eNSP网络实验：PAP、CHAP认证与GRE隧道配置全解析-北京尧图网络

备考HCIA、HCIP或者正在啃网络工程教材的朋友大概率都被这三个缩写折磨过PAP、CHAP、GRE。它们分别是PPP链路里的两种认证方式和一个非常常见的隧道封装协议。我当年在eNSP里练第一个串口实验时PAP配置敲完链路协议死活不起来后来才发现是认证方的AAA里少建了一条本地用户练到GRE的时候隧道接口地址都配好了又因为目的地址没有路由一直Protocol down。这篇文章我把这三块内容串成一套完整的eNSP练习从拓扑规划、命令逐条拆解到问题排查都会讲到。按步骤做完你对PPP认证和GRE隧道就不会停留在“背命令”的水平而是真正理解数据包是怎么在链路上完成认证、又是怎么被封装穿越中间设备的。1. 这三个知识点到底是什么为什么值得练1.1 一张表看懂PAP、CHAP、GRE先说清楚这三个东西各自的位置。PPP是数据链路层协议工作在点对点链路上它有两个阶段很重要先是LCP链路控制协议协商参数然后才是NCP网络控制协议比如IPCP分配IP。认证就发生在LCP协商阶段。PAP和CHAP都是PPP认证协议区别在于认证过程和安全性完全不在一个档次。GRE是三层的隧道协议它干的事情比较“暴力”把一个网络层协议的报文直接塞进另一个网络层协议里。最典型的场景是IPv4-in-IPv4也就是把内层IP报文外面再套一层IP头看起来就像把一个快递盒装进了另一个更大的快递盒。盒子外面的地址是隧道的物理出入口盒子里面装的才是真正要送的业务流量。协议全称工作层次核心作用安全程度PAPPassword Authentication Protocol数据链路层PPP LCP阶段用户名密码明文认证低明文传输CHAPChallenge Handshake Authentication Protocol数据链路层PPP LCP阶段挑战值MD5散列认证高密码不上链路GREGeneric Routing Encapsulation网络层将一种三层协议封装进另一种三层协议无加密仅封装记住一点PAP和CHAP是“链路能不能通”的守门员GRE是“流量怎么绕路过去”的搬运工。三者虽然不是一个层面的东西但在一套企业网拓扑里经常同时出现所以放到一起练习特别合适。1.2 这套练习适合谁练完能获得什么如果你是下面这几类人这套练习建议完整过一遍备考HCIA、HCIP的人。PPP认证和GRE隧道几乎每个版本考题里都占一席之地eNSP实验题最喜欢在这两个知识点上挖坑。刚学完计算机网络理论、想在模拟器里验证一遍“链路层认证”和“隧道封装”原理的学生。做企业网运维、偶尔要翻串口链路和隧道配置的工程师实操里PPP链路故障排查是基本功。准备网络岗面试被问到“PAP和CHAP区别”“GRE隧道建立条件”这类题的人。练完这套内容你的能力变化应该是这样的能独立在一对串口链路上配置PAP和CHAP认证并且能清楚说出两种认证握手过程的安全性差异能独立配置GRE隧道理解source和destination的含义、隧道建立的前提条件遇到“Line protocol down”“Tunnel protocol down”这类问题知道该往哪个方向排查而不是盲改配置。1.3 eNSP环境准备与三个新手坑练习平台就是华为官方的eNSPEnterprise Network Simulation Platform免费模拟AR路由器、交换机等设备。PAP/CHAP和GRE实验用AR1220或AR2220都行串口数量足够。先提醒三个新手最容易踩的坑第一个是连线选错线缆。eNSP里路由器串口只能接串行线很多人图方便直接选以太网线结果两台设备物理层永远是down。连线时接口类型一定要选对Serial口对Serial口GE口对GE口。第二个是设备刚启动时接口默认处于shutdown状态。在eNSP里新加的设备接口需要手动undo shutdown才能UP。很多教程默认你懂这个其实新手卡在这里半天很正常。第三个是接下来的调试环节要用的如果你敲了debugging命令却看不到任何输出大概率是没开terminal monitor和terminal debugging。后面第五节会详细讲。2. 实验拓扑设计与PAP认证配置2.1 拓扑怎么搭地址怎么规划先搭一个最基础的两台路由器串口互联拓扑专门练PAP和CHAPR1 ---(Serial)--- R2地址规划很简单设备接口IP地址说明R1Serial 1/0/013.1.1.1/30PPP链路本端R1LoopBack01.1.1.1/32后面GRE实验备用R2Serial 1/0/013.1.1.2/30PPP链路对端R2LoopBack02.2.2.2/32后面GRE实验备用先把两台设备的hostname和串口IP配好。