أستكشاف أخطاء مصادقة PPP (CHAP أو PAP) وإصلاحها

المقدمة

تعد مشاكل مصادقة بروتوكول الاتصال من نقطة إلى نقطة (PPP) أحد أكثر الأسباب شيوعا لفشل إرتباط الاتصال من خلال الطلب الهاتفي. يقدم هذا المستند بعض إجراءات أستكشاف أخطاء مصادقة PPP وإصلاحها.

المتطلبات الأساسية

• قم بتمكين تفاوض PPP وتصحيح الأخطاء لمصادقة PPP.

• لا تبدأ مرحلة مصادقة PPP حتى تكتمل مرحلة بروتوكول التحكم في الارتباط (LCP) وتكون في حالة الفتح. إن debug ppp لا يشير إلى أن LCP مفتوح، يتحرى هذا إصدار قبل متابعة.

• يجب تكوين مصادقة PPP على كلا الجانبين. أصدرت هذا أمر حسب المناسب:

  • بروتوكول مصادقة PPP على كلا الموجهين، لمصادقة بروتوكول المصادقة لتأكيد الاتصال بقيمة التحدي (CHAP) في الاتجاهين.

  • الاتصال ببروتوكول PPP الخاص بمصادقة PPP على موجه الاتصال، للمصادقة أحادية الإتجاه.

  • PPP لمصادقة على كلا الموجهين، لمصادقة PAP.

مصطلحات

• الجهاز المحلي (أو الموجه المحلي) - هذا هو النظام الذي يتم تشغيل جلسة تصحيح الأخطاء عليه حاليا. بينما تقوم بنقل جلسة تصحيح الأخطاء من موجه إلى آخر، قم بتطبيق المصطلح جهاز محلي على الموجه الآخر.

• النظير - الطرف الآخر للارتباط من نقطة إلى نقطة. وبالتالي، فإن الجهاز ليس الجهاز المحلي.

  على سبيل المثال، إذا قمت بإصدار الأمر debug ppp negotiation على RouterA، فهذا هو الجهاز المحلي والموجه B هو النظير. ومع ذلك، إذا قمت بنقل تصحيح الأخطاء إلى RouterB، يصبح هو الجهاز المحلي ويصبح الموجه A هو النظير.

ملاحظة: لا تعني مصطلحات الأجهزة المحلية والأجهزة النظيرة علاقة بين العميل والخادم. اعتمادا على مكان تشغيل جلسة تصحيح الأخطاء، يمكن أن يكون عميل الطلب الهاتفي هو الجهاز المحلي أو النظير.

المتطلبات

cisco يوصي أن يتلقى أنت معرفة من هذا موضوع:

• يجب أن تكون قادرا على قراءة إخراج تفاوض PPP الخاص بتصحيح الأخطاء وفهمه. راجع إخراج تفاوض تصحيح أخطاء PPP الخاص بالمستند للحصول على مزيد من المعلومات.

المكونات المستخدمة

لا يقتصر هذا المستند على إصدارات برامج ومكونات مادية معينة.

الاصطلاحات

راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.

أستكشاف أخطاء المخطط الانسيابي وإصلاحها

يتضمن هذا المستند بعض مخططات التدفق للمساعدة في أستكشاف الأخطاء وإصلاحها. يمكنك المتابعة إلى المخطط الانسيابي التالي بالنقر على الدوائر المرقمة.

هل يقوم الموجه بتنفيذ مصادقة CHAP أو PAP؟

لتحديد ما إذا كان الموجه يؤدي مصادقة CHAP أو PAP، ابحث عن هذه السطور في إخراج مصادقة PPP وتصحيح الأخطاء:

CHAP

ابحث عن CHAP في مرحلة المصادقة:

*Mar  7 21:16:29.468: BR0:1 PPP: Phase is AUTHENTICATING, by this end
*Mar  7 21:16:29.468: BR0:1 CHAP: O CHALLENGE id 5 len 33 from "maui-soho-03"

PAP

ابحث عن PAP في مرحلة المصادقة:

*Mar  7 21:24:11.980: BR0:1 PPP: Phase is AUTHENTICATING, by both
*Mar  7 21:24:12.084: BR0:1 PAP: I AUTH-REQ id 1 len 23 from "maui-soho-01"

هل يقوم الموجه بتنفيذ مصادقة CHAP أحادية الإتجاه أو ثنائية الإتجاه؟

ابحث عن إحدى هذه الرسائل في إخراج تفاوض PPP الخاص بتصحيح الأخطاء:

BR0:1 PPP: Phase is AUTHENTICATING, by both

تشير الرسالة الواردة أعلاه إلى أن الموجهات تنفذ مصادقة ثنائية الإتجاه.

تشير إحدى الرسائل أدناه إلى أن الموجهات تقوم بإجراء مصادقة أحادية الإتجاه:

BR0:1 PPP: Phase is AUTHENTICATING, by the peer

 أو

BR0:1 PPP: Phase is AUTHENTICATING, by this end

هل هذا فشل وارد؟

تحقق لمعرفة ما إذا كنت تتلقى رسائل بريد أو فشل واردة. تذكر أن "I" تشير إلى أن الرسالة هي رسالة واردة:

BR0:1 LCP: I TERMREQ

 أو

BR0:1 CHAP: I FAILURE

يشير الفشل الوارد إلى أن النظير يفشل في مصادقة اسم مستخدم وكلمة مرور الموجه المحلي. قد يكون هذا بسبب تكوين غير صحيح على الموجه المحلي (من خلال عدم توفير اسم المستخدم وكلمة المرور المتوقعين من قبل النظير) أو على الموجه البعيد.

هل اسم المستخدم في التحدي الصادر أو الاستجابة نفسها لاسم المضيف؟

ابحث عن التالي في إخراج تفاوض PPP الخاص بتصحيح الأخطاء:

BR0:1 CHAP: O CHALLENGE id 9 len 33 from "maui-soho-03"

 أو

BR0:1 CHAP: O RESPONSE id 16 len 33 from "maui-soho-03"

لاحظ اسم المستخدم في التحدي الصادر أو الاستجابة الصادرة. في هذا المثال، هو maui-soho-03. تحتاج إلى هذا للتحقق من تطابق اسم المستخدم وكلمة المرور المستخدمين للمصادقة مع الاسم المتوقع من الجانب البعيد. على سبيل المثال، إذا كان الموجه المحلي يعرف نفسه للنظير ك A، ولكن النظير كان يتوقع B، ثم تفشل المصادقة.

إذا لم يكن اسم المستخدم في التحدي الصادر هو نفسه اسم المضيف، فابحث عن الأمر ppp chap hostname <username> ، حيث يتوافق اسم المستخدم مع اسم المستخدم في التحدي الصادر. دون اسم المستخدم وكلمة المرور (في الأمر المرفق ppp chap password). سوف تستخدم هذه المعلومات عند أستكشاف أخطاء الموجه عن بعد وإصلاحها.

هل الجهاز البعيد هو موجه Cisco الذي يمكنك الوصول إليه؟

ونظرا لأننا قد قررنا أن الموجه المحلي قد تلقى فشلا واردا، فإننا نعلم أن الفشل يحدث على النظير. إن يتلقى أنت منفذ إلى البعيد cisco مسحاج تخديد، بعد ذلك يتحرى على أن أداة.

إذا لم يكن لديك حق الوصول إلى الموجه البعيد، فاتصل بمسؤول ذلك الموجه للتحقق من اسم المستخدم وكلمة المرور التي يتوقعها.

اطرح هذه الاسئلة:

1. ما اسم المستخدم الذي يتوقعه الموجه عن بعد؟

   أستخدم الأمر ppp chap hostname <username> تحت الواجهة المادية أو واجهة المتصل. قم بتكوين اسم المستخدم الذي يقدمه المسؤول عن بعد هنا.

   ملاحظة: هذه حالة حساسة.

2. ما كلمة المرور التي يتوقعها الموجه البعيد؟

   أستخدم الأمر ppp chap password <password> تحت الواجهة المادية أو واجهة المتصل.

