14-PPP和PPPoE配置指导

01-PPP配置

本章节下载  (368.87 KB)

docurl=/cn/Service/Document_Software/Document_Center/Home/Security/00-Public/Configure/Operation_Manual/H3C_CG(V7)(R9514_R9323)-6W203/14/201912/1248916_30005_0.htm

01-PPP配置


1 PPP

1.1.1  PPP简介

PPP(Point-to-Point Protocol,点对点协议)是一种点对点的链路层协议。它能够提供用户认证,易于扩充,并且支持同/异步通信。

PPP定义了一整套协议,包括:

·            链路控制协议(Link Control Protocol,LCP):用来建立、拆除和监控数据链路。

·            网络控制协议(Network Control Protocol,NCP):用来协商在数据链路上所传输的网络层报文的一些属性和类型。

·            认证协议:用来对用户进行认证,包括PAP(Password Authentication Protocol,密码认证协议)、CHAP(Challenge Handshake Authentication Protocol,质询握手认证协议)、MSCHAP(Microsoft CHAP,微软CHAP协议)和MSCHAPv2(微软CHAP协议版本2)。

1. PPP链路建立过程

PPP链路建立过程如图1-1所示:

(1)       PPP初始状态为不活动(Dead)状态,当物理层Up后,PPP会进入链路建立(Establish)阶段。

(2)       PPP在Establish阶段主要进行LCP协商。LCP协商内容包括:Authentication-Protocol(认证协议类型)、MRU(Maximum-Receive-Unit,最大接收单元)、Magic-Number(魔术字)、PFC(Protocol-Field-Compression,协议字段压缩)、ACFC(Address-and-Control-Field-Compression,地址控制字段压缩)、MP等选项。如果LCP协商失败,LCP会上报Fail事件,PPP回到Dead状态;如果LCP协商成功,LCP进入Opened状态,LCP会上报Up事件,表示链路已经建立(此时对于网络层而言PPP链路还没有建立,还不能够在上面成功传输网络层报文)。

(3)       如果配置了认证,则进入Authenticate阶段,开始PAP、CHAP、MSCHAP或MSCHAPv2认证。如果认证失败,LCP会上报Fail事件,进入Terminate阶段,拆除链路,LCP状态转为Down,PPP回到Dead状态;如果认证成功,LCP会上报Success事件。

(4)       如果配置了网络层协议,则进入Network协商阶段,进行NCP协商(如IPCP协商、IPv6CP协商)。如果NCP协商成功,链路就会UP,就可以开始承载协商指定的网络层报文;如果NCP协商失败,NCP会上报Down事件,进入Terminate阶段。(对于IPCP协商,如果接口配置了IP地址,则进行IPCP协商,IPCP协商通过后,PPP才可以承载IP报文。IPCP协商内容包括:IP地址、DNS服务器地址等。)

(5)       到此,PPP链路将一直保持通信,直至有明确的LCP或NCP消息关闭这条链路,或发生了某些外部事件(例如用户的干预)。

图1-1 PPP链路建立过程

 

有关PPP的详细介绍请参考RFC 1661。

2. PPP认证

PPP提供了在其链路上进行安全认证的手段,使得在PPP链路上实施AAA变的切实可行。将PPP与AAA结合,可在PPP链路上对对端用户进行认证、计费。

PPP支持如下认证方式:PAP、CHAP、MSCHAP、MSCHAPv2。

(1)       PAP认证

PAP为两次握手协议,它通过用户名和密码来对用户进行认证。

PAP在网络上以明文的方式传递用户名和密码,认证报文如果在传输过程中被截获,便有可能对网络安全造成威胁。因此,它适用于对网络安全要求相对较低的环境。

(2)       CHAP认证

CHAP为三次握手协议。

CHAP认证过程分为两种方式:认证方配置了用户名、认证方没有配置用户名。推荐使用认证方配置用户名的方式,这样被认证方可以对认证方的身份进行确认。

CHAP只在网络上传输用户名,并不传输用户密码(准确的讲,它不直接传输用户密码,传输的是用MD5算法将用户密码与一个随机报文ID一起计算的结果),因此它的安全性要比PAP高。

(3)       MSCHAP认证

MSCHAP为三次握手协议,认证过程与CHAP类似,MSCHAP与CHAP的不同之处在于:

·            MSCHAP采用的加密算法是0x80。

·            MSCHAP支持重传机制。在被认证方认证失败的情况下,如果认证方允许被认证方进行重传,被认证方会将认证相关信息重新发回认证方,认证方根据此信息重新对被认证方进行认证。认证方最多允许被认证方重传3次。

(4)       MSCHAPv2认证

MSCHAPv2为三次握手协议,认证过程与CHAP类似,MSCHAPv2与CHAP的不同之处在于:

·            MSCHAPv2采用的加密算法是0x81。

·            MSCHAPv2通过报文捎带的方式实现了认证方和被认证方的双向认证。

·            MSCHAPv2支持重传机制。在被认证方认证失败的情况下,如果认证方允许被认证方进行重传,被认证方会将认证相关信息重新发回认证方,认证方根据此信息重新对被认证方进行认证。认证方最多允许被认证方重传3次。

·            MSCHAPv2支持修改密码机制。被认证方由于密码过期导致认证失败时,被认证方会将用户输入的新密码信息发回认证方,认证方根据新密码信息重新进行认证。

3. PPP支持IPv4

在IPv4网络中,PPP进行IPCP协商过程中可以进行IP地址、DNS服务器地址的协商。

(1)       IP地址协商

PPP在进行IPCP协商的过程中可以进行IP地址的协商,即一端给另一端分配IP地址。

在PPP协商IP地址的过程中,设备可以分为两种角色:

·            Client端:若本端接口封装的链路层协议为PPP但还未配置IP地址,而对端已有IP地址时,用户可为本端接口配置IP地址可协商属性,使本端接口作为Client端接受由对端(Server端)分配的IP地址。该方式主要用于设备在通过ISP访问Internet时,由ISP分配IP地址。

