《銳捷RCNA路由與交換技術(shù)實戰(zhàn)》 課件 項目10 AB園區(qū)基于PAP認證的安全互聯(lián)部署

項目10AB園區(qū)基于PAP認證的安全互聯(lián)部署

項目描述相關(guān)知識項目規(guī)劃設(shè)計項目實施項目驗證項目拓展目錄項目描述項目描述Jan16公司因業(yè)務(wù)發(fā)展建立了分部，租用了專門的線路用于總部與分部的互聯(lián)。為保障通信線路的數(shù)據(jù)安全，需在路由器上配置安全認證。項目拓撲如圖10-1所示，具體要求如下：（1）公司總部路由器R1使用S2/0接口與分部路由器R2互聯(lián)。（2）R1的S2/0接口上使用PPP協(xié)議并啟用PAP認證，用于分部的安全接入。（3）全網(wǎng)通過OSPF協(xié)議互聯(lián)。（4）測試計算機和路由器的IP與接口信息如拓撲所示。項目描述圖10-1網(wǎng)絡(luò)拓撲圖相關(guān)知識相關(guān)知識點對點協(xié)議PPP是基于物理鏈路上傳輸網(wǎng)絡(luò)層的報文而設(shè)計的，它的校驗、認證和連接協(xié)商機制有效解決了串行線路網(wǎng)際協(xié)議SLIP的無容錯控制機制、無授權(quán)和協(xié)議運行單一的問題。PPP協(xié)議的可靠性和安全性較高，且支持各類網(wǎng)絡(luò)層協(xié)議，可以運行在不同類型的接口和鏈路上。10.2.1PPP的基本概念PPP是Point-to-PointProtocol的簡稱，也叫做P2P，目前是TCP/IP網(wǎng)絡(luò)中最重要的點到點數(shù)據(jù)鏈路層協(xié)議。PPP主要被設(shè)計用來在支持全雙工的同異步鏈路上進行點到點之間的數(shù)據(jù)傳輸。PPP是一個適用于通過調(diào)制解調(diào)器、點到點專線、HDLC比特串行線路和其他物理層的多協(xié)議幀機制，它支持錯誤檢測、選項商定、頭部壓縮等機制，在當今的網(wǎng)絡(luò)中得到普遍的應(yīng)用。如圖10-2所示，PPP主要工作在串行接口和串行鏈路上，用于在全雙工的同異步鏈路上進行點到點的數(shù)據(jù)傳輸，常見的利用MODEM進行撥號上網(wǎng)就是其典型應(yīng)用。10.2.1PPP的基本概念圖10-2PPP在點對點中的應(yīng)用10.2.1PPP的基本概念PPP在物理上可使用各種不同的傳輸介質(zhì)，包括雙絞線、光纖及無線傳輸介質(zhì)，在數(shù)據(jù)鏈路層提供了一套解決鏈路建立、維護、拆除和上層協(xié)議協(xié)商、認證等問題的方案；協(xié)議支持同步串行連接、異步串行連接、ISDN連接、HSSI連接等連接類型，具有以下特性?！?/p>

