ppp協(xié)議第4章本章目標能夠在點對點鏈路上配置PPP協(xié)議了解PPP協(xié)議的基本概念掌握PPP鏈路的建立過程掌握PAP和CHAP認證了解多鏈路PPP掌握PPP協(xié)議的配置PPP的認證本章結構PPP協(xié)議PPP協(xié)議概述多鏈路PPPPPP的配置PAP認證CHAP認證PPP協(xié)議的產(chǎn)生PPP幀格式PPP鏈路的建立PPP的組成PPP協(xié)議的產(chǎn)生-SLIP協(xié)議SLIP協(xié)議（SerialLineInternetProtocol）是在串行線路上對IP數(shù)據(jù)報進行封裝的簡單協(xié)議產(chǎn)生于二十世紀八十年代中期SLIP協(xié)議的缺點封裝格式十分簡單，無法進行IP地址等參數(shù)的協(xié)商只支持IP協(xié)議不具備校驗功能IP數(shù)據(jù)報文+END字符=SLIP數(shù)據(jù)幀PPP協(xié)議概述PPP（PointtoPointProtocol）協(xié)議是在點對點鏈路上運行的數(shù)據(jù)鏈路層協(xié)議用戶使用撥號電話線接入Internet時，一般都是使用PPP協(xié)議PSTNPPP協(xié)議PPP協(xié)議的發(fā)展歷程1989年，PPP協(xié)議被提出1994年，經(jīng)過多年的修訂，PPP協(xié)議正式已成為Internet的標準之一由RFC1661定義，還包括RFC1662、RFC1663等一系列協(xié)議PPP協(xié)議的優(yōu)點支持同步或異步串行鏈路的傳輸支持多種網(wǎng)絡層協(xié)議支持錯誤檢測支持網(wǎng)絡層的地址協(xié)商支持用戶認證允許進行數(shù)據(jù)壓縮PPP的組成PPP主要包括三個部分在串行鏈路上協(xié)議的封裝方法采用LCP（Link-ControlProtocol，鏈路控制協(xié)議）來建立、控制數(shù)據(jù)鏈路、處理不同大小的數(shù)據(jù)幀采用NCP（Network-ControlProtocol，網(wǎng)絡控制協(xié)議）來支持多種網(wǎng)絡協(xié)議物理介質（同/異步）LCPNCPPPPIPIPX其它網(wǎng)絡協(xié)議IPCPIPXCP其它NCP網(wǎng)絡層數(shù)據(jù)鏈路層物理層PPP鏈路的建立PPP協(xié)議屬于數(shù)據(jù)鏈路層，PPP鏈路的建立共有五個階段鏈路不可用階段鏈路建立階段認證階段網(wǎng)絡層協(xié)議階段鏈路終止階段物理層UP鏈路UP認證通過或無認證認證失敗關閉失敗PPP幀格式協(xié)議域信息域0x7E0xFF0x03幀校驗0x7E1Byte2Bytes2Bytes1Byte1Byte1Byte信息域：根據(jù)協(xié)議域的內容而定當協(xié)議域為LCP協(xié)議時，信息域內為LCP協(xié)商參數(shù)當協(xié)議域為NCP協(xié)議時，信息域內為NCP協(xié)商參數(shù)當協(xié)議域為IP協(xié)議時，信息域內為用戶數(shù)據(jù)地址域：對方的數(shù)據(jù)鏈路層地址。因為PPP協(xié)議是點對點的鏈路層協(xié)議，所以此字節(jié)無意義，用0xFF填充標志字節(jié)：用來標示PPP幀的開始和結束控制域：通常用0x03填充協(xié)議域：用來區(qū)分PPP數(shù)據(jù)幀中信息域所承載的數(shù)據(jù)報文的內容常見取值：0xc021信息字段是鏈路控制數(shù)據(jù)LCP

0xc023信息字段是安全性認證PAP

0xc223信息字段是安全性認證CHAP

0x8021信息字段是網(wǎng)絡控制數(shù)據(jù)NCP

0x0021信息字段是IP數(shù)據(jù)報

LCP協(xié)議

用來建立、配置、維護、終止一條點對點鏈路LCP協(xié)議協(xié)商選項MRU，最大接收單元認證協(xié)議鏈路壓縮多鏈路捆綁NCP協(xié)議

用來建立、配置不同的網(wǎng)絡層協(xié)議包括IPCP、IPXCP等協(xié)議IPCP協(xié)議協(xié)商選項IP地址協(xié)商TCP/IP頭壓縮PPP協(xié)議由鏈路層封裝方法、LCP協(xié)議、NCP協(xié)議三部分組成PPP的幀格式LCP協(xié)議用來負責鏈路的配置NCP協(xié)議用來負責網(wǎng)絡協(xié)議的配置PPP鏈路建立的過程階段總結PPP認證協(xié)議

