投稿信箱 ：sangqiu@1 26．corn
PPPoE 详解
[知识讲堂 Knowle
PPPoE原理 报文以以太 网广播帧的形式发 Session-confirmation) 报 文，
PPPoE协 议 就 是 以 太 网上 出 ， 即 目 的 MAC为 FF：FF： 向客户 主机 分 配惟 一 的会 话进
的 PPP协议，该协议于 1998年 i FF：FF：FF：FF，而 源 MAC为 i程 ID，准备 进 入 PPPoE会话
问世，其产生的背景是当时各种 用户主机的 MAC地址。广播包 ；阶段。PPPoE发现阶段完成后，
宽带接入技术发展迅猛，但传统 被接入服务器 (比如 BAS)接 进入会话阶段。会话阶段主要
的以太网模型中，不存在所谓 收到后，接 入服务器会 回。应各 ：有 LCP、用户验证、NCP三个
的用户认证、计费的概念，用户 i用户主机发送的 PADI报文，这 协议的协商过程。
要么能设置或获取 IP地址上网， 个回应报文称为 PADO (PPPoE 在 LCP (Link Control
要么就无法上网。也就是说 ，传 ；Active Discovery offer)报文， ：Protoco1)阶段主要完成建立、
统以太网缺乏用户管理和计费 ；该报文所对应的以太网帧的源地 i配置和检测数据链路连接，并
手段，但这种手段对可运营的网 ；址是接入服务器的MAC地址，j完成认证协议类型的协商，以
络是必不可少的。为解决这一问 而目的地址是从 PADI中所获取 确 定使 用 口令验 证协 议 PAP
题，国际互联 网标准制定组织 j的用户主机的MAC地址。至此， i(Password Authentication
(IETF)的工程师们把原来用在 i通信双方就成功获取 了所需的 i Protoco1)或挑战握手验证协议
窄带拨号认证的 PPP协议 (点 {MAC地址。也就是说，PPPoE CHAP(Challenge-Handshake
对点协议)移植到以太网上使用，i是通过发现阶段的 PADI报文和 i Authenticati0n Protoco1)。
制定 出了在以太网上传送 PPP PADO报文的交换获取所需的二 ； 在用户验证阶段，用户主
数据包的协议 (Point To Point 层地址，而不是采用传统以太网 机会将自己的身份，包括账号、
Protocol Over Ethernet)。 i的二层地址解释协议——ARP。 密码等认证信息发送给接入服
PPPoE协 议 共 包 括 两 个 接 下 来 ，用 主 机 向接 入 务 器 。如果 认 证 成功 ，则 进 入
阶 段，即 PPPoE的发 现 阶段 服 务 器 发 送 PADR (PPPoE 下一阶段 ，否则，认证者跃迁
(PPPoE Discovery Stage)和 ；Active Discovery Request) 到链路终止阶段。
PPPoE的 会 话 阶 段 (PPPoE i报 文，由于 这时 用 户 主机 已 在 N C P (N e t W O r k
Session Stage)。 获 得 了接 入 服 务 器 的 MAC地 Control Protoco1)阶 段 ，PPP
在 PPPoE发 现 阶 段， 用 址，所 以这一报文是以单播的 将调用在链路创建阶段 (阶段
户 主 机 首 先 以 广 播 的 方 式 ；以太网帧格式发出的。接入服 1)选定的各种 网络控制 协议
发 送 PADI(PPPoE Active ；务器会向用户主机发送 PADS ；(NCP)，解决 PPP链路之上的
Discovery Initiation)报文，该 (PPPoE Active Discovery j高层协议问题，通常在 PPPoE
