1. 项目缘起从“裸奔”的比特流到“有身份”的数据包刚接触网络那会儿总觉得数据在网线里跑就像水流在管道里淌理所当然。直到后来亲手抓包、调试链路才明白这“理所当然”的背后是一整套精密的“包装”和“认证”流程。今天聊的这个组合——PPP协议封装、CHAP认证和IP协议——就是这套流程在广域网WAN接入场景下的经典体现。它不是什么高深莫测的新技术而是网络工程师在配置路由器串口、处理拨号接入、甚至现在某些企业专线接入时天天都在打交道的“基本功”。你可能在教科书里见过PPPPoint-to-Point Protocol点对点协议和CHAPChallenge Handshake Authentication Protocol挑战握手认证协议的名词解释但真到了用模拟器比如GNS3、EVE-NG搭环境或者面对一台需要配置专线的老旧路由器时还是会有点发懵LCP和NCP是啥关系CHAP的三次握手报文到底怎么交互的PPP封装好的帧里头的IP包又是怎么被处理的这些问题不搞清楚配置命令就是死记硬背出了故障根本无从下手。这个内容就是帮你把这些散落的知识点串起来。我们不止看协议标准更要看它们在真实设备比如思科路由器上是怎么运作的。我们会从最底层开始看PPP如何给原始的比特流套上“信封”封装然后看CHAP如何给这个连接加上“门禁”认证最后看IP协议这个“核心货物”是如何被安全、可靠地运送的。无论你是正在备考认证的学生还是需要调试实际网络的一线工程师理解这个经典组合都能让你对二层和三层协议的协作有更透彻的认识。2. PPP协议不止是“点对点”那么简单PPP协议的设计初衷非常明确在点对点的链路上以一种简单、高效、可扩展的方式传输多协议数据包。它要解决的是早期SLIP协议的诸多不足比如没有差错检测、只能承载IP协议、没有认证能力等。所以PPP从诞生起就被设计成一个模块化的协议族其核心架构可以概括为“一个核心两大组件多层封装”。2.1 PPP的层次化架构LCP、NCP与上层协议PPP的运作依赖于三个关键层次这比简单地理解“封装”要深入得多链路控制协议LCP Link Control Protocol这是PPP的“基础设施施工队”。在数据传输开始前LCP负责建立、配置、测试和终止数据链路连接。它的工作包括协商链路参数比如最大接收单元MRU、是否启用认证、使用哪种认证协议PAP或CHAP、是否进行魔术字Magic Number冲突检测等。你可以把它想象成两个设备在握手时说“我们这条链路最大包裹尺寸定多少需要查身份证吗用什么方式查”链路质量监控虽然PPP本身不提供可靠传输但LCP可以配置用于监测链路质量在质量恶化到一定程度时触发链路终止。链路环路检测通过交换魔术字一个随机数如果两端收到的魔术字和自己发送的一样说明链路可能形成了环路LCP会报告错误。网络控制协议NCP Network Control Protocol这是PPP的“业务开通部门”。当LCP把链路建好、验收合格后NCP才上场。每个三层协议如IP、IPX、AppleTalk都有自己对应的NCP。最常用的就是IPCPInternet Protocol Control Protocol。IPCP负责在PPP链路上“激活”IP层具体工作包括协商IP地址尤其是在拨号场景下服务端通过IPCP为客户端动态分配一个IP地址。协商TCP/IP头部压缩如Van Jacobson头部压缩以减少小数据包的传输开销。简单来说NCP负责告诉对方“好了物理路通了现在我们可以开始跑IP业务了这是你的IP地址我们是否启用压缩”上层协议数据在LCP和NCP都协商成功后真正的用户数据如IP数据包才会通过这条PPP链路进行传输。此时PPP仅仅作为一个高效的“搬运工”。这个“LCP先建链路 - NCP再开业务”的流程是理解PPP状态机的关键。在设备上你常会看到接口在“up”和“up”之前经历“down”、“LCP negotiating”、“NCP negotiating”等状态。2.2 PPP的帧封装格式拆解每一个字段PPP的帧格式非常简洁这也是其高效的原因之一。一个标准的PPP帧基于HDLC-like封装如下所示| 标志域 (Flag) | 地址域 (Address) | 控制域 (Control) | 协议域 (Protocol) | 信息域 (Information) | 帧校验序列 (FCS) | 标志域 (Flag) | | 1字节 | 1字节 | 1字节 | 2字节 | 0-1500字节 | 2/4字节 | 1字节 |标志域 (Flag, 0x7E)帧的开始和结束标识固定为二进制01111110。这就带来了一个问题如果数据部分也出现了0x7E这个字节接收方就会误认为是帧结束了。为了解决这个问题PPP使用了字节填充Byte Stuffing技术。发送方在数据中遇到0x7E就将其转义为0x7D后跟0x5E遇到0x7D转义字符本身则转义为0x7D后跟0x5D。接收方进行反向操作。这是PPP链路透明传输的基础。地址域 (Address, 0xFF)在点对点链路上理论上不需要地址。因此PPP标准将其固定为广播地址0xFF表示“所有站”这是一个历史遗留的兼容性设计。控制域 (Control, 0x03)同样为了简化PPP默认使用0x03表示“无编号帧”即不进行序列号和确认提供无连接的服务。协议域 (Protocol)这是PPP帧的“灵魂”字段2字节长它指明了“信息域”里承载的是什么内容。