CCIE LAB K4 试验分解系列1 – PPPOE

zhenglxd

                                                         <<CCIE LAB K4 试验分解系列1 – PPPOE>>
% h$ x4 P; R  f$ Q                                                                            作者：  -NULL
' B5 f" h1 k: ]/ f8 z
上海亚威原创，转载请注明出处

( E1 D7 H; A5 T) N5 x5 [一. 前言：
相信CCIE RS试验考试目前最火的话题就是K4了，K4的需求和解法，国外国内网上都有，但解法终究是解法，其解题的思路，网上资料甚少，甚至出现一套题多解法的现象。
3 J. q/ ], A6 ~) X9 a1 j而我写这个文章的目的，仅仅是针对LAB中比较有歧义，比较冷门或者比较有趣的的技术和现象，以及对多解法的各种利弊，抛砖引玉，和大家进行探讨，
2 ~9 B8 W: s& {) a! ^7 ?如果时间够，预期我会把RS整个考试中 所有LAB 和TS 都为大家进行一个所谓的解法揭秘，当然这是在不违反cisco保密条例的情况下，具体的一些其他信息大家可以留意我的最新微博，里面还有一个我对RS 4.0的考纲的分析。
当然虽然打着考试的口号，但是其实研究重点还是技术！所以也请大家不吝赐教！

作者和读者的约定：
我的解法会以试验分解的形式，是指我把我解题的试验思路一步一步分解出来，特别是有歧义的地方，在这里我们可以自由的进行探讨，不管你有任何天马行空的想法。
/ u. H' f  z& q最后我还会以附件的形式上传此文档的主要内容，我的所有文档都保证是原创，并且该文档可以被任意转载，修改，但请不要删除我的logo。转载请注明出处和首发,文章只针对技术，不针对任何个人和团体。
* ]4 k  s! C5 c: i我以黄色背景加粗标出的意味着这句话或后面的内容或段落是比较有趣或者重要的知识点
, h9 K% z1 U7 ?6 y7 F为了避免产生歧义，下文中我所谓的PPP头部实质是指不含以太帧头的纯PPPOE头部

# Y$ t8 s: h5 X5 e& \) r
. i* r$ l  w" {5 c7 q0 g; L4 r" y二. 简单的技术介绍：
- m% @' U; v; oPPPOE ：PPP over ethernet
简单讲就是在以太网上跑PPP，因为以太网是非常成熟，廉价和易部署的协议，例如用户只要把网线插入交换机就可以实现互联，所以他很流行，但是缺点是，他没有基于链路层的认证机制，而恰恰PPP有，所以PPPOE简单讲就是利用以太帧头做为传输工具，而内嵌的PPPOE头部作为认证工具，当然PPPOE还可以做一些其他扩展，例如地址分配，计费等。
! H* b! T1 a! j& e
2 R1 V) Z/ C& @4 c$ F
三. 需求分析和知识点扫盲：