这里有个细节华为串口上配置IP地址掩码建议写点分十进制比如255.255.255.252别图省事写30部分版本对简写支持不好。Huaweisystem-view [Huawei]sysname R1 [R1]interface Serial 1/0/0 [R1-Serial1/0/0]link-protocol ppp [R1-Serial1/0/0]ip address 13.1.1.1 255.255.255.252 [R1-Serial1/0/0]undo shutdown [R1-Serial1/0/0]quitR2上同样操作IP换成本端13.1.1.2。配完后用display ip interface brief确认两个串口物理和协议都是UP。此时还没有配置任何认证PPP默认是不认证的所以两边直接就能通。先ping一下确认底层链路OK再加认证这是后面所有排查的基础思路。2.2 PAP配置命令逐条拆解设计R1为认证方R2为被认证方。这是最常规的做法接入设备或者中心设备认证对端。R1认证方配置如下[R1]interface Serial 1/0/0 [R1-Serial1/0/0]link-protocol ppp [R1-Serial1/0/0]ppp authentication-mode pap [R1-Serial1/0/0]quit [R1]aaa [R1-aaa]local-user R2 password simple 123456 [R1-aaa]local-user R2 service-type ppp逐条说清楚为什么要这么配ppp authentication-mode pap的作用是把本端变成认证方。一旦开启后面LCP协商的时候本端就会要求对端提交PAP凭据对端拿不出来或者不对链路协议直接down。注意这条命令在接口视图下配置只对这一个串口生效。local-user R2 password simple 123456在AAA本地用户库里创建了一个用户用户名是R2密码是123456。PAP被认证方发送的是“用户名R2密码123456”的组合认证方拿着这个用户名去本地用户库里找对应条目标密码两边一致才放行。这里的用户名为什么叫R2而不是R1因为这是给对端准备的通行证对端声称自己是谁库里就要有谁。local-user R2 service-type ppp限定了这个用户只能用于PPP服务。不写这条在一些版本里认证会直接失败或者会有提示服务类型不符建议养成习惯都写上。R2被认证方配置如下[R2]interface Serial 1/0/0 [R2-Serial1/0/0]link-protocol ppp [R2-Serial1/0/0]ppp pap local-user R2 password simple 123456 [R2-Serial1/0/0]quitppp pap local-user就是被认证方向对端主动上报自己的身份。它把“用户名R2、密码123456”以明文的形式放进PAP报文发给认证方。这里就能看出PAP的安全问题抓个包就能看到用户名和密码跟把银行密码写在纸条上递给柜员没什么区别。另外提一句如果想做双向认证两个接口都开ppp authentication-mode pap两边都建好对端local-user就行。练完单向认证建议自己把双向PAP也试一遍理解会更透。2.3 验证PAP是否生效配置完成后关键看串口状态R1display interface Serial 1/0/0重点看Physical layer和Line protocol两行。物理层UP说明线缆连接没问题协议层UP说明LCP协商完成、认证通过。如果认证配置出错你会看到Physical layer是upLine protocol是downprotocol这就说明卡在LCP认证阶段了。想看得更细打开调试信息R1terminal monitor R1terminal debugging R1debugging ppp all然后R2上执行shutdown再undo shutdown强制链路重新协商一遍R1上就能看到PAP报文的交互过程。看到认证失败的具体原因后再对照AAA里的配置去改。