3. Налаштування ppp

   1. Команди налаштування ppp

На маршрутизаторах Cіsco для послідовних каналів за замовчуванням встановлена інкапсуляція HDLC. Щоб змінити інкапсуляцію і використовувати можливості і функції стандарту PPP, виконайте наступні команди.

encapsulatіon ppp

• Включає інкапсуляцію PPP для послідовного інтерфейсу.

Після включення PPP можна налаштувати додаткові можливості, такі як стиск і розподіл навантаження на мережу.

compress [предиктор | стекер]

• Включає стиск в інтерфейсі за допомогою предиктора чи стекера.

ppp multіlіnk

• Налаштовує розподіл навантаження в декількох каналах.

Використання стиснутих даних може підвищити продуктивність мережі. Предиктор і стекер є програмними технологіями стиску, що змінюються в залежності від способу обробки стиску. При стиску стекером більше навантажується центральний процесор і менше - оперативна пам'ять. При стиску предиктором, більше навантажується оперативна пам'ять і менше - центральний процесор. З цієї причини, якщо вузьким місцем є смуга пропускання каналу, використовується стекер, а якщо вузьким місцем є підвищене навантаження на маршрутизатор, використовується предиктор.

Використовуйте стиск тільки в тому випадку, якщо існують проблеми продуктивності мережі, оскільки при включеному стиску зростає час обробки даних маршрутизатором і кількість службових сигналів. Також не слід використовувати стиск, якщо основний трафік у мережі складають уже стиснуті файли. Стиск уже стиснутих файлів, як правило, збільшує їх розмір.

Включення групи каналів PPP дозволяє поєднувати кілька з'єднань WAN в один логічний канал для передачі трафіку. Це дозволяє розподілити навантаження трафіку з різних каналів і надлишковість у мережі у випадку збою на одному каналі.

Наступні команди використовуються для перевірки та усунення несправностей інкапсуляції стандарту HDLC і PPP:

• show іnterfaces serіal – відображає інкапсуляцію і стан протоколу керування каналом;

• show controllers – показує стан каналів інтерфейсу та наявність підключеного до нього кабелю;

• debug serіal іnterface – перевіряє збільшення пакетів перевірки на активність. Якщо збільшення пакетів не відбувається, можливо, у платі інтерфейсу або в мережі існує проблема синхронізації.

• debug ppp – надає інформацію про різні етапи процесу PPP, включаючи узгодження та аутентифікацію.

2. Аутентифікація ppp

Аутентифікація на каналі PPP є додатковою функцією. Якщо аутентифікація включена, вона виконується після встановлення з'єднання, але перед початком етапу налаштування протоколу мережевого рівня. У каналі PPP існує два можливих типи аутентифікації: протокол аутентифікації по паролю (Password Authentication Protocol, PAP) і протокол аутентифікації по квитуванню виклику (Challenge Handshake Authentication Protocol, CHAP).

Протокол PAP є простим методом перевірки автентичності віддаленого пристрою. Для відправлення свого імені користувача і паролю PAP використовує двостороннє узгодження. Отримувач перевіряє відправника та підтверджує, що відправлений та збережений у його базі даних паролі збігаються. Якщо паролі збігаються, аутентифікація вважається успішною.

PAP повторно відправляє ім'я користувача і пароль по каналу відкритим текстом, поки не буде отримане підтвердження або завершено з'єднання. Цей метод аутентифікації не захищає ім'я користувача і пароль від викрадення з використанням аналізатора пакетів.

Крім того, віддалений вузол керує частотою і часом спроб входу в мережу. Після аутентифікації ніякі подальші перевірки віддаленого пристрою не виконуються. Без постійної перевірки канал вразливий для злому аутентифікованого з'єднання і можливого отримання зловмисником незаконного авторизованого доступу до маршрутизатора з використанням злому захисту шляхом заміщення оригіналу.

Процес аутентифікації CHAP більш захищений в порівнянні з PAP. При виконанні протоколу CHAP пароль не відправляється через канал. Аутентифікація відбувається в процесі початкового встановлення з'єднання і під час його активного стану. Пристрій, з яким встановлюється з’єднання, керує частотою та часом аутентифікації, роблячи атаку, з метою перехоплення, малоймовірною.

У протоколі CHAP використовується тристороннє квитування.

1. PPP встановлює етап з'єднання.

2. Локальний маршрутизатор відправляє повідомлення виклику на віддалений маршрутизатор.

3. Віддалений маршрутизатор використовує запит і секретний пароль для генерування однобічної хеш-функції.

4. Віддалений маршрутизатор відправляє однобічну хеш-функцію назад на локальний маршрутизатор.

5. Локальний маршрутизатор порівнює відгук із власним розрахунком, використовуючи виклик і той же спільний секретний пароль.

6. Локальний маршрутизатор підтверджує аутентифікацію, якщо значення збігаються.

7. Локальний маршрутизатор негайно розриває з'єднання, якщо значення не збігаються.

Протокол CHAP забезпечує захист від повторних атак за допомогою змінного значення виклику. Оскільки виклик представляє унікальне і випадкове значення, хеш-функція також буде унікальною та випадковою. Використання повторних викликів обмежує час їхнього виявлення для однієї атаки. Частотою і часом викликів керує локальний маршрутизатор або сторонній сервер аутентифікації.