PPP协议和PPPoE、radius协议培训讲义

PPP协议和PPPoE协议、radius协议参考资料VRP3.3操作手册的《接口操作》VRP5.1或VRP5.3操作手册接入分册的《PPP、MP配置》、《PPPoE配置》Page2学习完此课程，您将会：掌握PPP协议的基本原理掌握LCP协议和NCP协议数据报文的交换过程掌握PPPoE协议的基本原理掌握radius协议Page3目标Page4第1章PPP协议第2章PPPoE协议第3章radius协议内容介绍PPP协议简介PPP协议的定义：PPP协议提供了一种标准的方式在点对点的链路上传输多种网络层协议的数据报。Page5PPP协议与协议栈的对应关系物理层数据链路层网络层传输层会话层表示层应用层PPP协议PPP协议的特点支持点到点的连接，不同于X.25、framerelay等数据链路层协议，具有CHAP、PAP验证协议，更好的保证了网络的安全性。PPP的物理层既支持数据为8位和无奇偶校验的异步模式，还支持面向比特位的同步链接，如framerelay必须为同步电路。PPP有针对不同网络层的网络控制协议，如IPCP,IPXCP。并且允许双方协商是否对报文首部进行压缩。Page6PPP协议的三组件PPP协议的链路控制协议LCPPPP协议的网络控制协议NCPPPP的扩展协议(如MultilinkProtocol)Page7PPP的数据帧格式Page8校验标志标志地址信息域控制协议域1B1B2B缺省1500B0x7E0xFF0x031B2B1B0x7E1B=1Byte（字节）固定值PPP数据帧所承载的几种常见的报文协议域为2个字节，用来指明信息域中承载的协议类型。Page9校验IP数据报文0x0021校验LCP数据报文0xC021校验NCP数据报文0x8021协议域信息域PPP状态转移图Page10链路不可用阶段链路建立阶段验证阶段网络层协议阶段链路终止阶段失败LCP报文可选，由配置决定LCP报文通过关闭LCP协议数据报文的格式Page11信息域协议域标识域代码域长度域数据长度域类型域数据PPP封装格式LCP数据报文的封装格式LCP数据报文中配置选项的封装格式0xC021LCP协议数据报文的分类链路配置报文用来建立和配置一条链路，主要包括Configure-Request、Configure-Ack、Configure-Nak和Configure-Reject报文链路终止报文用来终止一条链路，主要包括Terminate-Request和Terminate-Reply报文链路维护报文用来管理和调试链路，主要包括Code-Reject、Protocol-Reject、Echo-Request、Echo-Reply和Discard-Request报文Page12链路配置报文举例假设点对点通信的一端发送了一个Config-Request报文，该报文将携带多种配置选项，具体携带哪些配置选项视应用而定。当对端正确接收到该报文后，如果接受该报文携带的所有配置选项，则回应一个Config-Ack报文。Page13一次交互12Config-RequestConfig-Ack路由器A路由器BLCP报文中可以携带的配置选项配置参数类型内容注释0x01Maximum-Receive-Unit可以接受的最大传输单元0x03Authentication-Protocol要求对端进行验证的协议0x04Quality-Protocol传输质量监测协议0x05Magic-Number魔术字0x07Protocol-Field-Compression协议域字段压缩，两字节压缩为一个字节0x08Address-And-Control-Field-Compression地址、控制字段压缩。在PPP协议中这两个字段值不变，可以省略之Page14链路配置报文举例假设点对点通信的一端发送了一个Config-Request报文。当对端正确接收到该报文后，如果发现某配置选项可识别，但该配置选项数据域的内容不认可，应发送一个Config-Nak报文且该报文中将携带希望的配置选项内容。当发端收到该报文后会重新发送一个Config-Request报文，相应的配置选项将改为Config-Nak报文中所希望的配置选项内容。