2.4 PAP为什么被CHAP取代PAP最大的软肋有两个一是用户名密码明文传输抓包工具就能直接看到二是它没有挑战机制密码一旦泄露就能被重放攻击。而且PAP可以在整个会话过程中反复发送认证请求相当于给暴力破解留了后门。所以现在真实网络里PAP基本只出现在老式拨号环境或者内部低安全需求的场景中真正上生产链路建议用CHAP。3. CHAP认证配置与两种模式的差异3.1 CHAP配置命令逐条拆解拓扑不变还是R1认证R2。先改认证方式[R1]interface Serial 1/0/0 [R1-Serial1/0/0]undo ppp authentication-mode pap [R1-Serial1/0/0]ppp authentication-mode chap [R1-Serial1/0/0]quitAAA里的本地用户保留不需要改动因为CHAP认证同样要拿用户名去库里查密码[R1]aaa [R1-aaa]local-user R2 password simple 123456 [R1-aaa]local-user R2 service-type pppR2这边配置也很简短[R2]interface Serial 1/0/0 [R2-Serial1/0/0]undo ppp pap local-user [R2-Serial1/0/0]ppp chap local-user R2 password simple 123456 [R2-Serial1/0/0]quit这里有个版本兼容问题有些VRP版本支持ppp chap local-user R2 password simple 123456这种一行写法老一点的版本可能要把用户名和密码拆成两条[R2-Serial1/0/0]ppp chap user R2 [R2-Serial1/0/0]ppp chap password simple 123456两种写法含义一样如果敲第一条提示无法识别就换第二种。CHAP有个特别容易忽略的关键点密码虽然不上链路传输但两边的密码值必须完全一致。因为后面CHAP计算散列值时用的就是这个共享密码任何一个字符不匹配计算结果就对不上认证必然失败。3.2 CHAP的握手过程到底发生了什么CHAP全称里有个“Challenge”核心就是挑战值。完整过程分四步第一步链路UP进入LCP协商后认证方R1生成一个随机的挑战值构造Challenge报文发给R2。报文中还带着R1的用户名。第二步R2收到Challenge报文后用自己的共享密码、接收到的挑战值、自己的用户名一起做MD5计算把计算结果作为Response报文回给R1。第三步R1收到Response后也拿本地用户库里查到的R2的密码、同一个挑战值、R2的用户名做同样的MD5计算然后比对两边结果。第四步一致就发Success不一致发Failure。只有认证通过后LCP才算协商完成链路协议层才会UP。这里有个细节值得注意整个过程中真正的密码从来不出现在链路上线上跑的只有挑战值、用户名和散列结果。就算抓包抓到所有交互报文也无法直接还原出密码。而且CHAP会在认证成功后周期性重新发起挑战每次挑战值随机即使抓到了某一次的Response下一次也用不上这就杜绝了重放攻击。用生活类比来解释就是PAP像你直接把银行卡密码写在纸上递给柜员CHAP像银行给你发一条随机验证码你把“验证码约定的口令”算出一个结果回传银行自己在后台也算一遍比对。约定口令从头到尾没有出现在对话里这才是安全的设计。3.3 PAP和CHAP到底差在哪把两个协议放在一起对比你会发现配置上的差异其实不大本质差异全在流程上对比维度PAPCHAP握手次数2次3次密码是否上链路明文传输不出现在链路上散列计算无MD5旧版本/更安全算法重认证机制无周期性重新挑战抗重放攻击能力弱强安全性评级低高配置命令ppp pap local-userppp chap local-user如果面试或者考试里让你选现代网络环境默认答案都是CHAP。但如果遇到老设备对接或者特定环境只支持PAP那也只能用PAP这种情况下建议配合链路本身的物理安全和访问控制一起考虑。3.4 双向CHAP认证的小补充刚才练的是单向认证R1认证R2。实际专线互联场景中两边都有确认对端身份的需求这时可以做双向认证。配置方法很简单R1和R2的串口都开ppp authentication-mode chap然后在彼此的AAA里都建好对端用户名和密码两边都配置ppp chap local-user。双向CHAP有一个经典坑两边的ppp chap local-user用户名最好分别命名为对方但密码要保持一致。