PPPoE完整版.doc

PPPOE： 纯二层技术，客户端和服务器端中间肯定是没有路由设备的。 拨号分为两个阶段： 1、discovery：客户端查找有哪些可拨入的设备 2、PPP Session phase：客户端拨入这个设备 注意：当Client和Server之间有透明防火墙时，防火墙需要放行0X8863（第一阶段）和0X8864（第二阶段）. 测试过程:先在PPPOE.GW上使用本地认证,成功拨号后,再使用3A认证,授权,审计。 PPPOE.GW基本配置部份：先使用本地认证 version 12.4 ! hostname PPPOE.GW ! no aaa new-model ! vpdn enable 虚拟私有拔号网络开启 ! username cisco password 0 cisco ! bba-group pppoe global virtual-template 1 ! 由于我用的是12.4的IOS，因此，原来的VPDN相关的配置已经不再使用，转而用bba-group pppoe global更为合理。同时要说明下，VPDN不是这个概念，而是运营商提供的一种基于gre和l2tp的VPN解决方案，只不过cisco之前在指令运用上有所借贷。因此，不要过多确定网上的那些vpdn就是拨号设置的必备参数，了解其真实成因才是要紧的 interface FastEthernet1/0 no ip address pppoe enable ! interface FastEthernet2/0 ip address ! interface FastEthernet3/0 ip address ! interface Virtual-Template1 虚拟接口模板 ip unnumbered FastEthernet2/0 借用F2/0的接口地址 若这里没有F2/0,那么可以设置loopback是为了将loopback的ip绑在VT上。这是个好习惯 peer default ip address pool pppoepool 分给对客户端拔号端接口的地址范围 ppp authentication pap chap ! ip local pool pppoepool 00 设置拨号池 ! end 下面我们做基于AAA认证，授权，审计 1，首先no 掉原来的本地用户名，密码 PPPOE.GW(config)#no username cisco password 0 cisco 2，启用AAA，并做线下保护 PPPOE.GW(config)#aaa new-model PPPOE.GW(config)#aaa authentication login noacs line none 3，定义3A服务器 PPPOE.GW(config)#tacacs-server host 5 key cisco 这时候，在ACS服务器上，新建客户端，并创建user name,key cisco ,协议为：tacacs+ 然后我们进行测试： PPPOE.GW#test aaa group tacacs+ cisco cisco new-code Trying to authenticate with Servergroup tacacs+ Sending password User successfully authenticated 4， 启用3A的认证，授权，审计 PPPOE.GW(config)#aaa authentication ppp pppoe group tacacs+ PPPOE.GW(config)#aaa authorization network pppoe group tacacs+ PPPOE.GW(config)#aaa accounting network pppoe start-stop group tacacs+ 然后我们在virtual-template 1 下调用 interface Virtual-Template1 ip unnumbered FastEthernet2/0 peer default ip address pool pppoepool ppp authentication pap chap pppoe ppp authorization pppoe ppp accounting pppoe 这时候，我们发现Client路由器拨不上去了，为什么？ 原因是，我们启用了授权，但还没有在ACS上面给用户授予权限，所以它拨不上来了。 我们在ACS上看