华为PPP验证PAP和CHAP - 360文档中心

PPP的CHAP认证和PAP认证

PPP的CHAP认证和PAP认证Chap 和pap 认证有很多种，有单项的，有双向的。

单项chap认证。

(R1作为服务器端)R1(config)#interface s4/0R1(config-if)#ip address 192.168.1.1 255.255.255.0R1(config-if)#encapsulation ppp \\封装PPP协议R1(config-if)#ppp authentication chap \\开启认证，认证方式为chap认证R1(config-if)#exitR1(config)#username R2 password 0 123456 \\创建用户R2 ，用于识别认证客户端R2(config)#interface s4/0R2(config-if)#ip address 192.168.1.2 255.255.255.0R2(config-if)#encapsulation ppp \\封装PPP协议R2(config-if)#exitR2(config)#username R1 password 0 123456 \\创建用户R1，用于识别想服务器端单项pap 认证。

（R1作为服务器端）R1(config)#interface s4/0R1(config-if)#ip address 192.168.1.1 255.255.255.0R1(config-if)#encapsulation ppp \\封装PPP协议R1(config-if)#ppp authentication pap \\开启认证，认证方式为pap (服务器断开启)R1(config-if)#exitR1(config)#username R2 password 0 123456 \\创建的用户为客户端的主机名R2(config)#interface s4/0R2(config-if)#ip address 192.168.1.2 255.255.255.0R2(config-if)#encapsulation pppR2(config-if)#ppp pap sent-username R2 password 0 123456 \\定义客户端所要发送的用户名和密码，一般是发送跟自己主机名一样的的用户。

PAP和CHAP协议区别

PAP和CHAP协议区别PAP（Password Authentication Protocol）和CHAP（Challenge-Handshake Authentication Protocol）是两种常见的身份验证协议，用于在计算机网络中进行用户认证。