Page15两次交互，Nak情况链路配置报文举例Page16两次交互，Nak情况12Config-RequestConfig-Nak路由器A路由器B34Config-RequestConfig-Ack链路配置报文举例假设点对点通信的一端发送了一个Config-Request报文。当对端正确接收到该报文后，如果发现某配置选项不识别，应发送一个Config-Reject报文，且该报文中将携带该配置选项内容。当发端收到该报文后会重新发送一个Config-Request报文，相应的配置选项将被删除。Page17两次交互，Reject情况链路配置报文举例Page18两次交互，Reject情况12Config-RequestConfig-Reject路由器A路由器B34Config-RequestConfig-Ack链路配置报文举例Page19Config-RejectConfig-RequestConfig-NakConfig-RequestConfig-AckConfig-Request多次交互12路由器A路由器B3456PAP认证（两次握手）问题：如果路由器A作为验证方，而路由器B则作为被验证方，那么这个验证过程如何进行？Page20用户名/密码接受/拒绝PPP封装路由器A路由器B被验证方验证方CHAP认证（三次握手）问题：如果路由器A作为验证方，而路由器B则作为被验证方，那么这个验证过程如何进行？Page21回应接受/拒绝PPP封装路由器A路由器B被验证方验证方挑战NCP协议的分类IPCPIPXCPAppleTalkPage22IPCP静态地址协商点对点通信设备均设置了IP地址的情况Page23我知道了我的IP地址是202.112.5.1路由器B路由器A202.112.5.1202.112.5.2我知道了我的IP地址是202.112.5.2IPCP动态地址协商点对点通信的一方设置了IP地址，而另一方则通过协商从对端获取IP地址Page24我知道了我的IP地址是0.0.0.0路由器B路由器A没有配置IP地址202.112.5.2我知道了我的IP地址是202.112.5.2我的IP地址是202.112.5.1这个地址不合法，用202.112.5.1这个地址吧Page25第1章PPP协议第2章PPPoE协议第3章radius协议内容介绍PPPoE协议概述PPP协议要求进行通信的双方之间是点到点的关系，不适于广播类型的以太网和另外一些多点访问类型的网络，于是就产生了PPPoE协议(Point-to-PointProtocoloverEthernet)它不仅为使用桥接以太网接入的用户提供了一种宽带接入手段，同时还能提供方便的接入控制和计费。每个接入用户均建立一个独一无二PPP的会话。会话建立之前必须知道远端访问集中设备的MAC地址，PPPoE协议可通过发现协议获取Page26发现阶段PPPoE协议分为发现阶段和PPP会话阶段。当主机希望开始一个PPPoE会话时，它首先要执行一个发现过程来识别对方的MAC地址，然后建立一个唯一的PPPoE会话。PPPoE协议发现机制来解决这个问题，它是基于客户/服务器模型的。由于以太网的广播特性，在这个过程中主机(客户)能发现所有的访问集中器(服务器)，并选择其中一个，根据所获信息在两者之间建立点对点的连接。当一个PPP会话被建立起来之后，就完成了PPPoE的整个发现阶段。Page27会话阶段PPPoE的会话阶段开始后，主机和访问集中器之间就依据PPP协议传送PPP数据，进行PPP的各项协商和数据传输。在这一阶段传输的数据包中必须包含在发现阶段确定的会话标识并保持不变。正常情况下，会话阶段的结束是由PPP协议控制完成的，但在PPPoE中定义了一个PADT包用来结束会话，主机或者访问集中器可以在PPP会话开始后的任何时候通过发送这个数据包来结束会话。