02-PPP配置

Size: px

Start display at page:

Download "02-PPP配置"

菜迭鱼
5 years ago
Views:

1 目录 1 PPP 配置 PPP 协议简介 PPP 简介配置 PPP 配置 PAP 验证配置 CHAP 验证 PPP 协商参数 PPP 计费统计功能 PPP 的显示和维护 PPP 常见错误配置举例链路始终不能转为 up 状态物理链路不能转为 up 状态 IPv6CP 协商 down 后不能重协商 PPPoE 配置 PPPoE 简介 PPPoE PPPoE Server 配置 PPPoE Server PPPoE 显示和维护 PPPoE 典型配置举例 PPPoE Server 典型配置举例 (WX 系列无线控制产品适用 ) i

2 1 PPP 配置 1.1 PPP 协议简介 PPP 简介 PPP(Point to Point Protocol) 协议是在点到点链路上承载网络层数据包的一种链路层协议, 由于它能够提供用户验证易于扩充, 并且支持同 / 异步通信, 因而获得广泛应用 PPP 定义了一整套的协议, 包括链路控制协议 (LCP) 网络层控制协议(NCP) 和验证协议 (PAP 和 CHAP) 链路控制协议 (Link Control Protocol,LCP): 主要用来建立拆除和监控数据链路网络控制协议 (Network Control Protocol,NCP): 主要用来协商在该数据链路上所传输的数据包的格式与类型用于网络安全方面的验证协议族 PAP 和 CHAP 1. PAP 验证 PAP(Password Authentication Protocol) 验证为两次握手验证, 密码为明文,PAP 验证的过程如下 : (1) 被验证方发送用户名和密码到验证方 ; (2) 验证方根据本端用户表查看是否有此用户以及密码是否正确, 然后返回不同的响应 (Acknowledge or Not Acknowledge) 图 1-1 PAP 验证示意图 PAP 不是一种安全的验证协议当验证时, 口令以明文方式在链路上发送, 并且由于完成 PPP 链路建立后, 被验证方会不停地在链路上反复发送用户名和口令, 直到身份验证过程结束, 所以不能防止攻击 2. CHAP 验证 CHAP(Challenge-Handshake Authentication Protocol) 验证为三次握手验证, 密码为密文 ( 密钥 ) CHAP 单向验证是指一端作为验证方, 另一端作为被验证方双向验证是单向验证的简单叠加, 即两端都是既作为验证方又作为被验证方在实际应用中一般只采用单向验证 1-1

3 CHAP 单向验证过程分为两种情况 : 验证方配置了用户名和验证方没有配置用户名推荐使用验证方配置用户名的方式, 这样可以对验证方的身份进行确认验证方配置了用户名的 CHAP 验证过程如下 : (1) 验证方主动发起验证请求, 验证方向被验证方发送一些随机产生的报文 (Challenge), 并同时将本端的用户名附带上一起发送给被验证方 ; (2) 被验证方接到验证方的验证请求后, 根据此报文中验证方的用户名在本端的用户表查找该用户对应的密码, 如果在用户表找到了与验证方用户名相同的用户, 便利用报文 ID 此用户的密钥 ( 密码 ) 和 MD5 算法对该随机报文进行加密, 将生成的密文和被验证方自己的用户名发回验证方 (Response); (3) 验证方用自己保存的被验证方密码和 MD5 算法对原随机报文加密, 比较二者的密文, 根据比较结果返回不同的响应 (Acknowledge or Not Acknowledge) 验证方没有配置用户名的 CHAP 验证过程如下 : (1) 验证方主动发起验证请求, 验证方向被验证方发送一些随机产生的报文 (Challenge); (2) 被验证方接到验证方的验证请求后, 利用报文 ID 缺省的 CHAP 密码和 MD5 算法对该随机报文进行加密, 将生成的密文和自己的用户名发回验证方 (Response); (3) 验证方用自己保存的被验证方密码和 MD5 算法对原随机报文加密, 比较二者的密文, 根据比较结果返回不同的响应 (Acknowledge or Not Acknowledge) 图 1-2 CHAP 验证示意图 3. PPP 运行过程 : PPP 运行过程 ( 参见下图 ) 如下 : (1) 在开始建立 PPP 链路时, 先进入到 Establish 阶段 (2) 在 Establish 阶段 PPP 链路进行 LCP 协商, 协商内容包括工作方式 ( 是 SP 还是 MP) 验证方式和最大传输单元等 LCP 协商成功后进入 Opened 状态, 表示底层链路已经建立 (3) 如果配置了验证 ( 远端验证本地或者本地验证远端 ) 则进入 Authenticate 阶段, 开始 CHAP 或 PAP 验证 (4) 如果验证失败进入 Terminate 阶段, 拆除链路,LCP 状态转为 Down; 如果验证成功就进入 Network 协商阶段 (NCP), 此时 LCP 状态仍为 Opened, 而 IPCP 状态从 Initial 转到 Request (5) NCP 协商支持 IPCP 协商,IPCP 协商主要包括双方的 IP 地址通过 NCP 协商来选择和配置一个网络层协议只有相应的网络层协议协商成功后, 该网络层协议才可以通过这条 PPP 链路发送报文 1-2