$ P# ]0 N7 k9 x5 i; f+ ^/ [9 v8 GK4中的PPPOE:
大致的需求是这样的：
" q& n3 h( ~  Z. m0 z$ q! V* ?拓扑：R1---R2（用F0/0互连）
8 L' y" p- r: Q# Z# C( O+ ]5 O假设R1是PPPoe的server，R2是PPPoe的client，要求即使没有感兴趣流，链路依然是UP，并且R2的F0/0始终能通过PPPoe从R1获得一个IP 10.1.12.2/32
不允许使用DHCP来分配该地址
$ c+ i2 W, u: \# {2 \避免不必要的分段
! D) R7 @5 q7 n7 r6 [; z2 |Client必须使用chap与server进行认证，使用的hostname 为自身主机名，密码可以随意配
" Y6 P) W9 J' O( M
+ ^! _- u1 X7 t( v3 [6 z4 @+ s需求分析和知识点扫盲:
R1和R2部署PPPoE，R1是server，R2是client，R2是认证方要求R1 进行认证，认证的协议是chap，认证的依据是本地数据库以R2做为hostname，password可以随便写
$ I# `. r# r$ A; U$ |并且要求即使没有感兴趣流，链路依然UP，这里我解释下PPPoe之所以称为拨号技术，因为通常他是以感兴趣流去触发拨号的，就好比以前我们要上网需要在windows上去建立一个所谓的拨号连接，输入ISP给你的用户名和密码，然后点击拨号，并且最早以前是按照流量或者时间计费的，所以可以设置一个功能，就是一旦链路UP后，如果一段时间内没有用户的流量，那么链路可以自动断开，从而节约客户的宽带成本，而K4所谓的不需要感兴趣流，简单讲就是好比现在我们比较流行的就是那种你的PC一开机，windows不需要额外的什么配置，就立刻可以上网了，因为相关设置其实路由器上都帮你配好了，而且不管你有没有所谓的感兴趣流，他的链路永远是UP的，因为现在的用户大部分都是包年报月的，宽带的带宽和价格也都非常便宜，所以没有必要设置所谓的超时断开了。断开了也不会为客户节约什么钱。
而且PPPoe是具有地址协商功能，可以主动给client去下方一个/32的主机地址，所以有的时候你发现的你的PC掩码是255.255.255.255不要奇怪很正常，虽然正常情况下你在windows里是配不上/32的掩码的。当然下发地址的方式有很多，既然说了不允许用DHCP，那么可以用pppoe pool来完成。
# ]8 q( w# {0 I2 }, r+ b<a>什么叫避免不必要的分段？
通常我们会把PPPOE的相关接口MTU设置为1492，因为PPP的头部大小是8个字节，而正常的以太接口的MTU是1500。如果有一个满负荷的数据（即大小已经是1500字节了）那么你再去内嵌一个ppp头部会导致mtu大于1500，然后超出的部分会被强行分片，而分片会带来若干的坏处：
1.分片很消耗路由器硬件资源
2.为了重新封装那超出的8个字节的分片，你要重新将其进行多层封装，而所谓的封装就是指每一层都要加载不同的PDU(例如3层叫IP，2层叫帧)，最终可能你会发现，你用于封装所占用的带宽，会远远高于那8个字节的分片。就好比我们知道飞机场是按照你托运行李的重量去收费的，而你拿一个很重的保险箱，但其实这个保险箱里仅仅存了一块钱，你为了运这个一块钱，其实却花了更多的钱。但其实通过将MTU改为1492，仅仅是作为一个优化，并不能改变分片的情况，例如你有一个数据本身就很大了，比如已经是1500字节了，那么如果你的MTU是1500，一旦内嵌了PPP头部后发现MTU为1508大于设置的MTU 1500了，执行封片。而你如果把MTU设置为1492，就意味着如果一个1500字节大小的包过来，立刻就发现MTU大于1492了立刻就直接进行分片，节约了一个封装的步骤，所以这只能说是优化不能说是解决这类问题
3.某些应用是不允许分片的，我们知道IP包内有一个字段叫做DF位，或者叫分片位，默认该位的值为0，意思是允许分片，反之如果该位为1了就代表拒绝分片，此时如果一个数据包必须分片的话，就会导致丢弃，如果是一个TCP的应用，丢弃可能会导致会话建立失败，或断开。因为UDP是无连接的，所以分片会非常实际的对TCP产生影响。所以你要理解所谓的避免不必要分段，是针对TCP的。

8 |  q9 s/ C! d' ]# N7 e<b>那么如何解决这个所谓的”避免不必要的分片”呢？
首先将PPPOE的MTU设置为1492，可以起到优化的作用
其次为了保护TCP，通常我们会把部署PPPOE时，将MSS（最大分段大小）的值设置为1452
<c>那么什么是MSS？MSS的值为1452是怎么来的呢？
' h4 E! ?& g% B! D  ^) N( o# O我们知道TCP是一个传输层的协议，传输层的主要任务就是进行分段，就好比你要把一根长度为100米的木头，想从一个地方运到另外一个地方。但由于木头太长了，所以在传输层你要负责把这条很长的木头切成很多段，切完后在网络层将他打包进一个个集装箱中，但是如果你这个分段的长度，比集装箱还长怎么办？是不是就放不下了？于是在网络层就要进行再分片，这样就会导致，如果你的集装箱只能容纳每个长度为10米的分段，而如果某个木头长度为11米，那么木头要被切成2段，1段10米被装进一个集装箱，另外一端1米的被装进另外一个集装箱。显然对于后者，你用一个原本能装10米的集装箱去装一个1米的木头是资源的浪费。而且你要多运一个集装箱才行！
) x/ T3 d5 c/ f8 g& O而所谓的MSS值就相当于控制了你这个数据在传输层被分段所允许的最大值。显然如果大于MTU了，就好比上文的这块木头长度是11米，而集装箱只能装10米这样一个情形。