Page28PPPoE的帧格式（一）以太网帧格式Page29帧类型域（2字节）目的MAC地址（6字节）源MAC地址（6字节）净荷载帧校验（4字节）以太网广播地址PPPoE发现阶段的以太网帧格式PPPoE会话阶段的以太网帧格式以太网单播地址主机以太网地址主机以太网地址0x88630x8864数据区数据区数据帧校验数据帧校验PPPoE的帧格式（二）发现阶段承载一些标记会话阶段承载PPP数据报文Page30PPPoE的报文格式版本4b类型4b代码8bit会话ID16bit长度16bit净载荷跟在以太网帧类型域字段后面的就是PPPoE报文的具体内容PPPoE的帧格式（三）标记类型含义标记类型含义0x0000End-of-list0x0105Verdor-Specific0x0101Service-Name0x0110Relay-Session-ID0x0102AC-Name0x0201Service-Name-Error0x0103Host-Uniq0x0202AC-System-Error0x0104AC-Cookie0x0203Generic-ErrorPage31发现阶段承载的标记标记类型16bit标记值标记长度16bit跟在PPPoE长度字段后面的就是各种标记，采用TLV编码方式PPPoE发现阶段数据报文分类PADI(PPPoE发现初始报文)PADO(PPPoE发现提供报文)PADR(PPPoE发现请求报文)PADS(PPPoE发现会话确认报文)PADT(PPPoE发现终止报文)Page320x090x070x190x650xa7PPPoE报文的代码字段的值PADI报文报文的目标MAC地址为广播地址，源地址为主机的以太网地址。ETHER_TYPE值为0x8863，代码为0x09，SESSION-ID为0x0000。TAG_TYPE：有且仅有一个Service-Name，表明主机请求的服务。可以包含任何数量的其他TAG_TYPE。Page33以太网PADO报文报文的目标MAC地址为该主机的以太网地址。源地址为接入集中器的以太网地址。ETHER_TYPE值为0x8863，代码为0x07，SESSION-ID为0x0000。TAG_TYPE：必须有一个含有接入集中器名字的AC-Name标记；必须有一个与收到的PADI相同的Service-Name标记。Page34以太网PADR报文报文的目标MAC地址为接入集中器的以太网地址，源地址为主机的以太网地址。ETHER_TYPE值为0x8863，代码为0x19，SESSION-ID为0x0000。TAG_TYPE：必须有一个类型为Service-Name的标记向集中器指明请求的服务，可以有任意数量的其他标记。Page35以太网PADS报文报文的目标MAC地址为该主机的以太网地址，源地址为接入集中器的以太网地址。ETHER_TYPE值为0x8863，代码为0x65，SESSION-ID为集中器指定的唯一标识一个PPPoE会话的值。TAG_TYPE：包含一个类型为Service-Name的标记，表明集中器提供给这个会话的服务，可以包含任意数量的其他标记。Page36以太网PADT报文这个PPPoE报文可以在会话建立之后的任何时间由主机或接入集中器发出。目的MAC地址为单一的以太网地址。ETHER_TYPE值为0x8863，代码为0xa7，SESSION-ID为要终止的会话的SESSION-ID。不要求有标记。Page37会话阶段的PPPoE数据报文格式PPPoE会话建立之后，主机与接入集中器之间就开始依据PPP协议传送PPP数据，所有的以太网帧都是单播地址。此时，ETHER_TYPE值为0x8864，代码为0x00。SESSION-ID在整个会话过程中保持不变。PPPoE净载荷域里包含一个无标志、地址、控制域的PPP数据报文。Page38帧类型域（2字节）目的MAC地址（6字节）源MAC地址（6字节）PPP净荷载版本=0x1类型=0x1代码=0x00会话ID=0x0001长度（2字节）PPP协议域=0xc021PPPoE协议数据包中承载PPP的LCP报文小结（一）PPP协议的三组件包括PPP扩展协议、LCP协议和NCP协议PPP协议通过LCP协议完成数据链路的配置和测试PPP协议通过NCP协议完成点对点通信设备之间网络层通信所需参数的配置PAP认证是二次握手，它直接在网络上传送明文的用户名和密码CHAP认证是三次握手，它只在网络上传送验证方和被验证方的主机名,比PAP更安全Page39小结（二）PPPoE协议包括发现阶段和会话阶段PPPoE的数据报文是承载在以太网的数据域中进行传送的PPPoE的发现阶段会用到PADI、PADO、PADR和PADS这四种报文PPPoE中的PADT报文是用来终止一个会话的PPPoE在发现阶段时，以太网协议域的值为0x8863PPPoE在会话阶段时，以太网协议域的值为0x8864Page40Page41第1章PPP协议第2章PPPoE协议第3章radius协议内容介绍Radius的作用Radius：RemoteAuthenticationDialInUserService客户端负责将认证等信息按照协议的格式通过UDP包送到服务器，同时对服务器返回的信息解释处理。