Protocolo de autenticación de enlace de desafío PPP
Protocolo de autenticación de enlace de desafío PPP
Para interfaces con encapsulación PPP, puede configurar interfaces para que admitan el protocolo de autenticación de enlace de desafío PPP (CHAP), tal como se define en rfc 1994, protocolo de autenticación de enlace de desafío PPP (CHAP). Cuando habilita CHAP en una interfaz, la interfaz puede autenticar su par y puede autenticarse por su par. De forma predeterminada, el PPP CHAP está deshabilitado. Si chap no está habilitado explícitamente, la interfaz no hace desafíos CHAP y niega todos los desafíos de CHAP entrantes. Para habilitar CHAP, debe crear un perfil de acceso y configurar las interfaces para que usen CHAP.
CHAP permite que cada extremo de un vínculo PPP autentifique a su par, tal como se define en RFC 1994. El autenticador envía a su par un desafío generado aleatoriamente que el par debe cifrar mediante un hash unidirección; el par debe responder con ese resultado cifrado. La clave del hash es un secreto que solo el autenticador conoce y autentica. Cuando se recibe la respuesta, el autenticador compara su resultado calculado con la respuesta del par. Si coinciden, el par se autentica.
Cada extremo del vínculo se identifica a sí mismo con su par mediante la inclusión de su nombre en los paquetes de desafío y respuesta CHAP que envía al par. Este nombre se establece de forma predeterminada en el nombre de host local, o puede establecerlo explícitamente mediante la local-name opción. Cuando un host recibe un desafío chap o un paquete de respuesta CHAP en una interfaz determinada, utiliza la identidad del par para buscar la clave secreta CHAP que se va a usar.
Configuración del protocolo de autenticación de enlace de desafío PPP
Para habilitar CHAP, debe crear un perfil de acceso y configurar las interfaces para que usen PAP.
Definiciones:
profilees la asignación entre identificadores pares y claves secretas CHAP. La identidad del par contenida en el desafío o respuesta de CHAP consulta el perfil para la clave secreta que se debe usar.clientes la identidad par.chap-secretes la clave secreta asociada con ese par.
Para crear un perfil de acceso, incluya la
profileinstrucción en el[edit access]nivel de jerarquía:[edit access] user@host# set profile profile-name {Para identificar el par y la clave secreta asociada con ese par, incluya la
clientinstrucción en el[edit access profile profile-name]nivel de jerarquía:[edit access profile profile-name] user@host# set client client-name chap-secret chap-secret
Puede configurar varios perfiles CHAP y configurar varios clientes para cada perfil. Para obtener más información sobre cómo configurar el perfil de acceso, consulte Protocolo punto a punto (PPP) y Protocolo de tunelización de capa 2 (L2TP).
Cuando configure una interfaz para que use CHAP, debe asignar un perfil de acceso a la interfaz. Cuando una interfaz recibe desafíos y respuestas CHAP, el perfil de acceso en el paquete se utiliza para buscar el secreto compartido, tal como se define en RFC 1994. Si no se encuentra ningún perfil de acceso coincidente para el desafío de CHAP que recibió la interfaz, se utiliza el secreto CHAP predeterminado configurado opcionalmente. El secreto CHAP predeterminado es útil si el nombre CHAP del par es desconocido o si el nombre DE CHAP cambia durante la negociación del vínculo PPP.
Para configurar la CHAP PPP, en cada interfaz física con encapsulación PPP, realice los siguientes pasos.
Visualización del protocolo de autenticación de enlace de desafío PPP configurado
Propósito
Para mostrar la CHAP PPP configurada en los [edit access] niveles de jerarquía y [edit interfaces] .
Perfil de acceso:
pe-A-ppp-clientsdatos secretos CHAP predeterminados:
"$ABC123"nombre de host para los paquetes de desafío y respuesta chap:
"pe-A-so-1/1/1"Interfaz: so-1/1/2
Acción
Ejecute el
showcomando en el nivel de[edit access]jerarquía.profile pe-A-ppp-clients; client cpe-1 chap-secret "$ABC123"; # SECRET-DATA [edit interfaces so-1/2/0] encapsulation ppp; ppp-options { chap { access-profile pe-A-ppp-clients; default-chap-secret "$ABC123"; local-name "pe-A-so-1/1/1"; } }Ejecute el
showcomando en el nivel de[edit interfaces s0-1/1/2]jerarquía.ppp-options { chap { access-profile pe-A-ppp-clients; default-chap-secret "$ABC123"; local-name “pe-A-so-1/1/2"; } }
Significado
La CHAP configurada y sus opciones de conjunto asociadas se muestran como se esperaba.
Ejemplo: Configuración de CHAP PPP
[edit]
access {
profile pe-A-ppp-clients {
client cpe-1 chap-secret "$ABC123";
# SECRET-DATA
client cpe-2 chap-secret "$ABC123";
# SECRET-DATA
}
}
interfaces {
so-1/1/1 {
encapsulation ppp;
ppp-options {
chap {
access-profile pe-A-ppp-clients;
local-name "pe-A-so-1/1/1";
}
}
}
so-1/1/2 {
encapsulation ppp;
ppp-options {
chap {
passive;
access-profile pe-A-ppp-clients;
local-name "pe-A-so-1/1/2";
}
}
}
}