<d>最后说下1452这个值是怎么来的，和为什么要用1452这个数字？
% [4 T4 h; \. C. D+ w( n6 R6 l0 h1500-20-20-8=1452 ，1500自然是以太网默认的MTU值，第一个20是TCP头部的大小，第二个20是IP头部的大小，第三个8是PPP头部的大小
& a7 X; S0 b) V" z0 p7 d4 ]- x" C那么显然你通过修改MSS值强制把TCP的分段设死在1452，也就是你这个分段大小最大也就是1452，那么这个分段被组帧的时候算上各层封装的消耗，最大字节数就是1500，并且是内嵌ppp头部时情形，也就意味着，不可能会出现在PPPOE上部署的TCP时，流量被分片的情形了！
! \5 W! Q# }. G+ J
, Y* b, X" v1 ?% D! ]
/ R  |4 ~6 X2 u: C" l: r0 J
: b- s1 |) ~1 ^% F+ G四. 解法：
针对此需求我认为的最优解法是什么？
需求：
. G2 \  @7 e) S7 h* L8 x! a. c$ U( w6 l拓扑：R1[f0/0]-----------R2[f0/1]   R1的F0/0 IP地址为10.1.12.1/24 ，他要给R2分配的IP为10.1.12.2/32
& x  U2 G$ o( L4 i假设R1是PPPoe的server，R2是PPPoe的client，要求即使没有感兴趣流，链路依然是UP，并且R2的F0/0始终能通过PPPoe从R1获得一个IP 10.1.12.2/32
/ U/ P5 \8 G4 K不允许使用DHCP来分配该地址
避免不必要的分段
Client必须使用chap与server进行认证，使用的hostname 为自身主机名，密码可以随意配
+ S) ^7 O9 p1 q" S8 x: I解法：此解法针对cisco目前考试最新的IOS 12.4，此解法可100%得分，此解法遵循最完善最小化配置原则，即没有作用的命令不配
R1
; u& O: d0 j; h1 ]
username R2 password cisco
$ [% }1 u0 p2 e0 R/ Fvpdn enable
+ }; _0 C* z/ K" L+ ]) |8 M8 f. Xbba-group pppoe global
% x! m" Y7 s% a# G; `7 zvirtual-template 1
7 d" K9 @. n5 W+ _. Uexit
1 _4 J& i: E. l8 E0 ^1 {; g7 ?  f4 [
$ z, G7 R$ Z- ~: }9 o$ }; uint f0/0
+ W5 V( w7 O- |# ?4 Kip add 10.1.12.1 255.255.255.0
pppoe enable group global
/ k$ e: h& z8 ^( tno sh

# r' a. O' X* t7 [6 [interface Virtual-Template1
encapsulation ppp
# Q% Z4 k$ v" ?' W* ?  V1 Bmtu 1492
ip tcp adjust-mss 1452
ip unnumbered FastEthernet0/0
- L( A. W6 x( p9 M& ^& p5 u- d% `+ Q; `peer default ip address pool pppoe
  [- P  l( o* Rppp authentication chap
3 Y' ~* X/ @" K  Sip local pool pppoe 10.1.12.2
2 s6 C; n/ a( N
R2
' N$ d$ c% j. g* s6 Kvpdn enable
int f0/1
. z- B% y6 u" h7 ?pppoe-client dial-pool-number 1
no shut
, U. g& I% @& s, W4 }interface dialer 1
0 l9 O0 x" Z0 i6 L- E# Yencapsulation ppp
ip address negotiated
dialer pool 1
dialer persistent
mtu 1492
ip tcp adjust-mss 1452
ppp chap hostname R2
- k  q& k) R! v. T& pppp chap password 0 cisco

