PAP 与 CHAP 的区别
PPP 认证有两种：PAP 用两次握手明文发送用户名与口令，CHAP 用挑战值做三次握手，口令不在链路上传输。专线对接普遍要求 CHAP。配置是成对出现的：一端提出认证要求，两端都要提供与对端匹配的用户名与口令，任何一项不匹配都会导致链路层反复重试。
基本信息
| PAP | 明文发送用户名与口令，两次握手 |
|---|---|
| CHAP | 挑战与响应，三次握手，不传明文 |
| 要求方 | 接口下配置 ppp authentication chap |
| 提供方 | 用 username <对端名> password <口令> 提供凭据 |
| 核对命令 | show interface、debug ppp negotiation |
典型使用场景
- 运营商专线对接：按对方要求选择 CHAP
- 替换老旧设备：先确认用户名与口令的命名规则
- 排障「物理 Up 但协议不 Up」：优先排查认证
- 安全基线：避免在链路层使用明文 PAP
- 割接切换：两端同时改配置，避免单侧生效造成中断
CHAP 配置
CHAP 配置
username PEER-NAME password <口令> # 供对端认证本端时使用
!
interface Serial0/1/0
encapsulation ppp
ppp authentication chap # 要求对端通过 CHAP 认证
!
show interface Serial0/1/0 | include line protocol
# 需要看协商细节时可临时观察：
# debug ppp negotiation两种认证对比
| 项 | PAP | CHAP |
|---|---|---|
| 握手次数 | 两次 | 三次，包含挑战值 |
| 口令传输 | 明文经过链路 | 口令不在链路上传输 |
| 安全性 | 较低，仅作兼容 | 较高，推荐使用 |
| 常见场景 | 老设备兼容 | 专线与运营商对接 |
认证失败时链路协议会反复重试：先确认两端用户名与口令完全一致，再去排查链路层问题，顺序反了会在物理层白费时间。
用户名的大小写与域名后缀必须完全匹配：CHAP 会用对端名作为查找关键字，差一个字符就会认证失败。
只在一侧配置认证要求，会得到与预期不同的协商行为：对接前先明确哪一端提出认证、哪一端提供凭据。
认证口令要纳入密钥管理流程：明文写在配置里的口令在设备备份中同样可见，轮换时需要两端同步执行。
排障先用接口状态区分物理问题与认证问题：物理层 Down 与协议层 Down 的排查方向完全不同，混在一起容易绕远。