路由器配置PPP协议 CHAP验证 PAP验证

路由器配置PPP协议 CHAP验证 PAP验证

来源 https://www.cnblogs.com/tcheng/p/5967485.html

PAP是两次握手，明文传输用户密码进行认证；CHAP是三次握手，传输MD5值进行认证。

PAP：

CHAP:

PPP协议是一种点——点串行通信协议。PPP具有处理错误检测、支持多个协议、允许在连接时刻协商IP地址、允许身份认证等功能，还有其他。PPP提供了3类功能：成帧；链路控制协议LCP；网络控制协议NCP。PPP是面向字符类型的协议。

PPP协议的验证分为两种：一种是PAP，一种是CHAP。相对来说PAP的认证方式安全性没有CHAP高。PAP在传输password是明文的，而CHAP在传输过程中不传输密码，取代密码的是hash（哈希值）。PAP认证是通过两次握手实现的，而CHAP则是通过3次握手实现的。

一、CHAP验证

给个今天的配置例子：

R1 R2两台路由器需要互相通信，即两方都有机会发出请求：

R1(config)#user R1 pas kxm   //为本机设置密码

R1(config)#user R2 pass kxm //对端密码 R2 是对端名称 kxm是对端密码

R1(config)#int se 0/1/1

R1(config-if)#enc ppp     //对serial 0/1/1 串口使用ppp协议

R1(config-if)#ppp au chap//使用chap验证

R1(config-if)#no shu

R1(config-if)#ex

R2(config)#user R2 pas kxm   //为本机设置密码

R2(config)#user R1 pass kxm //对端密码 R3 是对端名称 kxm是对端密码

R2(config)#int s 0/1/0

R2(config-if)#enc ppp//对serial 0/1/0 串口使用ppp协议

R2(config-if)#ppp au chap //使用chap验证

R2(config-if)#no shu

R2(config-if)#ex

配置好即可通信成功，当只配置一条链路的其中一边的路由器时，端口状态为down。只有当两边路由器都配置成功时，端口才为up。

以上情况为两路由器需要互相通信是的情况。当存在服务器端和客户端时，客户端将只需要配置本地口令。

如上例改成R1为服务器端，R2为客户端，即只出现R2向R1发出请求的情况：

R1配置不变。

R2配置如下：

R2(config)#user R2 pas kxm   //为本机设置密码

CHAP的诊断

对于CHAP身份认证中出现的问题也可以利用debug ppp authentication命令进行诊断。

2、PAP验证

DCE设备端（RouterA）PPP封装之PAP验证设置（关键配置）

RouterA# configure terminal

RouterA(config)# username RouterB password 111

RouterA(config)# interface serial 0/0

RouterA(config-if)# encapsulation ppp

RouterA(config-if)# ppp authentication pap

RouterA(config-if)# ppp pap sent-username routera password 222

RouterA(config-if)# clock rate 64000

RouterA(config-if)# exit

DTE设备端（RouterB）PPP封装之PAP验证设置（关键配置）

RouterB# configure terminal

RouterB(config)# username routera password 222

RouterB(config)# interface serial 0/0

RouterB(config-if)# encapsulation ppp

RouterB(config-if)# ppp authentication pap

RouterB(config-if)# ppp pap sent-username routerb password 111

RouterB(config-if)# exit

与CHAP的差异见红字部分

三、两种认证方法的配置：

通信认证双方选择的认证方法可能不一样，如一方选择PAP，另一方选择CHAP，这时双方的认证协商将失败。为了避免身份认证协议过程中出现这样的失败，可以配置路由器使用两种认证方法。当第一种认证协商失败后，可以选择尝试用另一种身份认证方法。如下的命令配置路由器首先采用PAP身份认证方法。假如失败，再采用CHAP身份认证方法。

　　RouterA（config-if）#ppp authentication pap chap

　　如下的命令则相反，首先使用CHAP认证，协商失败后采用PAP认证。

　　RouterA（config-if）#ppp authentication chap pap

PAP和CHAP的区别：

区别在于认证过程，PAP是简单认证,明文传送,客户端直接发送包含用户名/口令的认证请求,服务器端处理并回应。而CHAP是加密认证,先由服务器端给客户端发送一个随机码challenge,客户端根据challenge对口令进行加密,算法是md5(password,challenge,ppp_id).然后把这个结果发送给服务器端.服务器端从数据库中取出口令password2,同样进行加密处理。最后比较加密的结果是否相同.如相同,则认证通过,向客户端发送认可消息

PAP和CHAP的意思：

GPRS设置中的PAP鉴权和CHAP鉴权有何区别分类:PAP和CHAP是目前的在PPP中普遍使用的认证协议。PAP是简单二次握手身份验证协议,用户名和密码明文传送,安全性低.PAP全称为：Password Authentication Protocol。CHAP是一种挑战响应式协议,三次握手身份验证,口令信息加密传送,安全性高. CHAP全称为：Challenge Handshake Authentication Protocol。