常见值有0xC021 信息域是LCP报文。0xC223 信息域是CHAP报文。0x8021 信息域是IPCP报文。0x0021 信息域是IP数据包。 通过这个字段接收方就能把LCP协商报文、CHAP认证报文、IPCP协商报文和普通的IP数据包区分开来交给不同的处理模块。信息域 (Information)可变长即上层协议数据如IP包或控制协议LCP/NCP/CHAP的报文。帧校验序列 (FCS)通常为2字节CRC-16用于检测帧在传输过程中是否出现比特错误。如果校验失败该帧会被直接丢弃。注意在实际的抓包分析中如Wireshark你通常看不到标志位和FCS因为网卡驱动在将帧上交协议栈时已经把它们去掉了。你看到的是从“协议域”开始的内容。但在串行链路上抓取原始比特流时这些字段是存在的。2.3 实操观察在GNS3中抓取PPP协商报文理论说得再多不如抓个包看看。假设你在GNS3里用串行线连接了两台路由器R1和R2并配置了PPP封装和CHAP认证。搭建环境创建两台思科路由器如c7200用串行接口如S1/0背靠背连接。确保串行线缆类型正确如serialDCE/DTE。基础配置! 在R1上 interface Serial1/0 ip address 192.168.1.1 255.255.255.0 encapsulation ppp ! 关键命令启用PPP封装 ppp authentication chap ! 启用CHAP认证 clock rate 128000 ! 如果此端是DCE需要配置时钟 ! username R2 password cisco123 ! 创建对端用户名和密码 ! 在R2上 interface Serial1/0 ip address 192.168.1.2 255.255.255.0 encapsulation ppp ppp authentication chap ! username R1 password cisco123 ! 创建对端用户名和密码必须与R1上为R2配置的相同抓包分析在GNS3中为这条串行链路开启抓包。然后shutdown再no shutdownR2的Serial1/0接口触发PPP重新协商。在Wireshark中你会清晰地看到如下流程LCP阶段首先出现大量Protocol: LCP (0xc021)的帧。你会看到Configure-Request、Configure-Ack等报文它们在协商MRU、认证协议等。如果启用了魔术字这里也会交换。认证阶段接着出现Protocol: CHAP (0xc223)的帧。这就是我们下一章要细说的CHAP三次握手。NCP阶段认证成功后出现Protocol: IPCP (0x8021)的帧。你会看到Configure-Request里可能包含客户端请求的IP地址0.0.0.0或服务器分配的IP地址。数据传输阶段最后链路协议状态变为up/up开始出现Protocol: IP (0x0021)的帧里面就是真正的IP数据包了比如你ping对方时产生的ICMP包。这个抓包过程就是PPP协议栈工作流程最直观的展现。任何一环失败如LCP参数不匹配、CHAP密码错误、IPCP协商失败链路都无法进入最终的up/up状态。3. CHAP认证为什么它比PAP更安全在PPP的LCP协商阶段如果协商决定使用认证那么接下来就会进入认证阶段。PPP支持两种认证协议PAPPassword Authentication Protocol和CHAP。PAP极其简单客户端直接以明文发送用户名和密码安全性为零基本已弃用。而CHAP则通过“挑战-应答”机制提供了更高的安全性。3.1 CHAP的三次握手流程详解CHAP认证过程由认证方通常是服务器端主导遵循标准的“挑战-应答-成功/失败”三步曲。我们以R1为认证方R2为被认证方为例挑战Challenge认证方R1生成一个随机数称为“挑战值”Challenge Value。R1向被认证方R2发送一个CHAP Challenge报文。这个报文中包含R1生成的挑战值、以及一个本次挑战的ID用于匹配后续的应答。应答Response被认证方R2收到挑战报文后进行如下计算将“挑战值”、“ID”和“双方共享的密钥密码”串联起来。对这个串联后的字节流使用单向散列函数MD5是CHAP最常用的尽管现在MD5已被认为不够安全进行计算得到一个“哈希值”Hash Value。关键点R2永远不会在网络中发送明文密码。它发送的是这个计算出来的哈希值。R2将计算出的哈希值、自己的用户名用于标识自己以及收到的ID打包成一个CHAP Response报文发回给R1。验证Success/Failure认证方R1收到Response后它自己也会进行一模一样的计算它本地存储着R2的用户名和对应的密码。它用这个密码、自己之前发出的挑战值和ID计算出一个“预期的哈希值”。R1将R2发来的哈希值与自己计算出的预期哈希值进行比较。如果两者一致说明R2拥有正确的密码认证成功。R1发送CHAP Success报文。如果两者不一致认证失败。R1发送CHAP Failure报文链路可能被终止。这个机制的精妙之处在于防窃听密码从未在网络上传输。防重放攻击因为挑战值是随机数每次认证都不同攻击者即使截获了一次Response报文也无法在下次认证中重用。双向认证CHAP可以配置为双向认证即两端互相挑战对方确保双方身份都可信。