Page42认证端口号：1645/1812计费端口号：1646/1813NASRadius认证计费过程Page43RadiusAccess-Request(2)Access-Accept/Access-Reject(3)认证（端口：1812）Accounting-Request(start)(5)Accounting-Response(start)(6)Access-Request(2)Access-Challenge计费（端口：1813）NASUserdial-in(1)configuser(4)disconnect(7)Accounting-Request(stop)(8)Accounting-Response(stop)(9)disconnectuser(10)Radius协议在协议栈中的位置Radius是一种流行的AAA协议，同时其采用的是UDP协议传输模式，AAA协议在协议栈中位置如下：Page44Radius协议Radius协议选择UDP作为传输层协议为什么使用UDP？NAS和RADIUS服务器之间传递的一般是几十至上百个字节长度的数据，用户可以容忍几秒到十几秒的验证等待时间。当处理大量用户时服务器端采用多线程，UDP简化了服务器端的实现过程。TCP是必须成功建立连接后才能进行数据传输的，这种方式在有大量用户使用的情况下实时性不好。当向主用服务器发送请求失败后，还要必须向备用的服务器发送请求。于是RADIUS要有重传机制和备用服务器机制，它所采用的定时，TCP不能很好的满足。Page45Radius协议包结构Page46Radius协议包各个域解释Code：包类型；1字节；指示RADIUS包的类型。Identifier：包标识；1字节；用于匹配请求包和响应包，同一组请求包和响应包的Identifier应相同。Length：包长度；2字节；整个包的长度。Authenticator：验证字；16字节；用于对包进行签名。Page47Code域Access-Request——请求认证过程Access-Accept——认证响应过程Access-Reject——认证拒绝过程Accounting-Request——请求计费过程Accounting-Response——计费响应过程Page48RadiusServer与NAS在全网中的位置Page49NASNASRadius认证计费过程Page501、RADIUS的通信是用“请求-响应”方式进行的，即：客户发送一个请求包，服务器收到包后给予响应。2、RADIUS协议采用的是UDP协议，数据包可能会在网络上丢失，如果客户没有收到响应，那么可以重新发送该请求包。多次发送之后如果仍然收不到响应，RADIUS客户可以向备用的RADIUS服务器发送请求包。Identifier域包标识，用以匹配请求包和响应包。该字段的取值范围为0～255；协议规定：1、在任何时间，发给同一个RADIUS服务器的不同包的Identifier域不能相同，如果出现相同的情况，RADIUS将认为后一个包是前一个包的拷贝而不对其进行处理。2、Radius针对某个请求包的响应包应与该请求包在Identifier上相匹配（相同）。Page51Length域整个包长度,包括：CodeIdentifierLengthAuthenticatorAttributesPage52Authenticator域该验证字分为两种：1、请求验证字RequestAuthenticator用在请求报文中,必须为全局唯一的随机值。2、响应验证字ResponseAuthenticator用在响应报文中，用于鉴别响应报文的合法性。响应验证字＝MD5(Code+ID+Length+请求验证字+Attributes+Key)Page53加密以后你还能认出我来吗？Attributes域Page54010a62656e6c6164656eAttribute(1)属性长度为10字节benladen上网用户：张三上网地点：阿富汗……