能夠控制數(shù)據(jù)鏈路的建立?！?/p>

能夠?qū)P地址進行分配和使用?！?/p>

允許同時采用多種網(wǎng)絡(luò)層協(xié)議?！?/p>

能夠配置和測試數(shù)據(jù)鏈路?！?/p>

能夠進行錯誤檢測?！?/p>

有協(xié)商選項，能夠?qū)W(wǎng)絡(luò)層的地址和數(shù)據(jù)壓縮等進行協(xié)商。10.2.1PPP的基本概念PPP還包含了若干個附屬協(xié)議，這些附屬協(xié)議也稱為成員協(xié)議PPP的成員協(xié)議主要包括鏈路控制協(xié)議（LCP）和網(wǎng)絡(luò)控制協(xié)議（NCP）。（1）LCP鏈路控制協(xié)議(LCP，LinkControlProtocol)主要用于數(shù)據(jù)鏈路連接的建立、拆除和監(jiān)控；LCP主要完成MTU（最大傳輸單元）、質(zhì)量協(xié)議、驗證協(xié)議、魔術(shù)字、協(xié)議域壓縮、地址和控制域壓縮協(xié)商等參數(shù)的協(xié)商。10.2.1PPP的基本概念（2）NCP網(wǎng)絡(luò)層控制協(xié)議族(NCP，NetworkControlProtocol)主要用于協(xié)商在該鏈路上所傳輸?shù)臄?shù)據(jù)包的格式與類型，建立和配置不同網(wǎng)絡(luò)層協(xié)議。10.2.2PPP幀格式PPP幀的格式如圖5-3所示，關(guān)于PPP幀格式中各字段的含義描述如下。圖5-3PPP幀格式10.2.2PPP幀格式（1）Flag字段該字段的長度為8bit，標識一個物理幀的起始和結(jié)束。PPP幀都是以01010100（0X7E）開始的。（2）Address字段該字段的長度為8bit，字節(jié)固定值為10101010（0XFF），該字段并非是一個MAC地址，它表明主從端的狀態(tài)都為接收狀態(tài)，可以理解為“所有的接口”。PPP幀是在一條單一的PPP鏈路上固定地從此接口傳輸?shù)綄Χ私涌冢虼薖PP幀不像以太幀那樣包含了源MAC地址和目的MAC地址這些信息。事實上，PPP接口根本就不需要屬于自己的MAC地址，MAC地址對于PPP接口來說毫無意義。10.2.2PPP幀格式（3）Control字段該字段的長度為8bit，取值固定為00000010(0X03)。該字段并沒有什么特別的作用，表明為無序號幀。（4）Protocol字段該字段的長度為16bit，是告知在信息字段中使用的是哪類分組，針對LCP、NCP、IP、IPX、AppleTalk及其他協(xié)議，定義了相應(yīng)的代碼。例如，當Protocol字段的取值為0xc021時，就表明Information字段是一個LCP報文；當Protocol字段的取值為0x0021時，就表明Information字段是一個IP報文。10.2.3PPP的鏈路建立過程PPP鏈路的建立是通過一系列的協(xié)商完成的。其中，鏈路控制協(xié)議除了用于建立、拆除和監(jiān)控PPP數(shù)據(jù)鏈路，還主要進行數(shù)據(jù)鏈路層特性的協(xié)商，如MTU、驗證方式等；網(wǎng)絡(luò)層控制協(xié)議主要用于協(xié)商在該數(shù)據(jù)鏈路上所傳輸?shù)臄?shù)據(jù)的格式和類型，如IP地址。10.2.3PPP的鏈路建立過程PPP在建立鏈路之前要進行一系列的協(xié)商過程。PPP大致可以分為如下幾個階段：Dead（鏈路不可行）階段、Establish(鏈路建立)階段、Authenticate（驗證）階段、Network（網(wǎng)絡(luò)層協(xié)議）階段、Terminate（鏈路終止）階段。如圖10-3所示。圖10-3PPP鏈路建立的流程圖10.2.4PPP的身份認證PPP包含了通信雙方身份驗證的安全性協(xié)議，即在網(wǎng)絡(luò)層協(xié)商IP地址之前，首先必須通過身份驗證。PPP的身份驗證有兩種方式：CHAP和PAP。PAP（PasswordAuthenticationProtocol）協(xié)議是兩次握手協(xié)議，它通過用戶名及口令來進行用戶的驗證，其過程如下：（1）當開始驗證階段時，被驗證方首先將自己的用戶名及口令發(fā)送到驗證方，驗證方根據(jù)本端的用戶數(shù)據(jù)庫（或Radius服務(wù)器）察看是否有此用戶，口令是否正確。（2）如果正確則發(fā)送Ack報文通知對端進入下一階段協(xié)商，否則發(fā)送Nak報文通知對端驗證失敗。10.2.4PPP的身份認證此時，并不直接將鏈路關(guān)閉。