比如R1用ppp chap local-user R2R2用ppp chap local-user R1R1的AAA里要有用户R1和R2R2的AAA里也要有用户R1和R2。这种对称配置比较容易乱建议画一张表格记录清楚再动手。4. GRE隧道配置与路由联动4.1 把实验升级到GRE隧道接下来把拓扑扩成三台路由器做GRE隧道练习。在刚才R1和R2的基础上增加一台R3与R2通过以太网互联再把R1、R3的LoopBack地址用作隧道端点。业务网段分别挂在R1和R3下模拟两个分部要通过骨干网互联的场景。完整地址规划设备接口IP地址说明R1Serial 1/0/013.1.1.1/30与R2的PPP链路R1GigabitEthernet 0/0/1192.168.1.1/24业务网段AR1LoopBack01.1.1.1/32GRE隧道源R1Tunnel 0/0/010.0.13.1/30隧道内层地址R2Serial 1/0/013.1.1.2/30与R1的PPP链路R2GigabitEthernet 0/0/023.1.1.2/30与R3互联R3GigabitEthernet 0/0/023.1.1.3/30与R2互联R3GigabitEthernet 0/0/1192.168.3.1/24业务网段BR3LoopBack03.3.3.3/32GRE隧道目的R3Tunnel 0/0/010.0.13.2/30隧道内层地址隧道源和目的为什么选LoopBack地址而不是物理接口地址因为LoopBack接口永远不会down设备只要不掉电就一直可用。如果用物理接口作为隧道源物理接口一旦down隧道跟着就断了。生产环境的GRE隧道几乎都用LoopBack地址做端点这是经验之谈。4.2 隧道接口配置逐条拆解先配R1[R1]interface LoopBack0 [R1-LoopBack0]ip address 1.1.1.1 255.255.255.255 [R1-LoopBack0]quit [R1]interface GigabitEthernet0/0/1 [R1-GigabitEthernet0/0/1]ip address 192.168.1.1 255.255.255.0 [R1-GigabitEthernet0/0/1]quit [R1]interface Tunnel0/0/0 [R1-Tunnel0/0/0]ip address 10.0.13.1 255.255.255.252 [R1-Tunnel0/0/0]tunnel-protocol gre [R1-Tunnel0/0/0]source 1.1.1.1 [R1-Tunnel0/0/0]destination 3.3.3.3 [R1-Tunnel0/0/0]quitR3这边对称配置[R3]interface LoopBack0 [R3-LoopBack0]ip address 3.3.3.3 255.255.255.255 [R3-LoopBack0]quit [R3]interface GigabitEthernet0/0/1 [R3-GigabitEthernet0/0/1]ip address 192.168.3.1 255.255.255.0 [R3-GigabitEthernet0/0/1]quit [R3]interface Tunnel0/0/0 [R3-Tunnel0/0/0]ip address 10.0.13.2 255.255.255.252 [R3-Tunnel0/0/0]tunnel-protocol gre [R3-Tunnel0/0/0]source 3.3.3.3 [R3-Tunnel0/0/0]destination 1.1.1.1 [R3-Tunnel0/0/0]quit重点解释两条命令tunnel-protocol gre指定隧道封装协议。华为路由器Tunnel接口支持多种协议GRE是通用性最强的一种把这条显式写出来可以避免踩到某些版本默认值不同的坑。source和destination分别指定隧道外层IP头的源地址和目的地址。source可以写接口名比如LoopBack0也可以直接写IPdestination必须写IP。隧道建立的前提条件就是从source到destination的路由必须存在且可达。这句话是判断隧道故障的最重要的原则隧道起不来九成是底层路由问题先别怀疑隧道配置本身。