它们之间的区别如下：1.认证方式：-PAP是一种简单的基于密码的认证协议，客户端将明文密码发送给服务器进行验证。

-CHAP则是一种更安全的认证协议，客户端和服务器之间通过一系列的挑战和响应进行认证，密码不会被明文传输。

2.传输方式：-PAP在认证过程中使用明文传输密码，存在安全风险，因为密码可以被中间人截获和篡改。

-CHAP通过使用哈希算法对密码进行加密，在传输过程中不会出现明文密码，安全性更高。

3.握手协议：-PAP只需要一次握手，客户端发送用户名和密码给服务器，服务器进行验证并返回认证结果。

如果失败，客户端可以重试。

- CHAP采用多轮握手协议，服务器首先向客户端发送一个随机数（Challenge），客户端将其与密码进行哈希计算，发送给服务器进行验证。

验证成功后，服务器返回一个成功的响应。

CHAP中的挑战和响应过程可在整个会话期间多次重复，从而提高安全性。

4.安全性：-PAP由于使用明文传输密码，容易受到中间人攻击，因此安全性较低。

-CHAP使用加密哈希函数，不会在网络中传输明文密码，安全性更高。

5.错误处理：-PAP在验证失败时，客户端可以重试，但由于不需要挑战响应过程，服务器无法判断是客户端密码错误还是攻击者的暴力破解，容易受到暴力破解攻击。

-CHAP通过挑战和响应过程，可以防止密码被暴力破解，服务器可以更好地处理验证失败的情况。

总体而言，CHAP相比于PAP具有更高的安全性。

由于CHAP使用哈希算法进行密码加密，并且通过挑战和响应过程进行认证，减少了明文密码的传输，因此对于网络环境中较为敏感的场景更为适用。

而PAP则适用于对安全要求不高的网络环境。

PPP协议的PAP和CHAP认证

PPP协议的PAP和CHAP认证实验人：实验名称：PPP协议的PAP和CHAP认证实验目的：掌握PPP协议的PAP和CHAP认证的配置方法实验原理：PAP认证：用小凡搭建如图实验环境，然后配置各路由器的S0/0端口IP和PPP封装协议，再配置PAP认证，当只配置R1PAP认证时，不能ping通对方（192.168.1.2），再配置R2的发送PAP认证信息时，即可ping通（单向）；在R1和R2上，分别配置PAP认证和发送PAP认证信息，此时，即可ping通R2（192.168.1.2），即实验成功！（双向）CHAP认证：用小凡搭建如图实验环境，然后配置各路由器的S0/0端口IP和PPP封装协议，再配置CHAP认证，当只配置R1 CHAP认证时，不能ping通对方（192.168.1.2），再配置R2的发送CHAP 认证信息时，即可ping通（单向）；在R1和R2上，分别配置CHAP认证和发送CHAP认证信息，此时，即可ping通R2（192.168.1.2），即实验成功（双向认证）自动协商IP地址：在R1上，配置分配IP地址（端口下，命令peer default ip address 192.168.1.100），然后在R2上，配置自动协商IP地址（在端口下，命令ip add negotiated），此时在R2可以获得192.168.1.100的IP地址，即实验成功！头部压缩：在R1和R2上，配置头部压缩功能，再ping 192.168.1.2，使其用数据流，用show compress 命令查看压缩情况，即实验成功！实验过程：PAP单向认证：⑴用小凡搭建如图实验环境，如图示：⑵在R1的S0/0上，配置IP，如图示：⑶在R2的S0/0上，配置IP，如图示：⑷此时，即可ping通192.168.1.2 如图示：⑸在R1上，配置PPP协议，如图示：⑹在R2上，配置PPP协议，如图示：⑺此时，又可ping通192.168.1.2 如图示：⑻在R1上，配置PAP认证，如图示：⑼在R2上，配置发送PAP认证信息，如图示：⑽此时，又可以ping通192.168.1.2 如图示：PAP双向认证：⒈在R1上，配置PAP认证，如图示：⒉在R2上，配置发送PAP认证信息，如图示：⒊配置完后，即可ping通192.168.1.2，即单向认证，如图示：⒋在R2上，配置PAP认证，如图示：⒌此时，不能ping 通192.168.1.2 如图示：⒍在R1上，配置发送PAP认证信息，此时，可以又ping通192.168.1.2 如图示：CHAP单向认证：Ⅰ在R1上，配置CHAP认证，如图示：Ⅱ在R2上，配置发送CHAP认证信息，如图示：Ⅲ此时，即可ping通192.168.1.2 ，即CHAP 的单向认证成功！如图示：CHAP双向认证：①在R1上，配置CHAP认证，如图示：②在R2上，配置发送CHAP认证信息，如图示：③在R2上，配置CHAP认证，如图示：④此时，不能ping通192.168.1.2 原因为没有在R1上，配置发送CHAP认证信息，如图示：⑤在R1上，配置发送CHAP认证信息，此时，可以ping通192.168.1.2 ，即配置CHAP双向认证成功！如图示：自动协商IP地址：㈠在原有的实验环境下，去掉R2上的S0/0端口的IP地址，如图示：㈡在R1上的S0/0端口下，配置分配的IP地址为192.168.1.100 如图示：㈢在R2上的S0/0 端口上，配置自动协商IP地址，如图示：㈣此时，在R2上，分配到192.168.1.100的IP地址，即实验成功，如图示：头部压缩：①在R1上，开启头部压缩功能，如图示：②在R2上，开启头部压缩功能，如图示：③此时，ping 192.168.1.100 ，使其有数据通过，用命令即可查看到压缩的情况，（命令show compress）如图示：总结：在实验中，CHAP认证的步骤：处理CHAP挑战数据包（1、将序列号放入MD5散列生成器2、将随机数放入MD5散列生成器3、用访问服务器的认证名和数据库进行比较4、将密码放入MD5散列生成器）；当显示串行接口时,常见以下状态: 1、Serial0/0 is up, line protocol is up //链路正常2、Serial0/0 is administratively down, line protocol is down //没有打开该接口,执行no sh 打开即可3、Serial0/0 is up, line protocol is down //物理层正常,数据链路层有问题,通常是没有配置时钟,两端封装不匹配或PPP认证错误4、Serial0/0 is down, line protocol is down //物理层故障,通常是连线问题；PAP 不支持密码的加密，压缩，link绑定，设定最大传输单元等，CHAP 支持以上内容；PAP和CHAP验证发送的信息内容为验证路由器数据库中的用户名和密码；在CHAP中，被验证方不明确定义发送主机名来验证时，默认发送该路由器的主机名；配置PAP双向认证时，用户名和密码都可以不一样，但配置CHAP双向认证时，要保证两台路由器的密码一致；。

PAP和CHAP协议区别

PAP和CHAP协议区别以及mschap-v1和mschap-v2的区别PAP和CHAP协议区别PAP全称为：Password Authentication Protocol（口令认证协议），是PPP中的基本认证协议。

PAP就是普通的口令认证，要求将密钥信息在通信信道中明文传输，因此容易被sniffer监听而泄漏。

CHAP全称为：Challenge Handshake Authentication Protocol(挑战握手认证协议)，主要就是针对PPP的，除了在拨号开始时使用外，还可以在连接建立后的任何时刻使用。

CHAP协议基本过程是认证者先发送一个随机挑战信息给对方，接收方根据此挑战信息和共享的密钥信息，使用单向HASH函数计算出响应值，然后发送给认证者，认证者也进行相同的计算，验证自己的计算结果和接收到的结果是否一致，一致则认证通过，否则认证失败。

这种认证方法的优点即在于密钥信息不需要在通信信道中发送，而且每次认证所交换的信息都不一样，可以很有效地避免监听攻击。

CHAP缺点：密钥必须是明文信息进行保存，而且不能防止中间人攻击。

使用CHAP的安全性除了本地密钥的安全性外，网络上的安全性在于挑战信息的长度、随机性和单向HASH 算法的可靠性。

常用的chap几个chap认证方式（chap,mschap-v1,maschap-v2）的区别：mschap-v1微软版本的CHAP，和CHAP基本上一样。

认证后支持MPPE，安全性要较CHAP好一点。

maschap-v2微软版本的CHAP第二版，它提供了双向身份验证和更强大的初始数据密钥，而且发送和接收分别使用不同的密钥。

如果将VPN连接配置为用MS-CHAP v2作为唯一的身份验证方法，那么客户端和服务器端都要证明其身份，如果所连接的服务器不提供对自己身份的验证，则连接将被断开。