·            Server端:若设备作为Server端为Client端分配IP地址,则应先配置地址池(可以是PPP地址池或者DHCP地址池),然后在ISP域下关联地址池,或者在接口下指定为Client端分配的IP地址或者地址池,最后再配置Server端的IP地址,开始进行IPCP协商。

当Client端配置了IP地址可协商属性后,Server端根据AAA认证结果(关于AAA的介绍请参见“安全配置指导”中的“AAA”)和接口下的配置,按照如下顺序给Client端分配IP地址:

·            如果AAA认证服务器为Client端设置了IP地址或者地址池信息,则Server端将采用此信息为Client端分配IP地址(这种情况下,为Client端分配的IP地址或者分配IP地址所采用的地址池信息是在AAA认证服务器上进行配置的,Server端不需要进行特殊配置)。

·            如果Client端认证时使用的ISP域下设置了为Client端分配IP地址的地址池,则Server端将采用此地址池为Client端分配IP地址。

·            如果Server端的接口下指定了为Client端分配的IP地址或者地址池,则Server端将采用此信息为Client端分配IP地址。

(2)       DNS服务器地址协商

设备在进行IPCP协商的过程中可以进行DNS服务器地址协商。设备既可以作为Client端接收其它设备分配的DNS服务器地址,也可以作为Server端向其它设备提供DNS服务器地址。通常情况下:

·            当主机与设备通过PPP协议相连时,设备应配置为Server端,为对端主机指定DNS服务器地址,这样主机就可以通过域名直接访问Internet;

·            当设备通过PPP协议连接运营商的接入服务器时,设备应配置为Client端,被动接收或主动请求接入服务器指定DNS服务器地址,这样设备就可以使用接入服务器分配的DNS来解析域名。

4. PPP支持IPv6

在IPv6网络中,PPP进行IPv6CP协商过程中,只协商出IPv6接口标识,不能协商出IPv6地址、IPv6 DNS服务器地址。

(1)       IPv6地址分配

PPP进行IPv6CP协商过程中,只协商出IPv6接口标识,不能直接协商出IPv6地址。

客户端可以通过如下三种方式分配到IPv6全球单播地址:

·            方式1:客户端通过ND协议中的RA报文获得IPv6地址前缀。客户端采用RA报文中携带的前缀和IPv6CP协商的IPv6接口标识一起组合生成IPv6全球单播地址。RA报文中携带的IPv6地址前缀的来源有三种:AAA授权的IPv6前缀、接口下配置的RA前缀、接口下配置的IPv6全球单播地址的前缀。三种来源的优先级依次降低,AAA授权的优先级最高。关于ND协议的详细介绍请参见“三层技术-IP业务配置指导”中的“IPv6基础”。

·            方式2:客户端通过DHCPv6协议申请IPv6全球单播地址。在服务器端可以通过AAA授权为每个客户端分配不同的地址池,当授权了地址池后,DHCPv6在分配IPv6地址时会从地址池中获取IPv6地址分配给客户端。如果AAA未授权地址池,DHCPv6会根据服务器端的IPv6地址查找匹配的地址池为客户端分配地址。关于DHCPv6协议的详细介绍请参见“三层技术-IP业务配置指导”中的“DHCPv6”。

·            方式3:客户端通过DHCPv6协议申请代理前缀,客户端通过代理前缀为下面的主机分配IPv6全球单播地址。代理前缀分配方式中地址池的选择原则和通过DHCPv6协议分配IPv6全球单播地址方式中地址池的选择原则一致。

根据组网不同,主机获取IPv6地址的方式如下:

·            当主机通过桥设备或者直连接入设备时,设备可以采用上述的方式1或方式2直接为主机分配IPv6全球单播地址。

·            当主机通过路由器接入设备时,设备可以采用方式3为路由器分配IPv6前缀,路由器把这些IPv6前缀分配给主机来生成IPv6全球单播地址。

(2)       IPv6 DNS服务器地址分配

在IPv6网络中,IPv6 DNS服务器地址的分配有如下两种方式:

·            AAA授权IPv6 DNS服务器地址,通过ND协议中的RA报文将此IPv6 DNS服务器地址分配给主机。

·            DHCPv6客户端向DHCPv6服务器申请IPv6 DNS服务器地址。

1.2  配置PPP

1.2.1  PPP配置任务简介

表1-1 PPP配置任务简介

配置任务

说明

详细配置

配置PPP认证方式

可选

1.2.2 

配置轮询功能

可选

1.2.3 

配置PPP协商参数

可选

1.2.4 

配置PPP IPHC压缩功能

可选

1.2.5 

配置PPP链路质量监测功能

可选

1.2.6 

配置PPP计费统计功能

可选

1.2.7 

配置PPP用户的nas-port-type属性

可选

1.2.8 

 

1.2.2  配置PPP认证方式

PPP支持如下认证方式:PAP、CHAP、MSCHAP、MSCHAPv2。用户可以同时配置多种认证方式,在LCP协商过程中,认证方根据用户配置的认证方式顺序逐一与被认证方进行协商,直到协商通过。如果协商过程中,被认证方回应的协商报文中携带了建议使用的认证方式,认证方查找配置中存在该认证方式,则直接使用该认证方式进行认证。

1. 配置PAP认证

(1)       配置认证方

表1-2 配置认证方

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置本地认证对端的方式为PAP

ppp authentication-mode pap [ [ call-in ] domain { isp-name | default enable isp-name } ]

缺省情况下,PPP协议不进行认证

配置本地AAA认证或者远程AAA认证

请参见“安全配置指导”中的“AAA”

·         若采用本地AAA认证,则认证方必须为被认证方配置本地用户的用户名和密码

·         若采用远程AAA认证,则远程AAA服务器上需要配置被认证方的用户名和密码

为被认证方配置的用户名和密码必须与被认证方上的配置一致

 

(2)       配置被认证方

表1-3 配置被认证方

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置本地被对端以PAP方式认证时本地发送的PAP用户名和密码

ppp pap local-user username password { cipher | simple } string

缺省情况下,被对端以PAP方式认证时,本地设备发送的用户名和密码均为空

查看加密方式时,无论采用明文或密文加密,默认显示密文方式

 

