目  录

1 PPP配置

1.1 PPP协议简介

1.1.1 PPP简介

1.2 配置PPP

1.2.1 配置PPP

1.2.2 配置PAP验证

1.2.3 配置CHAP验证

1.2.4 配置MS-CHAP或MS-CHAP-V2验证

1.2.5 PPP协商参数

1.2.6 PPP计费统计功能

1.3 PPP常见错误配置举例

1.3.1 链路始终不能转为up状态

1.3.2 物理链路不能转为up状态

1.3.3 IPv6CP协商down后不能重协商

2 PPPoE配置

2.1 PPPoE简介

2.1.1 PPPoE

2.2 配置PPPoE Client

2.2.1 配置拨号接口

2.2.2 配置PPPoE会话

2.3 复位或删除PPPoE会话

2.4 PPPoE显示和维护

2.5 PPPoE典型配置举例

2.5.1 PPPoE Client典型配置举例

1 PPP配置

1.1  PPP协议简介

1.1.1  PPP简介

PPP（Point to Point Protocol）协议是在点到点链路上承载网络层数据包的一种链路层协议，由于它能够提供用户验证、易于扩充，并且支持同/异步通信，因而获得广泛应用。

PPP定义了一整套的协议，包括链路控制协议（LCP）、网络层控制协议（NCP）和验证协议（PAP、CHAP、MS-CHAP和MS-CHAP-V2）。

·     链路控制协议（Link Control Protocol，LCP）：主要用来建立、拆除和监控数据链路。

·     网络控制协议（Network Control Protocol，NCP）：主要用来协商在该数据链路上所传输的数据包的格式与类型。

·     用于网络安全方面的验证协议族PAP、CHAP、MS-CHAP和MS-CHAP-V2。

1. PAP验证

PAP（Password Authentication Protocol）验证为两次握手验证，密码为明文，PAP验证的过程如下：

(1)     被验证方发送用户名和密码到验证方；

(2)     验证方根据本端用户表查看是否有此用户以及密码是否正确，然后返回不同的响应（Acknowledge or Not Acknowledge）。

图1-1 PAP验证示意图

PAP不是一种安全的验证协议。当验证时，口令以明文方式在链路上发送，并且由于完成PPP链路建立后，被验证方会不停地在链路上反复发送用户名和口令，直到身份验证过程结束，所以不能防止攻击。

2. CHAP验证

CHAP（Challenge-Handshake Authentication Protocol）验证为三次握手验证，密码为密文（密钥）。

CHAP单向验证是指一端作为验证方，另一端作为被验证方。双向验证是单向验证的简单叠加，即两端都是既作为验证方又作为被验证方。在实际应用中一般只采用单向验证。

CHAP单向验证过程分为两种情况：验证方配置了用户名和验证方没有配置用户名。推荐使用验证方配置用户名的方式，这样可以对验证方的身份进行确认。

·     验证方配置了用户名的CHAP验证过程如下：

(1)     验证方主动发起验证请求，验证方向被验证方发送一些随机产生的报文（Challenge），并同时将本端的用户名附带上一起发送给被验证方；

(2)     被验证方接到验证方的验证请求后，根据此报文中验证方的用户名在本端的用户表查找该用户对应的密码，如果在用户表找到了与验证方用户名相同的用户，便利用报文ID、此用户的密钥（密码）和MD5算法对该随机报文进行加密，将生成的密文和被验证方自己的用户名发回验证方（Response）；

(3)     验证方用自己保存的被验证方密码和MD5算法对原随机报文加密，比较二者的密文，根据比较结果返回不同的响应（Acknowledge or Not Acknowledge）。

·     验证方没有配置用户名的CHAP验证过程如下：

(1)     验证方主动发起验证请求，验证方向被验证方发送一些随机产生的报文（Challenge）；

(2)     被验证方接到验证方的验证请求后，利用报文ID、缺省的CHAP密码和MD5算法对该随机报文进行加密，将生成的密文和自己的用户名发回验证方（Response）；

