1999, Cisco Systems, Inc. 8-1第十四章第十四章第十四章第十四章PPPPPP协议协议协议协议 1999, Cisco Systems, Inc. www.cisco.comICND8-2本章目标本章目标通过本章学习，您应该掌握以下内容：通过本章学习，您应该掌握以下内容：掌握掌握CISCO HDLC帧格式及配置帧格式及配置掌握掌握PPP协议的组件：成帧方法、协议的组件：成帧方法、LCP、NCP掌握掌握PPP帧格式及配置帧格式及配置掌握掌握PPP的验证过程的验证过程PAP、CHAP及配及配置置 1999, Cisco Systems, Inc. www.cisco.comICND8-3串行点到点链路的封装格式串行点到点链路的封装格式最常用的两个点对点广域网封装协议是最常用的两个点对点广域网封装协议是HDLC、PPPPPP：用于在链路建立过程当中检查链路：用于在链路建立过程当中检查链路质量；另外，还支持质量；另外，还支持PAP和和CHAP密码验证密码验证HDLC：是思科串行线路的缺省协议，只允：是思科串行线路的缺省协议，只允许点对点的连接许点对点的连接如果连接的是非如果连接的是非CISCO设备，就需要使用设备，就需要使用其他的数据封装类型。如其他的数据封装类型。如FR，PPP 1999, Cisco Systems, Inc. www.cisco.comICND8-4HDLC协议简介协议简介SDLC：由：由IBM开发，后来提交给开发，后来提交给ANSI和和ISO，希望，希望接受成为美国国家标准和国际标准。接受成为美国国家标准和国际标准。ADCCP：ANSI修改修改SDLC后形成。后形成。HDLC：ISO修改修改SDLC后形成。后形成。CISCO HDLC实现基于实现基于ISO HDLC，但在帧格式中，但在帧格式中做了修改，使其称为做了修改，使其称为CISCO专有协议。专有协议。HDLC是是CISCO串行线路的缺省封装协议，只允许串行线路的缺省封装协议，只允许CISCO专用设备的连接，与其他的供给商的设备不专用设备的连接，与其他的供给商的设备不兼容。兼容。 1999, Cisco Systems, Inc. www.cisco.comICND8-5FlagAddressControlDataFCSFlagISO HDLC支持单一的协议环境支持单一的协议环境 FlagAddressControlProprietaryDataFCSFlagCisco HDLCHDLC 帧格式帧格式Cisco的的 HDLC 具有具有proprietary 字节提供对多协议环境的支持字节提供对多协议环境的支持 1999, Cisco Systems, Inc. www.cisco.comICND8-6配置配置HDLCRouter(config)# interface serial slot_#/port_#Router(config-if)# encapsulation hdlc进入某个串口配置模式进入某个串口配置模式启用启用HDLC封装封装HDLC是是CISCO同步串口的缺省封装格式同步串口的缺省封装格式 1999, Cisco Systems, Inc. www.cisco.comICND8-7查看数据链路层封装查看数据链路层封装Router# show interfaces serial 1Serial1 is up, line protocol is upHardware is MCI SerialMTU 1500 bytes, BW 1544 Kbit, DLY 20000 usec, rely 255/255, load 1/255Encapsulation HDLC, loopback not set, keepalive set (10 sec)Last input 0:00:02, output 0:00:00, output hang neverLast clearing of show interface counters neverOutput queue 0/40, 0 drops; input queue 0/75, 0 drops 1999, Cisco Systems, Inc. www.cisco.comICND8-8PPP EncapsulationTCP/IPNovell IPXAppleTalkMultiple protocol encapsulations using NCPs in PPP Link setup and control using LCP in PPP PPP 综述综述PPP 可以通过可以通过 NCP 携带多个网络层协议的数据包携带多个网络层协议的数据包PPP 可以通过可以通过 LCP 建立和控制数据链路建立和控制数据链路PPP 可以在异步或同步串口、可以在异步或同步串口、HSSI、ISDN接口下工作接口下工作 1999, Cisco Systems, Inc. www.cisco.comICND8-9PPP协议作用协议作用能够控制数据链路的建立；能够控制数据链路的建立；能够配置和测试数据链路；能够配置和测试数据链路；允许认证允许认证能够对广域网的能够对广域网的IP地址进行分配和管理；地址进行分配和管理；允许同时采用多种网络层协议；允许同时采用多种网络层协议；能够有效进行错误检测；能够有效进行错误检测；在在80年代末，人们在年代末，人们在SLIP协议根底上开发协议根底上开发PPP协议来解决远程互联网连接的问题。协议来解决远程互联网连接的问题。 