2. 配置CHAP认证

CHAP认证分为两种:认证方配置了用户名和认证方没有配置用户名。

(1)       认证方配置了用户名

·            配置认证方

表1-4 配置认证方

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置本地认证对端的方式为CHAP

ppp authentication-mode chap [ [ call-in ] domain { isp-name | default enable isp-name } ]

缺省情况下,PPP协议不进行认证

配置采用CHAP认证时认证方的用户名

ppp chap user username

缺省情况下,CHAP认证的用户名为空

在被认证方上为认证方配置的用户名必须跟此处配置的一致

配置本地AAA认证或者远程AAA认证

请参见“安全配置指导”中的“AAA”

·         若采用本地AAA认证,则认证方必须为被认证方配置本地用户的用户名和密码

·         若采用远程AAA认证,则远程AAA服务器上需要配置被认证方的用户名和密码

为被认证方配置的用户名必须与被认证方上的配置一致

认证方用户的密码和被认证方用户的密码要配置成相同的

 

·            配置被认证方

表1-5 配置被认证方

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置采用CHAP认证时被认证方的用户名

ppp chap user username

缺省情况下,CHAP认证的用户名为空

在认证方上为被认证方配置的用户名必须跟此处配置的一致

配置本地AAA认证或者远程AAA认证

请参见“安全配置指导”中的“AAA”

·         若采用本地AAA认证,则被认证方必须为认证方配置本地用户的用户名和密码

·         若采用远程AAA认证,则远程AAA服务器上需要配置认证方的用户名和密码

为认证方配置的用户名必须与认证方上的配置一致

认证方用户的密码和被认证方用户的密码要配置成相同的

 

(2)       认证方没有配置用户名

·            配置认证方

表1-6 配置认证方

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置本地认证对端的方式为CHAP

ppp authentication-mode chap [ [ call-in ] domain { isp-name | default enable isp-name } ]

缺省情况下,PPP协议不进行认证

配置本地AAA认证或者远程AAA认证

请参见“安全配置指导”中的“AAA”

·         若采用本地AAA认证,则认证方必须为被认证方配置本地用户的用户名和密码

·         若采用远程AAA认证,则远程AAA服务器上需要配置被认证方的用户名和密码

为被认证方配置的用户名必须与被认证方上的配置一致

为被认证方配置的密码必须与被认证方上配置的CHAP认证密码一致

 

·            配置被认证方

表1-7 配置被认证方

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置采用CHAP认证时被认证方的用户名

ppp chap user username

缺省情况下,CHAP认证的用户名为空

在认证方上为被认证方配置的用户名必须跟此处配置的一致

设置CHAP认证密码

ppp chap password { cipher | simple } password

缺省情况下,没有配置进行CHAP认证时采用的密码

在认证方上为被认证方配置的密码必须跟此处配置的一致

查看加密方式时,无论采用明文或密文加密,默认显示密文方式

 

3. 配置MSCHAP或MSCHAPv2认证

与CHAP认证相同,MSCHAP和MSCHAPv2认证也分为两种:认证方配置了用户名和认证方没有配置用户名。

配置MSCHAP或MSCHAPv2认证时需注意:

·            设备只能作为MSCHAP和MSCHAPv2的认证方来对其它设备进行认证。

·            L2TP环境下仅支持MSCHAP认证,不支持MSCHAPv2认证。

·            MSCHAPv2认证只有在RADIUS认证的方式下,才能支持修改密码机制。

·            MSCHAPv2认证时不支持为PPP用户配置认证方式为none

表1-8 配置MSCHAP或MSCHAPv2认证的认证方(认证方配置了用户名)

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置本地认证对端的方式为MSCHAP或MSCHAPv2

ppp authentication-mode { ms-chap | ms-chap-v2 } [ [ call-in ] domain { isp-name | default enable isp-name } ]

缺省情况下,PPP协议不进行认证

配置采用MSCHAP或MSCHAPv2认证时认证方的用户名

ppp chap user username

在被认证方上为认证方配置的用户名必须跟此处配置的一致

配置本地AAA认证或者远程AAA认证

请参见“安全配置指导”中的“AAA”

·         若采用本地AAA认证,则认证方必须为被认证方配置本地用户的用户名和密码

·         若采用远程AAA认证,则远程AAA服务器上需要配置被认证方的用户名和密码

为被认证方配置的用户名和密码必须与被认证方上的配置一致

 

表1-9 配置MSCHAP或MSCHAPv2认证的认证方(认证方没有配置用户名)

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置本地认证对端的方式为MSCHAP或MSCHAPv2

ppp authentication-mode { ms-chap | ms-chap-v2 } [ [ call-in ] domain { isp-name | default enable isp-name } ]

缺省情况下,PPP协议不进行认证

配置本地AAA认证或者远程AAA认证

请参见“安全配置指导”中的“AAA”

·         若采用本地AAA认证,则认证方必须为被认证方配置本地用户的用户名和密码

·         若采用远程AAA认证,则远程AAA服务器上需要配置被认证方的用户名和密码

为被认证方配置的用户名和密码必须与被认证方上的配置一致

 

1.2.3  配置轮询功能

PPP协议使用轮询机制来确认链路状态是否正常。

当接口上封装的链路层协议为PPP时,链路层会周期性地向对端发送keepalive报文(可以通过timer-hold命令修改keepalive报文的发送周期)。如果接口在retry个(可以通过timer-hold retry命令修改该个数)keepalive周期内无法收到对端发来的keepalive报文,链路层会认为对端故障,上报链路层Down。

如果将keepalive报文的发送周期配置为0秒,则不发送keepalive报文。

在速率非常低的链路上,keepalive周期和retry值不能配置过小。因为在低速链路上,大报文可能会需要很长的时间才能传送完毕,这样就会延迟keepalive报文的发送与接收。而接口如果在retry个keepalive周期之后仍然无法收到对端的keepalive报文,它就会认为链路发生故障。如果keepalive报文被延迟的时间超过接口的这个限制,链路就会被认为发生故障而被关闭。