3.2 配置要点与常见故障排查在思科设备上配置CHAP有几个必须牢记的要点这也是最容易出错的地方用户名与密码的对应关系username 对方主机名 password 共享密钥。这里的对方主机名默认是对方路由器的主机名hostname。例如R1的主机名是R1R2的主机名是R2。那么在R1上必须配置username R2 password cisco在R2上必须配置username R1 password cisco密码必须完全相同。这个“主机名”是区分大小写的。主机名不一致的坑如果对方的主机名不是默认的或者你想使用一个标识符可以在接口下使用ppp chap hostname 自定义名称命令来指定发送CHAP Response时使用的用户名。相应地本地配置的username也要改成这个自定义名称。一个典型的认证失败排查流程如下debug ppp authentication这是最直接的命令会在控制台实时打印CHAP交互的详细信息。查看debug信息常见错误“CHAP: O RESPONSE id 1 len 28 from ‘R2‘” 这表示本地O代表Output发出了一个Response。“CHAP: I RESPONSE id 1 len 28 from ‘R2‘” 这表示收到了I代表Input一个来自‘R2‘的Response。关键错误信息“CHAP: O FAILURE id 1 len 25 msg is “Authentication failed”“。这说明本地作为认证方计算出的哈希值与收到的哈希值不匹配。根据错误信息检查两端配置的username后的名称是否匹配检查主机名或ppp chap hostname两端配置的password是否完全一致包括大小写和空格是否有一端配置了ppp authentication pap chap先尝试PAP而另一端只配置了CHAP这可能导致协商不一致。实操心得在实验室环境中为了方便很多人喜欢用username * password cisco这样的通配符配置。这在测试时可以但在生产环境绝对禁止因为它完全破坏了认证的安全性。生产环境必须使用强密码并考虑使用更安全的算法如CHAP with MS-CHAPv2但传统路由器可能不支持。4. IP协议在PPP链路中的旅程当PPP链路经过LCP建立、CHAP认证如果需要、NCPIPCP协商后这条链路就准备好传输IP数据包了。此时从三层IP层的角度看这条PPP链路就像一个以太网链路一样是一个直连的网络。但它的封装和解封装过程有其特殊性。4.1 IPCP为IP层铺平道路在IP数据包开始流动之前IPCP完成了最后的基础工作。除了之前提到的动态分配IP地址IPCP还有一个重要作用协商双方接口的IP地址是否在同一网段。在点对点链路中通常只需要一个/30或/31的子网两个可用IP地址。通过IPCP的Configure-Request和Configure-Ack/Nak报文两端会确认彼此的IP地址并确认网络掩码虽然PPP链路本身不需要传统意义上的掩码但设备需要它来构建路由表。在抓包中你可能会看到这样的IPCP交互客户端发送Configure-Request包含0.0.0.0请求地址和压缩协议选项。服务器回复Configure-Nak包含192.168.1.2分配给客户端的地址。客户端重新发送Configure-Request这次包含192.168.1.2。服务器回复Configure-Ack。至此两端的IP层“知道”了对方的地址ARP在点对点链路上是不需要的因为下一跳就是唯一的对端。4.2 数据转发封装、传输与解封装当一个IP数据包例如从R1发往192.168.1.2需要从Serial1/0接口发出时过程如下路由查找R1查询路由表发现目标192.168.1.2是直连在Serial1/0接口的网络。ARP不需要因为是PPP链路没有MAC地址的概念所以跳过ARP。PPP封装IP层将数据包下发给Serial1/0接口的PPP驱动。PPP驱动执行封装在IP数据包前加上一个PPP头部。这个头部很简单主要就是协议域Protocol Field其值被设置为0x0021表明载荷是一个IP数据包。在PPP帧前后加上标志位Flag并进行字节填充如果需要。计算FCS并附加在帧尾。物理层传输封装好的PPP帧被转换成比特流通过串行电缆或模拟的串行链路发送出去。对端解封装R2的Serial1/0接口收到比特流识别出标志位组装成PPP帧校验FCS。检查协议域发现是0x0021于是将帧的“信息域”即原始的IP数据包剥离出来上交给自己设备的IP协议栈处理。这个过程对于IP层来说是透明的。IP层只关心源IP和目标IP它不知道下层是PPP、以太网还是帧中继。这种层次化的独立性正是TCP/IP协议栈的魅力所在。4.3 与以太网封装的对比理解PPP封装一个很好的方法是对比更熟悉的以太网封装特性以太网 (Ethernet II)PPP (HDLC-like 封装)地址字段源MAC (6字节) 目标MAC (6字节)固定为0xFF1字节无实际寻址意义类型/协议字段类型 (Type 2字节 如0x0800代表IP)协议 (Protocol 2字节 如0x0021代表IP)帧定界前导码帧起始定界符(SFD)标志位(Flag0x7E)差错控制可选FCS (4字节)强制FCS (通常2字节)透明传输无字节填充依赖物理层有字节填充(Byte Stuffing)适用场景多路访问广播网络(LAN)点对点链路(WAN)这个对比清晰地显示出PPP的设计极度简化去掉了复杂的MAC寻址和竞争处理机制非常适合单一的、点对点的连接场景。