ppp chap ，哪些环境需要使用双向认证，具体怎么配置

您好，请知：

以下是PAP和CHAP的配置举例和链接，请参考：

https://www.h3c.com/cn/d_202103/1388640_30005_0.htm#_Toc65432887 

1.14  PPP典型配置举例

1.14.1  PAP单向认证配置举例

1. 组网需求

如图1-2所示，Router A和Router B之间用接口Serial2/1/0互连，要求Router A用PAP方式认证Router B，Router B不需要对Router A进行认证。

2. 组网图

图1-2 配置PAP单向认证组网图

‌

3. 配置步骤

(1)     配置Router A

# 为Router B创建本地用户。

<RouterA> system-view

[RouterA] local-user userb class network

# 设置本地用户的密码。

[RouterA-luser-network-userb] password simple 123456TESTplat&!

# 设置本地用户的服务类型为PPP。

[RouterA-luser-network-userb] service-type ppp

[RouterA-luser-network-userb] quit

# 配置接口封装的链路层协议为PPP（缺省情况下，接口封装的链路层协议为PPP，此步骤可选）。

[RouterA] interface serial 2/1/0

[RouterA-Serial2/1/0] link-protocol ppp

# 配置本地认证Router B的方式为PAP。

[RouterA-Serial2/1/0] ppp authentication-mode pap domain system

# 配置接口的IP地址。

[RouterA-Serial2/1/0] ip address 200.1.1.1 16

[RouterA-Serial2/1/0] quit

# 在系统缺省的ISP域system下，配置PPP用户使用本地认证方案。

[RouterA] domain system

[RouterA-isp-system] authentication ppp local

(2)     配置Router B

# 配置接口封装的链路层协议为PPP（缺省情况下，接口封装的链路层协议为PPP，此步骤可选）。

<RouterB> system-view

[RouterB] interface serial 2/1/0

[RouterB-Serial2/1/0] link-protocol ppp

# 配置本地被Router A以PAP方式认证时Router B发送的PAP用户名和密码。

[RouterB-Serial2/1/0] ppp pap local-user userb password simple 123456TESTplat&!

# 配置接口的IP地址。

[RouterB-Serial2/1/0] ip address 200.1.1.2 16

4. 验证配置

通过display interface serial命令，查看接口Serial2/1/0的信息，发现接口的物理层和链路层的状态都是up状态，并且PPP的LCP和IPCP都是opened状态，说明链路的PPP协商已经成功，并且Router A和Router B可以互相ping通对方。

[RouterB-Serial2/1/0] display interface serial 2/1/0

Serial2/1/0

Current state: UP

Line protocol state: UP

Description: Serial2/1/0 Interface

Bandwidth: 64kbps

Maximum transmission unit: 1500

Internet address: 200.1.1.2/16 (primary)

Link layer protocol: PPP

LCP: opened, IPCP: opened

…略…

[RouterB-Serial2/1/0] ping 200.1.1.1

Ping 200.1.1.1 (200.1.1.1): 56 data bytes, press CTRL_C to break

56 bytes from 200.1.1.1: icmp_seq=0 ttl=128 time=3.197 ms

56 bytes from 200.1.1.1: icmp_seq=1 ttl=128 time=2.594 ms

56 bytes from 200.1.1.1: icmp_seq=2 ttl=128 time=2.739 ms

56 bytes from 200.1.1.1: icmp_seq=3 ttl=128 time=1.738 ms

56 bytes from 200.1.1.1: icmp_seq=4 ttl=128 time=1.744 ms

--- Ping statistics for 200.1.1.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 1.738/2.402/3.197/0.576 ms

1.14.2  PAP双向认证配置举例

1. 组网需求

如图1-3所示，Router A和Router B之间用接口Serial2/1/0互连，要求Router A和Router B用PAP方式相互认证对方。

2. 组网图

图1-3 配置PAP双向认证组网图

‌

3. 配置步骤

(1)     配置Router A

# 为Router B创建本地用户。

<RouterA> system-view

[RouterA] local-user userb class network

# 设置本地用户的密码。

[RouterA-luser-network-userb] password simple 123456TESTplat&!

# 设置本地用户的服务类型为PPP。

[RouterA-luser-network-userb] service-type ppp

[RouterA-luser-network-userb] quit

# 配置接口封装的链路层协议为PPP（缺省情况下，接口封装的链路层协议为PPP，此步骤可选）。

[RouterA] interface serial 2/1/0

[RouterA-Serial2/1/0] link-protocol ppp

# 配置本地认证Router B的方式为PAP。

[RouterA-Serial2/1/0] ppp authentication-mode pap domain system

# 配置本地被Router B以PAP方式认证时Router A发送的PAP用户名和密码。

[RouterA-Serial2/1/0] ppp pap local-user usera password simple 123456TESTplat&!

# 配置接口的IP地址。

[RouterA-Serial2/1/0] ip address 200.1.1.1 16

[RouterA-Serial2/1/0] quit

# 在系统缺省的ISP域system下，配置PPP用户使用本地认证方案。

[RouterA] domain system

[RouterA-isp-system] authentication ppp local

(2)     配置Router B

# 为Router A创建本地用户。

<RouterB> system-view

[RouterB] local-user usera class network

# 设置本地用户的密码。

[RouterB-luser-network-usera] password simple 123456TESTplat&!

# 设置本地用户的服务类型为PPP。

[RouterB-luser-network-usera] service-type ppp

[RouterB-luser-network-usera] quit

# 配置接口封装的链路层协议为PPP（缺省情况下，接口封装的链路层协议为PPP，此步骤可选）。

[RouterB] interface serial 2/1/0

[RouterB-Serial2/1/0] link-protocol ppp

# 配置本地认证Router A的方式为PAP。

[RouterB-Serial2/1/0] ppp authentication-mode pap domain system

# 配置本地被Router A以PAP方式认证时Router B发送的PAP用户名和密码。

[RouterB-Serial2/1/0] ppp pap local-user userb password simple 123456TESTplat&!

# 配置接口的IP地址。

[RouterB-Serial2/1/0] ip address 200.1.1.2 16

[RouterB-Serial2/1/0] quit

# 在系统缺省的ISP域system下，配置PPP用户使用本地认证方案。

[RouterB] domain system

[RouterB-isp-system] authentication ppp local

4. 验证配置

通过display interface serial命令，查看接口Serial2/1/0的信息，发现接口的物理层和链路层的状态都是up状态，并且PPP的LCP和IPCP都是opened状态，说明链路的PPP协商已经成功，并且Router A和Router B可以互相ping通对方。

[RouterB-isp-system] display interface serial 2/1/0

Serial2/1/0

Current state: UP

Line protocol state: UP

Description: Serial2/1/0 Interface

Bandwidth: 64kbps

Maximum transmission unit: 1500

Internet address: 200.1.1.2/16 (primary)

Link layer protocol: PPP

LCP opened, IPCP opened

…略…

[RouterB-isp-system] ping 200.1.1.1

Ping 200.1.1.1 (200.1.1.1): 56 data bytes, press CTRL_C to break

56 bytes from 200.1.1.1: icmp_seq=0 ttl=128 time=3.197 ms

56 bytes from 200.1.1.1: icmp_seq=1 ttl=128 time=2.594 ms

56 bytes from 200.1.1.1: icmp_seq=2 ttl=128 time=2.739 ms

56 bytes from 200.1.1.1: icmp_seq=3 ttl=128 time=1.738 ms

56 bytes from 200.1.1.1: icmp_seq=4 ttl=128 time=1.744 ms

--- Ping statistics for 200.1.1.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 1.738/2.402/3.197/0.576 ms

1.14.3  CHAP单向认证配置举例

1. 组网需求

在图1-2中，要求设备Router A用CHAP方式认证设备Router B。

2. 组网图

图1-4 配置CHAP单向认证组网图

‌

3. 配置方法一（以CHAP方式认证对端时，认证方配置了用户名）

(1)     配置Router A

# 为Router B创建本地用户。

<RouterA> system-view

[RouterA] local-user userb class network

# 设置本地用户的密码。

[RouterA-luser-network-userb] password simple 123456TESTplat&!

# 设置本地用户的服务类型为PPP。

[RouterA-luser-network-userb] service-type ppp

[RouterA-luser-network-userb] quit

# 配置接口封装的链路层协议为PPP（缺省情况下，接口封装的链路层协议为PPP，此步骤可选）。

[RouterA] interface serial 2/1/0

[RouterA-Serial2/1/0] link-protocol ppp

# 配置采用CHAP认证时Router A的用户名。

[RouterA-Serial2/1/0] ppp chap user usera

# 配置本地认证Router B的方式为CHAP。

[RouterA-Serial2/1/0] ppp authentication-mode chap domain system

# 配置接口的IP地址。

[RouterA-Serial2/1/0] ip address 200.1.1.1 16

[RouterA-Serial2/1/0] quit

# 在系统缺省的ISP域system下，配置PPP用户使用本地认证方案。

[RouterA] domain system

[RouterA-isp-system] authentication ppp local

(2)     配置Router B

# 为Router A创建本地用户。

<RouterB> system-view

[RouterB] local-user usera class network

# 设置本地用户的密码。

[RouterB-luser-network-usera] password simple 123456TESTplat&!

# 设置本地用户的服务类型为PPP。

[RouterB-luser-network-usera] service-type ppp

[RouterB-luser-network-usera] quit

# 配置接口封装的链路层协议为PPP（缺省情况下，接口封装的链路层协议为PPP，此步骤可选）。

[RouterB] interface serial 2/1/0

[RouterB-Serial2/1/0] link-protocol ppp

# 配置采用CHAP认证时Router B的用户名。

[RouterB-Serial2/1/0] ppp chap user userb

# 配置接口的IP地址。

[RouterB-Serial2/1/0] ip address 200.1.1.2 16

4. 配置方法二（以CHAP方式认证对端时，认证方未配置用户名）

(1)     配置Router A

# 为Router B创建本地用户。

<RouterA> system-view

[RouterA] local-user userb class network

# 设置本地用户的密码。

[RouterA-luser-network-userb] password simple 123456TESTplat&!

# 设置本地用户的服务类型为PPP。

[RouterA-luser-network-userb] service-type ppp

[RouterA-luser-network-userb] quit

# 配置本地认证Router B的方式为CHAP。

[RouterA] interface serial 2/1/0

[RouterA-Serial2/1/0] ppp authentication-mode chap domain system

# 配置接口的IP地址。

[RouterA-Serial2/1/0] ip address 200.1.1.1 16

[RouterA-Serial2/1/0] quit

# 在系统缺省的ISP域system下，配置PPP用户使用本地认证方案。

[RouterA] domain system

[RouterA-isp-system] authentication ppp local

(2)     配置Router B

# 配置采用CHAP认证时Router B的用户名。

<RouterB> system-view

[RouterB] interface serial 2/1/0

[RouterB-Serial2/1/0] ppp chap user userb

# 设置缺省的CHAP认证密码。

[RouterB-Serial2/1/0] ppp chap password simple 123456TESTplat&!

# 配置接口的IP地址。

[RouterB-Serial2/1/0] ip address 200.1.1.2 16

5. 验证配置

通过display interface serial命令，查看接口Serial2/1/0的信息，发现接口的物理层和链路层的状态都是up状态，并且PPP的LCP和IPCP都是opened状态，说明链路的PPP协商已经成功，并且Router A和Router B可以互相ping通对方。

[RouterB-Serial2/1/0] display interface serial 2/1/0

Serial2/1/0

Current state: UP

Line protocol state: UP

Description: Serial2/1/0 Interface

Bandwidth: 64kbps

Maximum transmission unit: 1500

Internet address: 200.1.1.2/16 (primary)

Link layer protocol: PPP

LCP opened, IPCP opened

…略…

[RouterB-Serial2/1/0] ping 200.1.1.1

Ping 200.1.1.1 (200.1.1.1): 56 data bytes, press CTRL_C to break

56 bytes from 200.1.1.1: icmp_seq=0 ttl=128 time=3.197 ms

56 bytes from 200.1.1.1: icmp_seq=1 ttl=128 time=2.594 ms

56 bytes from 200.1.1.1: icmp_seq=2 ttl=128 time=2.739 ms

56 bytes from 200.1.1.1: icmp_seq=3 ttl=128 time=1.738 ms

56 bytes from 200.1.1.1: icmp_seq=4 ttl=128 time=1.744 ms

--- Ping statistics for 200.1.1.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 1.738/2.402/3.197/0.576 ms