……常用报文属性属性值属性名称 意义1User-Name 用户名2

User-Password 用户密码3

Chap-Password

Chap认证方式中的用户密码4Nas-IP-Address Nas的ip地址5Nas-Port 用户接入端口号6

Service-Type 服务类型

Framed-Protocol 协议类型8Framed-IP-Address为用户提供的IP地址9Framed-IP-NetMask地址掩码Page55常用报文属性属性值属性名称 意义

10Framed-Routing为路由器用户设置的路由方式

11Filter-Id过滤表的名称

12Framed-MTU 为用户配置的最大传输单元

13 Framed-Compression该连接使用压缩协议

14 Login-IP-Host对login用户提供的可连接主机的ip地址

15 Login-Service对login用户可提供的服务

16Login-TCP-Port TCP服务端口

18 Reply-Message认证服务器返回用户的信息Page56常用报文属性属性值属性名称 意义24 State 认证服务器发送challenge包时传送的需在接下 来的认证报文中回应的字符串（与Acess- Challenge相关的属性）25Class 认证通过时认证服务器返回的字符串信息， 要求在该用户的计费报文中送给计费服务器26Vendor-Specific可扩展属性

Session-Timeout在认证通过报文或Challenge报文中，通

NAS该用户可用的会话时长（时长预付费）28 Idle-Timeout允许用户空闲在线的最大时长32NAS-Identifier标识NAS的字符串Page57常用报文属性属性值属性名称 意义33 Proxy-StateNAS通过代理服务器转发认证报文时服 务器添加在报文中的属性60Chap-Challenge可以代替认证字字段传送challenge的属性61 Nas-Port-Type 接入端口的类型62 Port-Limit 服务器限制NAS为用户开放的端口数40 Acct-Status-Type计费请求报文的类型41 Acct-Delay-TimeRadius客户端发送计费报文耗费的时间42 Acct-Input-Octets输入字节数43Acct-Output-Octets输出字节数

Page58常用报文属性44Acct-Session-Id计费会话标识45 Acct-Authentic在计费包中标识用户认证通过的方式46 Acct-Session-Time用户在线时长47Acct-Input-Packets输入包数48 Acct-Output-Packets输出包数49Acct-Terminate-Case用户下线原因

50 Acct-Multi_Session-Id相关计费会话标识51 Acct-Link-Count生成计费记录时多连接会话的会话个数Page59认证请求（code=1）*0.18993140-AAA-debug-Packet:sendradiuspacketto 192.168.10.4:1812code=1id=19length=102 7517009ba00 2018005a2000 attribute(1)(User-name):user1 attribute(2)(Password):0x4d0xa10x110xbe0xa70xc50x1a0xa40x5b0x290xb10xde0x340x110x4c0xf9 attribute(6)(User-Service):0x2 attribute(7)(Framed-Protocol):0x1 attribute(4)(NAS-IP-Address):0xc0a80a0a attribute(32)(NAS-Identifier):ESR attribute(127)(Connect-Id):0xf00000e *0.18993750-AAA-debug-Packet: attribute(61)(NAS-Port-Type):0x5 attribute(128)(Connect-Port):ESR-10000010032@vlanPage60认证响应（code=2）*0.18993900-AAA-debug-Packet:receiveradiuspacketfrom192.168.10.4:1812code=2id=19length=74 184cac52e499a55f 68ac8e233c70d75 attribute(85)(Realtime-Interval):0x258 attribute(5)(NAS-Port):0x1513d attribute(25)(Class):128 attribute(6)(User-Service):0x2 attribute(7)(Framed-Protocol):0x1 attribute(13)(Framed-Compression):0x1 attribute(10)(Framed-Routing):0x1*0.18994520-AAA-debug-Packet: attribute(11)(Framed-Filter):1Page61计费开始请求（code=4）*0.18994810-AAA-debug-Packet:sendradiuspacketto192.168.10.4:1813code=4id=20length=102ef31f354527171 46a298d487ca8 attribute(40)(Acct-Status-Type):0x1 attribute(32)(NAS-Name):ESR attribute(8)(Framed-Address):0xa0a0a01Page62计费开始计费开始请求（code=4）