4.3 隧道建起来之前先让底层路由通在配置隧道之前R1根本没有去往3.3.3.3的路由所以隧道肯定起不来。先配好底层路由。方法一最简单的静态路由[R1]ip route-static 23.1.1.0 255.255.255.0 13.1.1.2 [R1]ip route-static 3.3.3.3 255.255.255.255 23.1.1.3 [R3]ip route-static 13.1.1.0 255.255.255.0 23.1.1.2 [R3]ip route-static 1.1.1.1 255.255.255.255 23.1.1.2注意R1去3.3.3.3的路由不能只写一条跳到23.1.1.3就完事。R1到23.1.1.3还有一跳要到13.1.1.2所以23.1.1.0网段的路由也要有。路由是逐跳的一个中间网段断了后面的目标地址都到不了。方法二在底层链路上跑OSPF让LoopBack地址自动互通[R1]ospf 1 [R1-ospf-1]area 0 [R1-ospf-1-area-0.0.0.0]network 13.1.1.0 0.0.0.3 [R1-ospf-1-area-0.0.0.0]network 1.1.1.1 0.0.0.0 [R2]ospf 1 [R2-ospf-1]area 0 [R2-ospf-1-area-0.0.0.0]network 13.1.1.0 0.0.0.3 [R2-ospf-1-area-0.0.0.0]network 23.1.1.0 0.0.0.3 [R3]ospf 1 [R3-ospf-1]area 0 [R3-ospf-1-area-0.0.0.0]network 23.1.1.0 0.0.0.3 [R3-ospf-1-area-0.0.0.0]network 3.3.3.3 0.0.0.0配完之后先验证在R1上ping 3.3.3.3通了再看隧道。隧道接口状态怎么看display interface Tunnel 0/0/0Physical层UP说明隧道接口存在且本端配置完整Line protocol层UP才说明隧道真正建立起来了也就是说源到目的的路由没问题、封装对端能正常响应。4.4 在GRE隧道上跑OSPF联通业务网段隧道建立起来之后接下来要做的就是把A网段和B网段通过隧道接通。最简单的方式是用静态路由指向隧道[R1]ip route-static 192.168.3.0 255.255.255.0 Tunnel0/0/0 [R3]ip route-static 192.168.1.0 255.255.255.0 Tunnel0/0/0但更推荐练一下在隧道上跑OSPF因为这里能体现出GRE的一个重要特性GRE可以封装组播报文。OSPF建立邻居关系需要发送组播Hello报文普通IP-in-IP隧道不支持组播而GRE支持所以OSPF能直接在隧道上正常建邻。在R1和R3上把隧道网段和业务网段都宣告进OSPF[R1]ospf 1 [R1-ospf-1]area 0 [R1-ospf-1-area-0.0.0.0]network 10.0.13.0 0.0.0.3 [R1-ospf-1-area-0.0.0.0]network 192.168.1.0 0.0.0.255 [R3]ospf 1 [R3-ospf-1]area 0 [R3-ospf-1-area-0.0.0.0]network 10.0.13.0 0.0.0.3 [R3-ospf-1-area-0.0.0.0]network 192.168.3.0 0.0.0.255然后验证R1display ospf peer brief R1display ip routing-table 192.168.3.0 R1ping -a 192.168.1.1 192.168.3.1看到192.168.3.0/24的路由下一跳指向Tunnel0/0/0、ping能通这套GRE练习就算真正闭环了。此时可以做一个抓包或者debug看数据包在R1出接口上是被多套了一层IP头的。理解这一点比记住所有命令都重要。4.5 GRE封装开销与MTU问题GRE封装会给原始报文增加多少字节标准GRE头是4字节再套一层IPv4头是20字节总共24字节。如果还开启了checksum、key等可选字段开销更大。这意味着什么假如R1和R2之间的物理链路MTU是1500字节那隧道内层IP报文的最大尺寸实际只有1476字节因为还要给外层IP头和GRE头留位置。