《ppp_pppoe》.ppt

PPP（Point-to-Point Protocol点到点协议）是为在同等单元之间传输数据包这样的简单链路设计的链路层协议。这种链路提供全双工操作，并按照顺序传递数据包。 设计目的主要是用来通过拨号或专线方式建立点对点连接发送数据，使其成为各种主机、网桥和路由器之间简单连接的一种共通的解决方案。 提供了一整套方案来解决链路建立、维护、拆除、上层协议协商、认证等问题 链路建立、维护、拆除:链路控制协议LCP（Link Control Protocol） 上层协议协商: 网络控制协议NCP（Network Control Protocol）； 认证:认证协议，最常用的包括口令验证协议PAP（Password Authentication Protocol）和挑战握手验证协议CHAP（Challenge-Handshake Authentication Protocol） 三个阶段：创建阶段、认证阶段和网络协商阶段。 阶段1：创建PPP链路 LCP负责创建链路。对基本的通讯方式进行选择。 链路两端设备通过LCP向对方发送配置信息报文（Configure Packets）。 配置成功信息包（Configure-Ack packet）被发送且被接收，进入了LCP开启状态。 　　应当注意，在链路创建阶段，只是对验证协议进行选择，用户验证将在第2阶段实现。 阶段2：用户验证 客户端会将自己的身份发送给远端的接入服务器。 使用安全验证方式避免第三方窃取数据或冒充远程客户接管与客户端的连接。 在认证完成之前，禁止从认证阶段前进到网络层协议阶段。 如果认证失败，认证者应该跃迁到链路终止阶段。 　　在这一阶段里，只有链路控制协议、认证协议，和链路质量监视协议的packets是被允许的。在该阶段里接收到的其他的packets必须被静静的丢弃。 　　最常用的认证协议有口令验证协议（PAP）和挑战握手验证协议（CHAP）。 阶段3：调用网络层协议 认证阶段完成之后，PPP将调用在链路创建阶段（阶段1）选定的各种网络控制协议（NCP）。选定的NCP解决PPP链路之上的高层协议问题，例如，在该阶段IP控制协议（IPCP）可以向拨入用户分配动态地址 口令验证协议（PAP） PAP是一种简单的明文验证方式。 NAS（网络接入服务器，Network Access Server）要求用户提供用户名和口令，PAP以明文方式返回用户信息。 一旦用户密码被第三方窃取，PAP无法提供避免受到第三方攻击的保障措施。 挑战-握手验证协议（CHAP） CHAP是一种加密的验证方式 NAS向远程用户发送一个挑战口令（challenge），其中包括会话ID和一个任意生成的挑战字串（arbitrary challengestring）。远程客户必须使用MD5单向哈希算法（one-way hashing algorithm）返回用户名和加密的挑战口令，会话ID以及用户口令，其中用户名以非哈希方式发送。 服务器端存有客户的明文口令，服务器重复客户端进行的操作，并将结果与用户返回的口令进行对照。 CHAP为每一次验证任意生成一个挑战字串来防止受到再现攻击（replay attack）。 在整个连接过程中，CHAP将不定时的向客户端重复发送挑战口令，从而避免第3方冒充远程客户（remote client进制impersonation）进行攻击。 PPP协议是目前广域网上应用最广泛的协议之一，它的优点在于简单、具备用户验证能力、可以解决IP分配等。 利用以太网（Ethernet）资源，在以太网上运行PPP来进行用户认证接入的方式称为PPPoE。 在ATM（异步传输模式，Asynchronous Transfer Mode）网络上运行PPP协议来管理用户认证的方式称为PPPoA PPPOE协议提供了在广播式的网络（如以太网）中多台主机连接到远端的访问集中器（我们对目前能完成上述功能的设备为宽带接入服务器）上的一种标准. 所有用户的主机都需要能独立的初始化自已的PPP协议栈，而且通过PPP协议本身所具有的一些特点，能实现在广播式网络上对用户进行计费和管理。 需要每个主机与访问集中器之间能建立唯一的点到点的会话。 网络运营商需要有效的管理用户，从网络的投资中收取回报. IETF的工程师们在秉承窄带拨号上网的运营思路（使用NAS设备终结用户的PPP数据包），制定出了在以太网上传送PPP数据包的协议（Point To Point Protocol Over Ethernet） PPPOE的发现阶段（PPPOE Discovery Stage） PPPOE的会话阶段（PPPOE Session Stage） PPP的会话过程是一样的 主要区别在于在PPP的数据报文前封装了PPPOE的报文头 无