attribute(7)(Framed-Protocol):0x1 attribute(1)(User-name):user1 attribute(5)(NAS-Port):0x0 attribute(61)(NAS-Port-Type):0x5 attribute(44)(Acct-Session-Id):03082027130000000011*0.18995400-AAA-debug-Packet: attribute(45)(Acct-Authentic):0x1 attribute(193)(Acct-Timestamp):0x4a31 attribute(41)(Acct-Delay-Time):0x0Page635—Virtual1—RADIUS2—Local3—Remote计费响应（code=5）*0.18995750-AAA-debug-Packet:receiveradiuspacketfrom192.168.10.4:1813 code=5

id=20length=20 18ce526ab7f503 717416a5bc42c08aPage64实时计费之认证响应（code=2）*0.18993900-AAA-debug-Packet:receiveradiuspacketfrom192.168.10.4:1812code=2id=19length=74 184cac52e499a55f 68ac8e233c70d75 attribute(85)(Realtime-Interval):0xb4 attribute(5)(NAS-Port):0x1513d attribute(25)(Class):128 attribute(2)(Password):0x4e0x4f0x500x410x530x530x570x44 attribute(6)(User-Service):0x2 attribute(7)(Framed-Protocol):0x1 attribute(13)(Framed-Compression):0x1 attribute(10)(Framed-Routing):0x1*0.18994520-AAA-debug-Packet: attribute(11)(Framed-Filter):1

Page65实时计费间隔为180秒实时计费之计费请求（code=4）分解动作之一：*0.169338370-AAA-debug-Packet:sendradiuspacketto192.168.10.4:1813code=4id=31length=207 e4677ff59decb482 d615355deabdb0ac attribute(40)(Acct-Status-Type):0x3 attribute(25)(Class):128 attribute(32)(NAS-Name):ESR attribute(8)(Framed-Address):0xa0a0a01 attribute(7)(Framed-Protocol):0x1 attribute(1)(User-name):user1 attribute(5)(NAS-Port):0x28000060 attribute(61)(NAS-Port-Type):0x5Page66实时计费包实时计费之计费请求（code=4）分解动作之二：*0.169338940-AAA-debug-Packet:attribute(44)(Acct-Session-Id):03101407580000000102attribute(45)(Acct-Authentic):0x1attribute(193)(Acct-Timestamp):0x2957aattribute(55)(Event-Timestamp):0x00x20x950x7aattribute(41)(Acct-Delay-Time):0x0attribute(87)(Nas-Port-Id):slot=10;subslot=0;port=0;VPI=1;VCI=32;attribute(6)(User-Service):0x2Page67实时计费之计费请求（code=4）attribute(7)(Framed-Protocol):0x1attribute(42)(Acct-Input-Octets):0x7fd4*0.169339520-AAA-debug-Packet:attribute(43)(Acct-Output-Octets):0x6174attribute(47)(Acct-Input-Packets):0x122attribute(48)(Acct-Output-Packets):0x10eattribute(52)(Acct-Input-Gigawords):0x0attribute(53)(Acct-output-Gigawords):0x0attribute(46)(Acct-Session-Time):0x12cPage68用户上传字节用户下载字节用户计费时长计费结束请求（code=4）*0.19379310-AAA-debug-Packet:sendradiuspacketto192.168.10.4:1813code=4

id=26length=168 1ccb875297a2727b 7632cbdb493ca349 attribute(40)(Acct-Status-Type):0x2 attribute(32)(NAS-Name):ESR attribute(8)(Framed-Address):0xa0a0a01 attribute(7)(Framed-Protocol):0x1 attribute(1)(User-name):user1 attribute(5)(NAS-Port):0x0 attribute(61)(NAS-Port-Type):0x5 attribute(44)(Acct-Session-Id):03082033090000000014

Page69计费结束计费结束请求（code=4）分解动作之二：*0.19379900-AAA-debug-Packet:attribute(45)(Acct-Authentic):0x1attribute(193)(Acct-Timestamp):0x4bb3attribute(41)(Acct-Delay-Time):0x0attribute(49)(Acct-Terminate-Cause):0x1attribute(111)(Input-Kilobytes-Before-Tariff-Switch):0x4attribute(115)(Input-Kilobytes-After-Tariff-Switch):0x4at