CCNP3-广域网技术

分类

局域网----以太网（Ethernet Ⅱ ，基于TCP/TP模型，IEEE802.3，基于OSI模型）
广域网----PPP HDLC FR ATM

HDLC

HDLC：高级数据链路控制（HDLC，High-level Data Link Control），思科设备广域网链路默认封装。
思科私有HDLC：加入控制字段，可描述上层使用协议
工业标准HDLC：仅支持上层使用IP协议
HDLC抓包截图

unicast表示单播
0x0800表示上层使用IP协议

PPP

PPP：点对点协议(Point to Point Protocol)，广域网主流封装
会话建立过程
1.LCP，链路控制协议，检测物理链路的封装，发送lcp协商帧，保证双方都使用的时ppp封装。
2.PPP认证，pap（密码认证协议） chap（挑战握手认证协议）
3.NCP协商，网络控制协议，保证上层使用同种协议，例如ipv4，同时会发送自己的主机路由给对方，并将对方发送过来的主机路由加表，即NCP协商阶段双方都会学习对方的主机路由。若不想学习对方主机路由则需要在接口中使用R1(config-if)#no peer neighbor-route来关闭
认证方式
1.PAP ：密码认证协议

• 是一种简单的一次性认证，受到攻击不能自动检测。
• 已建立的链路，中途修改账号密码，链路不会断开，除非关闭接口重新建立连接，才会验证新的账号密码。
• 支持双向认证

实验：在R2和R3之间使用pap认证，R2为主认证方，R3为被认证方（发送pap的用户名和密码）.
1.修改封装为ppp封装

R2(config)#int serial 1/0
R2(config-if)#encapsulation ppp

R3(config-if)#int s1/1
R3(config-if)#encapsulation ppp

2.在主认证方（R2）定义用户名密码，接口启用pap

R2(config)#username R2 password cisco
R2(config)#int serial 1/0
R2(config-if)#ppp authentication pap 

3.被认证方（R3）启用pap，发送用户名和密码

R3(config-if)#int s1/1
R3(config-if)#ppp pap sent-username R2 password cisco

2.CHAP：挑战握手认证协议

• 三次握手复杂多次认证（基于MD5）
• 受到攻击能自动断开PPP会话
• 在chap双向认证中，双方密码必须一致

实验：在R1和R2之间使用chap认证，R1为主认证方，R2为被认证方。
1.修改链路封装为ppp

R1(config)#int s1/0
R1(config-if)#encapsulation ppp

R2(config)#int s1/1
R2(config-if)#encapsulation ppp

2.主认证方（R1）定义用户名和密码，接口启用chap

R1(config)#username ccnp password cisco
R1(config)#int s1/0
R1(config-if)#ppp authentication chap 

3.被认证方（R2）接口启用chap，发送用户名和密码（MD5）

R2(config)#int s1/1
R2(config-if)#ppp chap hostname ccnp 
R2(config-if)#ppp chap password cisco

chap认证三次握手的过程
1.主认证方R1发送 用户名R1+随机字符串A 给被认证方
2.被认证方R2发送 要认证的用户名ccnp+（（密码cisco+随机字符串A）md5运算后的值）B 给主认证方
3.主认证方R1使用本地数据库存在的用户名ccnp的密码 （（密码cisco+随机字符串A）md5运算后的值）C 和B对比是否一致，一致则认证成功。
抓包分析
1.R1->R2 : 用户名R1+随机字符串A

2.R2->R1 : 要认证的用户名ccnp+（（密码cisco+随机字符串A）md5运算后的值）B

3. R1->R2 : Success