4 (6) PPP 链路将一直保持通信, 直至有明确的 LCP 或 NCP 帧关闭这条链路, 或发生了某些外部事件 ( 例如用户的干预 ) 图 1-3 PPP 运行流程图有关 PPP 的详细说明, 请参考 RFC 配置 PPP 配置 PAP 验证 1. 配置验证方表 1-1 配置验证方操作命令说明配置本地验证对端的方式为 PAP ppp authentication-mode pap [ [ call-in ] domain isp-name ] 当不加 domain 时, 缺省使用的 domain 是系统缺省的域, 认证方式是本地验证, 地址分配必须使用该域下配置的地址池创建本地用户, 并进入本地用户视图设置本地用户的密码设置本地用户的服务类型以及其他属性 local-user username password { cipher simple } password service-type ppp 创建一个 ISP 域, 或者进入已创建 ISP 域的视图 domain isp-name 配置域用户使用本地认证方案 authentication ppp local 1-3

5 关于创建本地用户以及设置本地用户属性创建域以及设置域的属性的详细说明, 请参见安全配置指导中的 AAA 2. 配置被验证方表 1-2 配置 PAP 验证的被验证方操作命令说明配置本地被对端以 PAP 方式验证时本地发送的 PAP 用户名和密码 interface virtual-template number ppp pap local-user username password { cipher simple } password - 缺省情况下, 被对端以 PAP 方式验证时, 本地设备发送的用户名和密码均为空配置 CHAP 验证 1. 配置验证方表 1-3 配置验证方操作命令说明配置本地验证对端的方式为 CHAP 配置本地用户名称 ppp authentication-mode chap [ [ call-in ] domain isp-name ] ppp chap user username 当不加 domain 时, 缺省使用的 domain 是系统缺省的域, 认证方式是本地验证, 地址分配必须使用该域下配置的地址池当选择验证方配置了用户名这种情况, 必须配置 ; 当选择验证方没有配置用户名这种情况, 不用配置创建本地用户, 并进入本地用户视图 local-user username 设置本地用户的密码 password { cipher simple } password 设置本地用户的服务类型以及其他属性 service-type ppp 创建一个 ISP 域, 或者进入已创建 ISP 域的视图 domain isp-name 1-4

