PPP 认证

PPP协议为广域网中较为广泛的协议，原因之一是它能提供验证协议CHAP（Challenge-Handshake Authentication Protocol，挑战式握手验证协议）、PAP（Password Authentication Protocol，密码验证协议），更好得保证了网络安全性。

PAP为两次握手验证，口令为明文，验证过程仅在链路初始建立阶段进行。当链路建立阶段结束后，用户名和密码将由被验证方重复地在链路上发送给验证方，知道验证通过或者中止连接。PAP不是一种安全的验证协议，因为口令是以明文方式在链路上发送的，并且用户名和口令还会被验证方不停地在链路上反复发送，导致很容易被截获。

CHAP是三次握手验证协议，只在网络上传输用户名，而并不传输用户密码，因此，安全性要比PAP高。CHAP协议是在链路建立开始就完成的，在链路建立完成后的任何时间都可以进行再次验证。当链路建立阶段完成后，验证方发送一个“challenge”报文给验证方；被验证方经过一次Hash算法后，给验证方返回一个值；验证方把自己经过Hash算法生成的值和被验证方返回的值进行比较。如果两者匹配，那么验证通过，否者验证不通过，连接被终止。

R1为分支机构接入端网关设备，PC1为企业分支机构终端。R2为企业总部接入终端网关设备，PC2为企业总部终端，R3为企业总部核心路由器。在分支机构访问总部时部署PPP认证，R1是被认证方路由器，R3是认证方路由器，只有认证通过才能建立PPP连接进行正常访问。

//部署OSPF协议，通告相应网段至区域0。
[R1]ospf 1
[R1-ospf-1]area 0
[R1-ospf-1-area-0.0.0.0]network 10.0.13.0 0.0.0.255
[R1-ospf-1-area-0.0.0.0]network 10.0.1.0 0.0.0.255

[R2]ospf 1
[R2-ospf-1]area 0
[R2-ospf-1-area-0.0.0.0]network 10.0.23.0 0.0.0.255
[R2-ospf-1-area-0.0.0.0]network 10.0.2.0 0.0.0.255

[R3]ospf 1
[R3-ospf-1]area 0
[R3-ospf-1-area-0.0.0.0]network 10.0.13.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]network 10.0.23.0 0.0.0.255

//配置PPP的PAP认证。为了提升分支机构与总部通信时的安全性，在分支网关设备R1与公司核心设备R3上部署PPP的PAP认证。R3作为认证路由器，R1作为被认证路由器。华为路由器上，广域网串行接口默认链路层协议即为PPP，因此可以直接配置PPP认证。在总部设备R3上使用 ppp authentication-mode 命令设置本端的PPP协议对对端设备的认证方式为PAP。
[R3]aaa
[R3-aaa]local-user huawei password cipher 123
[R3-aaa]local-user huawei service-type ppp
[R3]int s 4/0/0
[R3-Serial4/0/0]ppp authentication-mode pap

、
、
//配置完成后，关闭R1与R3相连接口一段时间后再打开，使R1与R3间的链路重新协商，并检查链路状态和连通性。
[R3]int s 4/0/0
[R3-Serial4/0/0]shutdown
[R3-Serial4/0/0]undo shutdown

可以看到物理链路状态正常，链路层协议状态不正常。这是因为PPP链路上的PAP认证未同通过，现在仅仅配置了认证方设备R3，还需要在被认证方R1上配置相关PAP认证参数。

、
、
//在R1的 S4/0/0 接口下，使用 ppp pap local-user 命令配置本端被对端以PAP方式验证时本地发送的PAP用户名和密码。
[R1]int s 4/0/0
[R1-Serial4/0/0]ppp pap local-user huawei password cipher 123

//查看链路状态测试连通性。（备注：关闭接口再打开）

//可以看到链路层协议状态正常。

//PC1 ping PC2。

//分部与总部正常通信。

、
、
//对R1的S4/0/0接口抓包。（先关闭R1的S4/0/0接口，再从新打开使链路重新协商）

//可以看到在数据包中很容易找到所配置的用户名和密码。Peer-ID显示内容为用户名，Password显示内容为密码。由此验证了使用PAP认证时，口令将以明文方式在链路上传送，由于PPP链路建立后，被认证方会不停地在链路上反复发送用户名和口令，直到身份认证过程结束。
//使用CHAP认证，口令用MD5算法加密后在链路上发送，能有效地防止攻击。重新部署PPP地CHAP认证。
[R3]int s 4/0/0
[R3-Serial4/0/0]undo ppp authentication-mode

[R1]int s 4/0/0
[R1-Serial4/0/0]undo ppp pap local-user

//删除后，在认证设备R3地S4/0/0接口下配置PPP地认证方式为CHAP。
[R3-Serial4/0/0]ppp authentication-mode chap

//配置R1，S4/0/0接口下配置CHAP认证的用户名和密码
[R1-Serial4/0/0]ppp chap user huawei
[R1-Serial4/0/0]ppp chap password cipher 123

//配置完成后，关闭R1与R3相连接口后再打开，使链路重新协商，查看链路状态，测试连通性。

//可以看到链路层协议正常。

、
、
//PC1与PC2正常通信。

//在R1的S4/0/0接口抓包发现，数据包内容已经为加密方式发送，无法被攻击者截获认证密码，提升了安全性。