网络互联技术 课件任务5.1 CHAP和PAP认证

Module5广域网技术《网络互联技术》任务5.1

CHAP和PAP认证广域网概述PPP基本概念PPP报文格式PPP协商阶段PPP链路建立过程PPP链路认证PPP认证配置流程PPP认证协议配置命令广域网通常覆盖很大的地理范围，提供远距离数据通信的网络。PPP（Point-to-PointProtocol，点到点协议）是一种常见的广域网数据链路层协议，主要用于在全双工的链路上进行点到点的数据传输封装。PPP因支持多种网络层协议，无重传机制、支持多种验证方式等特点得到了广泛应用。本次任务介绍PPP协议的工作原理及CHAP、PAP认证配置方法。任务背景准备知识广域网通常使用因特网服务提供商提供的设备作为信息传输平台，对网络通信的要求较高。常见的广域网通信协议包括点到点协议（PPP）、高级数据链路控制协议（HDLC）等。不同的链路可以使用不同的数据链路层协议，每种数据链路层协议都定义了相应的数据链路层封装的帧格式，数据包经过不同的链路，就要封装成对应的帧。广域网协议对应OSI的三层模型1.广域网概述2.PPP基本概念PPP是TCP/IP网络中最重要的点到点数据链路层协议，主要用于在全双工的同/异步链路上进行点到点的数据传输。PPP主要由三类协议族组成：链路控制协议族LCP（LinkControlProtocol），主要用来建立、拆除和监控PPP数据链路。网络层控制协议族NCP（NetworkControlProtocol），用来协商在该数据链路上所传输的数据包的格式与类型。扩展协议族CHAP（Challenge-HandshakeAuthenticationProtocol）和PAP（PasswordAuthenticationProtocol），主要用于网络安全方面的验证。PPP协议相对与其它链路层协议有如下优点：PPP既支持同步链路又支持异步链路，而X.25、帧中继等数据链路层协议仅支持同步链路，SLIP仅支持异步链路。PPP协议具有良好的扩展性，如在以太网链路承载PPP协议时，可扩展为PPPoE。支持链路层、网络层参数的协商。支持认证功能，提升网络的安全性。无重传机制，网络开销小，速度快。3.PPP报文格式PPP报文封装格式PPP帧各字段含义字段名称含义Flag标识一个物理帧的起始和结束，该字节为0x7EAddress值为全1的广播地址，对于PPP协议来说，该字段无实际意义Control该字段默认值为0x03，表明为无序号帧Protocol用来区分PPP数据帧中信息域所承载的数据包类型，如0021表示为IP数据包，C021表示为LCP报文、C023表示为PAP报文、C223表示为CHAP报文InformationPPP帧的载荷数据，包含协议字段中指定协议的数据包，默认最大长度是1500字节FCS主要对PPP数据帧传输的正确性进行检测4.PPP协商阶段PPP链路的建立存在五个协商阶段Dead阶段：物理层不可用阶段。当通信双方的两端检测到物理线路激活时，就会从Dead阶段跃迁至Establish阶段。链路被断开后也同样会返回到Dead阶段。Establish阶段：链路建立阶段。PPP链路进行LCP协商。Authenticate阶段：验证阶段。PPP提供密码验证协议PAP（PasswordAuthenticationProtocol）和质询握手验证协议CHAP（Challenge-HandshakeAuthenticationProtocol）两种验证方式。Network阶段：网络层协商阶段。PPP通过NCP协商来选择和配置一个网络层协议并进行网络层参数协商。Terminate阶段：网络终止阶段。PPP运行过程中，物理链路断开、认证失败、超时定时器时间到、管理员通过配置关闭连接等动作都可能导致链路进入Terminate阶段。5.PPP链路建立过程建立过程：通信双方开始建立PPP链路时，由Dead阶段进入到Establish阶段。然后开始进行LCP协商，协商成功后链路处于Opened状态，表示底层链路已经建立。若协商失败则退回Dead阶段。LCP协商过程中，若不存在认证，链路直接进入Network阶段。若存在认证，链路进入Authenticate认证阶段。验证成功，进入Network阶段；验证失败，进入Terminate阶段，拆除链路，LCP状态转为Down。在Network阶段双方进行NCP协商，协商成功后，便可通过这条PPP链路发送报文。PPP链路建立的流程6.PPP链路认证PAP认证过程PAP认证PAP认证为两次握手方式，口令以明文方式在链路上发送。PAP认证过程被认证方将携带本端用户名及密码的Authenticate-Request报文发给认证方；认证方收到被认证方发送的用户名和密码信息后，根据本地配置的用户名和密码数据库检查用户名和密码信息是否匹配。如果匹配，则返回Authenticate-Ack报文，表示认证成功；否则，返回Authenticate-Nak报文，表示认证失败。6.PPP链路认证CHAP认证过程CHAP认证CHAP认证过程为三次握手机制，在链路上不传输用户密码。CHAP认证过程：认证方主动发起认证请求，向被认证方发送Challenge报文，报文包含认证方的用户名、随机数（Random）和ID字段（认证序列号）。被认证方收到此Challenge报文之后，根据报文中的用户名查找对应的密码，并结合随机数和ID字段进行哈希运算，然后将生成的HASH值和本端的用户名封装在Response报文中发回认证方。认证方接收到被认证方发送的Response报文之后，按照报文中的用户名在本地查找对应的密码，然后结合随机数和ID字段进行哈希运算，最后将运算得到的HASH值和Response报文中封装的HASH值做比较，相同则认证成功，返回Success报文；不相同则认证失败，返回Failure报文。7.PPP认证配置流程PAP认证配置流程如下：设置接口封装协议为PPP，华为设备默认串口封装模式为PPP，此步可忽略；认证方配置本地用户，该用户即为被认证方的用户信息；认证方配置链路认证方式为PAP；被认证方配置向认证方发送用于认证的自身用户信息。CHAP认证配置流程（认证方配置用户名）如下：设置接口封装协议为PPP，华为设备默认串口封装模式为PPP，此步可忽略；认证方配置本地用户数据库，创建被认证方的用户信息；认证方配置链路认证方式CHAP；认证方配置用户名，该用户名将被封装在Challenge报文中发送给被认证方；被认证方创建认证方的用户信息；被认证方配置用于认证的自身用户名。（1）配置接口封装的链路层协议命令：link-protocol{PPP|HDLC}说明：缺省情况下，接口封装的链路层协议为PPP视图：接口视图举例：配置路由器R1接口S1/0/0的链路层封装协议为PPP。[R1]interfaceSerial1/0/0[R1-Serial1/0/0]link-protocolPPP8.PPP认证协议配置命令（2）创建本地用户创建AAA本地用户命令：local-userusernamepasswordcipherpassword

