华为PPP验证.docx

《华为PPP验证.docx》由会员分享，可在线阅读，更多相关《华为PPP验证.docx（7页珍藏版）》请在三一办公上搜索。

1、华为PPP验证PPP 协议简介 1. PPP 协议 PPP协议是在点到点链路上承载网络层数据包的 一种链路层协议，由于它能够提供用户验证，而且易于扩充、支持同异步 线路，因而获得广泛应用。 PPP 定义了一整套的协议，包括链路控制协议、网络层控制协议 和验证协议等。其中： 链路控制协议LCP：用来协商链路的一些参数， 负责创建并维护链路。 网络层控制协议NCP：用来协商网络层协 议的参数。 2. PPP 的验证方式 (1) PAP 验证 PAP是一种两次握手 验证协议，它在网络上采用明文方式传输用户名和口令。PAP 验证的过程如 下： 被验证方主动发起验证请求，将本端的用户名和口令发送到验证方

2、； 验证方接到被验证方的验证请求后，检查此用户名是否存在以及口令是 否正确。如果此用户名存在且口令正确，验证方返回Acknowledge 响应， 表示验证通过；如果此用户名不存在或口令错误。验证方返回Not Acknowledge 响应，表示验证不通过。 (2) CHAP 验证 CHAP 是一种三次握手验证协议，它只在网络上传输用户名，而用户口令并不在网 络上传播。CHAP 验证过程如下： 验证方主动发起验证请求，向被验证方发送一些随机产生的报文，并同 时将本端配置的用户名附带上一起发送给被验证方； 被验证方接到验证方的验证请求后，根据此报文中的用户名在本端的用 户表中查找用户口令。如找到用户

3、表中与验证方用户名相同的用户，便 利用报文ID 和此用户的口令以MD5 算法生成应答，随后将应答和自己 的用户名送回； 验证方接收到此应答后，利用报文ID、自己保存的被验证方口令以及随 机报文用MD5 算法得出结果，与被验证方应答比较。如果两者相同， 则返回Acknowledge 响应，表示验证通过，如果两者不相同，则返回 Not Acknowledge 相应，表示验证不通过。 PPP 的配置 PPP 的配置包括： 配置接口的链路层协议为PPP 配置PPP 验证方式及用户名、用户口令 配置接口的链路层协议为PPP 请在接口视图下进行下列配置。 link-protocol ppp 命令用来设置接

4、口的链路层协议为PPP。 缺省情况下，接口的链路层协议为PPP。 PPP 协议是提供在点到点链路上承载网络层数据包的一种链路层协议。PPP 定义了一整套的协议包括链路控制协议、网络层控制协议 和验证协议。PPP 由于能够提供用户验证、易于扩充和 支持同异步而获得较广泛的应用。 接口的链路层协议应与对端接口一致。 相关配置可参考命令display interfaces。 # 设置接口Serial0 的链路层协议为PPP。 Quidway-Serial0link-protocol ppp 配置PPP 验证方式及用户名、用户口令 PPP 有两种验证方式：PAP 验证和CHAP 验证。一般来说，CHA

5、P 验证更为 安全可靠。 1. 配置PAP 验证 (1) 配置PAP 验证的验证方 请在接口视图下进行下列配置，local-user 命令在系统视图下完成。 (2) 配置PAP 验证的被验证方 请在接口视图下进行下列配置。 在配置PAP 验证时，需要注意以下问题： 若是由一端发起的PAP 验证，验证方需要在本地数据库中为被验证方添 加一个用户名与密码。而被验证方需要将本端用户名与 验证密码送交给验证方。 若是由一端发起的PAP 验证，仅需在验证方配置本端启用PAP 验证 就可以了，被验证方不用配置该命 令。 若两端同时发起了PAP 验证，则各端既是验证方、又是被验证方，此时 两端需同时配置支持

6、PAP 验证方与被验证方的所有命令。 2. 配置CHAP 验证 (1) 配置CHAP 验证的验证方 请在接口视图下进行下列配置；local-user 命令在系统视图下完成。 (2) 配置CHAP 验证的被验证方 请在接口视图下进行下列配置；local-user 命令在系统视图下完成。 一般来说，在路由器配置了用户列表的情况下，配置ppp chap user username、 local-user user password simple | cipher password 命令， 进行CHAP 验证。此时，双方的user 互为对方的username，password 也 要一致。 在某些情况