轮询时间间隔设置应小于协商超时时间间隔,否则无法轮询。

表1-10 配置轮询功能

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置接口发送keepalive报文的周期

timer-hold seconds

缺省情况下,接口发送keepalive报文的周期为10秒

配置接口在多少个keepalive周期内没有收到keepalive报文的应答就拆除链路

timer-hold retry retry

缺省情况下,接口在5个keepalive周期内没有收到keepalive报文的应答就拆除链路

 

1.2.4  配置PPP协商参数

可以配置的PPP协商参数包括:

·            协商超时时间间隔

·            协商IP地址

·            协商接口IP网段

·            协商DNS服务器地址

·            协商ACFC(Address-and-Control-Field-Compression,地址控制字段压缩)

·            协商PFC(Protocol-Field-Compression,协议字段压缩)

1. 配置协商超时时间间隔

在PPP协商过程中,如果在这个时间间隔内没有收到对端的应答报文,则PPP将会重发前一次发送的报文。超时时间间隔的取值范围为1~10秒。

在PPP链路两端设备对LCP协商报文的处理速度差异较大的情况下,为避免因一端无法及时处理对端发送的LCP协商报文而导致对端重传,可在对协商报文处理速度较快的设备上配置LCP协商的延迟时间。配置LCP协商的延迟时间后,当接口物理层UP时PPP将在延迟时间超时后才会主动进行LCP协商;如果在延迟时间内本端设备收到对端设备发送的LCP协商报文,则本端设备将不再等待延迟时间超时,而是直接进行LCP协商。

表1-11 配置协商超时时间间隔

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置协商超时时间间隔

ppp timer negotiate seconds

缺省情况下,协商超时时间间隔为3秒

(可选)配置LCP协商的延迟时间

ppp lcp delay milliseconds

缺省情况下,接口物理层UP后,PPP立即进行LCP协商

 

2. 配置PPP协商IP地址

(1)       配置Client端

表1-12 配置Client

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

为接口配置IP地址可协商属性

ip address ppp-negotiate

缺省情况下,接口没有配置IP地址可协商属性

多次执行本命令和ip address命令,最后一次执行的命令生效。关于ip address命令的详细介绍,请参见“三层技术-IP业务命令参考”中的“IP地址”

 

(2)       配置Server端

在下列三种Server端分配IP地址的方式下Server端需要进行配置:

·            在接口下指定为Client端分配的IP地址。

·            从接口下指定的地址池中分配IP地址。

·            从ISP域下关联的地址池中分配IP地址。

这三种方式中,不同PPP用户可以采用的方式如下:

·            不需要进行PPP认证的PPP用户可以使用两种方式:在接口下指定为Client端分配的IP地址和从接口下指定的地址池中分配IP地址。同时配置这两种方式,最后一次的配置生效。

·            需要进行PPP认证的PPP用户可以使用全部的三种方式。用户可以同时配置多种方式。同时配置多种方式时,以ISP域下关联的地址池优先,然后是接口下指定为Client端分配的IP地址或者地址池(接口下的这两种方式同时配置时,最后一次的配置生效)。

PPP可以使用两类地址池为对端分配IP地址:PPP地址池、DHCP地址池,优先采用PPP地址池。如果用户配置了名称相同的PPP地址池和DHCP地址池,并采用该名称的地址池来分配IP地址,则系统只会使用PPP地址池来分配IP地址。需要注意的是,当通过PPP地址池给用户分配IP地址时,请确保PPP地址池中不包含该PPP地址池的网关地址。

表1-13 配置Server端(在接口下指定为Client端分配的IP地址)

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置接口为Client端分配的IP地址

remote address ip-address

缺省情况下,接口不为Client端分配IP地址

配置Server端的IP地址

ip address ip-address

缺省情况下,接口没有配置IP地址

 

表1-14 配置Server端(从接口下指定的PPP地址池中分配IP地址)

操作

命令

说明

进入系统视图

system-view

-

配置PPP地址池

ip pool pool-name start-ip-address [ end-ip-address ] [ group group-name ]

缺省情况下,没有配置PPP地址池

(可选)配置PPP地址池的网关地址

ip pool pool-name gateway ip-address [ vpn-instance vpn-instance-name ]

缺省情况下,没有为PPP地址池配置网关地址

(可选)配置PPP地址池路由

ppp ip-pool route ip-address { mask-length | mask } [ vpn-instance vpn-instance-name ]

缺省情况下,没有配置PPP地址池路由

用户需要保证配置的PPP地址池路由网段覆盖PPP地址池网段范围

进入接口视图

interface interface-type interface-number

-

使用PPP地址池为Client端分配IP地址

remote address pool pool-name

缺省情况下,接口不为Client端分配IP地址

(可选)配置Server端的IP地址

ip address ip-address

缺省情况下,接口没有配置IP地址

配置了PPP地址池的网关地址后,可以不用配置本命令

 

表1-15 配置Server端(从接口下指定的DHCP地址池中分配IP地址)

操作

命令

说明

进入系统视图

system-view

-

配置DHCP功能

·         如果Server端同时作为DHCP服务器,则在Server端上配置DHCP服务器、DHCP地址池相关内容

·         如果Server端作为DHCP中继,则在Server端上配置DHCP中继相关内容(必须配置DHCP中继用户地址表项记录功能、DHCP中继地址池),并在远端DHCP服务器上配置DHCP地址池

DHCP的具体配置介绍请参见“三层技术-IP业务配置指导”中的“DHCP”

进入接口视图

interface interface-type interface-number

-

使用DHCP地址池为Client端分配IP地址

remote address pool pool-name

缺省情况下,接口不为Client端分配IP地址

配置Server端的IP地址

ip address ip-address

缺省情况下,接口没有配置IP地址

(可选)配置使用PPP用户名作为DHCP客户端ID

remote address dhcp client-identifier username

缺省情况下,未使用PPP用户名作为DHCP客户端ID

 