(3)     验证方用自己保存的被验证方密码和MD5算法对原随机报文加密，比较二者的密文，根据比较结果返回不同的响应（Acknowledge or Not Acknowledge）。

图1-2 CHAP验证示意图

3. MS-CHAP验证

MS-CHAP（Microsoft CHAP）验证为三次握手验证，密码为密文（密钥）。

MS-CHAP与CHAP的不同之处在于：

·     MS-CHAP采用的加密算法是0x80。

·     MS-CHAP支持重传机制。

MS-CHAP验证的过程如下：

(1)     验证方主动发起验证请求，验证方向被验证方发送一些随机产生的报文（Challenge）；

(2)     被验证方接到验证方的验证请求后，将报文中验证方的随机报文（Challenge）、自己的密钥（密码）用0x80算法加密，将生成的密文和自己的用户名发回验证方（Response）；

(3)     验证方收到被验证方的响应报文后，根据报文中被验证方的用户名在本端的用户表查找对应的密码，然后利用自己保存的随机报文（Challenge）、查到的被验证方密码用0x80算法加密，将生成的密文与被验证方响应报文中的密文进行比较，根据比较结果返回不同的响应（Acknowledge or Not Acknowledge）：

·     如果验证成功，成功报文（Acknowledge）中携带欢迎信息。

·     如果验证失败，失败报文（Not Acknowledge）中携带错误码、是否重传标记、新生成的随机报文（Challenge）。

(4)     被验证方收到验证方的成功报文，则验证成功。

(5)     被验证方收到验证方的失败报文后，如果失败报文中重传标记R为1，被验证方将收到报文中的随机报文（Challenge）、自己的密钥（密码）用0x80算法加密，将生成的密文和自己的用户名发回验证方，验证方根据收到的重传响应报文重新进行验证；如果失败报文中重传标记R为0，则验证失败，直接拆链。验证方允许被验证方重传3次。

4. MS-CHAP-V2验证

MS-CHAP-V2（Microsoft CHAP Version 2）验证为三次握手验证，密码为密文（密钥）。

MS-CHAP-V2与CHAP的不同之处在于：

·     MS-CHAP-V2采用的加密算法是0x81。

·     MS-CHAP-V2通过报文捎带的方式实现了双向验证。

·     MS-CHAP-V2支持重传机制和修改密码机制。

MS-CHAP-V2验证的过程如下：

(1)     验证方主动发起验证请求，验证方向被验证方发送一些随机产生的报文（Challenge）；

(2)     被验证方收到验证方的验证请求后，将报文中对端的随机报文（Challenge）、自己生成的随机报文（Peer-Challenge，用于对验证方进行验证）、自己的用户名和密钥（密码）用0x81算法加密，将生成的密文和自己的用户名发回验证方（Response）；

(3)     验证方收到被验证方的响应报文后，将报文中被验证方产生的随机报文（Peer-Challenge）、自己保存的随机报文（Challenge）、报文中被验证方的用户名、自己保存的被验证方密码用0x81算法加密，将生成的密文与被验证方响应报文中的密文进行比较，根据比较结果返回不同的响应（Acknowledge or Not Acknowledge）：

·     如果验证成功，成功报文（Acknowledge）中还携带对被验证方捎带验证的响应密文，该密文是根据收到报文中的被验证方用户名、自己保存的被验证方密钥（密码）、收到报文中被验证方的密文、收到报文中被验证方产生的随机报文（Peer-Challenge）、自己保存的随机报文（Challenge）用0x81算法加密生成的。

·     如果验证失败，失败报文（Not Acknowledge）中携带错误码、是否重传标记、新生成的随机报文（Challenge）。

(4)     被验证方收到验证方的成功报文后，将自己的用户名、密钥（密码）、验证方随机报文（Challenge）、被验证方随机报文（Peer-Challenge）、自己保存的上次发送给验证方的密文用0x81算法加密，将生成的密文与验证方报文中的密文进行比较，如果匹配，验证成功，如果不匹配，直接拆链。