5. 综合实验与深度排错纸上得来终觉浅我们用一个综合实验场景把前面所有知识串联起来并模拟一个典型故障进行排错。实验拓扑GNS3中两台路由器R1和R2通过串口相连。R1连接局域网192.168.10.0/24R2连接局域网192.168.20.0/24。目标配置PPP和CHAP实现两个局域网互通。配置步骤简述基础接口IP与路由配置串口IP如10.0.0.1/30和10.0.0.2/30在R1和R2上配置指向对方局域网静态路由或使用动态路由协议如OSPF。启用PPP与CHAP在串口下配置encapsulation ppp和ppp authentication chap。配置CHAP认证在R1上username R2 password MySecretPass在R2上username R1 password MySecretPass。验证从R1 ping R2的串口地址10.0.0.2再从R1局域网内的主机ping R2局域网内的主机。模拟故障CHAP认证失败链路协议状态为up/down(LCP open 但IPCP未成功)。排错过程正是对我们所学知识的实战检验查看接口状态show interfaces serial 1/0看到第一行是Serial1/0 is up, line protocol is down。这说明物理层通了但数据链路层协议没通。继续看输出往往会有一行提示LCP Closed或Closed: IPCP。如果是Closed: IPCP说明LCP已经Open问题出在IPCP或认证阶段。开启Debugdebug ppp negotiation和debug ppp authentication。debug ppp negotiation会显示LCP和NCP的所有协商细节。在控制台你可能会看到LCP的Config-Ack然后进入CHAP流程。关键线索你看到了CHAP: O FAILURE的消息。这说明认证失败了。分析认证失败原因根据Debug信息检查用户名不匹配Debug显示收到的Response来自RTB但你本地配置的是username R2 ...。原来R2的主机名被改成了RTB。这就对不上了。解决方案在R1上要么将username改为username RTB password ...要么在R2的串口下配置ppp chap hostname R2来强制使用R2这个标识符。密码不匹配这是最常见的问题。检查两端的密码是否完全一致。思科设备密码默认是明文显示版本7加密除外仔细核对。解决方案统一密码。认证通过后的IPCP问题如果CHAP成功了但链路还是没起来看Debug信息可能显示IPCP在反复发送Configure-Request却没有收到Ack。这可能是因为IP地址冲突或不在同一子网检查两端串口配置的IP地址是否真的在同一子网内。10.0.0.1/30和10.0.0.2/30是正确的。如果一端配成10.0.0.1 255.255.255.0另一端配成10.0.1.1 255.255.255.0IPCP就会失败。MTU问题虽然不常见但LCP协商的MRU最大接收单元如果太小可能会影响IPCP。可以用ppp mru 1500命令手动设置。最终验证故障修复后再次show interfaces serial 1/0应该看到Serial1/0 is up, line protocol is up。此时ping和路由通信就应该正常了。这个排错流程清晰地展示了PPP链路建立是一个环环相扣的过程物理层Up - LCP协商 - 认证 - NCP协商。任何一个环节出错都会导致链路协议Down。掌握了每个阶段的工作原理和查看方法排错就有了明确的方向。6. 演进与替代PPP在现代网络中的位置随着技术发展纯粹的同步串行链路如EI/T1使用场景在减少PPP也衍生出许多适应新环境的变体PPPoE (PPP over Ethernet)这是目前家庭宽带接入ADSL、光纤到户的绝对主流。它将PPP帧封装在以太网帧中在以太网这种多路访问网络上实现了PPP的点对点会话管理和计费功能。你家的光猫和运营商BRAS之间跑的就是PPPoE协议。PPPoA (PPP over ATM)早期ADSL使用的协议现在已较少见。MLPPP (Multilink PPP)将多条PPP链路捆绑成一条逻辑链路增加带宽和提供冗余。尽管底层传输介质在变但PPP协议核心的LCP/NCP架构、认证机制CHAP依然被这些变体所继承。理解经典的PPP是理解PPPoE等现代协议的基础。在企业网中虽然MPLS、SD-WAN等技术日益普及但在一些分支机构的传统专线接入、备份链路或者与特定老旧设备互联的场景下PPP仍然在发挥作用。回过头看PPP协议封装、CHAP认证和IP协议这个组合堪称网络协议设计中“分层解耦”和“模块化设计”的典范。LCP负责链路NCP负责业务CHAP负责安全各司其职通过一个简洁的协议字段灵活调度。下次当你再在路由器上敲下encapsulation ppp时你看到的不仅仅是一条命令而是一个在链路上默默工作的、精巧的协议机器。
PPP协议封装、CHAP认证与IP协议：广域网接入核心技术解析