6 操作命令说明配置域用户使用本地认证方案 authentication ppp local 关于创建本地用户以及设置本地用户属性创建域以及设置域的属性的详细说明, 请参见安全配置指导中的 AAA 2. 配置被验证方表 1-4 配置被验证方操作命令说明配置本地用户名称 ppp chap user username 设置缺省的 CHAP 验证密码 ppp chap password { cipher simple } password 当选择验证方配置了用户名这种情况, 不用配置 ; 当选择验证方没有配置用户名这种情况, 必须配置设置本地用户以及相应的密码 ( 当选择验证方配置了用户名这种情况, 必须配置 ; 当选择验证方没有配置用户名这种情况, 不用配置 ) 创建本地用户, 并进入本地用户视图设置本地用户的密码 local-user username password { cipher simple } password PPP 协商参数 1. PPP 协商参数介绍可以配置的 PPP 协商参数包括 : 协商超时时间间隔协商 IP 地址协商 DNS 地址 (1) 协商超时时间间隔在 PPP 协商过程中, 如果在这个时间间隔内没有收到对端的应答报文, 则 PPP 将会重发前一次发送的报文超时时间间隔范围为 1 秒到 10 秒 (2) 协商 IP 地址协商 IP 地址的方式有两种 : 1-5

7 配置设备作为 Client 端 : 若本端接口封装的链路层协议为 PPP 但还未配置 IP 地址, 而对端已有 IP 地址时, 可为本端接口配置 IP 地址可协商属性, 使本端接口接受 PPP 协商产生的由对端分配的 IP 地址该配置主要用于在通过 ISP 访问 Internet 时, 得到由 ISP 分配的 IP 地址配置设备作为 Server 端 : 若是设备作为 Server 为对端设备分配 IP 地址, 则应首先在域视图或系统视图下配置本地 IP 地址池, 指明地址池的地址范围, 然后在接口视图下指定该接口使用的地址池 (3) 协商 DNS 地址设备在进行 PPP 地址协商的过程中可以进行 DNS 地址协商, 此时设备既可以配置为接收对端分配的 DNS 地址, 也可以配置为向对方提供 DNS 地址一般情况下, 当 PC 与设备通过 PPP 协议相连时 ( 通常为 PC 机拨号连接设备 ), 设备应为对端设备指定 DNS 地址, 这样 PC 就可以通过域名直接访问 Internet; 当设备通过 PPP 协议连接运营商的接入服务器时, 设备应配置为被动接收或主动请求对端指定 DNS 地址, 这样设备就可以使用接入服务器分配的 DNS 来解析域名 2. 配置协商超时时间间隔表 1-5 配置协商超时时间间隔操作命令说明配置协商超时时间间隔 ppp timer negotiate seconds 缺省情况下, 协商超时时间间隔为 3 秒 3. 配置 PPP 协商 IP 地址表 1-6 配置 PPP 协商 IP 地址操作命令说明配置 PPP 协商 IP 地址 (Client 端和 Server 端选择其一 ) 配置 Server 端配置 Client 端请参见表 1-7 配置 Client 端请参见表 1-8 配置 Server 端 ( 对于不需要进行认证的 PPP 用户 ) 或者表 1-9 配置 Server 端 ( 对于需要进行认证的 PPP 用户 ) (1) 配置 Client 端表 1-7 配置 Client 端操作命令说明设置接口 IP 地址可协商属性 ip address ppp-negotiate (2) 配置 Server 端 1-6