表1-16 配置Server端(从ISP域下关联的PPP地址池中分配IP地址)

操作

命令

说明

进入系统视图

system-view

-

配置PPP地址池

ip pool pool-name start-ip-address [ end-ip-address ] group group-name

缺省情况下,没有配置PPP地址池

(可选)配置PPP地址池的网关地址

ip pool pool-name gateway ip-address [ vpn-instance vpn-instance-name ]

缺省情况下,没有为PPP地址池配置网关地址

(可选)配置PPP地址池路由

ppp ip-pool route ip-address { mask-length | mask } [ vpn-instance vpn-instance-name ] [ vsrp-instance vsrp-instance-name ]

缺省情况下,没有配置PPP地址池路由

用户需要保证配置的PPP地址池路由网段覆盖PPP地址池网段范围

进入ISP域视图

domain isp-name

-

在ISP域下关联PPP地址池为Client端分配IP地址

authorization-attribute ip-pool pool-name

缺省情况下,ISP域下没有关联PPP地址池

本命令的详细介绍请参见“安全命令参考”中的“AAA”

退回系统视图

quit

-

进入接口视图

interface interface-type interface-number

-

(可选)配置Server端的IP地址

ip address ip-address

缺省情况下,接口没有配置IP地址

配置了PPP地址池的网关地址后,可以不用配置本命令

 

表1-17 配置Server端(从ISP域下关联的DHCP地址池中分配IP地址)

操作

命令

说明

进入系统视图

system-view

-

配置DHCP功能

·         如果Server端同时作为DHCP服务器,则在Server端上配置DHCP服务器、DHCP地址池相关内容

·         如果Server端作为DHCP中继,则在Server端上配置DHCP中继相关内容(必须配置DHCP中继用户地址表项记录功能、DHCP中继地址池),并在远端DHCP服务器上配置DHCP地址池

DHCP的具体配置介绍请参见“三层技术-IP业务配置指导”中的“DHCP”

进入ISP域视图

domain isp-name

-

在ISP域下关联DHCP地址池为Client端分配IP地址

authorization-attribute ip-pool pool-name

缺省情况下,ISP域下没有关联DHCP地址池

本命令的详细介绍请参见“安全命令参考”中的“AAA”

退回系统视图

quit

-

进入接口视图

interface interface-type interface-number

-

配置Server端的IP地址

ip address ip-address

缺省情况下,接口没有配置IP地址

(可选)配置使用PPP用户名作为DHCP客户端ID

remote address dhcp client-identifier username

缺省情况下,未使用PPP用户名作为DHCP客户端ID

 

3. 配置接口IP网段检查

使能接口的IP网段检查功能后,当IPCP协商时,本地会检查对端的IP地址与本端接口的IP地址是否在同一网段,如果不在同一网段,则IPCP协商失败。

如果接口的IP网段检查功能处于关闭状态,则在IPCP协商阶段不进行接口IP网段检查。

表1-18 配置接口IP网段检查

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

使能接口的IP网段检查功能

ppp ipcp remote-address match

缺省情况下,接口的IP网段检查功能处于关闭状态

 

4. 配置DNS服务器地址协商

(1)       配置Client端

正常情况下,Client端配置了ppp ipcp dns request命令,Server端才会为本端指定DNS服务器地址。但是有一些特殊的设备,Client端并未请求,Server端却要强制为Client端指定DNS服务器地址,从而导致协商不通过,为了适应这种情况,Client端可以配置ppp ipcp dns admit-any命令。

表1-19 配置Client端

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置设备主动请求对端指定DNS服务器地址

ppp ipcp dns request

缺省情况下,禁止设备主动向对端请求DNS服务器地址

配置设备可以被动地接收对端指定的DNS服务器地址,即设备不发送DNS请求,也能接收对端设备分配的DNS服务器地址

ppp ipcp dns admit-any

缺省情况下,设备不会被动地接收对端设备指定的DNS服务器的IP地址

在配置了ppp ipcp dns request命令的情况下不用配置本命令

 

(2)       配置Server端

表1-20 配置Server端

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置设备为对端设备指定DNS服务器地址

ppp ipcp dns primary-dns-address [ secondary-dns-address ]

缺省情况下,设备不为对端设备指定DNS服务器的IP地址

收到Client端的请求后,Server端才会为对端指定DNS服务器地址

 

5. 配置ACFC协商

缺省情况下,PPP报文中的地址字段的值固定为0xFF,控制字段的值固定为0x03,既然这两个字段的值是固定的,就可以对这两个字段进行压缩。

ACFC协商选项字段用来通知对端,本端可以接收地址和控制字段被压缩的报文。

ACFC协商在LCP协商阶段进行,当协商通过后,对于发送的非LCP报文将进行地址控制字段压缩,不再添加地址控制字段,以增加链路的有效载荷;对于LCP报文不进行地址控制字段压缩,以确保LCP协商过程顺利进行。

建议在低速链路上配置本功能。

(1)       配置本地发送ACFC协商请求

表1-21 配置本地发送ACFC协商请求

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置本地发送ACFC协商请求,即LCP协商时本地发送的协商请求携带ACFC协商选项

ppp acfc local-request

缺省情况下,LCP协商时本地发送的协商请求不携带ACFC协商选项

 

(2)       配置拒绝对端的ACFC协商请求

表1-22 配置拒绝对端的ACFC协商请求

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置拒绝对端的ACFC协商请求,即LCP协商时拒绝对端携带的ACFC协商选项

ppp acfc remote-reject

缺省情况下,接受对端的ACFC协商请求,即LCP协商时接受对端携带的ACFC协商选项,并且发送的报文进行地址控制字段压缩

 