优点：双向加密、双向认证、安全性高。

VPN身份认证协议(PAP,SPA,CHAP,MS-CHAP,EAP) .2010-01-10 17:11 624人阅读评论(0) 收藏举报身份认证技术是VPN网络安全的第一道关卡。

PPP的PAP与CHAP深入详解

点到点协议（Point to Point Protocol，PPP）是IETF（Internet Engineering Task Force，因特网工程任务组）推出的点到点类型线路的数据链路层协议。

它解决了SLIP中的问题，并成为正式的因特网标准。

PPP协议在RFC 1661、RFC 1662和RFC 1663中进行了描述。

PPP支持在各种物理类型的点到点串行线路上传输上层协议报文。

PPP有很多丰富的可选特性，如支持多协议、提供可选的身份认证服务、可以以各种方式压缩数据、支持动态地址协商、支持多链路捆绑等等。

这些丰富的选项增强了PPP的功能。

同时，不论是异步拨号线路还是路由器之间的同步链路均可使用。

因此，应用十分广泛。

下面是我查的关于PPP协议认证的一些知识1。

什么情况我们可以用show cdp nei看到自己直边的邻居呢，邻居的发现对我们在排查问题时很有帮助，我们可以通过我们左右的邻居，来判断是那台设备出现问题，只要我们在接口上把物理端口打开，然后DCE端配上时钟就可以发现邻居。

Router(config-if)#do sh cdp neiCapability Codes: R –Router, T –Trans Bridge, B –Source Route Bridge S – Switch, H – Host, I – IGMP, r – RepeaterDevice ID Local Intrfce Holdtme Capability Platform Port ID R2 Ser 1/0 159 R 7206VXR Ser 1/0在上图中R2为我们的邻居，本地Ser1/0与R2的Ser1/0相连，R2的设备型号为7206VXR，为Router.Router#debug cdp adjCDP neighbor info debugging is onEnter configuration commands, one per line. End with CNTL/Z.Router(config)#int s1/0Router(config-if)#shRouter(config-if)#*Jan 29 17:06:09.883: CDP-AD: Interface Serial1/0 going down 由于shutdown的原因使的邻居断开*Jan 29 17:06:09.911: CDP-AD: Interface Serial1/0 going down*Jan 29 17:06:11.887: %LINK-5-CHANGED: Interface Serial1/0, changed state to administratively down*Jan 29 17:06:12.887: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/0, changed state to downRouter(config-if)#no shRouter(config-if)#*Jan 29 17:06:19.055: CDP-AD: Interface Serial1/0 coming up*Jan 29 17:06:21.015: %LINK-3-UPDOWN: Interface Serial1/0, changed state to up*Jan 29 17:06:21.019: CDP-AD: Interface Serial1/0 coming up*Jan 29 17:06:22.019: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/0, changed state to upRouter(config-if)#do debug cdp pa cdp packet informationCDP packet info debugging is onRouter(config-if)#*Jan 29 17:06:56.167: CDP-PA: Packet received from R2 on interface Serial1/0*Jan 29 17:06:56.167: **Entry found in cache***Jan 29 17:06:58.415: CDP-PA: version 2 packet sent out on Serial1/0 2。

PPP的PAP与CHAP深入详解

点到点协议（Point to Point Protocol，PPP）是IETF（Internet Engineering Task Force，因特网工程任务组）推出的点到点类型线路的数据链路层协议。

它解决了SLIP中的问题，并成为正式的因特网标准。

PPP协议在RFC 1661、RFC 1662和RFC 1663中进行了描述。

PPP支持在各种物理类型的点到点串行线路上传输上层协议报文。

PPP有很多丰富的可选特性，如支持多协议、提供可选的身份认证服务、可以以各种方式压缩数据、支持动态地址协商、支持多链路捆绑等等。

这些丰富的选项增强了PPP的功能。

同时，不论是异步拨号线路还是路由器之间的同步链路均可使用。

因此，应用十分广泛。

下面是我查的关于PPP协议认证的一些知识1。

什么情况我们可以用show cdp nei看到自己直边的邻居呢，邻居的发现对我们在排查问题时很有帮助，我们可以通过我们左右的邻居，来判断是那台设备出现问题，只要我们在接口上把物理端口打开，然后DCE端配上时钟就可以发现邻居。

