CHAP（Challenge-Handshake Authentication Protocol，质询握手认证协议）的设计理念是增强网络认证过程的安全性。在CHAP的三次握手过程中，不直接传送用户的明文密码，以此来提高安全性，具体步骤如下：
-
服务器挑战：认证过程开始时，认证服务器向客户端发送一个随机生成的挑战消息（challenge）。这个消息是一个数据串，用于后续的认证计算，而不是直接请求用户名和密码。
-
客户端响应：接收到挑战消息后，客户端使用自己知道的一个密钥（通常是用户密码的某种加密形式或者衍生信息，但不是明文密码本身）对这个挑战消息进行处理（通常是哈希运算），然后将处理结果返回给服务器。这一过程不涉及用户名的直接传输，进一步增加了安全性，因为即使通信被截获，攻击者也很难从中直接获取到敏感信息。
-
服务器确认：服务器收到客户端的响应后，使用它存储的该客户端的密钥（或相应的加密信息）对原始挑战消息执行相同的处理过程，并将结果与客户端返回的响应进行对比。如果两者匹配，说明客户端确实拥有正确的密钥，认证成功；如果不匹配，则认证失败。
PAP的两次握手很好理解，客户端传送，服务器回应判断结果。
疑问：三次握手的时候，为啥是服务器发起？
CHAP采用三次握手过程，包含服务器的挑战、客户端的响应以及服务器的确认。为什么CHAP握手过程没有客户端先传送用户名密码这一过程？
无论是CHAP还是PAP，我认为都应该是客户端首先发起连接请求，难道这有问题吗？你怎么说CHAP的认证开始是服务器发起，难道服务器随时都在发起挑战吗，他怎么知道哪个客户端需要建立连接呢？
======================================================================
让我们澄清一下CHAP和PAP协议在PPP（点对点协议）连接建立过程中的角色和时序：
实际上，在PPP协议中，无论是使用CHAP还是PAP进行身份验证，客户端和服务器之间的连接初始化通常是由客户端发起的。当客户端尝试建立PPP连接时，它会发送LCP（链路控制协议）的配置请求包给服务器，开始链路的建立过程。这一阶段包括协商数据包的格式、认证方式等参数。
一旦LCP阶段完成，如果双方同意使用CHAP或PAP作为认证方法，认证流程才会开始。在这个上下文中，当我说“CHAP的认证过程开始是服务器发起”，我指的是在认证阶段，确实是服务器首先发送一个挑战（challenge）给客户端，但这是在客户端已经发起了PPP连接建立请求，并且双方通过LCP协商确定使用CHAP之后的事情。
至于服务器如何知道哪个客户端需要建立连接，这是因为在PPP连接建立的早期阶段（即LCP协商阶段），客户端会向服务器发送一个或多个配置包，表明其存在并请求建立连接。服务器基于这些请求来初始化连接和随后的认证过程。
总结来说，虽然认证的确切流程（如CHAP的挑战）是由服务器发起的，但整个连接的尝试最初是由客户端启动的。服务器响应客户端的连接请求，并按照之前协商好的认证协议（如CHAP）来进行身份验证。
那么，三次握手属于PPP协议的NCP阶段，对吗？
实际上，三次握手并不直接属于PPP（点对点协议）的NCP（网络控制协议）阶段。PPP协议的建立分为两个主要阶段：
1. **链路建立阶段（LCP，Link Control Protocol）**：在这个阶段，两端设备通过交换LCP数据包来建立PPP链路，协商诸如最大传输单元（MTU）、认证协议、魔术字等参数。此阶段确保了物理连接的建立和基本参数的设置。
2. **认证阶段**：如果在LCP阶段协商决定使用认证（如PAP、CHAP），认证将在LCP完成之后进行。CHAP的三次握手认证流程发生在这个阶段，但它并不是NCP的一部分。
3. **网络层协议配置阶段（NCP，Network Control Protocol）**：只有当链路建立和认证（如果适用）都成功完成后，才会进入NCP阶段。在这个阶段，为不同的网络层协议（如IPCP用于IP协议）配置具体的参数，比如分配IP地址、DNS服务器地址等，以使数据能够在PPP链路上传输。
因此，CHAP的三次握手认证过程发生在PPP的认证阶段，而非NCP阶段。NCP是在认证成功之后，用于配置网络层协议参数的阶段。
PPP到底分哪几个阶段？
PPP（点对点协议）的建立过程大致可以分为以下几个阶段：
1. **Dead（链路不可用）阶段**：这是链路的初始状态，表示物理层尚未准备好或者链路已断开。当物理层变为可用时，PPP尝试进入下一阶段。
2. **Establish（链路建立）阶段**：在这个阶段，PPP链路开始进行LCP（链路控制协议）参数的协商，包括验证类型、最大传输单元（MTU）、魔术字等。LCP协商成功后，链路进入Opened状态，意味着链路控制协议层面已经准备好进行数据传输。
3. **Authenticate（认证）阶段**（可选）：根据LCP协商的结果，如果启用了认证，接下来会进行用户或设备的身份验证。常见的认证协议有PAP（密码验证协议）和CHAP（挑战握手验证协议）。认证成功后，继续到下一个阶段；若失败，则链路可能被终止并返回到Dead阶段。
4. **Network-Layer Protocol（网络层协议）配置阶段**（NCP）：一旦链路和认证（如果需要）都成功，接下来会进行NCP协商。NCP负责配置网络层协议，如IPCP（Internet Protocol Control Protocol）用于配置IP参数，如分配IP地址、默认网关等。每种支持的网络层协议都有其对应的NCP来配置必要的参数。
5. **Link Terminate（链路终止）阶段**：当需要关闭链路时，PPP通过交换特定的终止包来优雅地关闭连接，之后链路回到Dead状态。
请注意，认证阶段并非总是必需的，这取决于LCP协商时是否启用了认证。此外，整个过程是有序的，每个阶段的成功完成通常是进入下一阶段的前提条件。
结论：原来PAP和CHAP的认证阶段，是介于LCP和NCP之间！