发布时间：2026/7/29 14:44:30
1. 项目缘起从“裸奔”的比特流到“有身份”的数据包刚接触网络那会儿总觉得数据在网线里跑就像水流在管道里淌理所当然。直到后来亲手抓包、调试链路才明白这“理所当然”的背后是一整套精密的“包装”和“认证”流程。今天聊的这个组合——PPP协议封装、CHAP认证和IP协议——就是这套流程在广域网WAN接入场景下的经典体现。它不是什么高深莫测的新技术而是网络工程师在配置路由器串口、处理拨号接入、甚至现在某些企业专线接入时天天都在打交道的“基本功”。你可能在教科书里见过PPPPoint-to-Point Protocol点对点协议和CHAPChallenge Handshake Authentication Protocol挑战握手认证协议的名词解释但真到了用模拟器比如GNS3、EVE-NG搭环境或者面对一台需要配置专线的老旧路由器时还是会有点发懵LCP和NCP是啥关系CHAP的三次握手报文到底怎么交互的PPP封装好的帧里头的IP包又是怎么被处理的这些问题不搞清楚配置命令就是死记硬背出了故障根本无从下手。这个内容就是帮你把这些散落的知识点串起来。我们不止看协议标准更要看它们在真实设备比如思科路由器上是怎么运作的。我们会从最底层开始看PPP如何给原始的比特流套上“信封”封装然后看CHAP如何给这个连接加上“门禁”认证最后看IP协议这个“核心货物”是如何被安全、可靠地运送的。无论你是正在备考认证的学生还是需要调试实际网络的一线工程师理解这个经典组合都能让你对二层和三层协议的协作有更透彻的认识。2. PPP协议不止是“点对点”那么简单PPP协议的设计初衷非常明确在点对点的链路上以一种简单、高效、可扩展的方式传输多协议数据包。它要解决的是早期SLIP协议的诸多不足比如没有差错检测、只能承载IP协议、没有认证能力等。所以PPP从诞生起就被设计成一个模块化的协议族其核心架构可以概括为“一个核心两大组件多层封装”。2.1 PPP的层次化架构LCP、NCP与上层协议PPP的运作依赖于三个关键层次这比简单地理解“封装”要深入得多链路控制协议LCP Link Control Protocol这是PPP的“基础设施施工队”。在数据传输开始前LCP负责建立、配置、测试和终止数据链路连接。它的工作包括协商链路参数比如最大接收单元MRU、是否启用认证、使用哪种认证协议PAP或CHAP、是否进行魔术字Magic Number冲突检测等。你可以把它想象成两个设备在握手时说“我们这条链路最大包裹尺寸定多少需要查身份证吗用什么方式查”链路质量监控虽然PPP本身不提供可靠传输但LCP可以配置用于监测链路质量在质量恶化到一定程度时触发链路终止。链路环路检测通过交换魔术字一个随机数如果两端收到的魔术字和自己发送的一样说明链路可能形成了环路LCP会报告错误。网络控制协议NCP Network Control Protocol这是PPP的“业务开通部门”。当LCP把链路建好、验收合格后NCP才上场。每个三层协议如IP、IPX、AppleTalk都有自己对应的NCP。最常用的就是IPCPInternet Protocol Control Protocol。IPCP负责在PPP链路上“激活”IP层具体工作包括协商IP地址尤其是在拨号场景下服务端通过IPCP为客户端动态分配一个IP地址。协商TCP/IP头部压缩如Van Jacobson头部压缩以减少小数据包的传输开销。简单来说NCP负责告诉对方“好了物理路通了现在我们可以开始跑IP业务了这是你的IP地址我们是否启用压缩”上层协议数据在LCP和NCP都协商成功后真正的用户数据如IP数据包才会通过这条PPP链路进行传输。此时PPP仅仅作为一个高效的“搬运工”。这个“LCP先建链路 - NCP再开业务”的流程是理解PPP状态机的关键。在设备上你常会看到接口在“up”和“up”之前经历“down”、“LCP negotiating”、“NCP negotiating”等状态。2.2 PPP的帧封装格式拆解每一个字段PPP的帧格式非常简洁这也是其高效的原因之一。一个标准的PPP帧基于HDLC-like封装如下所示| 标志域 (Flag) | 地址域 (Address) | 控制域 (Control) | 协议域 (Protocol) | 信息域 (Information) | 帧校验序列 (FCS) | 标志域 (Flag) | | 1字节 | 1字节 | 1字节 | 2字节 | 0-1500字节 | 2/4字节 | 1字节 |标志域 (Flag, 0x7E)帧的开始和结束标识固定为二进制01111110。这就带来了一个问题如果数据部分也出现了0x7E这个字节接收方就会误认为是帧结束了。为了解决这个问题PPP使用了字节填充Byte Stuffing技术。发送方在数据中遇到0x7E就将其转义为0x7D后跟0x5E遇到0x7D转义字符本身则转义为0x7D后跟0x5D。接收方进行反向操作。这是PPP链路透明传输的基础。地址域 (Address, 0xFF)在点对点链路上理论上不需要地址。因此PPP标准将其固定为广播地址0xFF表示“所有站”这是一个历史遗留的兼容性设计。控制域 (Control, 0x03)同样为了简化PPP默认使用0x03表示“无编号帧”即不进行序列号和确认提供无连接的服务。