Router(config-if)#do sh cdp neiCapability Codes: R –Router, T –Trans Bridge, B –Source Route Bridge S – Switch, H – Host, I – IGMP, r – RepeaterDevice ID Local Intrfce Holdtme Capability Platform Port ID R2 Ser 1/0 159 R 7206VXR Ser 1/0在上图中R2为我们的邻居，本地Ser1/0与R2的Ser1/0相连，R2的设备型号为7206VXR，为Router.Router#debug cdp adjCDP neighbor info debugging is onEnter configuration commands, one per line. End with CNTL/Z.Router(config)#int s1/0Router(config-if)#shRouter(config-if)#*Jan 29 17:06:09.883: CDP-AD: Interface Serial1/0 going down 由于shutdown的原因使的邻居断开*Jan 29 17:06:09.911: CDP-AD: Interface Serial1/0 going down*Jan 29 17:06:11.887: %LINK-5-CHANGED: Interface Serial1/0, changed state to administratively down*Jan 29 17:06:12.887: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/0, changed state to downRouter(config-if)#no shRouter(config-if)#*Jan 29 17:06:19.055: CDP-AD: Interface Serial1/0 coming up*Jan 29 17:06:21.015: %LINK-3-UPDOWN: Interface Serial1/0, changed state to up*Jan 29 17:06:21.019: CDP-AD: Interface Serial1/0 coming up*Jan 29 17:06:22.019: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial1/0, changed state to upRouter(config-if)#do debug cdp pa cdp packet informationCDP packet info debugging is onRouter(config-if)#*Jan 29 17:06:56.167: CDP-PA: Packet received from R2 on interface Serial1/0*Jan 29 17:06:56.167: **Entry found in cache***Jan 29 17:06:58.415: CDP-PA: version 2 packet sent out on Serial1/0 2。

26 配置和检验 PAP 身份验证与 CHAP 身份验证

实验26配置和检验PAP 身份验证与CHAP 身份验证目标：●使用PAP 和CHAP 配置PPP 身份验证。

●使用show 和debug 命令检验连通性。

背景／准备工作参照拓扑图，搭建一个类似的网络。

本实验可使用具有一个串行接口的任何路由器。

例如，可以使用800、1600、1700、1800、2500、2600 或2800 系列路由器或其任意组合。

本实验的说明信息同样适用于其它路由器；但命令语法可能会有所差异。

根据路由器的型号，接口标识可能也不同。

例如，有些路由器上的Serial0 可能是Serial0/0 或Serial0/0/0，而Ethernet0 可能是FastEthernet0/0。

本实验的说明信息同样适用于使用Serial 0/0/0 接口表示方法的路由器。

如果使用不同的路由器，请相应使用串行接口的正确表示方法。

本实验需要以下资源：●具有串行连接的两台路由器●两台基于Windows 的计算机，每台都装有终端仿真程序●至少一根RJ-45 转DB-9 连接器控制台电缆，用于配置路由器●一根两段式(DTE/DCE) 串行电缆步骤 1：连接设备按照拓扑图所示，使用串行电缆连接Router 1 和Router 2 两台路由器的Serial 0/0/0 接口。

步骤 2：在 Router 1 上执行基本配置a. 将PC 连接到该路由器的控制台端口，使用终端仿真程序执行配置。

b. 在Router 1 上，按照地址表中的规定配置主机名和IP 地址，保存配置。

步骤 3：在 Router 2 上执行基本配置在Router 2 上，按照地址表中的规定配置主机名和IP 地址，保存配置。

步骤 4：在 R1 和 R2 上配置 PPP 封装在两台路由器的接口Serial 0/0 配置模式提示符后输入encapsulation ppp，将封装类型更改为PPP。

R1(config-if)#encapsulation pppR2(config-if)#encapsulation ppp步骤 5：在 R1 和 R2 上检验 PPP 封装在R1 和R2 上输入命令show interfaces serial 0/0/0，检验PPP 封装。

同时启用chap和pap两种认证

4.两种认证同时启用
使用的命令为：
R2(config-if)#ppp authentication chap pap或者
R2(config-if)#ppp authentication pap chap
如果同时启用了两种验证协议，则在配置中指定的第一种验证方式在链路协商过程中将被请求。如果另一端设备建议使用第二种验证方法，或者第一种验证方法没有通过，那么两台设备之间就开始尝试第二种验证方法。
ip address1.1.1.2 255.255.255.0
encapsulationppp
通过上面的配置，在没有启用任何认证的情况下，链路是通的。
配置步骤：
1.在两台路由器上进行pap认证：
如果我们进行单项认证的话配置应该如下
R1为认证的服务器端，需要建立本地口令数据库，并且开始pap认证。
R1(config)#usernameR2passwordgairuhe------------------------建立本地口令数据库
*Aug 23 17:07:24.107: Se1/0 CHAP: O FAILURE id 42 len 25 msg is "Authentication failed"
我们看到chap认证是通过发送一个challenge信息来进行认证。在R2上启用chap认证
R2(config)#int s1/0
此时链路已经起来，我们仅在R1上做了认证，而在R2上没有进行认证。这就是pap的单向认证。
Pap的双向认证：
Pap的双向认证其实就是将两端同时都配置为认证服务器端和认证客户端。在上面实验的基础上，我们只要将R2配置成服务器端，将R1配置成客户端即可。
R2(config)#username R1 password gairuhe