1999, Cisco Systems, Inc. www.cisco.comICND8-10PPP: A data link with network layer servicesPPP 组件组件 1999, Cisco Systems, Inc. www.cisco.comICND8-11LCP分组中的配置选项分组中的配置选项 1999, Cisco Systems, Inc. www.cisco.comICND8-12PPP帧格式帧格式Flag：01111110Address：11111111Flag：00000011 1999, Cisco Systems, Inc. www.cisco.comICND8-13PPP 认证概述认证概述PPP 会话建立的会话建立的3个步骤个步骤链路建立链路建立LCP完成完成验证阶段可选，验证阶段可选，LCP完成完成网路层协议连接网路层协议连接NCP完成完成Dialup or Circuit-Switched Network两种两种 PPP 认证协议认证协议: PAP 和和 CHAP 1999, Cisco Systems, Inc. www.cisco.comICND8-14PPP认证认证在在PPP会话中，验证是可选的。会话中，验证是可选的。如果需要验证，那么须通信双方的路由器要如果需要验证，那么须通信双方的路由器要交换彼此的验证信息。交换彼此的验证信息。可以选择使用密码验证协议可以选择使用密码验证协议PAP或询问握手或询问握手验证协议验证协议CHAP；在一般情况下，；在一般情况下，CHAP是首是首选协议。选协议。 1999, Cisco Systems, Inc. www.cisco.comICND8-15密码明文传输密码明文传输选择选择 PPP 验证协议验证协议Remote Router(SantaCruz)Central-Site Router (HQ)Hostname: santacruzPassword: boardwalk username santacruzpassword boardwalk PAP 2-Way Handshake“santacruz, boardwalkAccept/Reject 1999, Cisco Systems, Inc. www.cisco.comICND8-16PAP：两次握手，密码在链路上是明文传输：两次握手，密码在链路上是明文传输的；连接建立后，需要不停地在链路上反复的；连接建立后，需要不停地在链路上反复发送用户名和密码；远程节点受到登录尝试发送用户名和密码；远程节点受到登录尝试的频率和定时的限制。的频率和定时的限制。密码验证协议密码验证协议密码验证协议密码验证协议PAPPAP 1999, Cisco Systems, Inc. www.cisco.comICND8-17选择选择 PPP 验证协议验证协议远程路由器远程路由器(SantaCruz)中心路由器中心路由器(HQ)Hostname: santacruzUsername: HQPassword: boardwalk Hostname: HQUsername: santacruzPassword: boardwalk CHAP3-Way Handshake质询质询响应响应接受接受/拒绝拒绝密码没有直接在链路上传输密码没有直接在链路上传输 1999, Cisco Systems, Inc. www.cisco.comICND8-18第一步第一步 拔号者发起拔号者发起CHAP呼叫呼叫766-13640-1User dials inppp authentication CHAPLCP协商协商CHAP认证方式和认证方式和MD5算法算法userpass766-1pc1userpass3640-1 pc1 1999, Cisco Systems, Inc. www.cisco.comICND8-19第二步第二步 向拔号者发送质询信息向拔号者发送质询信息01random 3640-1idUser dials in766-13640-11、建立质询数据包：随机数，认证名、建立质询数据包：随机数，认证名2、将、将id号和随机数保存在访问效劳器中；号和随机数保存在访问效劳器中；3、向呼叫方发送质询数据包；、向呼叫方发送质询数据包；分分组标识：01：质询02：质询应答答03：允：允许PPP连接接04：拒：拒绝PPP连接接用于区别多个认证过程用于区别多个认证过程 1999, Cisco Systems, Inc. www.cisco.comICND8-20第三步拔号者处理质询消息第三步拔号者处理质询消息MD5hash01random 3640-1iduserpass3640-1 pc1User dials in766-13640-1拔号者处理拔号者处理CHAP质询数据包质询数据包;1、将、将id号放入号放入MD5散列生成器散列生成器;2、将随机数放入、将随机数放入MD5散列生成器散列生成器;3、用访问效劳器的认证名匹配口令、用访问效劳器的认证名匹配口令4、将口令放入、将口令放入MD5散列生成器散列生成器 1999, Cisco Systems, Inc. www.cisco.comICND8-21第四步第四步 拔号者向访问效劳器发送拔号者向访问效劳器发送质询应答质询应答0102random 3640-1ididhash766-1userpass3640-1 pc1User dials in766-13640-1MD5hash发送应答包给访问效劳器；发送应答包给访问效劳器； 1999, Cisco Systems, Inc. www.cisco.comICND8-22第五步第五步 访问效劳器检查拔号者发过来访问效劳器检查拔号者发过来的应答数据包的应答数据包0102random 3640-1ididhash766-1userpass766-1pc1userpass3640-1 