网络安全之二层局域网封装及广域网封装详解

局域网封装：Ethernet2（TCP/IP），IEEE802.3（OSI）（前面文章中讲解了TCP、IP和OSI本文就不继续讲解：可以查看：网络安全之OSI七层模型详解-CSDN博客）

广域网封装：PPP、HDLC、FR、ATM （这就是线路两端的端口协议是否一致，代表着两端数据能否通信。端口状态中的物理up与协议up就是这里的协议）

HDLC：高级数据链路控制协议，默认思科的串行链路封装为HDLC，分为工业标准的HDLC和思科私有的HDLC，两者不能通用，思科私有的HDLC中加入了一些控制字符用来识别上层协议，以及三层的传输方式。实际上华为设备配置的HDLC是思科的HDLC。在华为中查看时是显示的非标准HDLC。

但是HDLC没有办法做认证，PPP能做认证。

PPP：点对点封装协议，华为串行链路默认封装为PPP，PPP链路需要建立一条端到端的会话链路。在不同厂商设备连接的链路中也建议使用PPP，因为PPP不分什么私有公有，只有这一种。

PPP会话建立分为两个阶段：1、LCP。2、NCP。但很多时候运用PPP是因为可以做PPP认证，而PPP认证在LCP与NCP之间做的，所以也可以说PPP会话建立分为三个阶段；1、LCP。2、PPP认证。3、NCP。 PPP认证可以做本地认证，可以进行3A认证，可以调用各种各样的认证。

LCP：链路控制协议，通过发送LCP请求和LCP确认，通过发送这两个帧来进行物理链路的检测和封装的确认。

PPP认证：增加PPP会话的安全性，认证分为PAP和CHAP，PAP是密码认证协议，CHAP是挑战握手协议，一般建议使用CHAP。

NCP：网络控制协议，通过发送NCP，针对上层协议进行封装，IPCP协商（NCP的N换为了IPv4），在NCP协商过程中，会自动将自己本端IP地址以路由形式发送给对方，当PPP会话建立之后，会产生到达对方接口IP地址的32位主机路由。

PAP：密码认证协议，是一种一次性的简单的明文认证。分为单向认证和双向认证。单向认证为主认证方接收被认证方提供的账号密码，双向认证则双方互相提供对方的账号密码。

CHAP：挑战握手认证协议，通过三次握手的方式进行安全的MD5认证，在认证过程中需要发送挑战信息。

CHAP与PAP认证中，PAP中自己定义用户名和密码去认证，CHAP是默认使用自己的设备名定义密码去认证。PAP认证一抓包，密码就被暴露出来，而CHAP发送MD5值，主认证方A向被认证方B发送一个CHAP请求，告诉B，自己要做一个CHAP认证，同时发送自己的用户名（默认为主机名）和一个随机值。B接收到后回复给A一个挑战信息，告诉A自己要挑战这个用户密码，里面包含了用户名和密码，里面包含了用户名和密码。用户名是明文发，密码是和发来的随机值一起进行MD5校验封装在挑战信息中发给A，尝试挑战认证看B发来的密码与随机值是否相同，相同则挑战成功并会给B一个挑战成功信息包。这在一定程度上确定了双方的信息，没有第三方伪装的可能，这种就叫做HMAC技术（密钥化哈希）。

FR：帧中继协议。ATM：异步传输模式这两个后续文章中会细说，读者如有兴趣可以前往下面两个网址中进行一个了解

ATM技术介绍-新华三集团-H3C

帧中继配置命令 - NetEngine AR V300R021 命令参考 - 华为 (huawei.com)

扩展：——————————————————————————————————

GRE与MGRE，这两个不属于广域网的技术，是属于VPN中的技术。

GRE：通用路由封装，标准的三层隧道技术，是一种点对点的隧道技术。

如下图展示：

MGRE：多点通用路由封装。GRE需要有源IP，目标IP，有隧道的源和目标。MGRE只有源IP，没有目标IP，只有隧道的源，需要知道对方的目标IP则需要NHRP服务器来存储隧道公网IP与私网IP映射关系