效果
# _8 b1 N. c5 x  ]R2#sh ip int bri
1 F, y, a, V6 s  J# z9 tInterface                  IP-Address      OK? Method Status                Protocol
# B1 ^$ B: |' v' Q3 \FastEthernet0/0            unassigned      YES unset  administratively down down   
FastEthernet0/1            unassigned      YES TFTP   up                    up      
* o% }! `  n, }- e4 t8 tSerial0/0/0                unassigned      YES unset  administratively down down   
% _4 [- P! ?1 ^Serial0/1/0                unassigned      YES unset  administratively down down   
Virtual-Access1            unassigned      YES unset  up                    up      
: e( U+ M, X! y( m9 R7 JVirtual-Template1          unassigned      YES unset  down                  down   
9 A: \, r) U/ J, E7 |- y1 [$ Z5 aVirtual-Access2            unassigned      YES unset  down                  down   
Dialer1                    10.1.12.2       YES IPCP   up                    up     
R1#p 10.1.12.2

Type escape sequence to abort.
) {6 E5 P$ j  a, XSending 5, 100-byte ICMP Echos to 10.1.12.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms
4 f5 j, g! Q" @6 ]
" G0 S0 a" t  d( J2 _0 _有趣的现象：
dialer persistent和diale idle time out 0作用都能实现不需要感兴趣流使接口永远UP，但是cisco官方文档有这样一段话我按原文贴：
9 n/ X, \& o" M$ h% lcisco原文：
; H+ b/ p  y1 B+ J# wDialer Persistent
The Dialer Persistent feature allows the connection settings in the dialer profile to be configured as persistent, that is, the connection is not torn down until the shutdown interface command is entered on the dialer interface.
The dialer idle-timeout interface configuration command cannot be configured when the dialer persistent command is configured
$ e4 z( F. G( D4 _注意看颜色加深的那一句话，意思是如果你配了Dialer Persistent ，那么diale idle time out 0是不能配的，但是其实你如果去show run看配置话会发现，只要你接口敲了Dialer Persistent，那么diale idle time out 0会自动的配上去，并且删除不了！
6 W/ a* C; l6 Q: q例如：
- y2 T# \8 c+ ~: aR2#sh run interface dialer 1
- b5 v1 S: W. O, I% MBuilding configuration...

Current configuration : 185 bytes
. Y5 {: E3 s, t!
interface Dialer1
mtu 1492
ip address negotiated
encapsulation pppm
ip tcp adjust-mss 1452
- S0 b. {- e8 e6 Pdialer pool 1
dialer idle-timeout 0
! ]+ v8 b# ]8 A2 edialer persistent
  l7 f) `# D& w- t% i9 S4 Lppp chap password 0 cisco