只有當驗證失敗達到一定次數(shù)時才關(guān)閉鏈路，來防止因網(wǎng)絡(luò)誤傳、網(wǎng)絡(luò)干擾等因素造成不必要的LCP重新協(xié)商的過程。PAP是在網(wǎng)絡(luò)上以明文的方式傳送用戶名及口令，所以安全性不高。其報文交互過程如圖10-4所示。10.2.4PPP的身份認證圖10-4PAP驗證過程項目規(guī)劃設(shè)計項目規(guī)劃設(shè)計串行鏈路默認采用HDLC封裝協(xié)議，該協(xié)議數(shù)據(jù)報文可透明傳輸，易于硬件實現(xiàn)?，F(xiàn)在配置點對點的串行通信協(xié)議，可以通過PAP認證使鏈路的建立更安全。PAP認證通過用戶名和密碼進行驗證。公司總部路由器R1作為認證方，需在全局模式下添加名為Jan16的用戶，密碼為123456，并將接口S2/0的認證方式設(shè)置為PAP；分部路由器R2為被認證方，需在接口上配置PAP的認證方式，并添加與認證方一致的用戶名和密碼，即可實現(xiàn)鏈路的認證接入。配置步驟如下：（1）配置PPP協(xié)議。（2）搭建路由器接口。（3）配置PPP的PAP認證。（4）搭建OSPF網(wǎng)絡(luò)。（5）配置各計算機的IP地址。項目規(guī)劃設(shè)計本項目的IP地址規(guī)劃、端口規(guī)劃見表10-1~表10-2。設(shè)備接口IP地址網(wǎng)關(guān)R1G0/0192.168.10.254/24-R1S2/010.10.10.1/24-R2G0/0192.168.20.254/24-R2S2/010.10.10.2/24-PC1-192.168.10.1/24192.168.10.254PC2-192.168.20.1/24192.168.20.254表10-1IP地址規(guī)劃項目規(guī)劃設(shè)計本端設(shè)備本端接口對端設(shè)備對端接口R1G0/0PC1-R1S2/0R2S2/0R2G0/0PC2-R2S2/0R1S2/0表10-2端口規(guī)劃項目實施任務(wù)10-1配置PPP協(xié)議任務(wù)描述根據(jù)項目規(guī)劃設(shè)計在路由器R1、R2上配置PPP協(xié)議。任務(wù)實施在Serial接口模式下，可以使用【encapsulation{fr|dhlc|lapb|ppp|sdlc|x25}】命令指定接口的鏈路層協(xié)議類型，若指定鏈路層協(xié)議類型為ppp，認證端可以使用【Pppauthentication{pap|chap}】為ppp協(xié)議配置認證方式為PAP或CHAP。任務(wù)10-1配置PPP協(xié)議R1的PPP協(xié)議配置命令如下。R2的PPP協(xié)議配置命令如下。Ruijie>enable//進入特權(quán)模式Ruijie#config//進入全局模式Ruijie(config)#hostnameR1//將路由器名稱修改為R1R1(config)#interfaceserial2/0//進入S2/0接口R1(config-if-Serial2/0)#encapsulationPPP//配置接口封裝鏈路層協(xié)議為PPPRuijie>enableRuijie#configRuijie(config)#hostnameR2R2(config)#interfaceserial2/0R2(config-if-Serial2/0)#encapsulationPPP任務(wù)10-1配置PPP協(xié)議任務(wù)驗證（1）在R1檢查鏈路狀態(tài)和連通性，配置命令如下。R1(config-if-Serial2/0)#showinterfaceserial2/0Index(dec):2(hex):2Serial2/0isUP,lineprotocolisDOWNHardwareisSIC-1HSHDLCCONTROLLERSerialInterfaceaddressis:noipaddressMTU1500bytes,BW2000KbitEncapsulationprotocolisPPP,loopbacknotsetKeepaliveintervalis10sec,retries10.Carrierdelayis2secRxloadis1/255,Txloadis1/255LCPOpenQueueingstrategy:FIFOOutputqueue0/40,0drops;Inputqueue0/75,0drops0carriertransitionsV35DTEcable任務(wù)10-1配置PPP協(xié)議DCD=upDSR=upDTR=upRTS=upCTS=up5minutesinputrate24bits/sec,0packets/sec5minutesoutputrate24bits/sec,0packets/sec89packetsinput,1860bytes,0nobuffer,0droppedReceived0broadcasts,0runts,0giants0inputerrors,0CRC,0frame,0overrun,0abort105packetsoutput,2102bytes,0underruns,0dropped0outputerrors,0collisions,3interfaceresets任務(wù)10-1配置PPP協(xié)議（2）在R2檢查鏈路狀態(tài)和連通性，配置命令如下。R2(config-if-Serial2/0)#showinterfaceserial2/0Index(dec):2(hex):2Serial2/0isUP,lineprotocolisDOWNHardwareisSIC-1HSHDLCCONTROLLERSerialInterfaceaddressis:noipaddressMTU1500bytes,BW2000KbitEncapsulationprotocolisPPP,loopbacksetKeepaliveintervalis10sec,retries10.Carrierdelayis2secRxloadis1/255,Txloadis1/255LCPOpenQueueingstrategy:FIFOOutputqueue0/40,0drops;Inputqueue0/75,0drops0carriertransitionsV35DCEcable任務(wù)10-1配置PPP協(xié)議可以看到，現(xiàn)在R1和R2間無法正常通信，鏈路物理狀態(tài)正常，但是鏈路層協(xié)議狀態(tài)不正常。這是因為此時PPP鏈路上的IP地址未進行配置。DCD=downDSR=upDTR=upRTS=upCTS=up5minutesinputrate25bits/sec,0packets/sec5minutesoutputrate25bits/sec,0packets/sec126packetsinput,2448bytes,0nobuffer,0droppedReceived0broadcasts,0runts,0giants0inputerrors,0CRC,0frame,0overrun,0abort100packetsoutput,2196bytes,0underruns,0dropped0outputerrors,0collisions,3interfaceresets任務(wù)10-2配置路由器接口任務(wù)描述根據(jù)項目規(guī)劃設(shè)計的IP地址規(guī)劃表配置路由器的IP地址。任務(wù)實施（1）對路由器R1進行配置，配置命令如下。R1(config)#interfaceGigabitEthernet0/0//進入G0/0接口R1(config-if-GigabitEthernet0/0)#ipadd192.168.10.254255.255.255.0//配置IP地址為192.168.10.254，子網(wǎng)掩碼24位R1(config-if-GigabitEthernet0/0)#exitR1(config)#interfaceserial2/0R1(config-if-Serial2/0)#ipadd10.10.10.1255.255.255.0R1(config-if-Serial2/0)#exit任務(wù)10-2配置路由器接口（2）對路由器R2進行配置，配置命令如下。R2(config)#interfaceGigabitEthernet0/0R2(config-if-GigabitEthernet0/0)#Ipadd192.168.20.254255.255.255.0R2(config-if-GigabitEthernet0/0)#exitR2(config)#interfaceserial2/0R2(config-if-Serial2/0)#Ipadd10.10.10.2255.255.255.0R2(config-if-Serial2/0)#exit任務(wù)10-2配置路由器接口任務(wù)驗證在路由器R1上使用【showipinterfacebrief】命令查看鏈路狀態(tài)，配置命令如下。R1(config-if-Serial2/0)#showipinterfacebriefInterface