8 对于不需要进行认证的 PPP 用户,Server 端的配置方式如下 : 表 1-8 配置 Server 端 ( 对于不需要进行认证的 PPP 用户 ) 操作命令说明通过使用全局地址池给对端分配地址, 或者直接为对端指定 IP 地址 ( 两者选择其一 ) 首先定义全局 IP 地址池, 然后在接口上使用全局地址池给 PPP 用户分配 IP 地址接口直接为对端指定 IP 地址 ip pool pool-number low-ip-address [ high-ip-address ] interface virtual-template number remote address pool [ pool-number ] interface virtual-template number remote address ip-address 当配置了 remote address pool 但没有指定 pool-number 时, 缺省使用 0 号全局地址池对于需要进行认证的 PPP 用户,Server 端的配置方式如表 1-9 所示, 定义地址池所使用的域就是配置进行 PPP 认证时指定的域 : 表 1-9 配置 Server 端 ( 对于需要进行认证的 PPP 用户 ) 操作命令说明进入指定的域视图 domain domain-name 定义域地址池 ip pool pool-number low-ip-address [ high-ip-address ] 使用域地址池给 PPP 用户分配 IP 地址配置 PPP IPCP 不允许对端使用自行配置的固定 IP 地址 remote address pool [ pool-number ] ppp ipcp remote-address forced 若配置该命令时不指定 pool-number, 则在 IP 地址协商时依次使用该域下的地址池给用户分配 IP 地址缺省情况下,PPP IPCP 的 IP 地址协商情况为本端不具有地址分配的强制性, 即设备本端允许对端自行配置地址当对端明确请求本端分配地址时, 本端给对端分配地址 ; 若对端已自行配置 IP 地址时, 本端不再强行给对端分配地址 4. 配置 DNS 服务器地址协商 (1) 配置 Client 端表 1-10 配置 Client 端操作命令说明 interface virtual-template number - 1-7

9 操作命令说明配置设备主动请求对端指定 DNS 地址配置设备被动地接收对端指定的 DNS 服务器地址 ppp ipcp dns request ppp ipcp dns admit-any 缺省情况下, 禁止设备主动向对端请求 DNS 服务器地址缺省情况下, 设备不会被动地接收对端设备指定的 DNS 服务器的 IP 地址 (2) 配置 Server 端表 1-11 配置 Server 端操作命令说明使能设备为对端设备指定 DNS 服务器地址 ppp ipcp dns primary-dns-address [ secondary-dns-address ] 缺省情况下, 设备不为对端设备指定 DNS 服务器的 IP 地址 PPP 计费统计功能 1. PPP 计费统计功能介绍 PPP 协议可以为每条 PPP 链路提供基于流量的计费统计功能, 具体统计内容包括出入两个方向上流经本链路的报文数和字节数 AAA 应用模块可以获取这些流量统计信息由于计费控制使用 2. 配置 PPP 计费统计功能表 1-12 配置 PPP 计费统计功能操作命令说明使能 PPP 计费统计功能 ppp account-statistics enable 缺省情况下, 不启动计费统计功能 1.3 PPP 的显示和维护在完成上述配置后, 在任意视图下执行 display 命令可以显示 PPP 配置后的运行情况, 通过查看显示信息验证配置的效果在用户视图下执行 reset 命令可以清除相应的统计信息 1-8

10 表 1-13 PPP 的显示和维护操作显示虚拟访问接口的状态信息命令 display virtual-access [ va-number peer peer-address user user-name vt vt-number ] * 显示已创建的虚拟接口模板的状态信息 display interface virtual-template [ number ] 清除指定接口的统计信息 reset counters interface [ interface-type [ interface-number ] ] 1.4 PPP 常见错误配置举例链路始终不能转为 up 状态 1. 故障现象 PPP 验证失败, 链路始终不能转为 up 状态 2. 故障分析可能是由于 PPP 验证参数配置不正确, 导致 PPP 验证失败 3. 故障排除打开 PPP 的调试开关, 会看到 LCP 协商成功并转为 up 状态后进行 PAP 或 CHAP 协商, 然后 LCP 转为 down 状态, 则需要修改 PPP 验证参数的配置, 保证验证方可以通过被验证方的验证物理链路不能转为 up 状态 1. 故障现象物理链路始终是 down 状态 2. 故障分析物理链路始终是 down 状态, 可能有以下原因 : 接口没有被激活 ; 接口被管理员 down 掉 ; 物理接口已通, 但是链路协商没有通过 3. 故障排除可以执行 display interface 命令来查看接口当前状态, 判断故障原因, 从而采取相应的方法使物理链路 up 接口有五种状态 : serial number is administratively down, line protocol is down: 表示该接口被管理员 down serial number is down, line protocol is down: 表示该接口没有被激活或物理层没有转为 up 状态 Virtual-template number is down, line protocol is spoofing up: 表示该接口是拨号口, 没有呼通 serial number is up, line protocol is up: 表示该接口链路协商即 LCP 协商已通过 serial number is up, line protocol is down: 表示该接口已激活, 但链路协商仍没有通过 1-9