R2(config)#int dialer 1
* N/ R* z5 ]# a& m2 E8 d# q, zR2(config-if)#no dialer idle-timeout 0
%Remove dialer persistent command first
, P: C. S* n  V
" u$ s  C1 e. O- |9 |. ?, A  U
出于研究目的，我再提供一个在纯IOS 12.3上的一个PPPOE配法，大家可以和上面12.4的命令做个对比，由于目前有很多机构的PPPOE解法，“所谓的满分解法”都是混杂了12.3和12.4的解法一起的，但其实很多命令都是垃圾配置（针对12.3 IOS的）根本不起效，只不过不影响结果而已。大家如果有拿到的话也可以和我的解法对比下，自然知道哪个更加可靠一些了。
! }  v1 B# y; Z' DIOS 12.3的PPPOE配法：此解法仅仅是处于研究的目的，没有任何的考试价值，也遵循最小化原则
& ^7 c5 t( }1 g' F: z! D" p拓扑与需求和上面一致,这个实验我是在dynamips CCNP标准版上做的，所以接口都变成F0/0了。
" X( p4 `* f2 J解法：
. n3 ]% c( n+ Q7 ^; @2 pR1
username R2 password cisco
vpdn enable
9 A6 z& I' W5 _! B2 H3 Cvpdn-group pppoe
& q1 U8 d/ t3 q: naccept-dialin
6 ^4 P* }/ V4 }  protocol pppoe
  virtual-template 1
7 I5 P3 z4 J  z' \) w+ i  kexit
$ R) e. E* @  A7 vinterface Virtual-Template1
encapsulation ppp
mtu 1492
# A3 P; S3 l) F6 Y  ^+ {  gip tcp adjust-mss 1452
( }: {& `7 g4 I7 @! Iip unnumbered FastEthernet0/0
peer default ip address pool pppoe
. W+ o) d  x: M: [, R7 lppp authentication chap
ip local pool pppoe 10.1.12.2
/ ?; q+ v1 V5 h7 D  F' j4 mint f0/0
% O2 f5 @  A+ g. H; [. h5 v4 X3 ^- aip add 10.1.12.1 255.255.255.0
pppoe enable
, r' l7 S% [7 M# `7 }: o6 tno sh
! K0 U8 C5 U8 A  f+ ^
R2
0 j: l! O% Z% L0 P0 h/ f3 O4 ovpdn enable
8 L4 C! v  H# R# E% rinterface dialer 1
5 a0 ?) j$ |% T8 b3 lencapsulation ppp
: B! w) Y! S  e6 ^+ y( @6 p' u2 Bip address negotiated
dialer pool 1
- S3 U5 ^, Y  b: Ddialer persistent
mtu 1492
ip tcp adjust-mss 1452
! P! b1 @9 m& m3 I: t" ]+ d- U3 Vppp chap hostname R2  
ppp chap password 0 cisco
0 q9 ^* |$ v6 D, b( kint f0/0
pppoe-client dial-pool-number 1
$ ]3 J% m) {3 Y0 H' Gno shut
2 [" D% I3 ^1 ~
效果：
R2#sh ip int bri
Interface                  IP-Address      OK? Method Status                Protocol
FastEthernet0/0            unassigned      YES unset  up                    up      
Serial1/0                  unassigned      YES unset  administratively down down   
Serial1/1                  unassigned      YES unset  administratively down down   
Serial1/2                  unassigned      YES unset  administratively down down   
3 {+ I1 z- I: |/ V7 m3 Z5 C9 VSerial1/3                  unassigned      YES unset  administratively down down   
Serial2/0                  unassigned      YES unset  administratively down down   
" S9 B9 H/ |$ J0 P+ VSerial2/1                  unassigned      YES unset  administratively down down   
; N6 z  S) Y5 v* U7 _Serial2/2                  unassigned      YES unset  administratively down down   
0 O/ ]2 G7 y* s/ O/ \& e4 nSerial2/3                  unassigned      YES unset  administratively down down   
5 B! q( ?% ^$ z% X" pVirtual-Access1            unassigned      YES unset  up                    up      
$ v* o/ |  u/ S; PDialer1                    10.1.12.2       YES IPCP   up                    up  

! Z1 {/ H5 f$ \- L' H- x$ g3 Q3 W5 wR1#p 10.1.12.2

/ ~8 s2 g" e1 a$ [) B# i6 FType escape sequence to abort.
% z. i# u1 F" s- u( `/ mSending 5, 100-byte ICMP Echos to 10.1.12.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 8/20/44 ms
1 W" y9 D8 s6 D0 Y5 l# k
$ Q) O# W  U+ B
, d& m$ f% R! m6 h+ l# |. h, q5 V4 s5 [
五. 结束语、下周预告、联系方式:
/ a: P  T2 f7 g4 L4 I
% T9 Y  d. E' ?0 `( u' r! O0 `# g  `任何技术有争论才有学习和进步，当然是在文明用语的前提下，所以大家如果有疑问的地方，或者你觉得我说错了，有哪些地方需要改经，可以跟贴留言，或在我的微薄留言，或者直接qq联系我，我如果看到了一定一一给大家回复。
' c! k1 x3 ], c! H/ O* c
( F- H9 _4 N# v: T. k4 h, T下周预告：
下周会对K4中的802.1q tunnel进行相关的扫盲和技术讲解解法揭秘！
9 ~9 X- X! G! P$ u4 a* t. ]1 E, p

qq360870025

这下懂了，之前一直不明白为什么要设置TCP的大小，楼主好比喻啊
期待楼主的 下周 802.1q tunnel  的讲解
! B! r# x# d8 M( E{:soso__14993238364229783703_1:}
: f9 W! u' X" u) y* U: M

zhenglxd

嘿嘿
1 _- Q( B; c9 j% s7 a" R如果有其他疑问可以留言，我看到了一定给予回复
7 @  G+ a3 a/ k

xdjs

fanjiass

不错，非常有营养的帖子

疯狂的尼采

xpiebus

pppoe

qihouyang

果断收了

天沐

MaoErQuan

好帖子，最近K4很多人在说，看得云里雾里的。

voice12

SteinerChen

好东西，学习了~~~

tiq

谢谢了，这么好的帖子留着

huangtidi

lzx911102