网络接入服务器(NAS)技术规范(2)
【法规类别】电信
【发布部门】信息产业部(含邮电部)(已撤销) 【发布日期】2000.02.23 【实施日期】2000.02.23 【时效性】现行有效 【效力级别】XE0303
续(1)
８．４ ＰＰＰ通信流程及协议
ＰＰＰ协议由５部分组成：链路控制协议（ＬＣＰ）、ＰＡＰ和ＣＨＡＰ认证、多通道绑定（ＭＰ）、网络控制协议（ＮＣＰ）、用户配置。详细内容可参阅ＲＦＣ１６６１（ＰＰＰ协议）、ＲＦＣ１９９０（ＰＰＰ多链协议）、ＲＦＣ１３３２（ＩＰＣＰ协议）、ＲＦＣ１３３４（ＰＡＰ协议）、ＲＦＣ１９９４（ＣＨＡＰ协议）、ＲＦＣ１６６２（在类ＨＨＤＬＣ帧中的ＰＰＰ协议）。 （１）ＰＰＰ连接示意
图２３显示了典型的ＰＰＰ两个路由器背靠背连接方式。 图２３ ＰＰＰ路由器背靠背连接示意（略） （２）ＰＰＰ通信流程 1 / 7
ＰＰＰ通信流程见图２４。
ＰＰＰ在建立链路之前要进行一系列的协商过程。ＰＰＰ建链的各阶段如图２５所示。 ＰＰＰ建链的具体过程如下：
①ＬＣＰ协商，协商内容包括：ＭＲＵ（最大接收单元）、魔术字（ｍａｇｉｃ ｎｕｍｂｅｒ）、认证方式、异步字符映射等选项以及多链捆绑（ＭＰ）一些选项的协商，如多链最大可重建接收单元（ＭＲＲＵ）、多链短顺序号报头格式（ＳＳＮＨＦ）、端点描述符（Ｄｉｓｃｒｉｍｉｎａｔｏｒ）等。
图２４ ＰＰＰ通信流程
图２５ ＰＰＰ建链各阶段图
②ＬＣＰ协商过后就到了Ｅｓｔａｂｌｉｓｈ阶段，开始ＰＡＰ或ＣＨＡＰ认证。ＰＡＰ为两次握手认证，口令为明文。ＰＡＰ认证过程如下：发送用户名同口令到认证方，认证方查看是否有此用户，口令是否正确，然后发送相应的响应。ＣＨＡＰ为３次握手认证，口令为密文（密钥）ＣＨＡＰ认证由认证方发送一些随机产生的报文，交给被认证，被认证方用自己的口令字用ＭＤ５算法进行加密，传回密文，认证方用自己保存的口令字及随机报文用ＭＤ５算法加密，比较两者的密文，根据比较结果返回响应的响应。
③认证成功即进行Ｎｅｔｗｏｒｋ阶段协商（ＮＣＰ），包括ＩＰＣＰ、ＩＰＸＣＰ、ＢＣＰ的协商（如ＩＰ地址的协商等）。任何阶段的协商失败都将导致链路的拆除。 ＩＰＣＰ协商内容为：
·ＩＰ ａｄｄｒｅｓｓ（ｏｌｄ） ·ＶＪ ｃｏｍｐｒｅｓｓｉｏｎ 2 / 7
·ＩＰ ａｄｄｒｅｓｓ
·Ｐｉｒｍａｒｙ ＤＮＳ Ａｄｄｒｅｓｓ ·Ｓｅｃｏｎｄａｒｙ ＤＮＳ Ａｄｄｒｅｓｓ ·Ｐｒｉｍａｒｙ ＮｅｔＢＩＯｓ Ａｄｄｒｅｓｓ ·Ｓｅｃｏｎｄａｒｙ ＮｅｔＢＩＯｓ Ａｄｄｒｅｓｓ ＩＰＸＣＰ协商内容为：
·ＩＰＸ Ｎｅｔｗｏｒｋ Ｎｕｍｂｅｒ ·ＩＰＸ Ｎｏｄｅ Ｎｕｍｂｅｒ
·ＩＰＸ Ｃｏｍｐｒｅｓｓｉｏｎ Ｐｒｏｔｏｃｏｌ ·ＩＰＸ Ｒｏｕｔｉｎｇ Ｐｒｏｔｏｃｏｌ ·ＩＰＸ Ｒｏｕｔｅｒ Ｎａｍｅ
·ＩＰＸ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｃｏｍｐｌｅｔｅ ④协商成功，则链路建立成功，可以开始传输网络层数据报文。
８．５ ＲＡＤＩＵＳ协议和通信流程 ８．５．１ ＲＡＤＩＵＳ协议