PPP協(xié)議支持用戶的認證，是廣域網(wǎng)接入使用最廣泛的協(xié)議PPP協(xié)議支持兩種認證協(xié)議PAP（PasswordAuthenticationProtocol，口令認證協(xié)議）CHAP（ChallengeHandshakeAuthenticationProtocol，質詢握手認證協(xié)議）PAP認證

PAP是兩次握手認證協(xié)議，口令以明文傳送，被認證方首先發(fā)起認證請求。被認證方主認證方用戶名和密碼(user01/pw01)認證通過/未通過用戶名：user01密碼：pw01usernamepassworduser01pw01根據(jù)用戶數(shù)據(jù)庫認證用戶名密碼是否正確CHAP認證4－1

CHAP是三次握手認證協(xié)議，不發(fā)送口令，主認證方首先發(fā)起認證請求，安全性比PAP高。被認證方主認證方主認證方用戶名，隨機數(shù)據(jù)被認證方用戶名，隨機報文與密碼加密后的報文接受/拒絕CHAP認證4－201id隨機數(shù)據(jù)3640-1766-13640-1用戶名口令3640-1PWDid隨機數(shù)據(jù)PWDMD5Hash值主認證方發(fā)送認證請求表示此報文為認證請求此次認證的序列號主認證方認證用戶名被認證方在本地的數(shù)據(jù)庫中查找對應的密碼用戶名口令766-1PWDCHAP認證4－3被認證方回復認證請求02idHash值766-1766-13640-1此報文為CHAP認證響應報文與認證請求中的id相同被認證方的認證用戶名主認證方在本地數(shù)據(jù)庫中查找被認證方對應的口令id隨機數(shù)據(jù)PWD隨機數(shù)據(jù)根據(jù)id找到先前保存的隨機數(shù)據(jù)MD5Hash值與被認證方計算得到的Hash值做比較，如果一致，則認為認證通過。CHAP認證4－4主認證方確認認證是否通過766-13640-103id“認證通過”多鏈路PPP

MLP（MultiLinkPPP）可以將多條PPP鏈路捆綁起來對于MLP鏈路兩端的設備，就好像只有一條PPP連接，只需配置一個IP地址優(yōu)點增加帶寬負載分擔降低時延配置PPP協(xié)議

進入串口配置模式Router(config)#interfaceserial0/0配置接口的鏈路層協(xié)議為PPPRouter(config-if)#encapsulationppp配置接口的IP地址Router(config-if)#ipaddressip_addr

ip_mask配置PAP認證-主認證方

配置認證用戶名和密碼Router(config)#usernameuser_namepassword0pass_word啟用PAP認證Router(config-if)#pppauthenticationpap0表示密碼為明文保存配置PAP認證-被認證方

配置認證用戶名和密碼Router(config-if)#ppppapsent-usernameuser_namepassword0pass_word主認證方和被認證方配置的用戶名和密碼必須一致配置CHAP認證-主認證方

在主認證方添加被認證用戶名和密碼Router(config)#usernameuser_namepassword0pass_word啟用CHAP認證Router(config-if)#pppauthenticationchap配置認證用的用戶名Router(config-if)#pppchaphostnameuser_name如果不配置此命令，默認使用路由器的主機名作為主認證方的用戶名配置CHAP認證-被認證方在被認證方添加主認證用戶名和密碼Router(config)#usernameuser_namepassword0pass_word配置認證用的用戶名Router(config-if)#pppchaphostnameuser_name配置認證用的密碼Router(config-if)#pppchappassword0pass_word如果不配置此命令，默認使用路由器的主機名作為被認證方的用戶名當沒有配置認證的用戶名和密碼時，可以使用此命令配置默認的密碼配置IP地址協(xié)商

服務器端Router(config-if)#peerdefaultipaddressip_addr客戶端Router(config-if)#ipaddressnegotiated配置此命令后，原先在接口上配置的IP地址將被刪除配置PPP壓縮