(5)     被验证方收到验证方的失败报文后：

·     如果失败报文中的错误码是密码过期，被验证方将用户输入的新密码、收到报文中的随机报文（Challenge）、自己生成的随机报文（Peer-Challenge）、自己的用户名用0x81算法加密，将生成的密文和加密后的新密码发回验证方（Change password），验证方根据新密码信息重新进行验证；

·     如果失败报文中重传标记R为1，被验证方将收到报文中的随机报文（Challenge）、自己生成的随机报文（Peer-Challenge）、自己的用户名和密钥（密码）用0x81算法加密，将生成的密文和自己的用户名发回验证方，验证方根据收到的重传响应报文重新进行验证；如果失败报文中重传标记R为0，直接拆链。验证方允许被验证方重传3次。

5. PPP运行过程

PPP运行过程（参见下图）如下：

(1)     在开始建立PPP链路时，先进入到Establish阶段。

(2)     在Establish阶段PPP链路进行LCP协商，协商内容包括工作方式（是SP还是MP）、验证方式和最大传输单元等。LCP协商成功后进入Opened状态，表示底层链路已经建立。

(3)     如果配置了验证（远端验证本地或者本地验证远端）则进入Authenticate阶段，开始PAP、CHAP、MS-CHAP或MS-CHAP-V2验证。

(4)     如果验证失败进入Terminate阶段，拆除链路，LCP状态转为Down；如果验证成功就进入Network协商阶段（NCP），此时LCP状态仍为Opened，而IPCP状态从Initial转到Request。

(5)     NCP协商支持IPCP协商，IPCP协商主要包括双方的IP地址。通过NCP协商来选择和配置一个网络层协议。只有相应的网络层协议协商成功后，该网络层协议才可以通过这条PPP链路发送报文。

(6)     PPP链路将一直保持通信，直至有明确的LCP或NCP帧关闭这条链路，或发生了某些外部事件（例如用户的干预）。

图1-3 PPP运行流程图

有关PPP的详细说明，请参考RFC 1661。

1.2  配置PPP

1.2.1  配置PPP

表1-1 配置PPP

1.2.2  配置PAP验证

1. 配置验证方

表1-2 配置验证方

2. 配置被验证方

表1-3 配置PAP验证的被验证方

1.2.3  配置CHAP验证

CHAP验证分为两种：验证方配置了用户名和验证方没有配置用户名。

1. 验证方配置了用户名

(1)     配置验证方

表1-4 配置验证方

(2)     配置被验证方

表1-5 配置被验证方

2. 验证方没有配置用户名

(1)     配置验证方

表1-6 配置验证方

(2)     配置被验证方

表1-7 配置被验证方

1.2.4  配置MS-CHAP或MS-CHAP-V2验证

表1-8 配置MS-CHAP或MS-CHAP-V2验证的验证方

1.2.5  PPP协商参数

1. PPP协商参数介绍

可以配置的PPP协商参数包括：协商超时时间间隔、协商IP地址。

协商超时时间间隔：在PPP协商过程中，如果在这个时间间隔内没有收到对端的应答报文，则PPP将会重发前一次发送的报文。超时时间间隔可选范围为1秒到10秒。

协商IP地址的方式有两种：

·     配置设备作为Client端：若本端接口封装的链路层协议为PPP但还未配置IP地址，而对端已有IP地址时，可为本端接口配置IP地址可协商属性，使本端接口接受PPP协商产生的由对端分配的IP地址。该配置主要用于在通过ISP访问Internet时，得到由ISP分配的IP地址。

·     配置设备作为Server端：若是设备作为Server为对端设备分配IP地址，则应首先在域视图或系统视图下配置本地IP地址池，指明地址池的地址范围，然后在接口视图下指定该接口使用的地址池。

2. 配置PPP协商参数

表1-9 配置PPP协商参数

1.2.6  PPP计费统计功能

1. PPP计费统计功能介绍

PPP协议可以为每条PPP链路提供基于流量的计费统计功能，具体统计内容包括出入两个方向上流经本链路的报文数和字节数。AAA应用模块可以获取这些流量统计信息用于计费控制使用。