Ｒａｄｉｕｓ通信协议是远程拨号接入的用户接入认证协议。Ｒａｄｉｕｓ信息包被封装为ＵＤＰ数据包，Ｒａｄｉｕｓ的ＵＤＰ数据包的目标端口地址是１８１２，Ｒａｄｉｕｓ计费的ＵＤＰ数据包的目标端口地址是１８１３。具体内容参照ＲＦＣ２１３８（ＲＡＤＩＵＳ）和ＲＦＣ２１３９（ＲＡＤＩＵＳ计费）。 Ｒａｄｉｕｓ包的类型由包的第一个字节——代码域的值决定。 （１）接入请求（Ａｃｃｅｓｓ－Ｒｅｑｕｅｓｔ） 当代码域的值为１时，该包是接入请求包。 3 / 7
接入请求包由客户端发向Ｒａｄｉｕｓ服务器，传递的信息用于用户身份的认证。当从
一个有效的客户端得到一个接入请求包时，服务器要作出相应的响应。接入请求包中必须包括属性Ｕｓｅｒ－Ｎａｍｅ（用户名）和Ｕｓｅｒ－Ｐａｓｓｗｏｒｄ（用户密码）。建议含入属性ＮＡＳ－ＩＰ－Ａｄｄｒｅｓｓ（ＮＡＳ的ＩＰ地址）或者ＮＡＳ－Ｉｄｅｎｔｉｆｉｅｒ（ＮＡＳ的标识号），以及属性ＮＡＳ－Ｐｏｒｔ（ＮＡＳ的端口号）或者ＮＡＳ－Ｐｏｒｔ－Ｔｙｐｅ（ＮＡＳ的端口类型）。包中还可以包含其它的一些属性，但服务器并不要求。其中用户密码是经过ＭＤ５算法加密过的。接入请求包中代码域的值是１，标识域是一个唯一的数，与此对应的响应包的标识域的值同这个值一样，包的认证域是一个１６位的随机数，不同的标识号对应于不同的随机数。 （２）允许接入（Ａｃｃｅｓｓ－Ａｃｃｅｐｔ） 当代码域的值为２时，该包是允许接入包。
允许接入包由服务器发向客户端表明身份认证通过，允许用户接入。当客户端收到允许接入包后，首先要认证包的认证域，确认包的有效性，如果无效，包会被丢掉。对允许接入包中的属性没有特别的要求。允许接入包中代码域的值是２，标识域的值同请求包中的一样，包中的认证域是经过ＭＤ５加密的１６位的字符串。 （３）拒绝接入（Ａｃｃｅｓｓ－Ｒｅｊｅｃｔ） 当代码域的值为３时，该包是拒绝接入包。
身份认证失败，服务器向客户端发出拒绝接入包。对拒绝接入包中的属性没有特别的要求。拒绝接入包中代码域的值是３，标识域的值同请求包中的一样，包中的认证域是经过ＭＤ５加密的１６位的字符串。
（４）计费请求（Ａｃｃｏｕｎｔｉｎｇ－Ｒｅｑｕｅｓｔ） 当代码域的值为４时，该包是计费请求包。
计费请求包由客户端发向Ｒａｄｉｕｓ计费服务器，提供计费信息。如果完成了计费信 4 / 7
息的记录，服务器会发给客户端一计费响应包，否则不作任何响应。在计费请求包中决
不能出现属性Ｕｓｅｒ－Ｐａｓｓｗｏｒｄ、ＣＨＡＰ－Ｐａｓｓｗｏｒｄ、Ｒｅｐｌｙ－Ｍｅｓｓａｇｅ、Ｓｔａｔｅ，但必须包含属性ＮＡＳ－ＩＰ－Ａｄｄｒｅｓｓ或者ＮＡＳ－Ｉｄｅｎｔｉｆｉｅｒ，两者必须包含其一（建议含入属性ＮＡＳ－Ｐｏｒｔ或者ＮＡＳ－Ｐｏｒｔ－Ｔｙｐｅ）。计费请求包中代码域的值是４，标识域是一个唯一的数，与此对应的响应包的标识域的值同这个值一样，包的认证域是一个１６位的随机数，不同的标识号对应于不同的随机数。
（５）计费响应（Ａｃｃｏｕｎｔｉｎｇ－Ｒｅｓｐｏｎｓｅ） 当代码域的值为５时，该包是计费响应包。
计费信息记录完成后，服务器发给客户端一计费响应包。对计费响应包中的属性没有特别的要求。计费响应包中代码域的值是５；标识域的值同请求包中的一样；包中的认证域是经过ＭＤ５加密的１６位的字符串。