练习时如果你直接ping大包比如ping -s 1500 192.168.3.1大概率会失败或者出现分片。这不是隧道配置错了是MTU的问题。生产环境遇到这种情况要么调低隧道接口的MTU要么在主机侧调整TCP MSS。但在eNSP里重点不是把MTU调好而是理解封装开销这个概念。知道GRE多了24字节你就知道为什么同样一条链路跑隧道和跑裸流量在MTU上的表现不一样。这个知识点面试也常问。5. 常见问题与排查技巧实录5.1 问题速查表把练习里最容易踩的坑整理成一张表遇到对应现象直接对照现象可能原因排查/解决方向串口Physical upLine protocol downPPP认证失败或LCP未完成display interface看协商状态检查认证配置PAP认证失败用户名/密码不一致AAA用户不存在service-type不对检查认证方local-user条目确认两边密码逐字符一致CHAP认证失败密码不一致ppp chap local-user用户名和AAA用户不匹配大小写不同核对两侧共享密码用debugging ppp chap看Challenge/Response隧道协议层down源到目的路由不可达source/destination写反ping隧道目的地址display ip routing-table查路由OSPF在隧道上起不来隧道没UPnetwork声明漏了网段MTU不一致display ospf peer确认隧道接口状态大ping包不通GRE封装后超过底层MTU理解24字节开销调MTU或MSSdebug看不到输出没开terminal monitor/terminal debugging两条命令都打开再触发一次流量5.2 PAP认证失败的排查实录一个典型场景R1配了ppp authentication-mode pap和AAA用户R2配了ppp pap local-user R1 password simple 123456但链路协议层就是起不来。排查第一步看串口状态确定问题阶段display interface Serial 1/0/0物理UP、协议DOWN锁定是LCP认证阶段挂了。第二步删掉AAA里的用户重新精确配置一遍特别注意用户名大小写和密码是否带空格。PAP认证比对的是完整凭据一个字符不对都会失败。第三步开debug看细节R1terminal monitor R1terminal debugging R1debugging ppp all然后在R2上shutdown再undo shutdown串口R1上就能看到认证失败的具体交互。多数时候原因就那么几种用户不存在、密码不匹配、service-type不对。改完再触发一次链路协商基本就能解决。这里有个我踩过的坑早期练习图省事把R2的ppp pap local-user用户名写成了自己设备名R2但R1的AAA用户建的是R1两边永远对不上。记住被认证方发送的用户名必须和认证方AAA里创建的用户名一致跟设备本身叫什么没关系。5.3 CHAP认证失败的排查实录CHAP最常见的问题是“密码明明设置的一样却认证失败”。这里大概率是调整配置后没有触发重新协商。CHAP只有在链路重新协商时才会重新认证你改了配置但接口还是原来的会话状态自然不会生效。解法很简单把串口shutdown再undo shutdown强制LCP重新协商。第二个常见原因是密码模式问题。练习时图方便用password simple配置看起来清清楚楚。但如果你用了password cipher保存后的配置会显示成密文串。这时候把配置导出来复制到另一台设备比对看似一样的密文可能因为算法和随机因子不同实际对应的明文并不一致。练习阶段我建议一律用simple等理解了原理再试cipher。第三个原因是用户名的方向性。CHAP认证时被认证方用ppp chap local-user声明的用户名必须和认证方AAA里的用户名完全一致。如果你两边都开了认证每个设备需要同时拥有本端用户和对端用户两条记录少一条、名字错一个字母都会协商失败。5.4 GRE隧道起不来的排查实录隧道接口物理UP、协议DOWN先别动隧道配置按这个顺序排查第一步ping隧道目的地址。在R1上ping 3.3.3.3。这个地址是R3的LoopBackping不通说明底层路由有问题隧道必然起不来。第二步查路由表。display ip routing-table 3.3.3.3看看有没有这条路由、下一跳是谁。没有就往底层路由方向查有但下一跳错误就改路由。第三步核对隧道本端配置。