لب عملی: احراز هویت PPP با استفاده از PAP

هدف لب

پیکربندی احراز هویت PAP بین دو روتر که PPP اجرا می‌کنند، تأیید احراز هویت موفق، سپس معرفی یک عدم‌تطابق اعتبارنامه و مشاهده شکست حاصل.

هدف لب (چرا مهم است)

PAP یکی از دو روش استاندارد احراز هویت PPP است، و در حالی که اعتبارنامه‌ها را به‌صورت متن-ساده می‌فرستد (یک ضعف امنیتی که با جزئیات بیشتر هنگام مقایسه‌اش با CHAP در یک لب بعدی پوشش داده می‌شود)، همچنان یک بلوک سازنده بنیادین برای درک امنیت لینک WAN است و گاهی همچنان برای سازگاری با تجهیزات قدیمی‌تر مورد نیاز است.

توپولوژی لب

R1 ---- Serial0/0/0 (DTE) ------ Serial0/0/0 (DCE) ---- R2

R1: 10.11.11.1/30
R2: 10.11.11.2/30

هر دو روتر از قبل کپسوله‌سازی PPP را اجرا
می‌کنند، همان‌طور که در لب قبلی پیکربندی شد

وظیفه ۱: پیکربندی نام‌های کاربری روی هر دو روتر

روی R1، یک نام‌کاربری محلی منطبق با hostname R2 با یک رمز عبور توافق‌شده بساز. روی R2، یک نام‌کاربری محلی منطبق با hostname R1 با همان رمز عبور بساز.

وظیفه ۲: فعال‌کردن PPP و PAP

اطمینان حاصل کن کپسوله‌سازی PPP تنظیم شده، سپس احراز هویت PAP را روی هر دو اینترفیس سریال فعال کن.

وظیفه ۳: پیکربندی اعتبارنامه‌های PAP خروجی

روی اینترفیس هر روتر، نام‌کاربری و رمز عبوری که در طول احراز هویت به همتای دوردست فرستاده می‌شود را مشخص کن.

وظیفه ۴: تأیید احراز هویت موفق

تأیید کن لینک با موفقیت احراز هویت می‌شود و اتصال IP کار می‌کند.

وظیفه ۵: معرفی یک عدم‌تطابق رمز عبور

رمز عبور در پایگاه‌داده نام‌کاربری محلی R2 را بدون به‌روزرسانی اعتبارنامه‌های خروجی R1 تغییر بده، سپس شکست احراز هویت حاصل را مشاهده کن.

راه‌حل و تأیید

R1(config)# username R2 password Cisco123
R1(config)# interface serial0/0/0
R1(config-if)# encapsulation ppp
R1(config-if)# ppp authentication pap
R1(config-if)# ppp pap sent-username R1 password Cisco123

R2(config)# username R1 password Cisco123
R2(config)# interface serial0/0/0
R2(config-if)# encapsulation ppp
R2(config-if)# ppp authentication pap
R2(config-if)# ppp pap sent-username R2 password Cisco123

R1# show interfaces serial0/0/0

Serial0/0/0 is up, line protocol is up
  Encapsulation PPP

R1# ping 10.11.11.2

!!!!!
Success rate is 100 percent (5/5)

R2(config)# username R1 password WrongPassword

R1# show interfaces serial0/0/0

Serial0/0/0 is up, line protocol is down

R1# debug ppp authentication

PPP Serial0/0/0: remote passed PAP authentication
PPP Serial0/0/0: Send PAP Auth-Nak
-- R2 اعتبارنامه‌های R1 را رد می‌کند، چون
-- پایگاه‌داده نام‌کاربری محلی R2 دیگر رمز
-- عبور منطبقی که R1 می‌فرستد را ندارد

R2(config)# username R1 password Cisco123

R1# show interfaces serial0/0/0
Serial0/0/0 is up, line protocol is up

نکته کلیدی

دستور username محلی هر روتر مشخص می‌کند چه اعتبارنامه‌ای انتظار دارد از یک همتا دریافت کند، در حالی که ppp pap sent-username مشخص می‌کند چه اعتبارنامه‌ای می‌فرستد — این‌ها به‌راحتی گیج‌کننده هستند، و یک عدم‌تطابق در هر سمت (انتظار‌رفته در مقابل فرستاده‌شده) شکست احراز هویت یکسانی تولید می‌کند، پس هر دو باید در طول عیب‌یابی بررسی شوند.