pap与chap

验证方应答比较，根据比较结果返回相应的结果（ACK or NAK）。
它的特点是只在网络上传输用户名，而并不传输用户口令，因此它的安全性要比
PAP 高。
CHAP 验证为三次握手验证，口令为密文（密钥），CHAP 验证过程如下：
?? 验证方向被验证方发送一些随机产生的报文，并同时将本端的主机名附带上
CHAP 验证为三次握手验证，口令为密文（密钥），CHAP 验证过程如下：
?? 验证方向被验证方发送一些随机产生的报文，并同时将本端的主机名附带上
一起发送给被验证方；
?? 被验证方接到对端对本端的验证请求（Challenge）时，便根据此报文中验
证方的主机名和本端的用户表查找用户口令字，如找到用户表中与验证方主机名
获，便有可能对网络安全造成极大的威胁。因此，它适用于对网络安全要求相对
较低的环境。
CHAP 验证为三次握手验证，口令为密文（密钥），CHAP 验证过程如下：
?? 验证方向被验证方发送一些随机产生的报文，并同时将本端的主机名附带上
一起发送给被验证方；
?? 被验证方接到对端对本端的验证请求（Challenge）时，便根据此报文中验
PAP 验证为两次握手验证，口令为明文，PAP 验证的过程如下：
被验证方发送用户名和口令到验证方；
验证方根据用户配置查看是否有此用户以及口令是否正确，然后返回不同的响应
（Acknowledge or Not Acknowledge）。
如正确则会给对端发送ACK 报文，通告对端已被允许进入下一阶段协商；否则
发送NAK 报文，通告对端验证失败。此时，并不会直接将链路关闭。只有当验
证不通过次数达到一定值（缺省为4）时，才会关闭链路，来防止因误传、网络

路由器配置——PAP与CHAP认证

路由器配置——PAP与CHAP认证⼀、实验⽬的：掌握PAP与CHAP认证配置⼆、拓扑图：三、具体步骤配置：（1）R1路由器配置：Router>enable --进⼊特权模式Router#configure terminal --进⼊全局配置模式Enter configuration commands, one per line. End with CNTL/Z.Router(config)#hostname R1 --修改路由器名为R1R1(config)#interface l0 --进⼊回环端⼝R1(config-if)#ip address 192.168.1.254 255.255.255.0 --配置ip地址R1(config-if)#no shutdown --激活端⼝R1(config-if)#exit --返回上⼀级R1(config)#interface s0/0/0 --进⼊端⼝R1(config-if)#ip address 192.168.12.1 255.255.255.0 --为端⼝配置ip地址R1(config-if)#clock rate 64000 --设置时钟同步速率R1(config-if)#no shutdown --激活端⼝%LINK-5-CHANGED: Interface Serial0/0/0, changed state to downR1(config-if)#exit --返回上⼀级R1(config)#route rip --开启rip服务R1(config-router)#version 2 --版本2R1(config-router)#no auto-summary --关闭路由⾃动汇总R1(config-router)#network 192.168.1.0 --添加直连⽹段到ripR1(config-router)#network 192.168.12.0R1(config-router)#exit --返回上⼀级R1(config)#username abc1 password 456 --在中⼼路由器R1上为远程路由器R2设置⽤户名和密码R1(config)#interface s0/0/0 --进⼊端⼝R1(config-if)#encapsulation ppp --封装端⼝为pppR1(config-if)#ppp authentication pap --在R1上，配置PAP 验证R1(config-if)#ppp pap sent-username abc password 123 --在中⼼路由器R1上为远程路由器R2设置⽤户名和密码R1(config-if)#end --返回特权模式%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to upR1#%SYS-5-CONFIG_I: Configured from console by console%LINK-5-CHANGED: Interface Serial0/0/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to up（2）R2路由器配置：Router>enable --进⼊特权模式Router#configure terminal --进⼊全局配置模式Enter configuration commands, one per line. End with CNTL/Z.Router(config)#hostname R2 --修改路由器名为R2R2(config)#interface l0 --进⼊回环端⼝R2(config-if)#ip address 192.168.2.254 255.255.255.0 --配置ip地址R2(config-if)#no shutdown --激活端⼝R2(config-if)#exit --返回上⼀级R2(config)#interface s0/0/0 --进⼊端⼝R2(config-if)#ip address 192.168.12.2 255.255.255.0 --为端⼝配置ip地址R2(config-if)#no shutdown --激活端⼝R2(config-if)#interface s0/0/1 --进⼊端⼝R2(config-if)#ip address 192.168.24.2 255.255.255.0 --为端⼝配置ip地址R2(config-if)#clock rate 64000 --设置时钟同步速率R2(config-if)#no shutdown --激活端⼝%LINK-5-CHANGED: Interface Serial0/0/1, changed state to downR2(config-if)#exit --返回上⼀级R2(config)#route rip --开启rip协议R2(config-router)#version 2 --版本2R2(config-router)#no auto-summary --关闭路由⾃动汇总R2(config-router)#network 192.168.2.0 --添加直连⽹段到ripR2(config-router)#network 192.168.12.0R2(config-router)#network 192.168.24.0R2(config-router)#exit --返回上⼀级R2(config)#username abc password 123 --在R2上为R1设置⽤户名和密码R2(config)#username R3 password cisco --在R2上为R3设置⽤户名和密码（注意两端密码要相同）R2(config)#interface s0/0/0 --进⼊端⼝R2(config-if)#encapsulation ppp --封装端⼝为PPP协议R2(config-if)#ppp authentication pap --配置PAP验证R2(config-if)#ppp pap sent-username abc1 password 456 --在R2上为R1设置⽤户名和密码R2(config-if)#interface s0/0/1 --进⼊端⼝R2(config-if)#encapsulation ppp --封装端⼝为ppp协议R2(config-if)#ppp authentication chap --配置chap验证R2(config-if)#end --返回特权模式R2#%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to up%LINK-5-CHANGED: Interface Serial0/0/0, changed state to up%SYS-5-CONFIG_I: Configured from console by console%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to up R2#%LINK-5-CHANGED: Interface Serial0/0/1, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1, changed state to up（3）R3路由器配置：Router>enable --进特权模式Router#configure terminal --进⼊全局配置模式Enter configuration commands, one per line. End with CNTL/Z.Router(config)#hostname R3 --修改路由器名为R3R3(config)#interface l0 --进⼊回环端⼝R3(config-if)#ip address 192.168.3.254 255.255.255.0 --为端⼝配置ip地址R3(config-if)#no shutdown --激活端⼝R3(config-if)#exit --返回上⼀级R3(config)#interface S0/0/0 --进⼊端⼝R3(config-if)#ip address 192.168.24.1 255.255.255.0 --为端⼝配置ip地址R3(config-if)#no shutdown --激活端⼝R3(config-if)#exit --返回上⼀级R3(config)#route rip --开启rip协议R3(config-router)#version 2 --版本2R3(config-router)#no auto-summary --关闭路由⾃动汇总R3(config-router)#network 192.168.3.0 --添加直连⽹段到ripR3(config-router)#network 192.168.24.0R3(config-router)#exit --返回上⼀级R3(config)#username R2 password cisco --在R3上为R2设置⽤户名和密码R3(config)#interface s0/0/0 --进⼊端⼝R3(config-if)#encapsulation ppp --封装端⼝为ppp协议R3(config-if)#ppp authentication chap --配置chap验证R3(config-if)#end --返回特权模式%LINK-5-CHANGED: Interface Loopback0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Loopback0, changed state to up %LINK-5-CHANGED: Interface Serial0/0/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/0, changed state to up R3#%SYS-5-CONFIG_I: Configured from console by console四、验证测试：1、测试是否开启ppp认证（1）R1：（2）R2：（3）R3：2、查看R1的S0/0/0端⼝信息如图，红⾊标记处表⽰是PPP认证3、测试全⽹是否互通：（1）R1与R2（2）R2与R3（3）R3与R1结果：全⽹互通成功。