6. 配置PFC协商

缺省情况下,PPP报文中的协议字段长度为2字节,然而,目前典型的协议字段取值都小于256,所以可以压缩成一个字节来区分协议类型。

PFC协商选项字段用来通知对端,本端可以接收协议字段被压缩成一个字节的报文。

PFC协商在LCP协商阶段进行,当协商通过后,对于发送的非LCP报文将进行协议字段压缩,如果协议字段的头8比特为全零,则不添加此8比特,以增加链路的有效载荷;对于LCP报文不进行协议字段压缩,以确保LCP协商过程顺利进行。

建议在低速链路上配置本功能。

(1)       配置本地发送PFC协商请求

表1-23 配置本地发送PFC协商请求

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置本地发送PFC协商请求,即LCP协商时本地发送的协商请求携带PFC协商选项

ppp pfc local-request

缺省情况下,LCP协商时本地发送的协商请求不携带PFC协商选项

 

(2)       配置拒绝对端的PFC协商请求

表1-24 配置拒绝对端的PFC协商请求

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置拒绝对端的PFC协商请求,即LCP协商时拒绝对端携带的PFC协商选项

ppp pfc remote-reject

缺省情况下,接受对端的PFC协商请求,即LCP协商时接受对端携带的PFC协商选项,并且发送的报文进行协议字段压缩

 

1.2.5  配置PPP IPHC压缩功能

IPHC(IP Header Compression,IP报文头压缩)协议主要应用于低速链路上的语音通信。

在低速链路上,每个语音报文中报文头消耗大部分的带宽。比如,G.729编码20ms打包时长PPP链路,每秒传送1000/20=50个语音报文,每个语音报文中都包含46字节的报文头(6字节PPP头、20字节IP头、8字节UDP头、12字节RTP头),这样每一路语音数据所占的带宽为:(6+20+8+12)*8*50+8000(语音净荷所占带宽)=26.4kbps,传送RTP/UDP/IP头所花的带宽开销还是很大的,为(20+8+12)*8*50=16kbps,占语音数据总带宽的百分比为16k/26.4k=60.1%,网络带宽利用率很差。为了减少报文头对带宽的消耗,可以在PPP链路上使用IPHC压缩功能,对报文头进行压缩。

IPHC压缩分为如下两种:

·            RTP头压缩:对报文中的RTP/UDP/IP头(长度共40字节)进行压缩。

·            TCP头压缩:对报文中的TCP/IP头(长度共40字节)进行压缩。

IPHC压缩机制的总体思想是:在一次连接过程中,IP头、UDP头、RTP头以及TCP头中的一些字段是固定不变的,还有一些字段是有规律变化的,这样在压缩端和解压端分别维护一个压缩表项和解压缩表项来保存固定不变的字段和有规律变化的字段,在传输过程中,压缩端不需要发送完整的报文头,只发送报文头中有变化的信息,减少了报文头信息的长度,从而降低了报文头所占的带宽。

(1)       在压缩过程中,压缩端会将变化的字段编码到报文中;对于有规律变化的字段,其二次差分值为零时则不需要携带,其二次差分值不为零时,则其标志位置1,并将其一次差分值和标志位字段编码到报文中。

(2)       在解压过程中,解压端跟据解压缩表项还原固定不变的字段,对于有规律变化的字段,若其标志位为0,则按其变化规律做相应计算还原;若其标志位为1,则根据报文中携带的该字段的一次差分值和解压缩表项中该字段的信息进行计算还原。

举例说明:在压缩TCP头时,Destination Port为固定不变的字段,在报文中不用携带;URG为变化的字段,在报文中携带;Sequence Number为有规律变化的字段(一般情况下是每次增加1),压缩端首先计算被压缩报文的Sequence Number字段和压缩表项中的Sequence Number字段的差值,即一次差分值,如果一次差分值为1,那么其二次差分值为1-1=0,则这个字段就不用携带,解压端会自动加1还原;如果其一次差分值不为1,比如为2,那么二次差分值就为2-1=1,这时就会置位Sequence Number的标志位,并将一次差分值2编码到报文中,解压端会在解压缩表项中的Sequence Number字段上加2还原。

配置本功能时需要注意:

·            用户必须在链路的两端同时开启IPHC压缩功能,该功能才生效。

·            在虚拟模板接口、Dialer接口、ISDN接口上开启/关闭IPHC压缩功能时,配置不会立即生效,只有对此接口或者其绑定的物理接口进行shutdown/undo shutdown操作后,配置才能生效。

·            只有在开启IPHC压缩功能后,才能配置接口上允许进行RTP头/TCP头压缩的最大连接数,并且需要对接口进行shutdown/undo shutdown操作后,配置才能生效。在关闭IPHC压缩功能后,配置将被清除。

表1-25 配置PPP IPHC压缩功能

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

开启PPP IPHC压缩功能

ppp compression iphc enable [ nonstandard ]

缺省情况下,IPHC压缩功能处于关闭状态

与友商设备互通时需要配置nonstandard参数

配置nonstandard参数后,仅支持RTP头压缩,不支持TCP头压缩

配置接口上允许进行RTP头压缩的最大连接数

ppp compression iphc rtp-connections number

缺省情况下,接口上允许进行RTP头压缩的最大连接数为16

配置接口上允许进行TCP头压缩的最大连接数

ppp compression iphc tcp-connections number

缺省情况下,接口上允许进行TCP头压缩的最大连接数为16

 

1.2.6  配置PPP链路质量监测功能

PPP链路质量监测功能可以实时对PPP链路(包括绑定在MP中的PPP链路)的通信质量(丢包率和错包率)进行监测。

在没有配置PPP链路质量监测功能之前,PPP接口(封装PPP协议的接口)会每隔一段时间向对端发送keepalive报文;在配置此功能之后,PPP接口会用LQR(Link Quality Reports,链路质量报告)报文代替keepalive报文,即每隔一段时间向对端发送LQR报文,用以对链路情况进行监测。

当链路质量正常时,系统对每个LQR报文进行链路质量计算,如果连续两次链路质量低于用户设置的禁用链路质量百分比,链路会被禁用。当链路被禁用后,系统每隔十个LQR报文进行一次链路质量计算,只有连续三次链路质量高于用户设置的恢复链路质量百分比,链路才会被恢复。因此,当链路被禁用后,至少要在30个keepalive周期后才能恢复。如果keepalive周期设置过大,可能会导致链路长时间无法恢复。

