Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
在此页面上
 

PPP 挑战握手身份验证协议

PPP 挑战握手身份验证协议

对于具有 PPP 封装的接口，您可以配置接口以支持 RFC 1994 年 PPP 挑战握手身份验证协议 （CHAP） 中定义的 PPP 挑战握手身份验证协议 （CHAP）。在接口上启用 CHAP 时，接口可以对其对等方进行身份验证，并通过其对等方进行身份验证。默认情况下，PPP CHAP 已禁用。如果 CHAP 未明确启用，则接口不会出现 CHAP 挑战，并拒绝所有传入的 CHAP 挑战。要启用 CHAP，必须创建访问配置文件，并且必须将接口配置为使用 CHAP。

CHAP 允许 PPP 链路的每一端对等方进行身份验证，如 RFC 1994 中定义。认证方向其对等方发送一个随机生成的挑战，即对等方必须使用单向 散列进行加密;然后，对等方必须对加密结果做出响应。哈希的密钥是只有认证方才知道并经过身份验证的秘密。收到响应时，验证方会将其计算结果与对等方的响应进行比较。如果它们匹配，则对等方将经过身份验证。

链路的每个端都通过将其名称包括在其发送给对等方的 CHAP 挑战和响应数据包中，向其对等方标识自身。此名称默认用于本地主机名，或者您可以使用 local-name 选项显式设置。当主机在特定接口上收到 CHAP 挑战或 CHAP 响应数据包时，它会使用对等方身份查找要使用的 CHAP 密钥。

配置 PPP 挑战握手身份验证协议

要启用 CHAP，您必须创建访问配置文件，并且必须将接口配置为使用 PAP。

定义：

  • profile 是对等方标识符和 CHAP 密钥之间的映射。CHAP 挑战中包含的对等方身份，或响应查询要使用的密钥配置文件。

  • client 是对等方身份

  • chap-secret 是与该对等方关联的秘密密钥。

  1. 要创建访问配置文件，请在[edit access]层级包括profile语句：

  2. 要识别与该对等方关联的对等方和密钥，请在层次结构级别中[edit access profile profile-name]包含client语句：

您可以配置多个 CHAP 配置文件，并为每个 配置文件配置多个客户端。有关如何配置接入配置文件的详细信息，请参阅 点对点协议 （PPP） 和第 2 层通道协议 （L2TP）。

将接口配置为使用 CHAP 时，必须将访问配置文件分配给接口。当接口收到 CHAP 挑战和响应时，数据包中的访问配置文件用于查找共享密钥，如 RFC 1994 中定义。如果未发现接口收到的 CHAP 挑战的匹配访问配置文件，则使用可选配置的默认 CHAP 密钥。如果对等方的 CHAP 名称未知，或者 CHAP 名称在 PPP 链路协商期间更改，默认 CHAP 密钥将很有用。

要在带有 PPP 封装的每个物理接口上配置 PPP CHAP，请执行以下步骤。

  1. 要将访问配置文件分配给接口，请在层次结构级别中[edit interfaces interface-name ppp-options chap]包含access-profile语句。
    注意：

    配置 CHAP 身份验证方法时，必须包括 access-profile 语句。如果接口收到不在应用访问配置文件中的对等方的 CHAP 挑战或响应，则链路将立即被丢弃，除非已配置默认 CHAP 密钥。

  2. 不存在匹配的 CHAP 访问配置文件，或者 PPP 链路协商期间 CHAP 名称发生变化时，将使用默认 CHAP 密钥。要为接口配置默认 CHAP 密钥，请在层次结构级别中[edit interfaces interface-name ppp-options chap]包含default-chap-secret语句。
  3. 要配置接口在 CHAP 挑战和响应数据包中使用的名称，请在层次结构级别中[edit interfaces interface-name ppp-options chap]包含local-name语句：
    注意：

    • 本地名称是长度为 1 到 32 个字符的任何字符串，从字母数字或下列字符开始，并且仅包括以下字符：

    • 默认情况下，当接口上启用 CHAP 时，接口将路由器的系统主机名用作 CHAP 挑战和响应数据包中发送的名称。

  4. 您可以配置接口，而不是挑战其对等方，并且仅在受到挑战时才做出响应。要配置不挑战其对等方的接口，请在层次结构级别中[edit interfaces interface-name ppp-options chap]包含passive语句：
    注意：

    默认情况下，当接口上启用 CHAP 时，接口始终挑战其对等方并响应来自对等方的挑战。

显示已配置的 PPP 挑战握手身份验证协议

目的

要在和[edit interfaces]层次结构级别上显示已配置的 [edit access] PPP CHAP。

  • 访问配置文件 —pe-A-ppp-clients

  • 默认 CHAP 密钥数据 —"$ABC123"

  • CHAP 挑战和响应数据包主机名 —"pe-A-so-1/1/1"

  • 接口 - so-1/1/2

行动

  • show在层次结构级别上[edit access]运行 命令。

  • show在层次结构级别上[edit interfaces s0-1/1/2]运行 命令。

意义

配置的 CHAP 及其关联的设置选项将按照预期显示。

示例：配置 PPP CHAP

相关文档