   ملاحظة: هذه حالة حساسة.

لمزيد من المعلومات، ارجع إلى مصادقة PPP للمستند باستخدام أوامر إستدعاء بروتوكول PPP chap ومصادقة PPP.

أستكشاف أخطاء بروتوكول CHAP الصادرة وإصلاحها

إذا قام النظير باكتشاف رسالة فشل واردة، فهذا يعني أن الموجه المحلي فشل في مصادقة النظير وأرسل الرسالة. وبالتالي، يجب عليك الآن أستكشاف أخطاء الموجه وإصلاحها والتي تشير إلى الفشل الصادر عليها.

تشير هذه الرسائل على الموجه المحلي إلى فشل صادر:

BR0:1 CHAP: O FAILURE id 10 len 26 msg is "Authentication failure"

 أو

BR0:1 LCP: O TERMREQ [Open] id 22 len 4

الموجه لا يستخدم AAA أو AAA المحلي فقط

إذا لم يستخدم الموجه نظام المصادقة والتفويض والمحاسبة (AAA) (RADIUS أو TACACS+) القائم على الخادم، فيمكن حينئذ للموجه إستخدام إما AAA أو AAA المحلي. تحقق ما إذا كنت ترى إحدى الرسائل التالية في إخراج تصحيح الأخطاء:

تعذر التحقق من صحة الاستجابة

لم يتم العثور على اسم المستخدم <username>

BR0:1 CHAP: I RESPONSE id 18 len 33 from "maui-soho-03"

! -- Incoming CHAP response to our challenge. ! -- The username used in the response is maui-soho-03.

BR0:1 CHAP: Unable to validate Response.  Username maui-soho-03 not found

! -- The username supplied by the peer is not configured on the router. ! -- We assume the peer does not have permission to connect.

BR0:1 CHAP: O FAILURE id 18 len 26 msg is "Authentication failure"

! -- Outgoing CHAP failure message. ! -- The peer will see this as an incoming failure.

BR0:1 PPP: Phase is TERMINATING [0 sess, 0 load]

قد يرجع عدم تطابق اسم المستخدم إلى سببين:

1. لم يوفر النظير اسم المستخدم المتوقع من قبل الموجه المحلي. على سبيل المثال، توقعنا (وشكلت) اسم المستخدم RouterA، ولكن النظير أستخدم الاسم RouterB. يمكنك إما تكوين اسم المستخدم وكلمة المرور المرسلة من قبل النظير أو تصحيح النظير باستخدام اسم المستخدم الصحيح.

2. الموجه المحلي لا يحتوي على اسم المستخدم الذي تم تكوينه. إذا كان اسم المستخدم الذي يقدمه النظير يطابق ما توقعه الموجه المحلي، فعليك تكوين اسم المستخدم وكلمة المرور.

غالبا ما يتم رؤية هذه المشكلة عندما يستخدم النظير الأمر ppp chap hostname لتكوين اسم مستخدم خلاف اسم مضيف الموجه.

أستخدم الأمر username <username>password <password> ، حيث يتم إستبدال <username> باسم المستخدم في رسالة الخطأ أعلاه.

لم يتم العثور على اسم المستخدم <username>

غير قادر على مصادقة النظير

BR0:1 CHAP: I CHALLENGE id 17 len 33 from "maui-soho-01"

! -- Incoming challenge from maui-soho-01. ! -- This router must look up the username specified ! -- in order to create the CHAP response.

BR0:1 CHAP: Username maui-soho-01 not found

! -- The username (maui-soho-01) supplied by the peer is not configured locally.

BR0:1 CHAP: Unable to authenticate for peer

! -- Since this router does not recognize the username ! -- it cannot create the outgoing CHAP RESPONSE.

BR0:1 PPP: Phase is TERMINATING

! -- Authentication fails.

