路由交换技术及应用 第12章 PPP

图12-3 CHAP认证
在数据链路处于打开状态时，认证方给需要认证的PPP实体发送一个挑战 信息，需要认证的PPP实体按照事先给定的算法对挑战信息进行计算，将计算 结果返回给认证方。认证方将返回的计算结果和自己在本地计算后得到的结 果进行比较，若一致，表示认证通过，给需要认证的PPP实体发送认证确认帧， 否则终止数据链路。
PPP运行过程中，可以随时中断连接，物理链路断开、认证失败、超时定 时器时间到、管理员通过配置关闭连接等动作都可能导致链路进入 Terminate阶段。进入Terminate阶段且资源释放完后将进入Dead阶段。
PPP的认证方式包括口令认证协议（PAP）和挑战握手认证协议（CHAP）。
1．口令认证协议（PAP）
在Authenticate阶段，如果验证失败，则进入Terminate阶段，拆除链 路，LCP状态转为Closing；如果验证成功，则进入Network阶段，此时LCP状 态仍为Opened，而NCP状态从Initial转到Starting。
在Network阶段，PPP链路进行NCP协商，包括IPCP（IP Control Protocol）、 MPLSCP（MPLS Control Protocol）等。IPCP协商主要包括双方的IP地址。通过 NCP协商来选择和配置一个网络层协议，只有相应的网络层协议协商成功后（相应 协议的NCP协商状态为Opened），该网络层协议才可以通过这条PPP链路发送报文。 例如IPCP协商通过后，这条PPP链路才可以承载IP报文。NCP协商成功后，PPP协议 链路将一直保持通信。
PPP是在串行线IP（Serial Line IP，SLIP）的基础上发展起来的，由于 SLIP存在只支持异步传输方式、无协商过程（尤其不能协商如双方IP地址等网 络层属性）、只能承载IP一种网络层报文等缺陷，在发展过程中，PPP逐步将其 替代。
PPP主要由3类协议栈组成，其中，链路控制协议栈（Link Control Protocol）主要用来建立、拆除和监控PPP数据链路；网络层控制协议栈 （Network Control Protocol）主要用来协商在该数据链路上所传输的 数据包的格式与类型；PPP扩展协议栈主要用于提供对PPP功能的进一步支 持，如用于网络安全方面的验证协议栈（PAP和CHAP）。
掌握PPP的应用； 掌握PPP组成； 理解PPP的工作过程（难点）； 掌握口令认证协议和挑战握手认证协议（重点）； 掌握PPPoE的工作过程（难点）； 掌握使用PPP方式连接两台路由器的配置方法（重点）。
关键词：
PPP是一种在点到点链路上承载网络层数据包的数据链路层协议，处于TCP/ IP协议族协议栈的数据链路层，主要用于在支持全双工的同异步链路上进行点 到点之间的数据传输。
CHAP是比PAP更安全的一种认证协议，与PAP一样，它也依赖于一个双方 都知道的“共同秘密”，但是该秘密不在线上传输，而是通过传递一对质询 值/响应值（由散列算法得出）来保证秘密不被窃取，从而提高安全性，适用 于数据链路两端都能访问到共同密钥的情况。
PPP的应用虽然很广泛，但是不能应用于以太网。PPPoE（PPP over Ethernet） 是对PPP的扩展，它可以使PPP应用于以太网。PPPoE提供了在广播式的网络（（也称为宽带接入服务器）上的一种标准。
PPPoE会话建立过程分为地址发现阶段和PPPoE会话阶段两个阶段。
为了在以太网上建立点到点连接，每一个PPPoE会话必须知道通信对方 的以太网地址，并建立一个唯一的会话标志符。PPPoE通过地址发现协议查 找对方的以太网地址，当某个主机希望发起一个PPPoE会话时，它首先通过 地址发现协议来确定对方的以太网MAC地址并建立起一个PPPoE会话标志符 Session ID。虽然PPP定义的是点到点的对等关系，但地址发现却是一种客 户端/服务器关系。
在地址发现的过程中，主机作为客户端，发现某个作为服务器的接入访 问集中器AC的以太网地址。根据网络的拓扑，可能主机不止与一个访问集中 器通信。地址发现阶段允许主机发现所有的访问集中器，并从中选择一个进 行通信。
在开始建立一个PPPoE会话之前，地址发现阶段一直保持无状态。一旦开始 建立PPPoE会话，主机和作为接入服务器的访问集中器都必须为一个PPP虚拟端 口分配资源。当地址发现阶段成功完成之后，主机和访问集中器两者就都具备 了在以太网上建立点到点连接所需的所有信息。
PPP链路的建立是通过一系列的协商完成的，整个PPP链路建立过程中 需经历阶段的状态转移，如图12-1所示。
图12-1 PPP链路建立过程
PPP运行总是以Dead阶段开始和结束的。通常，处在这个状态的时间很 短，仅仅是检测到硬件设备后（即硬件连接状态为Up）就进入Establish阶 段。
在Establish阶段，PPP链路进行LCP协商，协商内容包括工作方式是SP （Single-link PPP）还是MP（Multi-link PPP）、最大接收单元MRU、验 证方式、魔术字和异步字符映射等。LCP协商成功后进入Opened状态，表示 底层链路已经建立。如果配置了验证，将进入Authenticate阶段，开始CHAP 或PAP验证。如果没有配置验证，则直接进入Network阶段。
PAP不是一种强有力的认证手段，用户标志符 和口令以明码的方式在串行线路上传输，因此，只 适用于类似远程登录等允许以明码方式传输用户标 志符和口令的应用。
2．挑战握手认证协议（CHAP）
CHAP是一种通过3次握手周期性地验证对方身份的方法。它在数据链路 刚建立时使用，在整个数据链路存在期间可以重复使用，如图12-3所示。
PAP是一种通过两次握手完成对等实体间相互身份确认的方法。它只是在链 路刚建立时使用，在链路存在期间不能重复用PAP进行对等实体之间的身份确认， 如图12-2所示。
图12-2 PAP认证
在数据链路处于打开状态时，需要认证的一 方反复向认证方传送用户标志符和口令，直到认证 方回送一个确认信息或者数据链路被终止。