华为 pap与chap配置

华为pap和chap的配置。

2010-04-19 23:01:13标签：华为chap papPAP 验证举例1. 组网需求如图1-2所示，路由器Quidway1 和Quidway2 之间用接口Serial3/0/0 互连，要求路由器Quidway1 用PAP方式验证路由器Quidway2。

3. 配置步骤(1) 配置路由器Quidway1：[Quidway]aaa[Quidway-aaa]local-user quidway2 password simple quidway[Quidway-aaa] quit[Quidway] interface serial 3/0/0[Quidway-Serial3/0/0] ip address 10.110.0.1 255.0.0.0[Quidway-Serial3/0/0] ppp authentication-mode pap(2) 配置路由器Quidway2：[Quidway] interface serial 3/0/0[Quidway-Serial3/0/0] ip address 10.110.0.2 255.0.0.0[Quidway-Serial3/0/0] ppp pap local-user quidway2 password simple quidway CHAP 验证举例1. 组网需求在图1-2中，要求路由器Quidway1 用CHAP方式验证路由器Quidway2。

2. 配置步骤在配置本地被对端以CHAP 方式验证时，作为Client 端在接口下与CHAP 相关的配置有：ppp chap user usernameppp chap password { cipher | simple } password方法1：作为认证端（Quidway1）的接口底下没有配置ppp chap user username (1) 配置路由器Quidway1：[Quidway]aaa[Quidway-aaa] local-user quidway1 password simple hello [Quidway-aaa] quit[Quidway] interface serial 3/0/0[Quidway-Serial3/0/0] ip address 10.110.0.1 255.0.0.0 [Quidway-Serial3/0/0] link-protocol ppp[Quidway-Serial3/0/0] ppp authentication-mode chap(2) 配置路由器Quidway2：[Quidway] interface serial 3/0/0[Quidway-Serial3/0/0] ip address 10.110.0.2 255.0.0.0 [Quidway-Serial3/0/0] link-protocol ppp[Quidway-Serial3/0/0] ppp chap user quidway1[Quidway-Serial3/0/0] ppp chap password simple hello方法2：作为认证端（Quidway1）的接口底下配置了ppp chap user username，例如quidway2。

路由使用PAP、CHAP验证1

Router_config_s1/0#ip address 192.168.2.2 255.255.255.0
Router_config_s1/0#encapsulation ppp
Router_config_s1/0#ppp authentiation chap forA_chap
Router_config_s1/0#ppp chap hostname RouterB_chap
Router_config_s2/0#ip address 192.168.2.1 255.255.255.0
Router_config_s2/0#encapsulation ppp
Router_config_s2/0#ppp authentiation chap forB_chap
Router_config_s2/0#ppp chap hostname RouterA_chap
Router_config_s2/0#ppp authentiation pap forB_pap
Router_config_s2/0#ppp pap sent-sent-username RouterA_pap password digitalchinaA
Router配置如下：
Router_config#username RouterA_pap password 0 digitalchinaA
Router_config#aaa authentication ppp forB_pap local
Router_config#interface serial 2/0
Router_config_s2/0#ip address 192.168.2.1 255.255.255.0

