PPPoE学习笔记.doc

PPPoE学习笔记PPP Over Ethernet协议概述1Point-to-Point Protocol点到点协议1PPP协议几个组成部分1PPP链路建立过程2阶段1：创建PPP链路2阶段2：用户验证2阶段3：调用网络层协议3RGNOS路由器PPP配置3CHAP认证方式3PAP认证方式4PPP Debug信息4PPPOE 地址发现阶段51 PPPoE Active Discovery Initiation数据包(PADI)52 PPPoE Active Discovery Offer 数据包(PADO)63 PPPoE Active Discovery Request 数据包(PADR)74 PPPoE Active Discovery Session-confirmation 数据包(PADS)75 PPPoE Active Discovery Terminate数据包(PADT)8PPPOE过程PPP会话阶段9例1 PPPoE PPP会话 LCP报文9例2 PPPoE PPP会话 PAP报文10例3 PPPoE PPP会话 IPCP报文11RGNOS路由器PPPoE配置11PPPoE拨号配置实例11PPPoE Debug信息12 远程支持中心 谢文娜 2007-3-23 PPP Over Ethernet协议概述PPPoE即以太网上的PPP提供通过简单桥接访问设备把一个网络的多个主机连接到远程访问集中器的功能。为了提供以太网上的点到点连接，每一个PPP会话必须知道远程通信对方的以太网地址，并建立一个唯一的会话标识符。PPPoE包含一个（以太网地址）发现协议来提供这个功能。PPPoE分为两个阶段，即地址发现阶段（Discovery Stage）和PPP会话阶段（PPP Session Stage），下图为其完整的通信过程。在了解PPPoE之前，首先复习一下PPP点到点协议。Point-to-Point Protocol点到点协议点对点协议（PPP）为在点对点连接上传输多协议数据包提供了一个标准方法。PPP 最初设计是为两个对等节点之间的 IP 流量传输提供一种封装协议。在 TCP-IP 协议集中它是一种用来同步调制连接的数据链路层协议（OSI 模式中的第二层），替代了原来非标准的第二层协议，即 SLIP。除了 IP 以外 PPP 还可以携带其它协议，包括 DECnet 和 Novell 的 Internet 网包交换（IPX）。PPP协议几个组成部分链路控制协议LCP（Link Control Protocol）网络控制协议NCP（Network Control Protocol）认证协议 口令验证协议PAP（Password Authentication Protocol）挑战握手验证协议CHAP（Challenge-Handshake Authentication Protocol）PPP链路建立过程PPP状态迁移图一个典型的链路建立过程分为三个阶段：创建阶段、认证阶段和网络协商阶段。阶段1：创建PPP链路LCP负责创建链路。在这个阶段，将对基本的通讯方式进行选择。链路两端设备通过LCP向对方发送配置信息报文（Configure Packets）。一旦一个配置成功信息包（Configure-Ack packet）被发送且被接收，就完成了交换，进入了LCP开启状态。阶段2：用户验证在这个阶段，客户端会将自己的身份发送给远端的接入服务器。该阶段使用一种安全验证方式避免第三方窃取数据或冒充远程客户接管与客户端的连接。在认证完成之前，禁止从认证阶段前进到网络层协议阶段。如果认证失败，认证者应该跃迁到链路终止阶段。在这一阶段里，只有链路控制协议、认证协议，和链路质量监视协议的packets是被允许的。在该阶段里接收到的其他的packets必须被静静的丢弃。 最常用的认证协议有口令验证协议（PAP）和挑战握手验证协议（CHAP）。 1 口令验证协议（PAP）PAP是一种简单的明文验证方式。NAS（网络接入服务器，Network Access Server）要求用户提供用户名和口令，PAP以明文方式返回用户信息。2 挑战-握手验证协议（CHAP） CHAP是一种加密的验证方式，能够避免建立连接时传送用户的真实密码。NAS向远程用户发送一个挑战口令（challenge），其中包括会话ID和一个任意生成的挑战字串（arbitrary challengestring）。远程客户必须使用MD5单向哈希算法（one-way hashing algorithm）返回用户名和加密的挑战口令，会话ID以及用户口令，其中用户名以非哈希方式发送。