pc1=?User dials in766-13640-1MD5hashMD5hash 1999, Cisco Systems, Inc. www.cisco.comICND8-23第六步第六步 访问效劳器向访问效劳器向拔号者发送认证通过拔号者发送认证通过/失败的消息失败的消息010203random 3640-1ididhash766-1id “Welcome inuserpass766-1pc1userpass3640-1 pc1User dials in766-13640-1MD5hashMD5hash 1999, Cisco Systems, Inc. www.cisco.comICND8-24PPP配置和认证总述配置和认证总述 1999, Cisco Systems, Inc. www.cisco.comICND8-25配置配置 PPPRouter(config-if)#encapsulation ppp激活激活 PPP 封装封装 1999, Cisco Systems, Inc. www.cisco.comICND8-26配置配置 PPP 验证验证Router(config)#hostname name给本地路由器命名给本地路由器命名Router(config)#username name password password提供需要验证的对方路由器的名称和密码提供需要验证的对方路由器的名称和密码 1999, Cisco Systems, Inc. www.cisco.comICND8-27配置配置 PPP 验证验证Router(config-if)#ppp authenticationchap | chap pap | pap chap | pap激活激活 PAP 或或 CHAP 验证验证 1999, Cisco Systems, Inc. www.cisco.comICND8-28CHAP 配置举例配置举例hostname leftusername right password sameone!int serial 0 ip encapsulation ppp ppp authentication CHAPhostname rightusername left password sameone!int serial 0 ip encapsulation ppp ppp authentication CHAPLeftrouterRightrouterPSTN/ISDN 1999, Cisco Systems, Inc. www.cisco.comICND8-29查看查看 HDLC 和和 PPP 的封装的封装Router#show interface s0Serial0 is up, line protocol is up Hardware is HD64570 MTU 1500 bytes, BW 1544 Kbit, DLY 20000 usec, rely 255/255, load 1/255 Encapsulation PPP, loopback not set, keepalive set (10 sec) LCP Open Open: IPCP, CDPCP Last input 00:00:05, output 00:00:05, output hang never Last clearing of show interface counters never Queueing strategy: fifo Output queue 0/40, 0 drops; input queue 0/75, 0 drops 5 minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec 38021 packets input, 5656110 bytes, 0 no buffer Received 23488 broadcasts, 0 runts, 0 giants, 0 throttles 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort 38097 packets output, 2135697 bytes, 0 underruns 0 output errors, 0 collisions, 6045 interface resets 0 output buffer failures, 0 output buffers swapped out 482 carrier transitions DCD=up DSR=up DTR=up RTS=up CTS=up 1999, Cisco Systems, Inc. www.cisco.comICND8-30验证验证 PPP 认证认证debug ppp authentication shows successful CHAP output. 1999, Cisco Systems, Inc. www.cisco.comICND8-31完本钱章的学习后，你应该能够掌握：完本钱章的学习后，你应该能够掌握：在广域网的串行口上配置在广域网的串行口上配置PPP 协议协议在一个在一个 PPP 连接内配置连接内配置PAP和和CHAP验证验证查看点到点的查看点到点的 PPP 协议配置情况协议配置情况本章总结本章总结 1999, Cisco Systems, Inc. www.cisco.comICND8-321. 在在Cisco路由器上有哪三中广域网连接类型路由器上有哪三中广域网连接类型?2. PPP有哪两种封装协议，它们有哪些优缺点有哪两种封装协议，它们有哪些优缺点?问题回忆问题回忆