2. 配置PPP计费统计功能

表1-10 配置PPP计费统计功能

1.3  PPP常见错误配置举例

1.3.1  链路始终不能转为up状态

1. 故障现象

PPP验证失败，链路始终不能转为up状态。

2. 故障分析

可能是由于PPP验证参数配置不正确，导致PPP验证失败。

3. 故障排除

打开PPP的调试开关，会看到LCP协商成功并转为up状态后进行PAP或CHAP协商，然后LCP转为down状态，则需要修改PPP验证参数的配置，保证验证方可以通过被验证方的验证。

1.3.2  物理链路不能转为up状态

1. 故障现象

物理链路始终是down状态。

2. 故障分析

物理链路始终是down状态，可能有以下原因：

·     接口没有被激活；

·     接口被管理员down掉；

·     物理接口已通，但是链路协商没有通过。

3. 故障排除

可以执行display interface命令来查看接口当前状态，判断故障原因，从而采取相应的方法使物理链路up。

接口有四种状态：

serial number is administratively down, line protocol is down：表示该接口被管理员down。

serial number is down, line protocol is down：表示该接口没有被激活或物理层没有转为up状态。

serial number is up, line protocol is up：表示该接口链路协商即LCP协商已通过。

serial number is up, line protocol is down：表示该接口已激活，但链路协商仍没有通过。

1.3.3  IPv6CP协商down后不能重协商

1. 故障现象

未使能IPv6的前提下在PPP链路上配置IPv6地址，IPv6CP无法协商up，使能IPv6功能后，依旧不能协商up。

2. 故障分析

未使能IPv6的前提下，IPv6CP无法协商成功，由于IPv6CP无重协商机制，所以后续再使能IPv6也无法使IPv6CP协商up。

3. 故障排除

·     在PPP链路上配置IPv6地址时，建议首先使能系统的IPv6功能，然后再配置IPv6地址。

·     如果IPv6CP协商down，可以通过命令shutdown/undo shutdown接口使其重新进行协商。

2 PPPoE配置

2.1  PPPoE简介

2.1.1  PPPoE

PPPoE是Point-to-Point Protocol over Ethernet的简称， PPPoE协议采用Client/Server方式，它将PPP报文封装在以太网帧之内，在以太网上提供点对点的连接。

FAT AP设备上运行了PPPoE Client功能后，可以通过一个远端接入设备连入因特网，并可以实现对接入的每个FAT AP设备进行控制、计费等。

PPPoE有两个阶段：Discovery阶段和PPP Session阶段，具体如下：

·     Discovery阶段

当一个主机开始PPPoE进程的时候，它必须先识别接入端的以太网MAC地址，建立PPPoE的Session ID。这就是Discovery阶段的目的。

Discovery阶段结束时服务器和主机之间就确定了PPPoE会话的Session ID，双方进入PPPoE Session阶段。

·     PPP Session阶段

当PPPoE进入Session阶段后PPP报文就可以作为PPPoE帧的净荷封装在以太网帧发到对端，Session ID必须是Discovery阶段确定的ID，MAC地址必须是对端的MAC地址，PPP报文从Protocol ID开始。在Session阶段，主机或服务器任何一方都可发PADT（PPPoE Active Discovery Terminate）报文通知对方结束本Session。

关于PPPoE的详细介绍，可以参考RFC 2516。

图2-1 PPPoE Client典型组网图

2.2  配置PPPoE Client

PPPoE Client的配置包括配置拨号接口和配置PPPoE会话。

2.2.1  配置拨号接口

在配置PPPoE会话之前，需要先配置一个Dialer接口，并在接口上配置Dialer bundle。每个PPPoE会话唯一对应一个Dialer bundle，而每个Dialer bundle又唯一对应一个Dialer接口。这样就相当于通过一个Dialer接口可以创建一个PPPoE会话。