协议域 (Protocol)这是PPP帧的“灵魂”字段2字节长它指明了“信息域”里承载的是什么内容。常见值有0xC021 信息域是LCP报文。0xC223 信息域是CHAP报文。0x8021 信息域是IPCP报文。0x0021 信息域是IP数据包。 通过这个字段接收方就能把LCP协商报文、CHAP认证报文、IPCP协商报文和普通的IP数据包区分开来交给不同的处理模块。信息域 (Information)可变长即上层协议数据如IP包或控制协议LCP/NCP/CHAP的报文。帧校验序列 (FCS)通常为2字节CRC-16用于检测帧在传输过程中是否出现比特错误。如果校验失败该帧会被直接丢弃。注意在实际的抓包分析中如Wireshark你通常看不到标志位和FCS因为网卡驱动在将帧上交协议栈时已经把它们去掉了。你看到的是从“协议域”开始的内容。但在串行链路上抓取原始比特流时这些字段是存在的。2.3 实操观察在GNS3中抓取PPP协商报文理论说得再多不如抓个包看看。假设你在GNS3里用串行线连接了两台路由器R1和R2并配置了PPP封装和CHAP认证。搭建环境创建两台思科路由器如c7200用串行接口如S1/0背靠背连接。确保串行线缆类型正确如serialDCE/DTE。基础配置! 在R1上 interface Serial1/0 ip address 192.168.1.1 255.255.255.0 encapsulation ppp ! 关键命令启用PPP封装 ppp authentication chap ! 启用CHAP认证 clock rate 128000 ! 如果此端是DCE需要配置时钟 ! username R2 password cisco123 ! 创建对端用户名和密码 ! 在R2上 interface Serial1/0 ip address 192.168.1.2 255.255.255.0 encapsulation ppp ppp authentication chap ! username R1 password cisco123 ! 创建对端用户名和密码必须与R1上为R2配置的相同抓包分析在GNS3中为这条串行链路开启抓包。然后shutdown再no shutdownR2的Serial1/0接口触发PPP重新协商。在Wireshark中你会清晰地看到如下流程LCP阶段首先出现大量Protocol: LCP (0xc021)的帧。你会看到Configure-Request、Configure-Ack等报文它们在协商MRU、认证协议等。如果启用了魔术字这里也会交换。认证阶段接着出现Protocol: CHAP (0xc223)的帧。这就是我们下一章要细说的CHAP三次握手。NCP阶段认证成功后出现Protocol: IPCP (0x8021)的帧。你会看到Configure-Request里可能包含客户端请求的IP地址0.0.0.0或服务器分配的IP地址。数据传输阶段最后链路协议状态变为up/up开始出现Protocol: IP (0x0021)的帧里面就是真正的IP数据包了比如你ping对方时产生的ICMP包。这个抓包过程就是PPP协议栈工作流程最直观的展现。任何一环失败如LCP参数不匹配、CHAP密码错误、IPCP协商失败链路都无法进入最终的up/up状态。3. CHAP认证为什么它比PAP更安全在PPP的LCP协商阶段如果协商决定使用认证那么接下来就会进入认证阶段。PPP支持两种认证协议PAPPassword Authentication Protocol和CHAP。PAP极其简单客户端直接以明文发送用户名和密码安全性为零基本已弃用。而CHAP则通过“挑战-应答”机制提供了更高的安全性。3.1 CHAP的三次握手流程详解CHAP认证过程由认证方通常是服务器端主导遵循标准的“挑战-应答-成功/失败”三步曲。我们以R1为认证方R2为被认证方为例挑战Challenge认证方R1生成一个随机数称为“挑战值”Challenge Value。R1向被认证方R2发送一个CHAP Challenge报文。这个报文中包含R1生成的挑战值、以及一个本次挑战的ID用于匹配后续的应答。应答Response被认证方R2收到挑战报文后进行如下计算将“挑战值”、“ID”和“双方共享的密钥密码”串联起来。对这个串联后的字节流使用单向散列函数MD5是CHAP最常用的尽管现在MD5已被认为不够安全进行计算得到一个“哈希值”Hash Value。关键点R2永远不会在网络中发送明文密码。它发送的是这个计算出来的哈希值。R2将计算出的哈希值、自己的用户名用于标识自己以及收到的ID打包成一个CHAP Response报文发回给R1。验证Success/Failure认证方R1收到Response后它自己也会进行一模一样的计算它本地存储着R2的用户名和对应的密码。它用这个密码、自己之前发出的挑战值和ID计算出一个“预期的哈希值”。R1将R2发来的哈希值与自己计算出的预期哈希值进行比较。如果两者一致说明R2拥有正确的密码认证成功。R1发送CHAP Success报文。如果两者不一致认证失败。R1发送CHAP Failure报文链路可能被终止。这个机制的精妙之处在于防窃听密码从未在网络上传输。防重放攻击因为挑战值是随机数每次认证都不同攻击者即使截获了一次Response报文也无法在下次认证中重用。