قد يرجع عدم تطابق اسم المستخدم إلى سببين:

1. لم يوفر النظير اسم المستخدم المتوقع من قبل الموجه المحلي. على سبيل المثال، توقعنا (وقمنا بتهيئة) اسم المستخدم RouterA. ومع ذلك، أستخدم النظير اسم RouterB. يمكنك إما تكوين اسم المستخدم وكلمة المرور المرسلة من قبل النظير أو تحديث النظير باسم المستخدم الصحيح.

2. الموجه المحلي لا يحتوي على اسم المستخدم الذي تم تكوينه. إذا كان اسم المستخدم الذي يقدمه النظير يطابق ما توقعه الموجه المحلي، فعليك تكوين اسم المستخدم وكلمة المرور.

غالبا ما يتم رؤية هذه المشكلة عندما يستخدم النظير الأمر ppp chap hostname لتكوين اسم مستخدم خلاف اسم مضيف الموجه.

أستخدم الأمر username <username>password <password> ، حيث يتم إستبدال <username> باسم المستخدم في رسالة الخطأ أعلاه.

فشل مقارنة MD/DES

BR0:1 CHAP: I RESPONSE id 16 len 33 from "maui-soho-03"
  BR0:1 CHAP: O FAILURE id 16 len 25 msg is "MD/DES compare failed"

سبب هذا الخطأ عدم تطابق كلمة المرور. وقد يكون هذا راجعا إلى سببين:

1. لم يوفر النظير كلمة المرور المتوقعة من الموجه المحلي. على سبيل المثال، توقعنا (وقمنا بتهيئة) كلمة المرور LetmeIn، ولكن النظير أستخدم كلمة المرور. يمكنك إما إعادة تكوين اسم المستخدم وكلمة المرور المرسلة من قبل النظير أو تصحيح النظير باستخدام اسم المستخدم الصحيح.

2. لا يحتوي الموجه المحلي على كلمة المرور التي تم تكوينها بشكل صحيح. إذا قمت بالتحقق من صحة كلمة المرور المقدمة من النظير، فأعد تكوين الموجه المحلي.

الحل:

1. أزلت الحالي username وكلمة مدخل يستعمل هذا أمر:

   no username <username>
   
   

   حيث <username> يتم إستبدالها باسم المستخدم في رسالة الخطأ. في هذا المثال، سيكون ذلك ماوي-سوهو-03.

2. شكلت ال username وكلمة يستعمل هذا أمر:

   username  
             password  
            
   
   

   يجب أن يكون اسم المستخدم هو نفسه الموجود في رسالة CHAP الموضحة أعلاه. يجب أن تتطابق كلمة المرور مع كلمة المرور على الموجه البعيد.

أستكشاف مشكلات المصادقة والتفويض والمحاسبة (AAA) العامة القائمة على الخادم وإصلاحها

ملاحظة: لا يقصد بهذا المستند أن يكون مورد أستكشاف أخطاء AAA وإصلاحها. لمزيد من المعلومات حول أستكشاف أخطاء AAA وإصلاحها، ارجع إلى الموارد التالية:

• عمليات AAA

• RADIUS

• Tacacs

المشكلة: تعمل مصادقة PAP ل PPP، لكن MSchapV2 يفشل

قد لا تتمكن من المصادقة إلى خادم ACS لأن خادم ACS لا يتلقى طلب المصادقة، مما يؤدي إلى فشل جلسة العمل. تتم ملاحظة هذا السلوك وتسجيله ضمن معرف تصحيح الأخطاء من Cisco CSCee04466 (العملاء المسجلون فقط). كحل بديل، أستخدم خادم RADIUS لجلسات عمل PPP. ومع ذلك، احتفظ بخادم TACACS+ للأغراض الإدارية على الموجه.

معلومات ذات صلة

• فهم إخراج تفاوض تصحيح أخطاء PPP
• استيعاب مصادقة PPP CHAP وتكوينها
• مصادقة PPP باستخدام أوامر إستدعاء بروتوكول PPP chap hostname و مصادقة PPP
• تكوين بروتوكول مصادقة كلمة مرور PPP (PAP) واستكشاف أخطاء هذا البروتوكول وإصلاحها
• دعم تقنية الطلب والوصول
• الدعم التقني والمستندات - Cisco Systems