IP-Address(Pri)

IP-Address(Sec)StatusProtocolSerial2/0

10.10.10.1/24

noaddress

up

upSerial3/0

noaddress

noaddress

down

downGigabitEthernet0/0

192.168.10.254/24

noaddress

up

upGigabitEthernet0/1

noaddress

noaddress

down

downVLAN1

noaddress

noaddress

up

down任務(wù)10-2配置路由器接口在路由器R2上使用【showipinterfacebrief】命令查看鏈路狀態(tài)，配置命令如下?？梢钥吹?，S2/0接口的Status和Protocol均為up，表示R1與R2間的鏈路層協(xié)議狀態(tài)正常。R2(config-if-Serial2/0)#showipinterfacebriefInterface

IP-Address(Pri)

IP-Address(Sec)

Status

ProtocolSerial2/0

10.10.10.2/24

noaddress

up

upGigabitEthernet0/0

192.168.20.254/24

noaddress

up

upGigabitEthernet0/1

noaddress

noaddress

down

downVLAN1

noaddress

noaddress

up

down任務(wù)10-3配置PPP的PAP認證任務(wù)描述根據(jù)項目規(guī)劃設(shè)計在路由器R1、R2上配置PPP的PAP驗證.任務(wù)實施在Serial接口模式下，若指定鏈路層協(xié)議類型為ppp，認證端配置使用【pppauthentication{PAP|CHAP}】認證方式為PAP，則被認證端需要使用【ppppapsent-usernamenamepassword0password】為ppp協(xié)議配置認證用戶名及密碼。任務(wù)10-3配置PPP的PAP認證R1認證端配置命令如下。R2作為被認證端，在S2/0接口下配置以PPP方式驗證時本地發(fā)送的PAP用戶名和密碼。R1(config)#interfaceserial2/0R1(config-if-Serial2/0)#pppauthenticationPAP//認證端配置認證方式為PAPR1(config-if-Serial2/0)#exitR1(config)#usernameJan16password123456//創(chuàng)建用戶名和密碼R2(config)#interfaceserial2/0R2(config-if-Serial2/0)#ppppapsent-usernameJan16password0123456//配置本地設(shè)備被對端設(shè)備采用PAP方式認證時發(fā)送的用戶名和密文密碼任務(wù)10-3配置PPP的PAP認證任務(wù)驗證（1）在R1上使用【showinterfaceserial2/0】命令查看接口PPP認證信息，配置命令如下，R1(config)#showinterfaceserial2/0Index(dec):2(hex):2Serial2/0isUP,lineprotocolisUPHardwareisSIC-1HSHDLCCONTROLLERSerialInterfaceaddressis:10.10.10.1/24MTU1500bytes,BW2000KbitEncapsulationprotocolisPPP,loopbacknotsetKeepaliveintervalis10sec,retries10.Carrierdelayis2secRxloadis1/255,Txloadis1/255LCPOpenOpen:ipcpQueueingstrategy:FIFO