表2-1 配置拨号接口（IPv4 PPPoE Client）

表2-2 配置拨号接口（IPv6 PPPoE Client）

2.2.2  配置PPPoE会话

PPPoE会话有三种工作方式：永久在线方式、报文触发方式、诊断方式。工作机制描述如下：

·     永久在线方式是指：当物理线路up后，设备会立即发起PPPoE呼叫，建立PPPoE会话。除非用户删除PPPoE会话，否则此PPPoE会话将一直存在。

·     报文触发方式是指：当物理线路up后，设备不会立即发起PPPoE呼叫，只有当有数据需要传送时，设备才会发起PPPoE呼叫，建立PPPoE会话。如果PPPoE链路的空闲时间超过用户的配置，设备会自动中止PPPoE会话。

·     诊断方式是指：设备在配置完成后立即发起PPPoE呼叫，建立PPPoE会话。每隔用户配置的重建时间间隔，设备会自动断开该会话、并重新发起呼叫建立会话。通过定期建立、删除PPPoE会话，可以监控PPPoE链路是否处于正常工作状态。

表2-3 配置PPPoE会话

2.3  复位或删除PPPoE会话

表2-4 复位或删除PPPoE会话

2.4  PPPoE显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示PPPoE配置后的运行情况，通过查看显示信息验证配置的效果。

表2-5 PPPoE显示和维护

2.5  PPPoE典型配置举例

2.5.1  PPPoE Client典型配置举例

1. 组网需求

Router的Ethernet1/1和AP的VLAN1接口相连，要求Router 用PAP/CHAP方式验证AP。

2. 组网图

图2-2 PPPoE Client典型配置举例组网图

3. 配置步骤

(1)     方案一：PAP验证

·     配置Router 作为PPPoE Server

# 增加一个PPPoE用户。

<Router> system-view

[Router] local-user user2

[Router-luser-user2] password simple hello

[Router-luser-user2] service-type ppp

[Router-luser-user2] quit

# 配置虚拟模板参数。

[Router] interface virtual-template 1

[Router-Virtual-Template1] ppp authentication-mode pap

[Router-Virtual-Template1] ip address 1.1.1.1 255.0.0.0

[Router-Virtual-Template1] remote address 1.1.1.2

[Router-Virtual-Template1] quit

# 配置PPPoE Server。

[Router] interface ethernet 1/1

[Router-Ethernet1/1] pppoe-server bind virtual-template 1

·     配置AP作为PPPoE Client

<AP> system-view

[AP] dialer-rule 1 ip permit

[AP] interface dialer 1

[AP-Dialer1] dialer user user2

[AP-Dialer1] dialer-group 1

[AP-Dialer1] dialer bundle 1

[AP-Dialer1] ip address ppp-negotiate

[AP-Dialer1] ppp pap local-user user2 password simple hello

[AP-Dialer1] quit

# 配置PPPoE会话。

[AP] interface Vlan-interface 1

[AP-Vlan-interface1] pppoe-client dial-bundle-number 1

(2)     方案二：CHAP验证

·     配置Router作为PPPoE Server

# 增加一个PPPoE用户。

<Router> system-view

[Router] local-user user2

[Router-luser-user2] password simple hello

[Router-luser-user2] service-type ppp

[Router-luser-user2] quit

# 配置虚拟模板参数。

[Router] interface virtual-template 1

[Router-Virtual-Template1] ppp authentication-mode chap

[Router-Virtual-Template1] ppp chap user user1

[Router-Virtual-Template1] ip address 1.1.1.1 255.0.0.0

[Router-Virtual-Template1] remote address 1.1.1.2

[Router-Virtual-Template1] quit

# 配置PPPoE Server。

[Router] interface ethernet 1/1

[Router-Ethernet1/1] pppoe-server bind virtual-template 1

·     配置AP作为PPPoE Client

<AP> system-view

[AP] dialer-rule 1 ip permit

[AP] interface dialer 1

[AP-Dialer1] dialer user user2

[AP-Dialer1] dialer-group 1

[AP-Dialer1] dialer bundle 1

[AP-Dialer1] ip address ppp-negotiate

[AP-Dialer1] ppp chap user user2

[AP-Dialer1] quit

[AP] local-user user1

[AP-luser-user1] password simple hello

[AP-luser-user1] quit

# 配置PPPoE会话。

[AP] interface Vlan-interface 1

[AP-Vlan-interface1] pppoe-client dial-bundle-number 1