerb]password simple hello[RA-luser-routerb]service-type ppp[RA-luser-routerb]quit[RA]save[RA]rip[RA-rip]network 202.0.0.0[RA-rip]network 192.0.0.0[RA-rip]q[RA]<Quidway><Quidway>sys[Quidway]sysname RB[RB]INTERFACE E0/1[RB-Ethernet0/1]ip addr 202.0.1.1 24[RB-Ethernet0/1]interface s0/0[RB-Serial0/0]ip addr 192.0.0.2 24[RB-Serial0/0][RB-Serial0/0]ppp pap local-user routerb password simple hello[RB-Serial0/0]q[RB]rip[RB-rip]network 202.0.1.0[RB-rip]network 192.0.0.04、PC1与PC互相能够ping通。

PPP,PPPOE,PPTP,L2TP-VPN简介(之一)PPP协议概览2010-03-1715:54PPPPPP是一种数据链路层协议，遵循HDLC（高级数据链路控制协议）族的一般报文格式。

PPP是为了在点对点物理链路(例如RS232串口链路、电话ISDN线路等)上传输OSI模型中的网络层报文而设计的，它改进了之前的一个点对点协议–SLIP协议–只能同时运行一个网络协议、无容错控制、无授权等许多缺陷，PPP是现在最流行的点对点链路控制协议。

上图中PPP的flag字段恒为0×7f，地址(adress)字段恒为0xff，控制(control)字段恒为0×03.协议（protocol）字段表示PPP报文中封装的payload（data字段）的类型，如果为0×0021，则表示PPP封装的IP报文，0×002B表示IPX报文，0×0029表示AppleTalk报文，这几种都属于PPP的数据报文；如果为0×8021则表示PPP的LCP报文（用来协商连接），如果为0xC021则属于PPP的NCP报文（用来协商封装的三层协议），这些属于PPP的控制报文。

PPP协议状态机如下图所示：在上图的链接建立阶段（建立），PPP使用LCP报文来协商连接（一种发送配置请求，然后接收响应的简单“握手”过程，不做过多介绍，感兴趣可以去细读RFC1661），协商中双方获得当前点对点连接的状态配置等，之后的“鉴别”阶段使用哪种鉴别方式也在这个协商中确定下来。

鉴别阶段是可选的，如果链接协商阶段并没有设置鉴别方式，则将忽略本阶段直接进入“网络”阶段。

鉴别阶段使用链接协商阶段确定下来的鉴别方式来为连接授权，以起到保证点对点连接安全，防止非法终端接入点对点链路的功能。

常用的鉴别认证方式有CHAP和PAP方式。

CHAP方式的原理是由一端定期发起挑战“challenge”，收到“challenge”的一端将收到的“challenge”报文中的密钥使用之前双发协商好的一种算法加密后再把结果发回发起端，这种算法应该是结果唯一（不同输入必得到不同输出）且不可逆（由输出无法得到输入）的，发起端也使用该算法计算后验证结果是否正确来为对端授权认证。