综合性实验4 PPPOE模拟综合实验
实验类型
设计型
实验内容
完成下图的构建,实现模拟的通过ADSL接入到Internet网,通过ADSL线路向PPPOE服务器认证上网。
上图就是实验构想图了。现在从左向右边一一介绍。
在左边的区域,模拟的是一个小小企业的内部网络。这个企业网主要由一台出口路由器(qiye_Router),一台PPPOE内部服务器(qiye_PPPOE_server),若干交换机和客户PC组成。出口路由器主要提供NAT和上网功能,内部PPPOE服务器主要为内部客户PC提供PPPOE服务,在企业内部部署PPPOE服务器可以有效的集中控制接入上网(如,计费,带宽控制等,但PT5.3是不支持这些高级功能的),使用PPPOE协议,可以让客户PC不会被网络中的ARP病毒所欺骗,免受其害,这是因为在整个数据过程中,没有使用ARP协议,就更谈不上被ARP病毒欺骗了,但注意,这只是保证了PC不受ARP病毒的欺骗,不能根绝ARP病毒主机发起的攻击,也就说网络中ARP病毒时时刻刻攻击在进行,只是其他主机用PPPOE协议通信,他们不会受ARP病毒的影响,所以PPPOE是只能治标不治本,最终解决办法就是找到发起ARP病毒攻击的主机对其隔离杀毒。在构想的小小企业中的PPPOE服务器是用cisco 2811路由器模拟的,只具备认证接入,认证使用的用户名密码使用服务器本地用户库,为通过PPPOE接入的客户PC提供到其他网络或Internet网的路由。
中间区域依然模拟的Internet网络(就是没有私网IP路由的路由器,这样模拟效果就更为真实)。中间最上面的两个服务器是Internet网中的PPPOE的AAA服务器和DNS_WEB服务器,PPPOE_AAA_Sever是为接入通过PPPOE接入到Internet的客户PC提供认证、授权、审计(计费)功能等,DNS_WEB_Server服务器是Internet的DNS服务器和WEB服务器,是把他们合成在一个服务器上,起测试作用。PPPOE_AAA_Server构想主要是为wuxian_PPPOE_Sever和ADSL_PPPOE_Server提供用户数据管理,所有通过wuxian_PPPOE_Sever和ADSL_PPPOE_Server接入Internet的客户PC提供用户名和密码查询认证。下图是PPPOE_AAA_Server配置图:
参考实验步骤:
采用的Radius这个国际标准协议,上图配置对ADSL_PPPOE_Server和wuxian_PPPOE_Server服务器的密钥认证和他们的管理IP,图中下面就是用户信息库了。中间就是用一台路由器模拟了整个Internet网了,这台路由器有到达所有公网IP网段的路由。下面模拟的是通过各种无线技术,如WIFI,3G等技术接入Internet网络。为了和最右边的无线路由的SSI区别,在构思模拟的时候,给中间那个无线AP设置的SSID名称是:chinanet,使用了wap来加密无线链路,下图是AP配置图:
右边的无线路由器的的SSID是构思的是home,具体配置,。然后设置客户PC无线网络接入相应的无线设备。AP下面是一个笔记本和pad设备,通过WIFI接入到Internet。他们的无线网卡设置配置如图:
笔记本:
选择chinanet,然后点右边的connet连接,进入配置。
选择相应的加密和配置好密钥,点击connet就连接上去了。
PAD的配置如图(注意:PT5.3的PAD的无线网卡只能如下图设置)
最后是右边区域的思路构想了。模拟的通过ADSL接入到Internet网,通过ADSL线路向PPPOE服务器认证上网。注意整个网络拓扑中的ADSL_PPPOE_Server那个网云,可以在PT中双击这个网云进去看看,如下图一样:
其实也就是用一个路由器模拟PPPOE服务器,然后接一个交换机,让交换机连接这下面这个网云,注意这个网云是PT本身就有的,他可以模拟帧中继、POST、DSL等(前面的那个ADSL网云是利用new cluter按钮把这几个设备用云标识)。看看这个DSL云的配置:
FastEthernet3和FastEthernet4就是和交换机的接口,他们分别与云上的modem0和modem1形成映射。然后分部与右边的客户modem连接,这个云相当一个大modem提供数据信号和模拟信号转换。
右边下面就是模拟家庭PC的常见两种情况,一个是PC连接modem,由PC拨号上网;另一个由一个无线宽带路由器连接modem,有无线宽带路由器完成拨号上网并实现家庭多台PC共享上网。
在开始讲配置之间,简单讲讲PPPOE协议过程。
PPPOE整个过程分为:PPPOE发现阶段、PPPOE会话阶段、PPPOE结束阶段。