因为服务器端存有客户的明文口令，所以服务器可以重复客户端进行的操作，并将结果与用户返回的口令进行对照。CHAP为每一次验证任意生成一个挑战字串来防止受到再现攻击（replay attack）。在整个连接过程中，CHAP将不定时的向客户端重复发送挑战口令，从而避免第3方冒充远程客户（remote client impersonation）进行攻击。阶段3：调用网络层协议认证阶段完成之后，PPP将调用在链路创建阶段（阶段1）选定的各种网络控制协议（NCP）。选定的NCP解决PPP链路之上的高层协议问题，例如，在该阶段IP控制协议（IPCP）可以向拨入用户分配动态地址。 这样，经过三个阶段以后，一条完整的PPP链路就建立起来了。RGNOS路由器PPP配置CHAP认证方式PPP CHAP验证方! PPP CHAP 验证方将主动挑起验证，需要验证对方路由器发送的用户名和密码的有效性hostname Router1!设置主机名为Router1username Router2 password 0 rgnos!创建用户名和密码，用户名即是对方路由器（被验证方）的PPP主机名interface serial 1/2 encapsulation PPP !接口配置成PPP协议 ppp authentication chap !启动PPP验证，并指定PPP CHAP验证方式 ip address 1.1.1.1 255.255.255.252!PPP CHAP被验证方hostname Router2!设置主机名为Router 2username Router1 password 0 rgnos! 为验证方主机名创建用户数据库记录，两端密码需一致interface serial 1/2 encapsulation PPP !接口配置成PPP协议ppp chap hostname Router2! 指定PPP CHAP验证的主机名 ip address 1.1.1.2 255.255.255.252!PAP认证方式PPP PAP验证方hostname Router1!设置主机名为Router 1username router password 0 rgnos! 创建用户名和密码interface serial 1/2 encapsulation PPP !接口配置成PPP协议 ppp authentication pap !启动PPP验证，并指定PPP PAP验证方式 ip address 1.1.1.1 255.255.255.252!PPP PAP被验证方hostname Router2!设置主机名为Router 2interface serial 1/2 encapsulation PPP ! 接口配置成PPP协议 ppp pap sent-username router password 0 rgnos ! 指定PPP PAP验证的用户名和密码，与验证方设置一致 ip address 1.1.1.2 255.255.255.252!PPP Debug信息 与PPP相关的RFC：RFC1144TCP/IP数据包压缩RFC1220PPP在网桥上的扩充RFC1334PPP认证协议RFC1378PPP AppleTalk控制协议（ATCP）RFC1552PPP互联网数据包交换控制协议（IPXCP）RFC1570PPP LCP协议扩充RFC1661PPP协议（PPP）RFC1662PPP中的HDLC封装RFC1990PPP多链路协议（MP）PPPOE 地址发现阶段当某个主机希望发起一个PPPoE会话时，它必须首先执行Discovery来确定对方的以太网MAC地址并建立起一个PPPoE会话标识符SESSION_ID。发现阶段有四个步骤：主机广播一个发起分组（PADI），一个或多个访问集中器响应发送分组（PADO），主机从中选择一个访问集中器发送单播会话请求分组（PADR），选择的访问集中器发送一个确认分组（PADS）。当主机接收到确认分组，它可以开始进行PPP会话阶段。当接入集中器发送出确认分组，它可以开始进行PPP会话阶段。当Discovery阶段成功完成之后，主机和访问集中器两者都具备了用于在以太网上建立点到点连接所需的所有信息（PPPOE SESSION_ID和对端的以太网地址，他们一起唯一定义PPPOE会话）。PPPOE会话的SESSION_ID一定不能改变，并且必须是发现阶段分配的值。报文帧格式如下：Discovery阶段所有的以太网帧的Ether_Type域都设置为0x8863。1 PPPoE Active Discovery Initiation数据包(PADI) PADI即PPPOE发现初始报文，Destination_Addr为广播地址的PADI数据包, Source _Addr为主机的以太网地址。