配置本功能时需要注意:

·            当在PPP链路两端同时开启链路质量监测功能时,两端设备的参数必须相等。一般来说,不建议在链路两端同时开启链路质量监测功能。

·            不建议在拨号线路上开启PPP链路质量监测功能。当在拨号线路上开启链路质量监测功能后,由于拨号线路的特点,一旦链路被禁用,DDR模块就会把拨号线路挂断,因此链路质量监测就不能正常的运行。只有当有数据需要传输时,DDR模块把拨号线路重新呼起,链路质量监测功能才能恢复正常。

表1-26 配置PPP链路质量监测功能

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

开启PPP链路质量监测功能

ppp lqm close-percentage close-percentage [ resume-percentage resume-percentage ]

缺省情况下,PPP链路质量监测功能处于关闭状态。设备支持情况请参考命令参考中的相关描述

配置当链路质量监测功能监测到链路质量低时向对端发送LCP echo报文

ppp lqm lcp-echo [ packet size ] [ interval interval ]

缺省情况下,当链路质量监测功能监测到链路质量低时不向对端发送LCP echo报文。设备支持情况请参考命令参考中的相关描述

 

1.2.7  配置PPP计费统计功能

PPP协议可以为每条PPP链路提供基于流量的计费统计功能,具体统计内容包括出入两个方向上流经本链路的报文数和字节数。AAA可以获取这些流量统计信息用于计费控制。关于AAA计费的详细介绍请参见“安全配置指导”中的“AAA”。

表1-27 配置PPP计费统计功能

操作

命令

说明

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

开启PPP计费统计功能

ppp account-statistics enable [ acl { acl-number | name acl-name } ]

缺省情况下,PPP计费统计功能处于关闭状态

 

1.2.8  配置PPP用户的nas-port-type属性

本特性用来配置RADIUS认证计费时所携带的nas-port-type属性。关于nas-port-type属性的详细介绍请参见RFC 2865。

表1-28 配置PPP用户的nas-port-type属性

操作

命令

说明

进入系统视图

system-view

-

进入虚拟模板接口视图

interface virtual-template number

-

配置接口的nas-port-type属性

nas-port-type { 802.11 | adsl-cap | adsl-dmt | async | cable | ethernet | g.3-fax | hdlc | idsl | isdn-async-v110 | isdn-async-v120 | isdn-sync | piafs | sdsl | sync | virtual | wireless-other | x.25 | x.75 | xdsl }

缺省情况下,nas-port-type属性由PPP用户的业务类型和承载链路类型决定:

·         如果是PPPoE业务,当承载链路类型为三层虚拟以太网接口时,nas-port-type属性为xdsl,否则nas-port-type属性为ethernet

·         如果是PPPoA业务,nas-port-type属性为xdsl

·         如果是L2TP业务,nas-port-type属性为virtual

 

1.3  PPP显示和维护

在完成上述配置后,在任意视图下执行display命令可以显示PPP配置后的运行情况,通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除相应接口的统计信息。

表1-29 PPP显示和维护

操作

命令

显示PPP接入用户的信息

display ppp access-user { interface interface-type interface-number [ count ] | ip-address ip-address | ipv6-address ipv6-address | username user-name | user-type { lac | lns | pppoa | pppoe } [ count ] }

显示PPP地址池的信息

display ip pool [ pool-name | group group-name ]

显示IPHC压缩的统计信息

display ppp compression iphc { rtp | tcp } [ interface interface-type interface-number ]

显示虚拟模板接口的相关信息

display interface [ virtual-template [ interface-number ] ] [ brief [ description | down ] ]

显示虚拟访问接口的相关信息

display interface [ virtual-access [ interface-number ] ] [ brief [ description | down ] ]

清除IPHC压缩的统计信息

reset ppp compression iphc [ rtp | tcp ] [ interface interface-type interface-number ]

强制PPP用户下线

reset ppp access-user { ip-address ip-address [ vpn-instance ipv4-vpn-instance-name ] | ipv6-address ipv6-address [ vpn-instance ipv6-vpn-instance-name ] | username user-name }

清除VA接口的统计信息

reset counters interface [ virtual-access [ interface-number ] ]

 


2 PPPoE

2.1  PPPoE简介

PPPoE(Point-to-Point Protocol over Ethernet,在以太网上承载PPP协议)的提出,解决了PPP无法应用于以太网的问题,是对PPP协议的扩展。

2.1.1  PPPoE概述

PPPoE描述了在以太网上建立PPPoE会话及封装PPP报文的方法。要求通信双方建立的是点到点关系,而不是在以太网中所出现的点到多点关系。

PPPoE利用以太网将大量主机组成网络,然后通过一个远端接入设备为以太网上的主机提供互联网接入服务,并对接入的每台主机实现控制、认证、计费功能。由于很好地结合了以太网的经济性及PPP良好的可扩展性与管理控制功能,PPPoE被广泛应用于小区接入组网等环境中。

PPPoE协议将PPP报文封装在以太网帧之内,在以太网上提供点对点的连接。

关于PPPoE的详细介绍,可以参考RFC 2516。

2.1.2  PPPoE组网结构

PPPoE使用Client/Server模型。PPPoE Client向PPPoE Server发起连接请求,两者之间会话协商通过后,就建立PPPoE会话,此后PPPoE Server向PPPoE Client提供接入控制、认证、计费等功能。

根据PPPoE会话的起点所在位置的不同,有两种组网结构:

·            第一种方式是在两台路由器之间建立PPPoE会话,所有主机通过同一个PPPoE会话传送数据,主机上不用安装PPPoE客户端拨号软件,一般是一个企业共用一个账号接入网络(图中PPPoE Client位于企业/公司内部,PPPoE Server是运营商的设备)。

图2-1 PPPoE组网结构图1

 