PPP认证 PAP实验与CHAP实验

PPP认证实验实验需求：如图路由器R1和R2，R1被认证方，R2为认证方，使用PAP认证与CHAP认证完成PPP实验1、基础配置ipv6interface Serial1/0/0link-protocol pppipv6 enableip address 12.1.1.1 255.255.255.0ipv6 address 2001::1 64R2:ipv6interface Serial1/0/0link-protocol pppipv6 enableip address 12.1.1.2 255.255.255.0ipv6 address 2001::2/642、抓包在s1/0/0端口验证R2的LCP和IPCP、IPV6CPLCP configure request配置请求LCP配置确认3、PAP认证R2配置:[R2]aaa[R2-aaa]local-user zhangsan password cipher Huawei@123 [R2-aaa]local-user zhangsan service-type ppp[R2-aaa]quit[R2]interface s1/0/0[R2-Serial1/0/0]ppp authentication-mode papR1配置：[R1]interface s1/0/0[R1-Serial1/0/0]ppp pap local-user zhangsan password cipher Huawei@123抓包验证PAP执行了两次握手能够抓到PAP认证中传递的明文用户名zhangsan和密码Huawei@1234、CHAP认证R2配置:[R2]aaa[R2-aaa]local-user zhangsan password cipher Huawei@123 [R2-aaa]local-user zhangsan service-type ppp[R2-aaa]quit[R2]interface s1/0/0[R2-Serial1/0/0]ppp authentication-mode chapinterface Serial1/0/0[R1-Serial1/0/0]ppp chap user zhangsan[R1-Serial1/0/0]ppp chap password cipher Huawei@123抓包验证CHAP执行了三次握手只能够抓到CHAP认证中传递的标识符和挑战值，传递进行哈希值传递了散列数值，根本抓不到密码，CHAP认证相比于PAP认证安全性更高。

华为：PPP验证

PPP 协议简介1. PPP 协议PPP（Point-to-Point Proto col）协议是在点到点链路上承载网络层数据包的一种链路层协议，由于它能够提供用户验证，而且易于扩充、支持同／异步线路，因而获得广泛应用。

PPP 定义了一整套的协议，包括链路控制协议（LCP）、网络层控制协议（NCP）和验证协议（PAP 和CHAP）等。

其中：链路控制协议LCP（Link Control Protocol）：用来协商链路的一些参数，负责创建并维护链路。

网络层控制协议NCP（Network Control Protocol）：用来协商网络层协议的参数。

2. PPP 的验证方式(1) PAP 验证PAP（Password Authentication Protocol，口令鉴定协议）是一种两次握手验证协议，它在网络上采用明文方式传输用户名和口令。

PAP 验证的过程如下：被验证方主动发起验证请求，将本端的用户名和口令发送到验证方；验证方接到被验证方的验证请求后，检查此用户名是否存在以及口令是否正确。

如果此用户名存在且口令正确，验证方返回Acknowledge 响应，表示验证通过；如果此用户名不存在或口令错误。

验证方返回NotAcknowledge 响应，表示验证不通过。

(2) CHAP 验证CHAP（Challenge Handshake Authentication Protocol，质询握手鉴定协议）是一种三次握手验证协议，它只在网络上传输用户名，而用户口令并不在网络上传播。

CHAP 验证过程如下：验证方主动发起验证请求，向被验证方发送一些随机产生的报文，并同时将本端配置的用户名附带上一起发送给被验证方；被验证方接到验证方的验证请求后，根据此报文中的用户名在本端的用户表中查找用户口令。

如找到用户表中与验证方用户名相同的用户，便利用报文ID 和此用户的口令以MD5 算法生成应答，随后将应答和自己的用户名送回；验证方接收到此应答后，利用报文ID、自己保存的被验证方口令以及随机报文用MD5 算法得出结果，与被验证方应答比较。

实验三PAP、chap认证

对Rb进行配置
Rb(config)# interface serial 1/3 ( DCE), DTE Rb(config-if)# ip address 172.16.2.2
255.255.255.0 Rb(config-if)# clock rate 64000 (DCE端进行
时钟配置） Rb(config-if)# no shutdown
Rb(config-if)# encapsulation ppp
Rb(config-if)# ppp authentication pap ! ppp 启用pap认证方式
验证测试
注意事项：先关掉电源开关，然后打开，再调试debug命令。
Ra# debug ppp authentication 观察pap验证过程
Ra(config)#
Red-Giant(config)# hostname Rb 由器主机名Rb
配置路配置路
பைடு நூலகம்
对路由器Ra进行的配置
Ra(config)# interface serial 1/3 Ra(config-if)# ip address 172.16.2.1
255.255.255.0 配置接口地址 Ra(config-if)# no shutdown Ra# show int serial 1/3
PPP认证
[实验目的] 掌握 PAP CHAP认证的过程与配置
[背景描述] 你是公司的网络管理员，公司为了满足不断增
长的业务需求，申请了专线接入，你的客户端路由器与ISP进行链路协商时要验证身份，配置路由器保证链路建立并考虑其安全性。
[实现功能] 在链路协商时保证安全验证。链路协商时用户
许昌学院·计算机科学与技术学院·网络教研室@2011

