路由器配置PPP协议 CHAP验证 PAP验证

        PPP协议是一种点——点串行通信协议。PPP具有处理错误检测、支持多个协议、允许在连接时刻协商IP地址、允许身份认证等功能，还有其他。PPP提供了3类功能：成帧；链路控制协议LCP；网络控制协议NCP。PPP是面向字符类型的协议。

 

        PPP协议的验证分为两种：一种是PAP，一种是CHAP。相对来说PAP的认证方式安全性没有CHAP高。PAP在传输password是明文的，而CHAP在传输过程中不传输密码，取代密码的是hash（哈希值）。PAP认证是通过两次握手实现的，而CHAP则是通过3次握手实现的。

 

一、CHAP验证

给个今天的配置例子：

R1 R2两台路由器需要互相通信，即两方都有机会发出请求：

R1(config)#user R1 pas kxm   //为本机设置密码

R1(config)#user R2 pass kxm //对端密码 R2 是对端名称 kxm是对端密码

R1(config)#int se 0/1/1

R1(config-if)#enc ppp     //对serial 0/1/1 串口使用ppp协议

R1(config-if)#ppp au chap//使用chap验证

R1(config-if)#no shu

R1(config-if)#ex

 

R2(config)#user R2 pas kxm   //为本机设置密码

R2(config)#user R1 pass kxm //对端密码 R3 是对端名称 kxm是对端密码

R2(config)#int s 0/1/0

R2(config-if)#enc ppp//对serial 0/1/0 串口使用ppp协议

R2(config-if)#ppp au chap //使用chap验证

R2(config-if)#no shu

R2(config-if)#ex

配置好即可通信成功，当只配置一条链路的其中一边的路由器时，端口状态为down。只有当两边路由器都配置成功时，端口才为up。

 

以上情况为两路由器需要互相通信是的情况。当存在服务器端和客户端时，客户端将只需要配置本地口令。

如上例改成R1为服务器端，R2为客户端，即只出现R2向R1发出请求的情况：

R1配置不变。

R2配置如下：

R2(config)#user R2 pas kxm   //为本机设置密码

 

CHAP的诊断

对于CHAP身份认证中出现的问题也可以利用debug ppp authentication命令进行诊断。

 

 

2、PAP验证

DCE设备端（RouterA）PPP封装之PAP验证设置（关键配置）

RouterA# configure terminal

RouterA(config)# username RouterB password 111

RouterA(config)# interface serial 0/0

RouterA(config-if)# encapsulation ppp

RouterA(config-if)# ppp authentication pap

RouterA(config-if)# ppp pap sent-username routera password 222

RouterA(config-if)# clock rate 64000

RouterA(config-if)# exit

DTE设备端（RouterB）PPP封装之PAP验证设置（关键配置）

RouterB# configure terminal

RouterB(config)# username routera password 222

RouterB(config)# interface serial 0/0

RouterB(config-if)# encapsulation ppp

RouterB(config-if)# ppp authentication pap

RouterB(config-if)# ppp pap sent-username routerb password 111

RouterB(config-if)# exit

 

与CHAP的差异见红字部分

 

 三、两种认证方法的配置：

通信认证双方选择的认证方法可能不一样，如一方选择PAP，另一方选择CHAP，这时双方的认证协商将失败。为了避免身份认证协议过程中出现这样的失败，可以配置路由器使用两种认证方法。当第一种认证协商失败后，可以选择尝试用另一种身份认证方法。如下的命令配置路由器首先采用PAP身份认证方法。假如失败，再采用CHAP身份认证方法。

　　RouterA（config-if）#ppp authentication pap chap

　　如下的命令则相反，首先使用CHAP认证，协商失败后采用PAP认证。

　　RouterA（config-if）#ppp authentication chap pap