Point-to-Point Protocol (PPP)

Transcript

1 Point-to-Point Protocol (PPP) 1

2 Il protocollo Point to Point Protocol (PPP) è stato sviluppato per gli stessi scopi del protocollo HDLC: fornire un protocollo di livello data-link da utilizzare su connessioni di tipo seriale. PPP è più recente di HDLC; proprio per questo motivo definisce una serie di funzionalità aggiuntive come ad esempio l autenticazione. Il protocollo PPP è stato dunque pensato per essere implementato su collegamenti di tipo punto-punto ovvero tali da connettere due soli router. PPP Framing & Control Protocol Il protocollo PPP definisce un proprio formato frame utilizzato per incapsulare i pacchetti IP. Così come Ethernet e HDLC, PPP aggiunge in testa al pacchetto di livello 3 un Header Data-Link PPP e 2

3 in coda un Trailer Data-Link PPP, quest ultimo utilizzato per la rilevazione degli errori. La struttura di un frame PPP è illustrata in figura; come puoi vedere è abbastanza simile a quella utilizzata dal protocollo HDLC Tuttavia, a differenza di quest ultimo, PPP implementa diversi protocolli di controllo di livello Data Link. In base alla funzione svolta, è possibile suddividerli in due categorie: 3

4 Link Control Protocol (LCP): E un protocollo che svolge diverse funzioni relative esclusivamente allo strato Data-Link, ignorando e senza tener conto del protocollo di livello Network trasportato; Network Control Protocol (NCP): E un insieme di protocolli. Ciascuno di essi è definito sulla base del protocollo di livello 3 trasportato. Un esempio di protocollo NCP è IP Control Protocol (IPCP). PPP utilizza quindi un istanza LCP per ciascun link e una NCP per ciascun protocollo L3 incapsulato. 4

5 PPP Authentication Il protocollo PPP utilizza un meccanismo di autenticazione attraverso cui due router possono verificare l autenticità dell apparato con cui stanno scambiando informazioni su una connessione punto-punto. Quindi, un router prima di inviare dati, può accertare se il router all altra estremità del collegamento è quello legittimo oppure un impostore. I router si autenticano a vicenda fornendo una password, ovvero un valore segreto e noto ad entrambi. PPP utilizza due differenti protocolli di autenticazione: PAP CHAP 5

6 La figura seguente illustra in che modo un router può essere identificato e ritenuto affidabile facendo utilizzo del protocollo PAP. Non appena il link seriale diviene operativo ha inizio il processo di autenticazione. Inizialmente il router R2 invia la password condivisa in clear text sul canale. In altre parole, R2 non opera alcuna cifratura per proteggere il dato sensibile condiviso con l altro router. 6

7 R1 autentica R2 solo se la password fornita da quest ultimo corrisponde a quella da lui conosciuta. Se ciò avviene R1 invia un messaggio a R2 notificando l avvenuta autenticazione Il protocollo CHAP è tuttavia più sicuro di PAP, in quanto effettua la cifratura della password. In questo modo, un eventuale intruso può certamente rubare i dati scambiati tra i due router, ma non sarebbe comunque in grado di risalire alla password originale. La figura seguente illustra il processo di autenticazione CHAP. 7

8 R1 deve poter autenticare il router R2. R1 invia quindi un messaggio detto Sfida o Challenge. Il router R2 risponde alla sfida inviando piuttosto che la password originale, una versione cifrata (hash). R1 determina quindi se autenticare o meno R2 sulla base dell hash 8

9 ricevuto; nel caso in cui R2 venga autenticato, R1 invia un messaggio di notifica, confermando l avvenuta autenticazione. Se l autenticazione PAP/CHAP fallisce, il router invia ovviamente un messaggio di notifica differente. In tal caso viene posta in stato up/down l interfaccia seriale e pertanto non è possibile inoltrare o ricevere frame. Per evitare che un intruso possa comunque risalire in tempi più o meno lunghi alla password clear text condivisa tra due router, CHAP utilizza di volta in volta un messaggio Challenge differente. Di fatto ogni volta che è necessario autenticare un peer, viene utilizzato come Challenge un numero arbitrario randomico. 9

10 Implementazione PPP su Cisco IOS La configurazione del protocollo PPP è per certi versi molto simile a quanto descritto per il protocollo HDLC. La procedura da seguire per abilitare PPP su un interfaccia di tipo seriale è la seguente: 1. Per abilitare il protocollo PPP sul link seriale, dare il comando encapsulation ppp 2. Associare a ciascun router un hostname, dando il comando hostname <name> 10

11 3. Configurare il nome dell altro router (username) e la password condivisa da entrambi. La configurazione può essere applicata da Global config mode per mezzo dei comandi username <name> password <password> Per abilitare il protocollo di autenticazione PAP dare i seguenti comandi: 4. Specificare i parametri Username/Password sul router che deve essere autenticato. Specificare dunque i valori dando il comando ppp pap sent-username <username> password <password> 11

12 5. Abilitare PAP sull interfaccia seriale di interesse dando il comando ppp authentication pap Per abilitare invece il protocollo di autenticazione CHAP dare invece i seguenti comandi: 5. Abilitare CHAP sull interfaccia seriale di interesse dando il comando ppp authentication chap 12

13 Le figure seguenti mostrano un esempio di configurazione PPP PAP e CHAP. 13

14 In entrambi gli esempi, il router che deve essere autenticato è R2. 14