什么是PPP？PPP的认证方式又有哪些？( 二 ) _PPPoE

---最大接收单元MRU，表示PPP数据帧中信息字段和填充字段的总长度；默认值为1500字节。
---认证协议，PAP协议和CHAP协议，一条PPP链路的两端可以使用不同的认证协议认证对端，但是被认证方必须支持认证方要求使用的认证协议并正确配置用户名和密码等认证信息。
---魔术字，用来检测链路环路和其它异常情况；魔术字为随机产生的一个数字，随机机制需要保证两端产生相同魔术字的可能性几乎为0 。
---质量协议，用来做QOS，设置数据转发的优先级。
---MP多链路参数，用于做多根链路的捆绑。
---报头/报文压缩，是否需要做报文、报头压缩。
2、Configure-Ack配置响应报文：收到对端发来的Configure-Request报文，如果参数取值完全接受，则以此报文响应。
3、Configure-Nak配置不响应报文：收到对端发来的Configure-Request报文，如果参数取值不被本端认可，则发送此报文并且携带本端可接受的配置参数。
4、Configure-Reject配置拒绝报文：收到对端发来的Configure-Request报文，如果本端不能识别对端发送的Configure-Request中的某些参数，则发送此报文并且携带那些本端不能认别的配置参数。

文章插图

PPP认证模式一：PAP认证

文章插图

PAP认证协议被称为密码认证/两次握手认证协议，当LCP协商完成后，认证方要求被认证方使用PAP进行认证；被认证方将配置的用户名和密码信息使用Authenticate-Request报文以明文方式发送给认证方；认证方收到被认证方发送的用户名和密码信息之后，根据本地配置的用户名和密码数据库检查用户名和密码信息是否匹配，如果匹配，则返回Authenticate-Ack报文，表示认证成功。否则返回Authenticate-Nak报文，认证失败；认证过程由被认证方主动发起。

PPP认证模式二：CHAP认证

文章插图

CHAP认证被称为挑战握手认证协议/三次握手认证协议；为了匹配请求报文和回应报文，报文中含有Identifier字段，一次认证过程所使用的报文均使用相同的Identifier信息（报文ID）。
当LCP协商完成后，认证方会发送一个Challenge报文给被认证方，Challenge报文中含有Identifier信息（报文ID）和一个随机产生的Challenge字符串（可防止重放攻击），此Identifier即为后续报文所使用的Identifier 。思科设备中，challenge报文中用户名是一定添加的，如果接口配置了用户名就发送，没有配置就使用主机名发送；当被认证方收到此Challenge报文之后，进行一次加密运算，运算公式为MD5{ Identifier＋密码＋Challenge }，意思是将Identifier、密码和Challenge三部分连成一个字符串，然后对此字符串做MD5运算，得到一个16字节长的摘要信息，然后将此摘要信息和端口上配置的CHAP用户名一起封装在Response报文中发回认证方。
认证方接收到被认证方发送的Response报文之后，按照其中的用户名在本地查找相应的密码信息，得到密码信息之后，进行一次加密运算，运算方式和被认证方的加密运算方式相同，然后将加密运算得到的摘要信息和Response报文中封装的摘要信息做比较，相同则认证成功，不相同则认证失败；使用CHAP认证方式时，被认证方的密码是被加密后才进行传输的，这样就极大的提高了安全性。

思科设备上CHAP认证规则：
1、如果被认证方收到的challenge报文中一定包含用户名，被认证方必须出示接口所配置的用户名和密码，被认证方会根据用户名在本地AAA认证数据库里面找有没有对应的用户名、密码条目；AAA认证数据库里密码出示优先级高于被认证方接口的配置密码，会使用AAA认证数据库里用户名和密码进行认证。

NCP：网络控制协议，用于对两端设备IP地址信息进行确认（以IPV4CP为例）。

文章插图

1. 每一端都要发送Configure-Request报文，在此报文中包含本地配置的IP地址；
2. 每一端接收到此Configure-Request报文之后，检查其中的IP地址，如果IP地址是一个合法的单播IP地址，而且和本地配置的IP地址不同（没有IP冲突），则认为对端可以使用该地址，回应一个Configure-Ack报文。