Ether_Type值为0x8863，Code域设置为0x09 ，Session- ID域为0x0000。PADI数据包必须包含且仅包含一个TAG_TYPE为Service-Name的TAG，以表明主机请求的服务，以及任意数目的其它类型的TAG。PADI报文（包括PPPoE头部）长度不能超过1484个字节，以留足空间让中继代理（向数据包中）增加类型为Relay-Session-Id的TAG。例：2 PPPoE Active Discovery Offer 数据包(PADO) 如果访问集中器能够为收到的PADI请求提供服务，它将通过发送一个PADO数据包来做出应答。PADO即PPPOE发现提供报文Destination_Addr为发送PADI的主机的单播地址，Source_ Add为接入集中器的以太网地址，Ether_Type值为0x8863，Code域为0x07, Session-ID域必须设置为0x0000。 PADO数据包必须包含一个类型为AC-Name的TAG（包含了访问集中器的名字），与PADI中相同的Service-Name，以及任意数目的类型为Service-Name的TAG表明访问集中器提供的其它服务。如果访问集中器不能为PADI提供服务，则不允许用PADO作响应。例：3 PPPoE Active Discovery Request 数据包(PADR) 由于PADI是广播的，主机可能收到不止一个PADO,它将审查接收到的所有PADO并从中选择一个。可以根据其中的AC-Name或PADO所提供的服务来作出选择。然后主机向选中的访问集中器发送一个PADR数据包。PADR即PPPOE发现请求报文中的Destination_Addr域设置为发送PADO的访问集中器的以太网地址，Ether_Type值为0x8863，Code域设置为0x19，Session_ID必须设置为0x0000。PADR必须包含且仅包含一个TAG_TYPE为Service-Name的TAG，以向集中器指明请求的服务，以及任意数目其他类型的TAG。例：4 PPPoE Active Discovery Session-confirmation 数据包(PADS)当访问集中器收到一个PADR数据包，它就准备开始一个PPP会话。它为PPPoE会话创建一个唯一的SESSION_ID并用一个PADS数据包来给主机作出响应。PADS即PPPOE发现会话确认报文中Destination_Addr域为发送PADR数据包的主机的单播以太网地址，Code域设置为0x65,Session_ID必须设置为所创建好的PPPoE会话标识符。PADS数据包包含且仅包含一个TAG_TYPE为Service-Name的TAG，表明访问集中器已经接受的该PPPoE会话的服务类型，以及任意数目的其他类型的TAG。 例：5 PPPoE Active Discovery Terminate数据包(PADT)PADT即PPPOE发现终止报文可以在会话建立以后的任意时刻发送，表明PPPoE会话已经终止。它可以由主机或者接入集中器发送。当接收到一个PADT，不再允许使用这个会话来发送PPP业务。Destination_Addr域为单播以太网地址，Code域设置为0xa7,Session_ID必须表明终止的会话，这种数据包不需要任何TAG。PPPOE过程PPP会话阶段一旦PPPOE进入到会话阶段，则PPP的数据报文就会被填充在PPPOE的净载荷中被传送，这时两者所发送的所有以太网包均是单目地址。PPPOE会话阶段以太网帧的协议域填充为0x8864，代码域填充0x00，PPPoE会话的SESSION_ID不允许发生改变，必须是Discovery阶段所指定的值。PPPoE的Payload包含一个PPP帧，帧始于PPP Protocol-ID，整个会话的过程就是PPP的会话过程。PPP Protocol域定义的值： 0xC021 LCP, Link Control Protocol0xC023 PAP, Password Authentication Protocol0x8021 IPCP, PPP Internet Protocol Control Protocol例1 PPPoE PPP会话 LCP报文例2 PPPoE PPP会话 PAP报文例3 PPPoE PPP会话 IPCP报文附PPPoE完整过程实例PacketRGNOS路由器PPPoE配置PPPoE拨号配置实例access-list 99 permit anydialer-list 1 protocol ip permit!interf