7、下，路由器无法配置用户列表，此时需配置ppp chap password simple | cipher password 命令，进行CHAP 验证。 在配置CHAP 验证时，需要注意以下问题： 若是由一端发起的CHAP 验证，验证方需要在本地数据库中为被验证添 加一个用户名与验证密码，同时需要将本端的用户名 送交给对端。而被验证方也需要在本地数据库中 为验证方添加一个用户名与密码，并将本端用户名与 验证密码送交给对端。 若是由一端发起的CHAP 验证，仅需在验证方配置本端启用CHAP 验 证就可以了，被验证方不用配置 该命令。 若两端同时发起了CHAP 验证，则各端既是验证方、又是被验证方，

8、此 时两端需同时配置支持CHAP 验证方与被验证方的所有命令。 ppp authentication-mode ppp authentication-mode chap | pap callin scheme default | name-list undo ppp authentication-mode 接口视图 chap：采用CHAP 验证方式。 pap：采用PAP 验证方式。 callin：表示只在远端用户呼入时才验证对方。 scheme default | name-list ：AAA 的验证方法表。具体内容请参考AAA 设置的相关章节。 ppp authentication-mode

9、 命令用来设置PPP 对对端的验证方式，undo ppp authentication-mode 命令用来取消PPP 对对端的验证。 缺省情况下，PPP 不对对端路由器进行验证。 PPP 支持两种验证方式：PAP 验证方式及CHAP 验证方式。PAP是一种两次握手验证协议，它采用 明文方式传送口令。CHAP是一种三次握手验证协议，它只在网络上传输用户名， 而并不传输口令。相比之下，CHAP 验证保密性较好，更为安全可靠。 在异步拨号口上，可以只在呼入时进行验证，在呼出时不进行验证，对路由 器作为接入服务器使用时，需要这样配置。 另外可以采用已经定义的AAA 验证方法表进行验证。 无论是CHAP

10、 或PAP，只是一种验证过程，最终能否通过验证，还需要AAA 来作决定，AAA 可以利用本地验证数据库验证或由AAA 服务器进行验证。 相关配置可参考命令local-user，ppp chap user，ppp pap local-user， aaa authentication-scheme ppp。 # 在接口Serial0 上，采用PAP 方法验证对端路由器。 Quidway-Serial0ppp authentication-mode pap PPP 典型配置举例 PAP 验证举例 1. 配置需求 路由器Quidway1 和Quidway2 之间用接口Serial0 互连，要求路由器

11、Quidway1以PAP 方式验证路由器Quidway2。 配置步骤 (1) 配置路由器Quidway1 # 在本地数据库中添加一个名为quidway2，验证密码为hello 的用户。 Quidway local-user quidway2 password simple hello # 配置本端启用PAP 验证方式 Quidway interface serial 0 Quidway-Serial0 ppp authentication-mode pap (2) 配置路由器Quidway2 # 配置本端以用户名为quidway2、密码为hello 被对端进行验证。 Quidway inter

12、face serial 0 Quidway-Serial0 ppp pap local-user quidway2 password simple hello CHAP 验证举例 1. 配置需求 路由器Quidway1以CHAP 方式验证路由器Quidway2。 2. 配置步骤 (1) 配置路由器Quidway1 # 在本地数据库中添加一个名为quidway2，验证密码为hello 的用户。 Quidway local-user quidway2 password simple hello # 设置本端用户名为quidway1 Quidway interface serial 0 Quidway-Serial0 ppp chap user quidway1 # 配置本端启用CHAP 验证方式 Quidway-Serial0 ppp authentication-mode chap (2) 配置路由器Quidway2 # 在本地数据库中添加一个名为quidway1，验证密码为hello 的用户。 Quidway local-user quidway1 password simple hello # 设置本端用户名为quidway2 Quidway interface serial 0 Quidway-Serial0 ppp chap user quidway2