11 1.4.3 IPv6CP 协商 down 后不能重协商 1. 故障现象未使能 IPv6 的前提下在 PPP 链路上配置 IPv6 地址,IPv6CP 无法协商 up, 使能 IPv6 功能后, 依旧不能协商 up 2. 故障分析未使能 IPv6 的前提下,IPv6CP 无法协商成功, 由于 IPv6CP 无重协商机制, 所以后续再使能 IPv6 也无法使 IPv6CP 协商 up 3. 故障排除在 PPP 链路上配置 IPv6 地址时, 建议首先使能系统的 IPv6 功能, 然后再配置 IPv6 地址如果 IPv6CP 协商 down, 可以通过命令 shutdown/undo shutdown 接口使其重新进行协商 1-10

12 2 PPPoE 配置 2.1 PPPoE 简介 PPPoE PPPoE 是 Point-to-Point Protocol over Ethernet 的简称, 它可以通过一个远端接入设备为以太网上的主机提供因特网接入服务, 并对接入的每个主机实现控制计费功能由于很好地结合了以太网的经济性及 PPP 良好的可扩展性与管理控制功能,PPPoE 被广泛应用于小区组网等环境中 PPPoE 协议采用 Client/Server 方式, 它将 PPP 报文封装在以太网帧之内, 在以太网上提供点对点的连接 PPPoE 有两个阶段 :Discovery 阶段和 PPP Session 阶段, 具体如下 : Discovery 阶段当一个主机开始 PPPoE 进程的时候, 它必须先识别接入端的以太网 MAC 地址, 建立 PPPoE 的 Session ID 这就是 Discovery 阶段的目的 Discovery 阶段结束时服务器和主机之间就确定了 PPPoE 会话的 Session ID, 双方进入 PPPoE Session 阶段 PPP Session 阶段当 PPPoE 进入 Session 阶段后 PPP 报文就可以作为 PPPoE 帧的净荷封装在以太网帧发到对端, Session ID 必须是 Discovery 阶段确定的 ID,MAC 地址必须是对端的 MAC 地址,PPP 报文从 Protocol ID 开始在 Session 阶段, 主机或服务器任何一方都可发 PADT(PPPoE Active Discovery Terminate) 报文通知对方结束本 Session 关于 PPPoE 的详细介绍, 可以参考 RFC PPPoE Server 设备提供了 PPPoE Server 的功能, 支持动态分配 IP 地址, 提供本地认证 RADIUS/TACACS+ 等多种认证方式, 配合访问包过滤防火墙及状态防火墙, 可以对内部网络提供安全保障, 适用于校园智能小区等通过以太网接入 Internet 的组网应用这种组网方式需要在用户 Host 上安装 PPPoE 客户端拨号软件 2.2 配置 PPPoE Server PPPoE Server 可以配置在物理以太网接口上, 也可以配置在由 ADSL 接口生成的虚拟以太网接口上表 2-1 配置 PPPoE Server 操作命令说明 2-1