【上接第106页】 支持IDAP的目录服务产品有 也加重了管理上的负担。因此
Access Protoco1) 是 X．500使 【)C耐n0 Netmape Dimity 在分工之余，对于整合的需求
用的通信协议 (DAP，Dirtctory Server、Nox~l D~mory sj皂rvi0es， 就更加殷切。目录服务可说是
Access Protoco1)的精简版 ，诞 Mklrmft Active 咖 。 这股整合实力的最佳选择。
生 目的 是 为 了简 化 X．500服 务 微 软 在 目录 服 务这 个 领域 ActiveDtr~ xy是 Windows
器于用户端之 间的通讯协议 ，降 的 比 较 晚 ， 但 自从 Windows 2OOO以 来最 重 要 的特 色，但是
低用户端的复杂度。同DAP相 2000到今天的 Windows 2008， 其结构庞大复杂，令人望而却
比，LDAP可架构在 TCP／IP上。 Active Directory 的 技 术与 功 步。有句话说得好，不懂 Active
仅包含重要的功能。可使用字符 能已经越来越卓越 了。 Di咖 ， 就 不 懂 Windows
串的数据类型。后来很多厂商纷 网络的分布式结构虽然提 Server! 不 懂 Active I)iIe(加 ，
纷倒戈支持 LDAP。 供 了极佳的分工环境，但 同时 就不能当网络管理员1
2008．8A www．365master．com mlm~
，
．107：
l
维普资讯
_
～ 、 ⋯ ，
Knowledge知识讲堂] 责任编辑：赵磊联系电话：010—88558022
中，采用 IP控制协议 (IP CP)
向拨入用户分配动态 IP地址、
DNS。也 就 是说 ，PPPoE的三
层地址 分配是通过 NCP来完成
的 ，而不 是 采用 传统 的 DHCP
(Dynamic Host Configuration
Protoco1)。
了解 了 PPPoE的基本 原理
之 后 ，我 们就 可 以较 好地 理解
应 用PPPoE为 网络带来的变化 。
PPPoE对网络环境的影响
1。 由于 PPPoE协 议 的 IP
地址分 配是 通过 PPPoE会 话阶
段 的 NCP来 实现 的 ，并 且 在
NCP阶 段之 前 ，必须 先通过 用
户验 证 阶段 。换言 之 ，用户 必
须 先 通 过 认证 ，才能 获 取 IP。
用 户 电脑先前 所设 定或 自动获
取的 IP，在用户通过 PPPoE认
证后 ，就 不 再起 作用 ，用 户得
到 一 个 从 BAS随 机 分 配 的 IP
地址 。这 样就 彻底 解决 了因用
户 自 己 设 定 IP或 私 设 DHCP
服务器所 引起的 IP分配问题。
2。PPPoE协 议 是 把 PPP
协 议 (即点对 点 协议 )移植 到
以太 网上 应用 的一 种 协议。用
户一旦通过 了 PPPoE认证 ，就
与 BAS之 间 建 立 了 一 个 点对
点的 连接 。即使 是处 于 同一 个
VLAN 的 用 户 ， 只 要 建 立 了
PPPoE连接 ，用 户之 间在逻辑
上是 互不 相通 的 ，他们 只与 接
入服 务 器连 接，用 户之 间的 互
通只能通过接 入服 务器来进行 。
这样 就减 小 了用 户之 间的相 互
影响 ，也在一定程度上减小 了
网络病毒在内网的传播途径 。
3。通 过 一 段时 间的 运 行 ，
我们发现 在 PPPoE的网络环境
中 ，确实 能很 好 地规 避 网关 攻
击 、ARP欺 骗这 一类 网络 攻击
行 为 ，而 这些 攻 击行 为正 是 造
成 网络 频 繁 中断的 主要 罪魁 祸
首 。 为 了 更 好 地 了解 这 一 点，