说明：PAP认证方式下，在认证方创建本地用户，该用户为被认证方的用户信息；CHAP认证方式下，认证方和被认证方都需要创建对端的用户信息，且两端密码要一致视图：AAA视图配置AAA用户的服务类型为PPP命令：local-useruser-nameservice-typePPP说明：缺省情况下，本地用户关闭所有的服务类型视图：AAA视图举例：R1配置本地AAA用户（huawei，huawei@123），服务类型为PPP。[R1]aaa[R1-aaa]local-userhuaweipasswordcipherhuawei@123

[R1-aaa]local-userhuaweiservice-typeppp8.PPP认证协议配置命令（3）配置PPP认证类型命令：pppauthentication-mode{PAP|CHAP}说明：缺省情况下，PPP协议不进行认证视图：接口视图举例1：配置路由器R1接口S1/0/0的认证方式为PAP。举例2：配置路由器R1接口S1/0/1的认证方式为CHAP。[R1-Serial1/0/0]pppauthentication-modepap[R1-Serial1/0/1]pppauthentication-modechap8.PPP认证协议配置命令（4）配置PAP认证下，被认证方配置用于认证方验证的PAP用户名及密码命令：ppppaplocal-userusernamepasswordcipherpassword

说明：被认证方发送的PAP用户信息要与认证方创建的本地用户一致才能认证成功视图：接口视图举例：被认证方R2接口S1/0/0配置发送用于PAP认证的用户信息，用户名为huawei，密码为huawei@123。[R2-Serial1/0/0]ppppaplocal-userhuaweipasswordcipherhuawei@1238.PPP认证协议配置命令（5）配置CHAP认证下的认证用户名命令：pppchapuserusername

说明：该命令配置在认证方，用户名将被封装在Challenge报文中发送给被认证方，且被认证方要存在与该用户名一致的本地用户。该命令配置在被认证方，认证方将对此用户进行认证，认证方要存在与该用户名一致的本地用户视图：接口视图举例：认证方R1接口S1/0/0上配置的CHAP用户名huawei。[R1-Serial1/0/0]ppppaplocal-userhuaweipasswordcipherhuawei@1238.PPP认证协议配置命令9.任务实施：CHAP和PAP认证配置（1）掌握PPP协议的工作原理；（2）掌握PAP、CHAP认证的配置方法。（一）任务目的