13 操作命令说明设置 PPP 的工作参数 ( 包括验证方式 IP 地址获取方式 ), 用户还可以设置为 PPP 对端分配的 IP 地址 ( 或 IP 地址池 ) 进入指定的 VLAN 接口视图在 VLAN 接口上启用 PPPoE 协议请参见 PPP 简介以及 PPP 协商参数 interface interface-type interface-number pppoe-server bind virtual-template number 缺省情况下, 禁止 PPPoE 协议配置一个对端 MAC 地址上能创建的最大 PPPoE Session 数目配置一个本端 MAC 地址上能创建的最大 PPPoE Session 数目配置本系统能创建的最大 PPPoE Session 数目 PPPoE Server 对 PPP 用户进行认证计费 pppoe-server max-sessions remote-mac number pppoe-server max-sessions local-mac number pppoe-server max-sessions total number 相关内容请参见安全配置指导中的 AAA 缺省情况下,number 数值为 100 缺省情况下,number 数值为 100 缺省情况下, 系统能创建 PPPoE 会话的最大数目与设备相关, 请以设备的实际情况为准关闭 PPPoE Server 产生的 PPP 日志信息的显示开关 pppoe-server log-information off 缺省情况下, 打开 PPPoE Server 产生的 PPP 日志信息的显示开关对于 Virtual-Template 接口, 如果配置静态路由, 请指定下一跳而不要指定出接口如果必须指定出接口的话, 请保证 Virtual-Template 下绑定的物理接口有效, 从而保证报文能够正常传输 2.3 PPPoE 显示和维护在完成上述配置后, 在任意视图下执行 display 命令可以显示 PPPoE 配置后的运行情况, 通过查看显示信息验证配置的效果在用户视图下执行 reset 命令可以中止 PPPoE Server 端的会话 2-2

14 表 2-2 PPPoE 显示和维护配置命令显示 PPPoE Server 会话的状态和统计数据 display pppoe-server session { all packet } 中止 PPPoE Server 端的会话 reset pppoe-server { all interface interface-type interface-number virtual-template number } 2.4 PPPoE 典型配置举例 PPPoE Server 典型配置举例 (WX 系列无线控制产品适用 ) 1. 组网需求如图 2-1 所示,Host 运行 PPPoE Client, 通过 AC 接入到 Internet AC 作为 PPPoE Server, 配置本地认证, 并通过地址池为用户分配 IP 地址 2. 组网图 AC 通过 Vlan-interface 1 接口连接以太网,Vlan-interface 2 接口连接 Internet 图 2-1 PPPoE Server 典型配置举例组网图 3. 配置步骤 # 增加一个 PPPoE 用户 <Sysname> system-view [Sysname] local-user user1 [Sysname-luser-user1] password simple pass1 [Sysname-luser-user1] service-type ppp [Sysname-luser-user1] quit # 在 AC 上配置虚拟模板参数 [Sysname] interface virtual-template 1 [Sysname-virtual-template1] ppp authentication-mode chap domain system [Sysname-virtual-template1] ppp chap user user1 [Sysname-virtual-template1] remote address pool 1 [Sysname-virtual-template1] ip address [Sysname-virtual-template1] quit # 在 AC 上配置 PPPoE 参数 [Sysname] interface Vlan-interface1 [Sysname-Vlan-interface1] pppoe-server bind virtual-template 1 [Sysname-Vlan-interface1] quit 2-3

15 # 配置域用户使用本地认证方案 [Sysname] domain system [Sysname-isp-system] authentication ppp local # 增加一个本地 IP 地址池 (9 个 IP 地址 ) [Sysname-isp-system] ip pool 这样, 以太网上各主机安装 PPPoE 客户端软件后, 配置好用户名和密码 ( 此处为 user1 和 pass1) 就能使用 PPPoE 协议, 通过设备 Router 接入到 Internet 若通过 authentication ppp 命令配置认证方案为 radius-scheme 或 hwtacacs-scheme, 那么还需要配置 RADIUS/HWTACAS 参数, 使系统可以进行认证授权计费, 具体配置步骤请参见安全配置指导中的 AAA 2-4

目录（目录名） H3C WA 系列 PPPoE Client 配置举例关键词 :PPPoE,PPPoE Client,AP 摘要 :PPPoE 是 Point-to-Point Protocol over Ethernet 的简称, 它可以通过一个远端接入设备为以太网上的主机提供因特网接入服务, 并对接入的每个主机实现控制计费功能由于很好地结合了以太网的经济性及 PPP 良好的可扩展性与管理控制功能,PPPoE