Ｒａｄｉｕｓ的属性带有特定的认证、授权及计费的信息，用于请求和响应包中。 在认证、授权、计费过程中可能用到的主要的属性类型有以下这些（其中４０到５１用于计费）：
８．５．２ ＲＡＤＩＵＳ接入认证与授权的通信流程
一台及多台ＲＡＤＩＵＳ服务器的接入认证与授权的通信流程如图２６所示。 一个远程用户、通过ＮＡＳ（网络接入服务器）在ＲＡＤＩＵＳ服务器上进行认证与授权需要经过以下步骤：
（１）远程用户通过ＰＳＴＮ或ＩＳＤＮ与ＮＡＳ建立连接。
（２）ＮＡＳ接受远程用户的连接，对ＰＳＴＮ用户，ＮＡＳ提示用户输入用户名和口令，对ＩＳＤＮ用户，ＮＡＳ将ＰＡＰ(Point-To-Point Password Authentication 5 / 7
Protocol)的ＰＡＰ ＩＤ和口令作为用户名和口令。
（３）ＮＡＳ根据这些信息产生一个称为认证请求的数据包，这个包中包含有标识ＮＡＳ的信息（如ＮＡＳ的名字和ＩＰ地址）以及用户的名字和口令，ＮＡＳ作为ＲＡＤＩＵＳ的客户，在包发出之前将口令加密。
（４）ＮＡＳ将认证请求数据包发送给ＲＡＤＩＵＳ服务器１，ＲＡＤＩＵＳ服务器１收到认证请求包后，将数据解密，获得用户名和口令，然后认证该用户的合法性。 （５）若认证通过，ＲＡＤＩＵＳ服务器１会发送一个访问接受包给ＲＡＤＩＵＳ客户端（ＮＡＳ），其中含有用户上网所需要的一些信息，比如用户的ＩＰ地址，使用的协议等，这时ＮＡＳ允许用户上网。
（６）ＮＡＳ接到认证通过确认响应后向远程用户回发确认响应（通过ＰＡＰ或ＣＨＡＰ）。
（７）若认证没有通过，ＲＡＤＩＵＳ服务器１会发送一个访问拒绝包给ＲＡＤＩＵＳ客户端。
（８）ＮＡＳ接到认证未通过响应后，向远程用户发拒绝用户上网的指令（通过ＰＡＰ或ＣＨＡＰ）。
（９）认证请求包通过网络送到ＲＡＤＩＵＳ服务器１，在一定时间内如果没有收到响应，则ＮＡＳ会重发一定的次数，在主服务器关闭或不可达的情况下，验证请求可以向备用的ＲＡＤＩＵＳ服务器２发送，并依次类推。
（１０）若认证通过，ＲＡＤＩＵＳ服务器２会发送一个访问接受包给ＲＡＤＩＵＳ客户端（ＮＡＳ），其中含有用户上网所需要的一些信息，比如用户的ＩＰ地址，使用的协议等，这时ＮＡＳ允许用户上网。
（１１）ＮＡＳ接到认证通过确认响应后向远程用户回发确认响应（通过ＰＡＰ或ＣＨＡＰ）。 6 / 7
图２６ 一台及多台ＲＡＤＩＵＳ服务器的接入认证与授权的通信流程（略）
（１２）一定时间内仍收不到ＲＡＤＩＵＳ服务器的响应，ＮＡＳ认为ＲＡＤＩＵＳ服务器关闭，并拒绝该用户上网。 ８．６ Ｔｅｌｎｅｔ流程及协议
Ｔｅｌｎｅｔ协议参照ＲＦＣ０８５４、ＲＦＣ０８５５、ＲＦＣ０８５８。 Ｔｅｌｎｅｔ所定义的网络虚终端信息分为两种类型：一类是数据，一类是命令。 网络虚终端数据用７位ＡＳＣⅡ字符表示（各字节高位置０），并对其中８个字符进行了重定义，重定义的８个字符为：
网络虚终端控制命令借助于ＴＣＰ的紧急（ＵＲＧＥＮＴ）数据机制发送，命令形式如下：
网络虚终端控制命令使用８比特字节序列，字节高位置１。控制功能使用转移序列（ｅｓｃａｐｅ ｓｅｑｕｅｎｃｅ）进行编码，每个转移序列有两个字节构成，前一个是保留字节ＩＡＣ（Ｉｎｔｅｒｐｒｅｔ Ａｓ Ｃｏｍｍａｎｄ），后一个控制命令，ＮＶＴ控制命令和编码如表５所示。
7 / 7
