路由协议的认证

转自：http://cunshen.blogchina.com/718850.html

#eigrp只支持md5认证,ripv2可以支持明文和md5认证(当然也可以不认证)
#eigrp ripv2调用用钥匙链,钥匙链都可以定义accept-lifetime 和send-lifetime (指明使用某个key的有效时间)
例子:
router rip
ver 2
net xxx.xxx.xxx.xxx
net xxx.xxx.xxx.xxx
 key chain Keres
key 1
key-string Kachina
 accept-lifetime 16:30:00 Nov 28 1997 duration 43200
 send-lifetime 16:30:00 Nov 28 1997 duration 43200
key 2
key-string Kiva
 accept-lifetime 04:00:00 Nov 29 1997 13:00:00 Apr 15 1998
 send-lifetime 04:00:00 Nov 29 1997 13:00:00 Apr 15 1998
key 3
key-string Koshare
 accept-lifetime 12:30:00 Apr 15 1998 infinite
 send-lifetime 12:30:00 Apr 15 1998 infinite
interface ethernet 0
   ip rip authentication key-chain Keres
   ip rip authentication mode md5(没有加这条命令是明文认证)
#eigrp
key chain Edwards
key 1
key-string PanchoBarnes
!
interface Serial0
ip address 172.20.15.6 255.255.255.252
ip authentication key-chain eigrp 15 Edwards
ip authentication mode eigrp 15 md5

#ospf支持明文认证和md5认证(类型0:nul认证,类型1:明文认证,类型2:md5认证)是基于邻居的认证,不是整个area有效.
例如
明文的:interface Ethernet0
ip address 10.8.1.1 255.255.255.0
ip ospf authentication santafe
!
router ospf 1
network 10.8.0.0 0.0.255.255 area 0
area 0 authentication
md5加密的:
interface Ethernet0
ip address 10.8.1.1 255.255.255.0
ip ospf message-digest-key 5 md5 santafe
!
router ospf 1
network 10.8.0.0 0.0.255.255 area 0
area 0 authentication message-digest
小经验:
1.ospf的加密信息包涵在hello包里,所以,当一方配置配置完认证时,邻居关系(邻居关系的要素:hello时间间隔,死亡时间间隔,区域id,根区域标识,认证信息,网络掩码)马上切断.
2.eigrp的认证信息也包涵在hello包里面,可是在一方配置完认证的时候,邻居关系不会切断,除非用clear ip eigrp nei命令,debug信息显示收到认证信息,可是忽略,我到现在没有明白~大伙讨论也没有什么结果.
3.使用钥匙链的时候,他们只是使用排在最前面的那个key,和key的number没有关系.(大家可以在做实验中得到证实)
4.ospf认证的一个特例:所有与area0(area0有配置认证)有通过虚链路有逻辑连接的router,都要配置认证,不然虚链路不能建立起来.在做虚链路的嵌套实验的时候:R1--(area 0)---R2--(area 1)--R3--(area 2)--R4--(area 3)--R5
router ospf 1
net 12.168.12.0 0.0.0.255 a 1
net 12.168.35.0 0.0.0.255 a 2
area 1 vi 1.1.1.1
area 0 auth
这个路由器接口下的认证是和a0的对方的路由器做认证,和他做虚链路的a1的邻居路由器没有关系.

#isis支持domain,area,neighbor认证
例如:
router isis
net 4.0000.0c0a.2aa9.00
area-password Rhine(区域认证)
domain-password BlackForest(domain认证)

interface Serial1(邻居认证)
ip address 172.16.8.1 255.255.255.0
ip router isis
isis password Pyrenees level-2(邻居之间的认证要说明是lever1 还是那啥的^_^)
注:isis password命令指定的口令是在hello包中传递的,而area-pass命令指定的口令是在所有l1 lsp报文,csnp和psnp报文中传送的,因此邻居级别的口令只是可以用来验证邻居关系的建立,而区域级别的口令可以用来验证l1的链路状态信息的交换,domain-pass命令指定的口令是在所有l2 lsp报文,csnp和psnp报文中传送的,所以domain级别的口令可以用来验证l2的链路状态信息的交换.
#bgp的认证仅仅限制于邻居之间.
例如:/
nei 5.5.5.5 password cisco(默认就是md5认证)

不错的话,鼓励一下,支持一下哦~