双向认证CHAP可以配置为双向认证即两端互相挑战对方确保双方身份都可信。3.2 配置要点与常见故障排查在思科设备上配置CHAP有几个必须牢记的要点这也是最容易出错的地方用户名与密码的对应关系username 对方主机名 password 共享密钥。这里的对方主机名默认是对方路由器的主机名hostname。例如R1的主机名是R1R2的主机名是R2。那么在R1上必须配置username R2 password cisco在R2上必须配置username R1 password cisco密码必须完全相同。这个“主机名”是区分大小写的。主机名不一致的坑如果对方的主机名不是默认的或者你想使用一个标识符可以在接口下使用ppp chap hostname 自定义名称命令来指定发送CHAP Response时使用的用户名。相应地本地配置的username也要改成这个自定义名称。一个典型的认证失败排查流程如下debug ppp authentication这是最直接的命令会在控制台实时打印CHAP交互的详细信息。查看debug信息常见错误“CHAP: O RESPONSE id 1 len 28 from ‘R2‘” 这表示本地O代表Output发出了一个Response。“CHAP: I RESPONSE id 1 len 28 from ‘R2‘” 这表示收到了I代表Input一个来自‘R2‘的Response。关键错误信息“CHAP: O FAILURE id 1 len 25 msg is “Authentication failed”“。这说明本地作为认证方计算出的哈希值与收到的哈希值不匹配。根据错误信息检查两端配置的username后的名称是否匹配检查主机名或ppp chap hostname两端配置的password是否完全一致包括大小写和空格是否有一端配置了ppp authentication pap chap先尝试PAP而另一端只配置了CHAP这可能导致协商不一致。实操心得在实验室环境中为了方便很多人喜欢用username * password cisco这样的通配符配置。这在测试时可以但在生产环境绝对禁止因为它完全破坏了认证的安全性。生产环境必须使用强密码并考虑使用更安全的算法如CHAP with MS-CHAPv2但传统路由器可能不支持。4. IP协议在PPP链路中的旅程当PPP链路经过LCP建立、CHAP认证如果需要、NCPIPCP协商后这条链路就准备好传输IP数据包了。此时从三层IP层的角度看这条PPP链路就像一个以太网链路一样是一个直连的网络。但它的封装和解封装过程有其特殊性。4.1 IPCP为IP层铺平道路在IP数据包开始流动之前IPCP完成了最后的基础工作。除了之前提到的动态分配IP地址IPCP还有一个重要作用协商双方接口的IP地址是否在同一网段。在点对点链路中通常只需要一个/30或/31的子网两个可用IP地址。通过IPCP的Configure-Request和Configure-Ack/Nak报文两端会确认彼此的IP地址并确认网络掩码虽然PPP链路本身不需要传统意义上的掩码但设备需要它来构建路由表。在抓包中你可能会看到这样的IPCP交互客户端发送Configure-Request包含0.0.0.0请求地址和压缩协议选项。服务器回复Configure-Nak包含192.168.1.2分配给客户端的地址。客户端重新发送Configure-Request这次包含192.168.1.2。服务器回复Configure-Ack。至此两端的IP层“知道”了对方的地址ARP在点对点链路上是不需要的因为下一跳就是唯一的对端。4.2 数据转发封装、传输与解封装当一个IP数据包例如从R1发往192.168.1.2需要从Serial1/0接口发出时过程如下路由查找R1查询路由表发现目标192.168.1.2是直连在Serial1/0接口的网络。ARP不需要因为是PPP链路没有MAC地址的概念所以跳过ARP。PPP封装IP层将数据包下发给Serial1/0接口的PPP驱动。PPP驱动执行封装在IP数据包前加上一个PPP头部。这个头部很简单主要就是协议域Protocol Field其值被设置为0x0021表明载荷是一个IP数据包。在PPP帧前后加上标志位Flag并进行字节填充如果需要。计算FCS并附加在帧尾。物理层传输封装好的PPP帧被转换成比特流通过串行电缆或模拟的串行链路发送出去。对端解封装R2的Serial1/0接口收到比特流识别出标志位组装成PPP帧校验FCS。检查协议域发现是0x0021于是将帧的“信息域”即原始的IP数据包剥离出来上交给自己设备的IP协议栈处理。这个过程对于IP层来说是透明的。IP层只关心源IP和目标IP它不知道下层是PPP、以太网还是帧中继。这种层次化的独立性正是TCP/IP协议栈的魅力所在。4.3 与以太网封装的对比理解PPP封装一个很好的方法是对比更熟悉的以太网封装特性以太网 (Ethernet II)PPP (HDLC-like 封装)地址字段源MAC (6字节) 目标MAC (6字节)固定为0xFF1字节无实际寻址意义类型/协议字段类型 (Type 2字节 如0x0800代表IP)协议 (Protocol 2字节 如0x0021代表IP)帧定界前导码帧起始定界符(SFD)标志位(Flag0x7E)差错控制可选FCS (4字节)强制FCS (通常2字节)透明传输无字节填充依赖物理层有字节填充(Byte Stuffing)适用场景多路访问广播网络(LAN)点对点链路(WAN)这个对比清晰地显示出PPP的设计极度简化去掉了复杂的MAC寻址和竞争处理机制非常适合单一的、点对点的连接场景。5. 综合实验与深度排错纸上得来终觉浅我们用一个综合实验场景把前面所有知识串联起来并模拟一个典型故障进行排错。实验拓扑GNS3中两台路由器R1和R2通过串口相连。R1连接局域网192.168.10.0/24R2连接局域网192.168.20.0/24。目标配置PPP和CHAP实现两个局域网互通。配置步骤简述基础接口IP与路由配置串口IP如10.0.0.1/30和10.0.0.2/30在R1和R2上配置指向对方局域网静态路由或使用动态路由协议如OSPF。启用PPP与CHAP在串口下配置encapsulation ppp和ppp authentication chap。配置CHAP认证在R1上username R2 password MySecretPass在R2上username R1 password MySecretPass。验证从R1 ping R2的串口地址10.0.0.2再从R1局域网内的主机ping R2局域网内的主机。模拟故障CHAP认证失败链路协议状态为up/down(LCP open 但IPCP未成功)。排错过程正是对我们所学知识的实战检验查看接口状态show interfaces serial 1/0看到第一行是Serial1/0 is up, line protocol is down。这说明物理层通了但数据链路层协议没通。继续看输出往往会有一行提示LCP Closed或Closed: IPCP。如果是Closed: IPCP说明LCP已经Open问题出在IPCP或认证阶段。开启Debugdebug ppp negotiation和debug ppp authentication。debug ppp negotiation会显示LCP和NCP的所有协商细节。在控制台你可能会看到LCP的Config-Ack然后进入CHAP流程。关键线索你看到了CHAP: O FAILURE的消息。这说明认证失败了。分析认证失败原因根据Debug信息检查用户名不匹配Debug显示收到的Response来自RTB但你本地配置的是username R2 ...。原来R2的主机名被改成了RTB。这就对不上了。解决方案在R1上要么将username改为username RTB password ...要么在R2的串口下配置ppp chap hostname R2来强制使用R2这个标识符。密码不匹配这是最常见的问题。检查两端的密码是否完全一致。思科设备密码默认是明文显示版本7加密除外仔细核对。解决方案统一密码。认证通过后的IPCP问题如果CHAP成功了但链路还是没起来看Debug信息可能显示IPCP在反复发送Configure-Request却没有收到Ack。这可能是因为IP地址冲突或不在同一子网检查两端串口配置的IP地址是否真的在同一子网内。10.0.0.1/30和10.0.0.2/30是正确的。如果一端配成10.0.0.1 255.255.255.0另一端配成10.0.1.1 255.255.255.0IPCP就会失败。MTU问题虽然不常见但LCP协商的MRU最大接收单元如果太小可能会影响IPCP。可以用ppp mru 1500命令手动设置。最终验证故障修复后再次show interfaces serial 1/0应该看到Serial1/0 is up, line protocol is up。此时ping和路由通信就应该正常了。这个排错流程清晰地展示了PPP链路建立是一个环环相扣的过程物理层Up - LCP协商 - 认证 - NCP协商。任何一个环节出错都会导致链路协议Down。掌握了每个阶段的工作原理和查看方法排错就有了明确的方向。6. 演进与替代PPP在现代网络中的位置随着技术发展纯粹的同步串行链路如EI/T1使用场景在减少PPP也衍生出许多适应新环境的变体PPPoE (PPP over Ethernet)这是目前家庭宽带接入ADSL、光纤到户的绝对主流。它将PPP帧封装在以太网帧中在以太网这种多路访问网络上实现了PPP的点对点会话管理和计费功能。你家的光猫和运营商BRAS之间跑的就是PPPoE协议。PPPoA (PPP over ATM)早期ADSL使用的协议现在已较少见。MLPPP (Multilink PPP)将多条PPP链路捆绑成一条逻辑链路增加带宽和提供冗余。尽管底层传输介质在变但PPP协议核心的LCP/NCP架构、认证机制CHAP依然被这些变体所继承。理解经典的PPP是理解PPPoE等现代协议的基础。在企业网中虽然MPLS、SD-WAN等技术日益普及但在一些分支机构的传统专线接入、备份链路或者与特定老旧设备互联的场景下PPP仍然在发挥作用。回过头看PPP协议封装、CHAP认证和IP协议这个组合堪称网络协议设计中“分层解耦”和“模块化设计”的典范。LCP负责链路NCP负责业务CHAP负责安全各司其职通过一个简洁的协议字段灵活调度。下次当你再在路由器上敲下encapsulation ppp时你看到的不仅仅是一条命令而是一个在链路上默默工作的、精巧的协议机器。