需 要 先 了解 ARP协 议 和 ARP
欺 骗的机理 。
ARP 协 议 是 “Address
Resolution Protocol”(地 址 解
析 协议 )的缩 写 ，在以太 网中，
一 个 主机 要和 另一 个 主机进 行
直接通信，必须要知道 目标主
机 的 MAC地址 。 比如 A主 机
要 和 B主 机通 信 ，A主 机 首先
查看 自己的 ARP缓 存表 ，看是
否有 B主机的 MAC地址信 息 ，
如果有 ，直接把 目标 MAC地址
写入以太 网帧的 目的 MAC域里
面发送就可以了。如果没有 ，主
机 A就会在网络上发送一个广
播帧，目标 MAC地址是 “FF．
FF．FF．FF．FF．FF”，这表 示 向
同 一 网段 内的所 有主 机发 出这
样 的 询 问 ：“B主 机 的 MAC地
址是什么?”网络上其他主机并
不 响应这个 ARP询 问，只有主
机 B接收 到这 个 帧时 ，才 向主
机 A 做出这样的 回应：“B主机
的 MAC地址是 XX：XX：XX：XX：
XX ：XX ”
。 这样 ，主机 A就 知道
了 主 机 B的 MAC地 址 ，它 就
可 以 向主 机 B发 送信 息 了。同
时它还更新 了 自己的 ARP缓存
表 ，下次再 向主机 B发送信息时 ，
直接从 ARP缓存表里 查找就可
以了。这就是 ARP协议 的原理。
当 A 主机和 主机 B不 在 同
一 网络 时 ，A 主 机访 问 B主机
时就 需 要 通过 网关 转 发。A主
机首先 获取 网关的 MAC地 址 ，
凡是跨 网段的访问，A主机都
把 网 关 的 MAC地 址 作 为 目的
MAC，数据 帧先发往 网关 ，再
由网关作数据转发 。
所谓 ARP欺骗，就是本应
是 由 B主机 作 出的 ARP回应 ，
欺 骗者 却作 出 回应 ，使 A主 机
．
⋯
10
⋯
8
～ ～ 量受 墨 ： 皇 曼 QQ堡
得 到 的 目的 MAC是欺 骗者 的
MAC，而不是 主机 B的 MAC。
从 而导 致 A、B主 机 之 间 无法
正常通信 。有些 ARP欺骗是专
门 针对 网关 进行 的 ，凡 是 对 网
关的 ARP查询 ，欺骗者都作 出
回应 ，使 网段 内 的主 机学 习到
的 网关 MAC地 址 是 欺 骗者 的
MAC地址，而非真正的网关的
MAC地址 ，导致所有跨 网段的
访 问都 无 法正 常进 行 ，这 就是
所谓的 网关攻击 。
在 PPPoE协 议 当 中， 虽
然其数据帧也是标准的以太网
数 据 帧，也 含 有 源 MAC和 目
的 MAC，但 PPPoE协 议 获 得
MAC地 址完 全 不使 用 ARP协
议 ，它是 通过 在 PPPoE发现 阶
段 的 PADI和 PADO报 文 获 取
MAC信 息。所以 ，ARP欺骗这
一 类 的攻击 在 PPPoE网络 环境
中是难以奏效的，从而使网络运
行的稳定性有了较大的提升。根
据我们的跟踪统计，实施 PPPoE
改造后 ，网络频繁中断或时通时
断的现象基本消失了。
结束语
事 实表 明 ，实 施 PPPoE改
造 后 ，对 网络 影 响是 正 面 的、
良性 的，网络 运 行的 稳定 性有
了显著的提高 ，运维成本也明显
降低。但 PPPoE也有 一些 局 限
性 ： 由于 PPPoE协议 是把 PPP
报 文封装在标准 的以太 网帧 中，
所以增加 了网络开销 ；PPP0E协
议是一个二层协议 ，不能跨越三
层设备 ；采用 PPPoE认证之后 ，
对一些需要二层互通的局域网应
用会带来不便。
综 合 各 方 面 的 因 素 ， 笔
者 认 为，在 目前 的 情 况 下，
PPPoE协议 是 比较适 宜带 有运
营性质的网络采用的一种协议。
维普资讯