一、PPPOE发现阶段。主要是用来发现PPPOE服务器和为PPPOE会话阶段做好准备。PPPOE发现阶段主要分为四步(这四个步骤,细心地朋友可能会发现类似DHCP的四个过程)。
(1)首先,PPPOE客户端会发起一个PPPOE发现服务报文,以广播的形成向网络中所有节点发送,只有PPPOE服务器才会应答这个报文。这里的广播是采用二层的广播MAC地址(目标MAC全为F)进行广播的。
(2)所有PPPOE服务器都会收到这个广播的报文,PPPOE服务器提取报文中的信息与自己所能提供的服务进行比较,一旦满足要求PPPOE便会向PPPOE客户端发送PPPOE发现提供报文,告诉PPPOE客户端自己能满足要求。此时的数据是以目标MAC为PPPOE客户端,源为PPPOE服务器自己MAC的单播传输。
(3)PPPOE服务器发送的PPPOE发现提供报文被传送到PPPOE客户端(PPPOE客户端可能收到多个PPPOE服务器发送过来的这种报文,PPPOE只会选择第一个到达的报文进行应答),PPPOE客户端以一个PPPOE发现请求报文来向选定的PPPOE服务器发送请求服务。此过程也是单播传输(一旦与选定的PPPOE服务器确定了,以后的数据都是单播)。
(4)PPPOE服务器收到了来之PPPOE客户端的PPPOE发现请求报文,便会产生一个唯一的会话ID,标识即将与PPPOE客户端进入PPPOE会话阶段,通过PPPOE发现会话报文传输给PPPOE客户端,一旦PPPOE客户端确认无误,PPPOE会话阶段开始。
二、PPPOE会话阶段。PPPOE发现阶段结束后,进入的PPPOE会话阶段,在这个阶段主要靠的是PPP协议在进一步完成协商和业务数据。PPP的协商过程,小T就简单的描述下。整个过程就是PPP协商过程,分三步:LCP、认证、NCP。
(1)LCP完成建立、配置和检测数据链路连接。
(2)LCP完成后,进入认证阶段,认证方式有chap和pap等,认证方式的决定是由LCP协商好的。值得注意的是chap是密文认证,pap是明文认证,在安全性商chap更为安全。
(3)认证完成后便进入了NCP阶段,NCP是一个协议族,适用于配置不同网络类型的,这也PPP被广泛采用的原因之一。PPOE调用的是IPCP协议,负责给PPPOE客户端提供IP和DNS服务地址等。
这个阶段完成后,业务数据就能正常传输了。数据的封装是自上而下的,那么PPPOE数据封装过程(以TCP/IP模型讨论)是这样的;应用层数据封装于传输层,再被网络层封装,再被PPP协议头部封装,再接着被PPPOE协议头部封装,最后就是MAC封装。
三、PPPOE结束阶段。在断开PPPOE连接的时候,PPPOE客户端会一个PPPOE发现终结报文告诉PPPOE服务器,来断开连接。
从PPPOE的协议过程来看,整个过程都没有出现ARP协议,所以你查看arp表是看不到任何MAC和IP绑定关系的。因此PPPOE可以保护客户不中ARP病毒攻击。
以上就是总结的过程,讲的不好还请各位见谅。下面开始聊聊配置。首先给出IP规划。
Internet网:
Internet_Router:
Internet_Router_to_qiye_Router: 100.1.1.1 255.255.255.0
Internet_Router_to_wuxian_pppoe_server:210.1.1.1 255.255.0
Internet_Router_to_pppoe_dns_web_server:202.103.96.1 255.255.255.0
Internet_Router_to_ADSL_PPPOE_server:200.1.1.1 255.255.255.0
wuxian_pppoe_server:
wuxian_pppoe_server_to_Internet_Router:210.1.1.2 255.255.255.0
wuxian_pppoe_server_to_ap:220.1.1.1 255.2552.55.0
无线地址池范围:
wuxian_pppoe_server_pool:220.1.1.2-220.1.1.254
ADLS_PPPOE_server:
ADLS_PPPOE_server_to_Internet_Router:200.1.1.2 255.255.255.0
ADLS_PPPOE_server_to_home:150.1.1.1 255.255.255.0
ADSL的地址池范围:
ADSL_PPPOE_server:150.1.1.2-150.1.1.254
Internet上PPPOE服务的AAA服务器地址:
PPPOE_AAA_server:202.103.96.100 255.255.255.0
Internet上DNS服务器和测试web服务器的IP:
DNS_WEB_Server:202.103.96.112
测试web域名:www.xiaot.com
企业:
qiye_Router:
qiye_Router_to_Internet_Router:100.1.1.2 255.255.255.0
qiye_Router_to_neibu:192.168.1.1 255.255.255.0
qiye_PPPOE_server:192.168.1.2 255.255.255.0
企业内部PPPOE地址池范围:
qiye_PPPOE_server:10.1.1.2-10.1.1.254
home家庭无线路由对内IP网段为:192.168.0.2-192.168.0.254
PPPOE服务器的配置,是这样构思的,在企业内部PPPOE服务器采用路由器本地认证,Internet网上的PPPOE服务采用的是从AAA服务器上的用户数据库认证。先来看看企业内部PPPOE服务的配置:
vpdn enable (开启vpdn)
vpdn-group qiye_PPPOE_server (配置vpdn-group名字为qiye_PPPOE_server)
accept-dialin (接受拨入)
protocol pppoe (拨入的协议为PPPOE)
virtual-template 1 (与虚拟接口绑定)
exit
exit
user xiaot_1 password xiaot01 (本地用户数据库)
user xiaot_2 password xiaot02
ip local pool qiye_PPPOE 10.1.1.2 10.1.1.254 (本地地址池,给PPPOE客户端下发的地址池)
ip name-server 202.103.96.112 (DNS服务器)
ip dns server (开启路由器DNS功能,注意PT5.3不支持这条命令,故模拟一部分效果用域名访问看不到)
interface virtual-Template 1
ip unnumbered fastEthernet 0/0 (使用无编号,调用fa 0/0的IP作为自己的IP)
ppp authentication chap (使用chap认证)
peer default ip address pool qiye_PPPOE (下发的IP从本地地址池找)
exit
interface fastEthernet 0/0
pppoe enable (开启PPPOE)
Exit
以上就是企业PPPOE服务器的配置了,注意在企业出口路由要有能到企业分配的PPPOE的地址池的网段的路由。(本实验的配置参考见附件)。由于PT5.3不支持DNS的下发,再简单介绍两个配置方法下发DNS。
方法一:调用DHCP的地址池来发放
ip dhcp pool pppoe (DHCP地址池名)
network 10.1.1.0 255.255.255.0
default-router 10.1.1.1
dns-server 202.103.96.112 8.8.8.8 (主辅两个DNS)
interface virtual-Template 1
peer default ip address dhcp-pool pppoe
Exit
方法二:利用PPP的IPCP来下发:
interface virtual-Template 1
ppp ipcp dns 202.103.96.112 8.8.8.8 (主辅两个DNS)
在Internet网上的两个PPPOE配置跟qiye的差不多,构思是调用了AAA服务器来认证的。PPPOE的服务配置不重复了,主要看AAA的配置。
以wuxian_pppoe_server为例:
radius-server host 202.103.96.100 key xiaot1234 (配置与AAA服务器通信实验的key)
aaa new-model (开启AAA服务)
aaa authentication ppp default group radius (PPP认证使用AAA)
aaa authentication login default group radius (设备登入认证使用AAA)
aaa authorization network default group radius (授权使用AAA)
配置好后,们认证的用户数据库,将向AAA服务器查找。下面是AAA服务器的配置图: