中职网络设备安装与调试（思科版）（第2版）项目6电子课件 .pptx

中职网络设备安装与调试（思科版）（第2版）项目6电子课件 工信版*项目目6 广域网技广域网技术配置配置项目描述 广域网（Wide Area Network，WAN）也称远程网，是一种运行地域超过局域网的数据通信网络，通常跨接很大的物理范围，所覆盖的范围从几十千米到几千千米，它能连接多个城市或国家，或者横跨几个大洲并能提供远距离通信，形成国际性的远程网络。广域网和局域网的主要区别之一是需要向外部的广域网服务提供商申请订购广域网电信网络服务，一般使用电信运营商提供的数据链路在广域网范围内访问网络。本项目重点介绍路由器的广域网HDLC封装、路由器的广域网PPP封装、路由器的广域网PPP封装PAP验证和路由器的广域网PPP封装CHAP验证。*项目目6 广域网技广域网技术配置配置*项目目6 广域网技广域网技术配置配置任务1 路由器的广域网协议配置任务1 路由器的广域网协议配置广域网常用的数据链路层协议有高级数据链路控制（High-levelDataLinkControl，HDLC）协议和点到点协议（PointtoPointProtocol，PPP）。这些协议定义了数据帧的封装、传输和控制。本任务分为以下两个活动展开介绍。活动1路由器的广域网HDLC封装。活动2路由器的广域网PPP封装。*任务1 路由器的广域网协议配置活动1 路由器的广域网HDLC封装活动1 路由器的广域网HDLC封装任务描述HDLC协议是一种标准的用于在同步网络中传输数据的、面向比特的数据链路层协议。该协议具有无差错数据传输和流量控制两种功能。作为面向比特的同步通信协议，HDLC协议不仅支持全双工点对点的透明传输，还支持对等链路。海成公司成功搭建了总公司和分公司的局域网，并且运行良好。现在海成公司购置了两台路由器和高速同步串行模块，准备通过专线将总公司和分公司连接起来，以便公司内部数据的通信。活动1 路由器的广域网HDLC封装任务分析将两台路由器通过高速同步串行模块连接起来，使用HDLC协议进行数据封装和传输。HDLC协议不仅提供了无差错的按序数据传输，还提供了流量控制、差错检测和恢复功能，以保证数据的完整性。下面以两台型号为2911的路由器来模拟公网，使读者可以学习和掌握路由器的广域网HDLC封装的配置方法，配置路由器的广域网HDLC封装的拓扑图如图6.1.1所示。图6.1.1 路由器的广域网HDLC封装的拓扑图具体要求如下：（1）添加两台型号为2911的路由器，将标签名分别更改为R1和R2，并将路由器的名称分别设置为R1和R2。（2）为R1和R2添加HWIC-2T模块，并均添加在S0/0/0接口位置。（3）使用V35串口线连接两个路由器的S0/0/0接口，并将R1设置为DCE端。（4）网络设备参数设置如表6.1.1所示。表6.1.1 网络设备参数（5）在两个路由器之间做HDLC封装，并测试两个路由器之间的连通性。活动1 路由器的广域网HDLC封装任务实施步骤1：路由器R1的基本配置。活动1 路由器的广域网HDLC封装步骤2：查看R1的接口配置情况。活动1 路由器的广域网HDLC封装步骤3：R2的基本配置。活动1 路由器的广域网HDLC封装步骤4：再次查看R1的接口配置情况。活动1 路由器的广域网HDLC封装活动1 路由器的广域网HDLC封装任务验收在任意一台路由器上，在特权模式下使用ping命令测试其与对方路由器之间的连通性，如在R1上测试其与R2之间的连通性，结果如下：活动1 路由器的广域网HDLC封装知识链接 1广域网 广域网是覆盖多个地区或国家的计算机网络，通常由若干个局域网通过电信专用线路连接而成。广域网具有以下特征。（1）覆盖范围广。（2）数据传输速率高。（3）传输延迟大。（4）设备昂贵。广域网一般只包含OSI七层模型中的下3层：物理层、数据链路层和网络层。广域网一般采用存储转发方式来进行数据的交换。广域网常用协议如图6.1.2所示。图6.1.2 广域网常用协议活动1 路由器的广域网HDLC封装 其中，物理层描述了广域网线路的电气、机械特性；数据链路层描述了数据帧的有序和无差错传输；网络层描述了数据包在局域网之间的路由与转发。2HDLC HDLC协议起源于IBM公司的同步数据链路控制规程（Synchronous Data Link Control，SDLC），后来由ISO对其进行扩展修订而来。HDLC协议是面向比特的在同步网络上进行有序数据传输的数据链路层协议。HDLC协议具有以下特征。（1）面向比特，不必依赖任何编码方式。（2）全双工通信。（3）所有数据帧进行CRC校验。（4）数据传输和控制分离。HDLC协议的数据帧格式如图6.1.3所示。图6.1.3 HDLC协议的数据帧格式活动1 路由器的广域网HDLC封装 HDLC协议的数据帧有3种类型：信息帧、监控帧和无编号帧。其中，信息帧用于传输有效的数据信息，监控帧用于在传输中进行差错检测和流量控制，无编号帧用于对数据链路进行建立、维护和拆除。由于HDLC协议具有较大的自由性、较高的传输效率、较强的传输控制功能，因此，目前网络上大部分设备使用HDLC协议作为广域网接口的封装协议。思科公司的路由器广域网接口默认使用HDLC协议。任务小结本活动介绍了广域网的概念和HDLC协议的配置，其中，HDLC协议是大部分路由器广域网接口的默认协议，可以不用专门配置。值得注意的是，当广域网链路两端的接口使用不同的协议时，是无法通信的。*任务1 路由器的广域网协议配置活动2 路由器的广域网PPP封装活动2 路由器的广域网PPP封装PPP协议提供两个对等体之间的数据帧传输，这种传输是有序的、以全双工方式进行的。与HDLC协议相比，PPP协议是面向字节的，而HDLC协议是面向比特的。PPP协议本身也可以工作在面向比特的模式下。任务描述 海成公司的两台路由器在实现广域网线路时采用的是默认的HDLC协议封装。现在海成公司准备采用目前较为流行的PPP协议来封装广域网线路，希望为公司提供更好的、更安全的网络。活动2 路由器的广域网PPP封装任务分析两台路由器的广域网接口默认使用了HDLC协议来封装，现需要在路由器的广域网接口配置模式下封装PPP协议。下面以两台型号为2911的路由器来模拟公网，使读者可以学习和掌握路由器的广域网PPP封装的配置方法，配置路由器的广域网PPP封装的拓扑图如图6.1.4所示。图6.1.4 配置路由器的广域网PPP封装的拓扑图具体要求如下：（1）添加两台型号为2911的路由器，将标签名分别更改为R1和R2，并将路由器的名称分别设置为R1和R2。（2）为R1和R2添加HWIC-2T模块，并均添加在S0/0/0接口位置。（3）使用V35串口线连接两个路由器的S0/0/0接口，并将R1设置为DCE端。（4）设置网络设备参数，如表6.1.2所示。表6.1.2 网络设备参数（5）在两个路由器之间做PPP封装，并测试两个路由器之间的连通性。活动2 路由器的广域网PPP封装步骤实现步骤1：R1的基本配置。活动2 路由器的广域网PPP封装步骤2：查看R1的接口配置情况。活动2 路由器的广域网PPP封装步骤3：R2的基本配置。活动2 路由器的广域网PPP封装步骤4：再次查看R1的接口配置情况。活动2 路由器的广域网PPP封装活动2 路由器的广域网PPP封装任务验收在任意一台路由器上，在特权模式下使用ping命令测试其与对方路由器之间的连通性，如在R1上测试其与R2之间的连通性，结果如下：活动2 路由器的广域网PPP封装知识链接PPP协议由IETF于1992年制定，并分别于1993年和1994年进行修订，最终成为Internet的正式标准。PPP协议的前身是串行线路网际协议（SerialLineInternetProtocol，SLIP）。SLIP在20世纪80年代曾经广泛应用于Internet中，以其简单且易用而被称赞。由于SLIP协议只支持一种上层网络协议IP协议，并且SLIP协议没有对数据帧进行差错检验，因此它有巨大的缺陷。PPP协议是TCP/IP协议栈的标准协议，为同步数据链路的数据传输和控制提供了标准的方法。PPP协议与数据链路层的两个子层LCP和NCP都有关系。PPP协议首先由LCP子层发起，主要是建立链路、配置链路参数和测试链路状况等。经过LCP子层的初始化工作，由NCP子层来传输上层协议之间的数据通信。PPP协议能够控制数据链路的创建、拆除和维护；支持在数据链路上进行IP地址的分配和设置；支持多种类型的网络层协议；可以对数据帧进行差错检验和传输流量控制；链路两端可以就数据压缩的格式进行协商；最为重要的是，在网络安全问题日益严峻的今日，PPP协议对广域网提供了安全保障。PPP链路经历的各个阶段如图6.1.5所示。图6.1.5 PPP过程状态图活动2 路由器的广域网PPP封装 链路不可用阶段（Dead）：PPP链路需要从此阶段开始，或者以此阶段为终止，当广域网链路激活时，就由此阶段迁移到下一个阶段，即链路建立阶段。链路建立阶段（Establish）：PPP协议在此阶段完成整个协议中最复杂、最关键的工作。PPP协议发送配置报文来配置链路参数。如果广域网链路需要进行身份认证，则迁移到认证阶段（Authenticate）；如果链路两端不需要身份认证，则迁移到网络层协议阶段（Network）。认证阶段：此阶段将对广域网链路的对端进行身份认证。PPP协议支持PAP和CHAP两种认证方式。至于使用哪一种方式，则由链路两端的设备协商决定。在默认情况下，不需要进行身份认证。进入这个阶段意味着需要认证对端身份，在认证通过后，即可迁移到网络层协议阶段；如果认证没有通过，则进入网络终止阶段（Terminate）。网络层协议阶段：PPP协议在此阶段对网络层协议进行相应的配置，并在NCP的状态为open时，封装并传输网络层协议数据信息。当网络层协议数据传输完毕后，进入网络终止阶段。网络终止阶段：PPP协议在此阶段终止链路。链路物理断开、配置参数不匹配、身份认证失败及管理员手动断开链路都会促使链路终止。活动2 路由器的广域网PPP封装任务小结本活动介绍了广域网链路中的PPP封装的配置。当路由器进行广域网协议封装时，必须具有相应的广域网功能模块，分辨出线缆的DCE和DTE端。路由器两端封装的协议必须一致，否则无法建立链路。*项目目6 广域网技广域网技术配置配置任务2 路由器的广域网PPP封装验证任务2 路由器的广域网PPP封装验证 广域网协议的PPP具有密码验证协议（Password Authentication Protocol，PAP）和挑战握手验证协议（Challenge Handshake Authentication Protocol，CHAP）两种验证协议。PAP验证只在链路建立初期进行，只有两次信息的交换，因此被称为两次握手；CHAP验证比PAP验证更安全。本任务分成为以下两个活动展开介绍。活动1 路由器的广域网PPP封装PAP验证。活动2 路由器的广域网PPP封装CHAP验证。*任务2 路由器的广域网PPP封装验证活动1 路由器的广域网PPP封装PAP验证活动1 路由器的广域网PPP封装PAP验证任务描述PAP验证过程非常简单，验证过程使用明文发送数据包。验证方对验证重试的次数与间隔时间不做要求，皆由被验证方决定。这些都在一定程度上造成了安全隐患。基于网络安全方面的考虑，决定在总公司和分公司之间的广域网链路上启用PAP验证，以实现总公司路由器对分公司路由器的身份验证。活动1 路由器的广域网PPP封装PAP验证任务分析WAN专线链路建立时需要进行安全验证，以保证链路的安全性。在链路协商时，PAP在设备之间传输用户名和密码，以实现用户身份的验证。公司计划在路由器上配置广域网PPP封装PAP验证，以实现链路的安全连接。下面以两台型号为2911的路由器来模拟公网，使读者可以学习和掌握路由器的广域网PPP封装PAP验证的配置方法，配置路由器的广域网PPP封装PAP验证的拓扑图如图6.2.1所示。图6.2.1 配置路由器的广域网PPP封装PAP验证的拓扑图具体要求如下：（1）添加两台型号为2911的路由器，将标签名分别更改为R1和R2，并将路由器的名称分别设置为R1和R2。（2）为R1和R2添加HWIC-2T模块，并均添加在S0/0/0接口位置。（3）使用V35串口线连接两个路由器的S0/0/0接口，并将R1设置为DCE端。（4）网络设备参数设置如表6.2.1所示。表6.2.1 网络设备参数（5）在两个路由器之间做PPP封装PAP验证。在R1上创建用户名为R2，密码为654321；在R2上创建用户名为R1，密码为123456。并测试两个路由器之间的连通性。活动1 路由器的广域网PPP封装PAP验证步骤实现步骤1：R1的基本配置。步骤2：R2的基本配置。活动1 路由器的广域网PPP封装PAP验证步骤3：在验证方R1上创建本地用户数据库。步骤4：在验证方R2上创建本地用户数据库。步骤5：在验证方R1上要求进行PAP验证。步骤6：在被验证方R2上进行PAP客户端参数的设置。活动1 路由器的广域网PPP封装PAP验证活动1 路由器的广域网PPP封装PAP验证任务验收在R1上pingR2的IP地址，测试结果为两台路由器之间可以正常通信，表明已经通过PAP验证。相关知识 PAP是PPP中专门用于进行用户身份验证的协议，大部分的路由器都支持这种验证方式。它通过在验证方和被验证方之间的两次握手过程，完成对对端的身份验证。在验证过程中，被验证方主动发出验证请求报文，该报文中包含了验证所需的用户名和用户口令。验证方收到请求报文后，将收到的用户名和密码与本地用户数据库中存储的用户名和密码进行对比。如果对比结果相同，则通过验证；否则验证失败。在链路两端的两次握手通信过程中，所使用的报文都是以明文的方式传输的，包括验证所需要的用户名和密码，因此，在PAP验证过程中，关键信息很容易被窃取，这为网络安全带来了隐患。PAP验证过程如图6.2.2所示。图6.2.2 PAP验证过程活动1 路由器的广域网PPP封装PAP验证PAP工作在数据链路层的LCP子层，它通过两次握手的机制来实现对远程对端的身份验证。PAP将广域网链路的两端分为验证方和被验证方，验证方通过查看被验证方发送的密码，来确定是否授权创建与对端的连接，从而决定是否进入网络层协议阶段。活动1 路由器的广域网PPP封装PAP验证任务小结本活动介绍了如何使用路由器的广域网PPP封装及使用PAP协议进行身份验证。读者不仅应学习如何配置本地用户数据库、选择身份验证方式，以及配置PAP客户端信息等，还应学习如何查看路由器配置文件中PAP验证的配置信息。*任务2 路由器的广域网PPP封装验证活动2 路由器的广域网PPP封装CHAP验证活动2 路由器的广域网PPP封装CHAP验证任务描述 PAP验证方式需要将用户名与密码以明文的方式通过远程链路传输，这为网络应用带来了安全隐患。CHAP验证方式在远程链路中只传送用户名而不传送密码，所以在安全性上要比PAP验证方式高。海成公司的管理员发现PAP验证方式的安全性能不高，因此为了进一步提高网络安全性，决定在总公司和分公司之间的广域网链路上启用CHAP验证，以实现总公司路由器对分公司路由器的身份验证。活动2 路由器的广域网PPP封装CHAP验证任务分析CHAP验证使用3次握手机制来启动一条链路和周期性的验证远程节点。与PAP验证相比，CHAP验证更具有安全性。CHAP验证只在网络上传送用户名而不传送密码，因此安全性更高。下面以两台型号为2911的路由器来模拟公网，使读者可以学习和掌握路由器的广域网PPP封装CHAP验证的配置方法，配置路由器的广域网PPP封装CHAP验证的拓扑图如图6.2.3所示。图6.2.3 配置路由器的广域网PPP封装CHAP验证的拓扑图具体要求如下：（1）添加两台型号为2911的路由器，将标签名分别更改为R1和R2，并将路由器的名称分别设置为R1和R2。（2）为R1和R2添加HWIC-2T模块，分别添加在各自的S0/0/0接口位置。（3）使用V35串口线连接两个路由器的S0/0/0接口，并将R1设置为DCE端。（4）网络设备参数设置如表6.2.2所示。表6.2.2 网络设备参数（5）在两个路由器之间做PPP封装CHAP验证，在两台路由器上均创建对方设备名称的用户名，密码均为123456，并测试两台路由器之间的连通性。活动2 路由器的广域网PPP封装CHAP验证步骤实现步骤1：R1的基本配置。步骤2：R2的基本配置。活动2 路由器的广域网PPP封装CHAP验证步骤3：在R1上封装PPP，并进行CHAP验证。步骤4：在R2上封装PPP，并进行CHAP验证。活动2 路由器的广域网PPP封装CHAP验证任务验收在R1上pingR2的IP地址，测试结果为两台路由器之间可以正常通信，表明已经通过CHAP验证。活动2 路由器的广域网PPP封装CHAP验证知识链接 CHAP协议是在链路建立开始就完成的，在链路建立完成后的任何时间都可以进行再次验证。CHAP验证过程如下所述。(1)验证方主动发起验证请求,验证方向被验证发送一些随机报文,并加上本端的主机名。(2)当被验证方收到验证方的验证请求后，根据此报文中验证方的主机名，在本端的用户数据库中查找与该验证方主机名对应的用户口令字(密钥)。如果在本端的用户数据库中找到了该验证方本机名相同的用户，就利用收到的随机报文/与此用户对应的密钥和报文ID使用MD5加密算法生成应答报文，随后将应答报文和本端的主机名发送给验证方。(3)当验证方收到被验证方发送的应答报文后，利用被验证方的主机名在本端的用户数据库中查找本端保留的与被验证方主机名对应的密钥。然后利用本端保留的与被验证方主机名对应的密钥、之前产生的随机报文和报文ID使用MD5加密算法生成一段密文，并与被验证方发送的应答报文进行比较。如果两者相同则返回ACK，否则返回NCK，CHAP验证过程如图6.2.4所示。图6.2.4 CHAP验证过程活动2 路由器的广域网PPP封装CHAP验证任务小结本活动介绍了如何使用广域网PPP封装及使用CHAP协议进行身份验证。CHAP验证采用了3次握手机制，比PAP验证具有更高的安全性。在CHAP验证配置中，需要重点注意用户密码数据库的创建，这一点和PAP具有本质区别。活动2 路由器的广域网PPP封装CHAP验证项 目 实 训某公司规模很小，只有一家上海分公司，经理决定组建一个网络实现公司总部和分公司的通信。公司网络管理员经过分析，决定使用广域网PPP封装CHAP验证方式，连接公司总部和分公司，如图6.2.5所示，其网络设备参数设置如表6.2.3所示。图6.2.5 某公司的网络拓扑图表6.2.3 网络设备参数完成标准：PPP链路能够正常建立；两个公司的计算机之间可以互相连通。