display current-configuration interface Tunnel 0/0/0确认source和destination没写反IP地址没配错网段。第四步检查源接口状态。source用的是LoopBack0看看这个接口是不是被shutdown了。LoopBack地址不存在隧道也就没有源地址可用。还有一种情况隧道配置没问题、路由也通但协议层就是不起来。检查一下两端Tunnel接口的IP地址是不是同一个网段。GRE隧道是两个虚拟接口之间通信两端地址不在同一网段OSPF什么的一起也会受影响。5.5 eNSP特有的坑除了协议本身的问题eNSP还有一些特性会让新手抓狂。设备刚添加进拓扑接口默认shutdown。每台路由器的每个接口都要手动undo shutdown只有LoopBack接口天然可用。串口连线必须选串行线接口类型选错物理层永远起不来。这个前面说过但值得再强调一次因为这是所有串口实验失败的第一大原因。eNSP的调试输出需要同时开terminal monitor和terminal debugging光开一个会看不到信息。另外调试功能用完记得关掉undo debugging ppp all不然eNSP会变得越来越卡甚至日志刷屏。交换机的Tunnel支持问题普通二层交换机没有Tunnel接口如果想做三层隧道实验必须用路由器或者三层交换机。eNSP里默认的S5700是三层交换机但S3700这种老型号可能不支持选设备时看清楚。6. 最后再补充几个实操细节这套练习做完之后说几个我在实际操作中总结的细节能帮你少走很多弯路。第一个是“先通后认证”的配置顺序。无论PAP还是CHAP先把链路在不加认证的情况下配到能ping通再加认证每次改动后触发重新协商去验证。这样一旦出问题你能立刻判断是基础配置的问题还是认证本身的问题。不要一上来就把所有配置全敲完出问题都不知道从哪查。第二个是修改认证方式后一定要强制重新协商。最可靠的办法是把串口shutdown再undo shutdown或者直接重启接口。只改配置不重新协商新配置可能不会立即生效会让你误以为配置写错了。第三个是每一阶段完成后保存配置。eNSP里执行save把配置文件备份出来。这样练到后面改坏了可以快速恢复上一阶段的基线不用一台一台重新敲。这也是真实网络运维的习惯配置变更前先留基线。如果想继续深入这套实验还有几个很好的扩展方向把PAP和CHAP改成双向认证观察两种协议在双向模式下的报文交互在R1和R2的PPP链路上再建一个GRE隧道源和目的直接使用串口IP观察GRE报文是如何被PPP帧封装的这个练习对理解“封装套封装”非常有帮助给隧道接口加上keepalive比如keepalive 10 3然后把中间链路断开观察隧道协议层多久变为DOWN。这些扩展做完你对PPP认证和GRE隧道这几块内容的理解会再上一个台阶碰到相关面试题基本可以从容应对。我个人练下来的感受是PAP、CHAP、GRE这几个知识点最难的不是命令而是脑子里要有一张图链路层认证卡在LCP协商阶段隧道封装发生在网络层两者一上一下共同保证数据能在复杂的网络环境里安全、灵活地传输。把这张图刻在脑子里配置和排错就都有方向了。

eNSP网络实验：PAP、CHAP认证与GRE隧道配置全解析

相关推荐

Instinct：个人 AI 助理的“零摩擦”革命，百亿估值背后的产品逻辑与竞争格局

Java类与继承

Spring AI Alibaba 快速上手：使用 DashScope 实现 Tool Calling（函数调用）实战

更多资讯

特征工程与深度表示学习：两条路线的实战抉择

CAN物理层测试实战：示波器+CANoe双验证电压测量方法

SVM多分类在轨道制动系统故障检测中的工程实践与调优

AD9747与FPGA高速并行接口时序设计实战

AI Coding本地化落地实战：从私有依赖索引到效能度量

企业AI压力测试指南：用PACT基准守住合规底线

今日更新

Multisim仿真NE555 PWM控制器：从搭电路到调占空比全流程

S32K312 AUTOSAR BSW开发实战：从配置踩坑到烧录交付

双目视觉三维人脸重建：从视差图到点云粗配准全流程解析

本周精选

CMOS设计三大物理效应：体效应、沟道长度调制与亚阈值导电

微信小程序在线阅读毕设全解析：Java后端+MySQL+避坑实战

Android音频问题五层分析法：从App到Codec的系统化诊断

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？