某公司总部与分支机构通过PPP链路连接，出于安全的考虑，分支机构在接入总部网络时需进行PPP认证，认证通过后，总、分支网络之间才能正常通信。（二）任务描述（1）拓扑图（2）操作流程总分支路由器配置网络参数；公司总部路由器R1作为PPP认证方，对分支接入设备（被认证方）进行单向认证：分支1接入时采用PAP认证；分支2接入时采用CHAP认证。具体认证信息如下：（三）实施规划认证方式R1配置本地用户名/密码R2R3配置本地用户名/密码PAPbranch1/huawei@123————————CHAPbranch2/huawei@456——core/huawei@4569.任务实施：CHAP和PAP认证配置（四）操作步骤配置网络参数[R1]interfaceSerial1/0/0[R1-Serial1/0/0]ipadd10.1.12.130[R1-Serial1/0/0]ints1/0/1[R1-Serial1/0/1]ipadd10.1.13.130R1配置接口IP地址：

配置PAP单向认证

配置CHAP单向认证[R2]intSerial1/0/0[R2-Serial1/0/0]ipadd10.1.12.230R2配置接口IP地址：[R3]intSerial1/0/0[R3-Serial1/0/0]ipadd10.1.13.230R3配置接口IP地址：9.任务实施：CHAP和PAP认证配置（四）操作步骤[R1]aaa[R1-aaa]local-userbranch1passwordcipherhuawei@123//创建本地用户信息，与被认证方的用户信息一致。[R1-aaa]local-userbranch1service-typeppp//用户可使用的服务为PPP[R1-aaa]ints1/0/0[R1-Serial1/0/0]pppauthentication-modepap

//指定认证方式为PAP，此时该设备为PAP认证方R1配置PAP认证方：[R2]ints1/0/0[R2-Serial1/0/0]ppppaplocal-userbranch1passwordcipherhuawei@123

//配置被认证方发送的PAP认证用户信息R2配置PAP被认证方：配置网络参数配置PAP单向认证

配置CHAP单向认证9.任务实施：CHAP和PAP认证配置（四）操作步骤[R1]aaa[R1-aaa]local-userbranch2passwordcipherhuawei@456[R1-aaa]local-userbranch2service-typeppp[R1-aaa]ints1/0/1[R1-Serial1/0/1]pppchapusercore

//配置CHAP认证用户名，与被认证方的本地用户信息一致[R1-Serial1/0/1]pppauthentication-modechap

//指定认证方式为CHAP，此时该设备为CHAP认证方R1配置CHAP认证方：[R3]aaa[R3-aaa]local-usercorepasswordcipherhuawei@456[R3-aaa]local-usercoreservice-typeppp[R3-aaa]ints1/0/0[R3-Serial1/0/0]pppchapuserbranch2R3配置CHAP被认证方：配置网络参数配置PAP单向认证配置CHAP单向认证9.任务实施：CHAP和PAP认证配置（五）实验测试查看接口状态信息R1查看接口S1/0/0信息：[R1]disints1/0/0Serial1/0/0currentstate:UPLineprotocolcurrentstate:UPLastlineprotocoluptime:2021-05-0312:21:28UTC-08:00Description:HUAWEI,ARSeries,Serial1/0/0InterfaceRoutePort,TheMaximumTransmitUnitis1500,Holdtimeris10(sec)InternetAddressis10.1.12.1/30LinklayerprotocolisPPPLCPopened,IPCPopenedLastphysicaluptime:2021-05-0312:21:22UTC-08:00Lastphysicaldowntime:2021-05-0312:21:21UTC-08:00Currentsystemtime:2021-05-0313:56:57-08:00Physicallayerissynchronous,Virtualbaudrateis64000bpsInterfaceisDTE,CabletypeisV11,ClockmodeisTCLast300secondsinputrate6bytes/sec48bits/sec0packets/secLast300secondsoutputrate2bytes/sec16bits/sec0packets/sec......9.任务实施：CHAP和PAP认证配置（五）实验测试查看接口信息R1查看接口S1/0/1信息：[R1]disints1/0/1Serial1/0/1currentstate:UPLineprotocolcurrentstate:UPLastlineprotocoluptime:2021-05-0313:54:10UTC-08:00Description:HUAWEI,ARSeries,Serial1/0/1InterfaceRoutePort,TheMaximumTransmitUnitis1500,Holdtimeris10(sec)InternetAddressis10.1.