PPP CHAP單向驗(yàn)證

1、PPP CHAP單向驗(yàn)證（小平同志整理）一、拓樸圖：二、R1的配置：1、修改設(shè)備名稱和配置端口IP：Router(config#hostname R1R1(config#in s0/0/0R1(config-if#ip address 12.1.1.1 255.255.255.0R1(config-if#clock rate 64000R1(config-if#no shutdownR1(config-if#exit2、配置PPP CHAP驗(yàn)證：R1(config#username R2 password 123 配置本地驗(yàn)證使用的用戶名和密碼，因?yàn)殡m然對端不再使用CHAP認(rèn)證，但根據(jù)CHAP

2、驗(yàn)證過程來可以發(fā)現(xiàn)當(dāng)本地R1路由器接收到對端被驗(yàn)證方R2路由器發(fā)回的響應(yīng)應(yīng)答報(bào)文后R1還要根據(jù)報(bào)文id找到本地保存的隨機(jī)數(shù)，并根據(jù)發(fā)過來的被驗(yàn)證路由器的名字在數(shù)據(jù)庫中查找用戶名對應(yīng)的密碼，然后用id、隨機(jī)數(shù)和密碼經(jīng)MD5算法得出一個Hash值，與被驗(yàn)證方發(fā)過來的Hash值進(jìn)行比較，所以這里的用戶名要使用對方路由器的名字，否則本地路由器R1就無法根據(jù)發(fā)過來的被驗(yàn)證路由器的名字在數(shù)據(jù)庫中查找到用戶名對應(yīng)的密碼，就無法計(jì)算出與被驗(yàn)證方發(fā)過來一樣的Hash值,則就會導(dǎo)致驗(yàn)證失?。贿€有一點(diǎn)就是兩端設(shè)備配置的驗(yàn)證密碼一定要相同，因?yàn)閮啥寺酚善魇腔诿艽a計(jì)算Hash值的，如果兩端的密碼不同，計(jì)算出來的Has

3、h值就會不相同，將會導(dǎo)致驗(yàn)證失敗，這一點(diǎn)與PAP驗(yàn)證不同。R1(config#in s0/0/0R1(config-if#encapsulation ppp 封裝PPP協(xié)議R1(config-if#ppp authentication chap 配置驗(yàn)證方式為CHAP驗(yàn)證 （CHAP驗(yàn)證是路由器推薦的驗(yàn)證方式，因?yàn)镃HAP是一種三次握手協(xié)議，它只在網(wǎng)絡(luò)上傳輸用戶名，而用戶口令并不在網(wǎng)絡(luò)上傳播，安全性有提高，而且不用像PAP驗(yàn)證那樣還要配置發(fā)送的用戶名和密碼。）R1(config-if#no shutdown三、R2的配置：1、修改設(shè)備名稱和配置端口IP：Router(config#hostna

4、me R2R2(config#in s0/0/1R2(config-if#ip address 12.1.1.2 255.255.255.0R2(config-if#no shutdownR2(config-if#exit2、配置PPP CHAP驗(yàn)證：R2(config#username R1 password 123 由于在這里R2路由器作為被驗(yàn)證方，根據(jù)CHAP的驗(yàn)證過程看R2就需要在接收到R1主動發(fā)的挑戰(zhàn)報(bào)文后，根據(jù)報(bào)文中的主機(jī)名在數(shù)據(jù)庫中查找用戶名對應(yīng)的密碼，然后利用報(bào)文中的id和此用戶名對應(yīng)的密碼以及發(fā)過來的隨機(jī)數(shù)，以MD5算法生成一個Hash值，并將其和驗(yàn)證方發(fā)過來的id值和生成的

5、Hash值以及本路由器的名字發(fā)回給驗(yàn)證方，如果在這里被驗(yàn)證方R2路由器不建立一個和驗(yàn)證方R1的設(shè)備名一樣的用戶名和一個和驗(yàn)證方R1的數(shù)據(jù)庫中一樣的密碼的話，被驗(yàn)證路由器R2就無法根據(jù)報(bào)文中的主機(jī)名在數(shù)據(jù)庫中找到相同用戶名對應(yīng)的密碼，也就無法計(jì)算出一個與之后驗(yàn)證方R1計(jì)算出的一樣的Hash值，則驗(yàn)證就將失敗，被證方R2的連接請求就將會被驗(yàn)證方R1拒絕，所以在這里必須還要配置一個和驗(yàn)證方R1的設(shè)備名一樣的用戶名和一個和驗(yàn)證方R1的數(shù)據(jù)庫中一樣的密碼所組成的本地?cái)?shù)據(jù)庫使用的用戶名和密碼。R2(config#in s0/0/1R2(config-if#encapsulation ppp 封裝PPP協(xié)議（備注：由于這里是單向驗(yàn)證，而R2路由器作為被驗(yàn)證方，所以在這里下面是不用為R2配置驗(yàn)證方式的）R2(config-if#no shutdown從上面的配置中，可以得出關(guān)于PPP CHAP的兩點(diǎn)結(jié)論：一、CHAP驗(yàn)證中的用戶名要是對方路由器的主機(jī)名；二、兩端路由器使用的密碼要相同。備注：CHAP作用在LCP初始鏈路建立之后，而且在鏈路建立成功后任何時間都可以進(jìn)行重復(fù)驗(yàn)證。這里要注意的是，CHAP驗(yàn)證