实验19+PPP-PAP-和CHAP-认证实验.docxVIP

实验十九 PPP PAP 及CHAP 认证实验(实验类型：设计型)1 实验要求与目的●了解PPP原理，掌握PPP的两种认证方式：PAP和CHAP●掌握PPP封装在串口上的配置，PAP和CHAP认证的配置2 实验拓扑及设备采用Cisco路由器2台，串行线1条，实验拓扑结构如下：3 实验原理与背景知识1．PPP(Point-to-point)原理PPP即点对点协议，它是一种层次化的协议，包括链路控制协议(LCP)和网络控制协议(NCP)。LCP负责建立、配置和测试数据链路连接，包括协商数据链路层物理参数，进行认证、压缩及反向回拨等功能；NCP负责建立和配置不同的网络协议，它可以建立和中断一个数据链路的多个三层会话。PPP的LCP层支持PAP和CHAP认证协议。2．PAP和CHAP认证协议PAP(Password Authentication Protocol)为密码认证协议，是一个较为简单的认证协议。在认证过程中，它把认证信息直接以明文方式传输到服务器端，因此密码容易被窃取从而遭受攻击。另外，认证阶段对非法用户的重复攻击没有采取保护措施，且认证成功一次后的通信过程中又不要求复查，因此其安全性能比较差。CHAP(Challenge Handshake Authentication Protocol)为“挑战握手认证协议”，它与PAP相比起来则稳健得多。首先，在认证过程中，密码不以明文方式发送，其认证所需的重要数据在传输之前就经过不可逆加密，有效地防止了密码被窃取和逆向解密；其次，整个过程中服务器始终处于主动地位，它可以随时要求远程主机提供身份复查，并且每次认证的challenge参数都是不可预测的，因此企图以上次认证所使用的信息来欺骗服务器是不可能的；还有其他安全措施，如可设置最大允许错误次数，不允许反复试验等。所有这些都使得CHAP成为为保证PPP连接的安全性能而广泛应用认证协议。PAP、CHAP特性可归纳如下：PAPCHAP认证时由用户发起认证时由服务器发起用户名、密码明文传送用MD5算法加密传送次数无限，直至认证成功或线路关闭为止，容易受攻击次数有限（一般为3次）认证通过后不再进行验证认证通过后定时再验证安全性低安全性很高4 实验步骤4.1 PAP认证配置1．在上面拓扑结构图中，RT1和RT2之间以串行线连接，在该链路上采用PPP协议进行封装，并采用PAP认证机制。认证时，路由器将username/password发送出去，对端路由器将接收到username/password后跟配置在本地的username/password进行比较，如果相同则通过。2．配置PAPRT1（设为DCE设备）:Router(config)#hostname RT1RT1(config)#username RT2 password cisco2//建立本地数据库以验证对端路由器RT1(config)#int s0RT1(config-if)#ip address 192.168.2.1 255.255.255.0RT1(config-if)#clock rate 56000 //DCE设备设置时钟RT1(config-if)#encapsulation ppp //启动PPP封装RT1(config-if)#ppp authentication pap //启动pap认证协议RT1(config-if)#ppp pap sent-username RT1 password cisco1 //发送username和passwordRT1(config-if)#no shut RT2:Router(config)#hostname RT2RT2(config)#username RT1 password cisco1 //建立本地数据库//以验证对端路由器RT2(config)#int s0RT2(config-if)#ip address 192.168.2.2 255.255.255.0RT2(config-if)#encapsulation ppp //启动PPP封装RT2(config-if)#ppp authentication pap //启动pap认证协议RT2(config-if)#ppp pap sent-username RT2 password cisco2 RT2(config-if)#no shut3．认证过程的验证上述配置完成后，在RT1和RT2的s0口上人为地将链路shut down，然后各个路由器上启动debug功能，监视认证过程：debug ppp negotiation //可以观看ppp的协商过程debug ppp authentication接着，再以no shut将链路重新激活，此时，两个路由器上都将出