·            第二种方式是将PPPoE会话建立在Host和运营商的路由器之间,为每一个Host建立一个PPPoE会话,每个Host都是PPPoE Client,每个Host使用一个帐号,方便运营商对用户进行计费和控制。Host上必须安装PPPoE客户端拨号软件。

图2-2 PPPoE组网结构图2

 

2.2  配置PPPoE

2.2.1  配置PPPoE Client

PPPoE Client的配置包括配置拨号接口和配置PPPoE会话。

PPPoE会话有三种工作模式:永久在线模式、按需拨号模式、诊断模式。

·            永久在线模式:当物理线路up后,设备会立即发起PPPoE呼叫,建立PPPoE会话。除非用户删除PPPoE会话,否则此PPPoE会话将一直存在。

·            按需拨号模式:当物理线路up后,设备不会立即发起PPPoE呼叫,只有当有数据需要传送时,设备才会发起PPPoE呼叫,建立PPPoE会话。如果PPPoE链路的空闲时间超过用户配置的值,设备会自动中止PPPoE会话。

·            诊断模式:设备在配置完成后立即发起PPPoE呼叫,建立PPPoE会话。每隔用户配置的重建时间间隔,设备会自动断开该会话、并重新发起呼叫建立会话。通过定期建立、删除PPPoE会话,可以监控PPPoE链路是否处于正常工作状态。

PPPoE会话的工作模式由对应的拨号接口的配置决定:

·            当Dialer接口的链路空闲时间(通过dialer timer idle命令配置)配置为0,且Dialer接口上没有配置dialer diagnose命令时,PPPoE会话将工作在永久在线模式。

·            当Dialer接口的链路空闲时间(通过dialer timer idle命令配置)配置不为0,且Dialer接口上没有配置dialer diagnose命令时,PPPoE会话将工作在按需拨号模式。

·            当Dialer接口上配置了dialer diagnose命令时,PPPoE会话将工作在诊断模式。

1. 配置拨号接口

在配置PPPoE会话之前,需要先配置一个Dialer接口,并在接口上使能共享DDR。每个PPPoE会话唯一对应一个Dialer bundle,而每个Dialer bundle又唯一对应一个Dialer接口。这样就相当于通过一个Dialer接口可以创建一个PPPoE会话。

表2-1 配置拨号接口

操作

命令

说明

进入系统视图

system-view

-

创建拨号访问组,并配置拨号控制规则

dialer-group group-number rule { ip | ipv6 } { deny | permit | acl { acl-number | name acl-name } }

缺省情况下,不存在拨号访问组

创建Dialer接口,并进入该Dialer接口视图

interface dialer number

-

配置接口IP地址

ip address { address mask | ppp-negotiate }

缺省情况下,接口没有配置IP地址

使能共享DDR

dialer bundle enable

缺省情况下,接口上不使能任何类型的DDR

配置该拨号接口关联的拨号访问组,将该接口与拨号控制规则关联起来

dialer-group group-number

缺省情况下,接口不与任何拨号访问组相关联

配置链路空闲时间

dialer timer idle idle [ in | in-out ]

缺省情况下,链路空闲时间为120秒

idle配置为0时,PPPoE会话工作在永久在线模式下,否则工作在按需拨号模式下

配置DDR应用工作在诊断模式

dialer diagnose [ interval interval ]

缺省情况下,工作在非诊断模式

仅工作在诊断模式下需要配置本命令

配置DDR自动拨号的间隔时间

dialer timer autodial autodial-interval

缺省情况下,DDR自动拨号的间隔时间为300秒

当工作在永久在线模式或者诊断模式情况下,链路断开后将启动自动拨号定时器,等待自动拨号定时器超时后再重新发起呼叫

为了在链路断开时可以尽快自动重新拨号,建议将自动拨号的时间间隔配置的小一些

配置Dialer接口的MTU值

mtu size

缺省情况下,Dialer接口的MTU值为1500字节

对于PPPoE Client应用的Dialer接口,应修改其MTU值,保证分片后的报文加上2个字节的PPP头和6个字节的PPPoE头之后的总长度不超过对应PPPoE会话所在接口的MTU值

对于F100-M-G2/F100-S-G2/F100-C-G2/F100-C-EI/F100-C-HI/F100-S-HI/F1000-C8150/F1000-C8130/F1000-C8120/F100-C80-WiNet/F100-C60-WiNet设备,接口的MTU建议配置小于1490字节

 

2. 配置PPPoE会话

表2-2 配置PPPoE会话

操作

命令

说明

进入系统视图

system-view

-

进入三层以太网接口视图/三层以太网子接口视图/VLAN接口视图

interface interface-type interface-number

-

建立一个PPPoE会话,并且指定该会话所对应的Dialer bundle

pppoe-client dial-bundle-number number [ no-hostuniq ]

缺省情况下,没有配置PPPoE会话

该Dialer bundle的序号number与Dialer接口的编号相同

 

3. 复位PPPoE会话

当PPPoE会话工作在永久在线模式时,如果使用reset pppoe-client命令复位PPPoE会话,设备会在自动拨号定时器超时后自动重新建立PPPoE会话。

当PPPoE会话工作在按需拨号模式时,如果使用reset pppoe-client命令复位PPPoE会话,设备会在有数据需要传送时,才重新建立PPPoE会话。

表2-3 复位PPPoE会话

操作

命令

说明

复位PPPoE会话

reset pppoe-client { all | dial-bundle-number number }

请在用户视图下进行该操作

 

2.3  PPPoE显示和维护

2.3.1  PPPoE Client显示和维护

在完成上述配置后,在任意视图下执行display命令可以显示PPPoE Client配置后的运行情况,通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除PPPoE会话的协议报文统计信息。

表2-4 PPPoE Client显示和维护

操作

命令

显示PPPoE会话的概要信息

display pppoe-client session summary [ dial-bundle-number number ]

显示PPPoE会话的协议报文统计信息

display pppoe-client session packet [ dial-bundle-number number ]

清除PPPoE会话的协议报文统计信息

reset pppoe-client session packet [ dial-bundle-number number ]

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

联系我们