PPP协议的PAP和CHAP认证

PPP协议的PAP和CHAP认证PPP（Point-to-Point Protocol）是一种常见的用于串行链路上的数据通信的协议，主要用于建立和管理点对点连接。

PPP协议的认证机制是保证通信双方身份安全和数据传输的完整性的重要手段。

PPP协议支持多种认证方式，其中最常见的是PAP（Password Authentication Protocol）和CHAP（Challenge Handshake Authentication Protocol）认证。

1. PAP认证（Password Authentication Protocol）：PAP是一种最简单的认证协议，其主要思想是使用明文密码对用户进行认证。

在PAP认证中，PPP服务器首先向对端发送一个认证请求报文，要求对端提供用户名和密码。

接收到认证请求的对端回复一个应答报文，携带用户名和密码。

PPP服务器收到应答报文后，会对报文中提供的用户名和密码与本地保存的用户名和密码进行对比，如果一致，则认证成功，通信将继续进行；如果不一致，则认证失败，连接将被断开。

PAP认证的优点是简单易实现，适用于低要求的场景。

然而，PAP认证的缺点也显而易见：-PAP认证对用户名和密码的传输没有加密保护，存在明文传输的风险-PAP认证仅进行一次握手即可认证通过，对于未进行身份确认的对端，可能存在身份冒用的风险-PAP认证无法解决中间人攻击的问题，容易受到网络窃听和篡改的威胁2. CHAP认证（Challenge Handshake Authentication Protocol）：CHAP认证是一种基于挑战响应的强大认证协议，其主要思想是通过令牌生成不可逆的散列值来验证用户名和密码的正确性。

在CHAP认证中，PPP服务器首先向对端发送一个随机生成的挑战值。

接收到挑战值的对端使用自己的密码和挑战值经过一定的散列算法（如MD5）生成一个响应报文，将响应报文发送回服务器。

华为路由器ppp认证和pppoe

PAP认证：只支持明文，并且通告密码CHAP认证：支持密文，不通告密码而是通告HASH值。

PAP认证报文类型：Authenticate-Request：用于被验证方发送用户名和密码，Data字段包含明文用户名和密码信息Authenticate-Ack：用于验证方发送验证成功信息，Data字段可以包含文本提示信息Authenticate-Nak：用于验证方发送验证失败信息，Data字段可以包含文本提示信息PPPoE报文是使用Ethernet格式进行封装的，Ethernet中各字段解释如下：DMAC：表示目的设备的MAC地址，通常为以太网单播目的地址或者以太网广播地址（0xFFFFFFFF）。

SMAC：表示源设备的以太网MAC地址。

Type：表示协议类型字段，当值为0x8863时表示承载的是PPPoE发现阶段的报文。

当值为0x8864时表示承载的是PPPoE会话阶段的报文。

PPPoE字段中的各个字段解释如下：VER：表示PPPoE版本号，值为0x01。

Type：表示类型，值为0x01。

Code：表示PPPoE报文类型，不同取值标识不同的PPPoE报文类型。

PPPoE会话ID，与以太网SMAC和DMAC一起定义了一个PPPoE会话。

Length：表示PPPoE报文的Payload长度，不包括以太网头部和PPPoE头部的长度。

PADI（PPPoE Active Discovery Initiation）报文：用户主机发起的PPPoE服务器探测报文，目的MAC地址为广播地址。

PADO（PPPoE Active Discovery Offer）报文：PPPoE服务器收到PADI报文之后的回应报文，目的MAC地址为客户端主机的MAC地址。

PADR（PPPoE Active Discovery Request）报文：用户主机收到PPPoE服务器回应的PADO报文后，单播发起的请求报文，目的地址为此用户选定的那个PPPoE服务器的MAC地址。

PPP协议的认证-PAP、CHAP.

通信技术专业教学资源库南京信息职业技术学院
《中兴IP数据工程师 ZCNE认证》课程
PPP协议的认证 PAP、CHAP
主讲：胡峰
目录
01 PPP认证-PAP、CHAP
1. PPP中的认证协议
PAP (password authentication protocol) 二次握手，明文传输用户名和密码只是在链路刚建立时使用
CHAP(Challenge-Handshake Authentication Protocol) 三次握手，不直接传送用户口令周期性地验证对方身份
ቤተ መጻሕፍቲ ባይዱ
1. PAP认证
被验证方
用户名＋密码
通过 / 拒绝
主验证方
一请求一回应，两次握手。
明文易被第三方获取，泄露用户名和密码，安全性较低
1. CHAP认证
被验证方
主验证方主机名＋随机报文用户名＋加密后报文
通过 / 拒绝
挑战报文+请求反馈，三次握手
三次握手、密文传输，CHAP是比PAP安全的一种认证协议
1. PPP会话阶段信令流程
第一步：challenge报文第二步：加密报文
第三步：反馈报文
通信技术专业教学资源库南京信息职业技术学院
谢谢
主讲：胡峰