PAP认证和CHAP认证原理解析

PAP（PasswordAuthenticationProtocol 密码认证协议）

PAP 是 PPP 协议集中的一种链路控制协议，通过2次握手建立认证，对等结点持续重复发送 ID/ 密码（明文）给验证者，直至认证得到响应或连接终止，常见于PPPOE拨号环境中。

PAP认证过程

首先被认证方向认证方发送认证请求（包含用户名和密码），以明文形式进行传输，认证方接到认证请求，再根据被认证方发送来的用户名去到自己的数据库认证用户名密码是否正确，如果密码正确，PAP认证通过，如果用户名密码错误，PAP认证未通过
PAP 并不是一种强有效的认证方法，其密码以文本格式在电路上进行发送，对于窃听、重放或重复尝试和错误攻击没有任何保护。

实验拓扑

R1为认证方，R2为被认证方。

基本配置：

R1(config)#interface serial 1/0
R1(config-if)#ip address 192.168.1.1 255.255.255.0 
R1(config-if)#no shutdown 
R1(config-if)#encapsulation ppp 

R2(config)#interface serial 1/0
R2(config-if)#ip address 192.168.1.2 255.255.255.0
R2(config-if)#no shutdow
R2(config-if)#encapsulation ppp

认证端需要建立本地口令数据库，并且开始pap认证。

R1(config)#interface serial 1/0
R1(config-if)#ppp authentication pap
R1(config-if)#username ccie password 123

被认证端

R2(config)#interface serial 1/0
R2(config-if)#ppp pap sent-username ccie password 123

CHAP (ChallengeHandshakeAuthenticationProtocol 质询握手认证协议)

CHAP通过三次握手验证被认证方的身份（密文），在初始链路建立时完成，为了提高安全性，在链路建立之后周期性进行验证，目前在企业网的远程接入环境中用的比较常见。

CHAP认证过程

1. 链路建立阶段结束之后，认证方主动向对端点发送“challenge”消息（此认证序列号id+认证方主机名+随机数）
2. 对端点去到自己的数据库查到认证方主机名对应的密码，用查到的密码结合认证方发来的认证序列号id和随机数，经过单向哈希函数MD5计算出来的值做应答。
3. 根据被认证方发来的认证用户名，主认证方在本地数据库中查找被认证方对应的密码，结合id找到先前保存的随机数据和id根据MD5算法算出一个Hash值，与被认证方得到的Hash值做比较，如果一致，则认证通过，如果不一致，则认证不通过。
4. 经过一定的随机间隔，认证方发送一个新的 challenge 给端点，重复步骤 1 到 3 。

实验拓扑

R1为认证方，R2为被认证方。

基本配置

R1(config)#interface serial 1/0
R1(config-if)#ip address 192.168.1.1 255.255.255.0
R1(config-if)#no shutdown 
R1(config-if)#encapsulation ppp
R1(config-if)#ppp authentication chap


R2(config)#interface serial 1/0
R2(config-if)#ip address 192.168.1.2 255.255.255.
R2(config-if)#no shutdown 
R2(config-if)#encapsulation ppp

1. 基于主机名

R1(config-if)#username r2 password 123

R2(config-if)#username r1 password 123

2. 不基于主机名

R1(config)#username ccie password 123

R2(config-if)#ppp chap password 123
R2(config-if)#ppp chap hostname ccie