啟用PPP壓縮（增大路由CPU和內存的使用率）Router(config-if)#compress{predictor|stac}啟用TCP/IP頭壓縮（適用于低速鏈路）Router(config-if)#ip

tcpheader-compression需要在PPP鏈路的兩端均配置才能生效當路由器負載過大時，最好不要啟用PPP壓縮需要在PPP鏈路的兩端均配置才能生效在高速線路上最好不要啟用此功能PPP配置實例RouterA#configterminalRouterA(config)#interfaceserial0/0RouterA(config-if)#ipaddress192.168.1.2255.255.255.252RouterA(config-if)#encapsulationpppRouterA(config-if)#ppppapsent-usernamebenetpassword0bestRouterA(config-if)#noshutdownRouterB#configterminalRouterB(config)#usernamebenetpassword0bestRouterB(config)#interfaceserial0/0RouterB(config-if)#ipaddress192.168.1.1255.255.255.252RouterB(config-if)#clockrate2000000RouterB(config-if)#encapsulationpppRouterB(config-if)#pppauthenticationpapRouterB(config-if)#noshutdownABPPP的調試和排錯3-1showinterface命令Router#showinterfaceserial0/1Serial0/1isup,lineprotocolisup

HardwareisPowerQUICCSerialInternetaddresswillbenegotiatedusingIPCPMTU1500bytes,BW1544Kbit,DLY20000usec,reliability255/255,txload1/255,rxload1/255

EncapsulationPPP,loopbacknotset

LCPOpenOpen:IPCP,CDPCP物理層UP，數(shù)據(jù)鏈路層UP此接口的IP地址由IPCP協(xié)議協(xié)商決定此接口鏈路層封裝協(xié)議為PPPLCP、IPCP、CDPCP協(xié)議狀態(tài)都為openPPP的調試和排錯3-2debugppppacket命令*Mar100:21:36.216:Se0/1PPP:Outboundcdppacketdropped,lineprotocolnotup*Mar100:21:38.211:%LINK-3-UPDOWN:InterfaceSerial0/1,changedstatetoup*Mar100:21:38.211:Se0/1LCP:OCONFREQ[Closed]id33len10*Mar100:21:38.211:Se0/1LCP:MagicNumber0x13D78FE3(0x050613D78FE3)*Mar100:21:40.202:Se0/1LCP:TIMEout:StateREQsent*Mar100:21:40.202:Se0/1LCP:OCONFREQ[REQsent]id34len10*Mar100:21:40.202:Se0/1LCP:MagicNumber0x13D78FE3(0x050613D78FE3)*Mar100:21:40.202:Se0/1PPP:Ipkttype0xC021,datagramsize14*Mar100:21:40.202:Se0/1LCP:ICONFACK[REQsent]id34len10*Mar100:21:40.202:Se0/1LCP:MagicNumber0x13D78FE3(0x050613D78FE3)*Mar100:21:40.226:Se0/1PPP:Ipkttype0xC021,datagramsize18*Mar100:21:40.226:Se0/1LCP:ICONFREQ[ACKrcvd]id50len14*Mar100:21:40.226:Se0/1LCP:AuthProtoPAP(0x0304C023)*Mar100:21:40.226:Se0/1LCP:MagicNumber0x13940FF0(0x050613940FF0)*Mar100:21:40.226:Se0/1LCP:OCONFACK[ACKrcvd]id50len14*Mar100:21:40.226:Se0/1LCP:AuthProtoPAP(0x0304C023)*Mar100:21:40.226:Se0/1LCP:MagicNumber0x13940FF0(0x050613940FF0)鏈路不可用階段鏈路建立階段PPP的調試和排錯3-3debugppppacket命令*Mar100:21:40.230:Se0/1PAP:OAUTH-REQid10len15from"benet"*Mar100:21:40.234:Se0/1PPP:Ipkttype0xC023,datagramsize9*Mar100:21:40.234:Se0/1PAP:IAUTH-ACKid10len5*Mar100:21:40.234:Se0/1PPP:Ipkttype0x8021,datagramsize14*Mar100:21:40.238:Se0/1IPCP:ICONFREQ[Closed]id1len10*Mar100:21:40.238:Se0/1IPCP:Address192.168.1.2(0x0306C0A80102)*Mar100:21:40.238:Se0/1IPCP:OCONFREQ[Closed]id2len10*Mar100:21:40.238:Se0/1IPCP:Address192.168.1.1(0x0306C0A80101)*Mar100:21:40.242:Se0/1IPCP