任務(wù)10-3配置PPP的PAP認證Outputqueue0/40,0drops;Inputqueue0/75,0drops0carriertransitionsV35DTEcableDCD=upDSR=upDTR=upRTS=upCTS=up5minutesinputrate77bits/sec,0packets/sec5minutesoutputrate78bits/sec,0packets/sec561packetsinput,9189bytes,0nobuffer,0droppedReceived0broadcasts,0runts,0giants0inputerrors,0CRC,0frame,0overrun,0abort577packetsoutput,10540bytes,0underruns,0dropped0outputerrors,0collisions,46interfaceresets任務(wù)10-3配置PPP的PAP認證（2）在R2上使用【showinterfaceserial2/0】命令查看接口PPP認證信息，配置命令如下，R2(config)#showinterfaceserial2/0Index(dec):2(hex):2Serial2/0isUP,lineprotocolisUPHardwareisSIC-1HSHDLCCONTROLLERSerialInterfaceaddressis:10.10.10.2/24MTU1500bytes,BW2000KbitEncapsulationprotocolisPPP,loopbacksetKeepaliveintervalis10sec,retries10.Carrierdelayis2secRxloadis1/255,Txloadis1/255LCPOpenOpen:ipcpQueueingstrategy:FIFO任務(wù)10-3配置PPP的PAP認證可以看到，Serial2/0isUP,lineprotocolisUP，EncapsulationprotocolisPPP,loopbackset，表示PPP協(xié)商成功。Outputqueue0/40,0drops;Inputqueue0/75,0drops0carriertransitionsV35DCEcableDCD=downDSR=upDTR=upRTS=upCTS=up5minutesinputrate105bits/sec,0packets/sec5minutesoutputrate87bits/sec,0packets/sec555packetsinput,10748bytes,0nobuffer,0droppedReceived0broadcasts,0runts,0giants0inputerrors,0CRC,0frame,0overrun,0abort539packetsoutput,8397bytes,0underruns,0dropped0outputerrors,0collisions,7interfaceresetsR2(config)#exit任務(wù)10-4搭建OSPF網(wǎng)絡(luò)任務(wù)描述根據(jù)項目規(guī)劃設(shè)計在各臺路由器上配置OSPF協(xié)議。任務(wù)實施（1）在R1上配置OSPF路由，配置命令如下。R1(config)#routerospf1//創(chuàng)建進程號為1的OSPF進程，進入OSPF區(qū)域0R1(config-router)#network192.168.10.00.0.0.255area0//宣告網(wǎng)段192.168.10.0/24R1(config-router)#network10.10.10.00.0.0.255area0R1(config-router)#exitR1(config)#interfaceserial2/0R1(config-if-Serial2/0)#ipospfnetworkpoint-to-pointR1(config-if-Serial2/0)#exit任務(wù)10-4搭建OSPF網(wǎng)絡(luò)（2）在R2上配置OSPF路由，配置命令如下。R2(config)#routerospf1R2(config-router)#network192.168.20.00.0.0.255area0R2(config-router)#network10.10.10.00.0.0.255area0R2(config-router)#exitR2(config)#interfaceserial2/0R2(config-if-Serial2/0)#ipospfnetworkpoint-to-pointR2(config-if-Serial2/0)#exit任務(wù)10-4搭建OSPF網(wǎng)絡(luò)任務(wù)驗證（1）在R1上使用【showipospfneighbor】命令查看OSPF的配置，配置命令如下?？梢钥吹?，R1在S2/0（10.10.10.1）接口上與R2建立鄰居。R1(config)#showipospfneighborOSPFprocess1,1Neighbors,1isFull:NeighborIDPriStateBFDStateDeadTimeAddressInterface192.168.20.2541Full/--00:00:3710.10.10.2Serial2/0任務(wù)10-4搭建OSPF網(wǎng)絡(luò)（2）在R2上使用【showipospfneighbor】命令查看OSPF的配置，配置命令如下?？梢钥吹?，R2在S2/0（10.10.10.2）接口上與R1建立鄰居。R2(config)#showipospfneighborOSPFprocess1,1Neighbors,1isFull:NeighborIDPriStateBFDStateDeadTimeAddressInterface192.168.10.2541Full/--00:00:3910.10.10.1Serial2/0任務(wù)10-5配置各計算機的IP地址任務(wù)描述根據(jù)項目IP地址規(guī)劃表給各臺計算機配置IP地址。任務(wù)實施PC1的IP地址配置結(jié)果如圖10-9所示，同理PC2的IP地址配置如圖10-10所示。任務(wù)10-5配置各計算機的IP地址圖10-9PC1IP地址配置圖10-10PC2IP地址配置任務(wù)10-5配置各計算機的IP地址任務(wù)驗證在PC1上使用【ipconfig】命令查看IP地址，配置命令如下?？梢钥吹絇C1上已經(jīng)配置了IP地址。C:\Users\Administrator>ipconfig//顯示本機IP地址配置的信息本地連接:連接特定的DNS后綴.......:IPv4地址............:192.168.10.1(首選)子網(wǎng)掩碼............:255.255.255.0默認網(wǎng)關(guān).............:192.168.10.254項目驗證項目驗證使用PC1計算機PingPC2計算機，配置命令如下。結(jié)果顯示PC1通過路由器R1和R2的轉(zhuǎn)發(fā)實現(xiàn)與PC