Конфигурирование PPP с авторизацией

Аутентификация пользователей при подключении к устройству NSG (NSG это компания, которая производит маршрутизаторы и коммутаторы), вероятно, представляет наиболее сложный этап настройки PPP-доступа, ввиду обилия вариантов и методов. На устройстве NSG, работающем как сервер доступа, аутентификация и авторизация пользователя могут производиться:

— Двумя различными объектами протокольной архитектуры NSG: физическом порту типа ASYNC и IP-интерфейсе типа PPP

— С использованием трех различных протоколов: PAP, CHAP и в терминальном режиме (будем говорить про это!)

— По трем источникам: удаленному серверу RADIUS, TACACS+, либо локальной таблице пользователей

— Завершаться, при положительном результате, предоставлением доступа к одной из двух услуг: PPP либо PAD. Последняя, в свою очередь, может быть использована для прозрачного проключения пользователя, вручную или автоматически, на серверы других услуг, таких как UUCP, BBS, FIDO, терминальный доступ к унаследованным корпоративным приложениям.

Аутентификация с использованием протоколов PAP/CHAP рекомендуется для большинства практических задач, относящихся к доступу исключительно в IP-сети. Она выполняется средствами IP-интерфейса типа PPP единообразно для всех видов подключений: синхронные и асинхронные физические соединения, PPPoE, доступ через сеть X.25.

На сервере могут быть включены одновременно протоколы PAP и CHAP. В этом случае сервер сначала предложит клиенту аутентифицироваться по протоколу CHAP, а затем, если клиент не согласится — по PAP.

Для клиента также могут быть одновременно разрешены ответы по PAP и CHAP в зависимости от того, что предложит сервер.

Аутентификация PAP/CHAP может быть взаимной, т.е. две системы могут одновременно аутентифицировать друг друга по своим таблицам пользователей или с помощью централизованных серверов.

В связях РРР могут использоваться два метода аутентификации: PAP (Password Authentication Protocol — протокол парольной аутентификации) или CHAP (Challenge Authentication Protocol — протокол аутентификации по вызову).