认证在网络协议中的应用（以OSPF为例）

认证在网络协议中的应用（以OSPF为例）

实验目的：

在路由协议中使用加解密技术来保证传输的路由信息的安全，加深密码学在实际环境中的应用。

实验环境：

Windows XP操作系统、Cisco GNS3仿真软件（2691的IOS）、WireShark网络协议分析软件。

实验内容

配置OSPF的区域认证，使得非法的路由器无法获得区域内的路由信息。试验中将尝试获得OSPF的报文中的加密信息以及Tunnel包。

 

实验拓扑：

使用Tunnel技术来解决OSPF区域不连续的问题。

OSPF的配置：

R1：

R1(config-router)#do sh running | sec ospf

 ip ospfmessage-digest-key 1 md5 prin

routerospf 110

 log-adjacency-changes

 area 0authentication message-digest

 area 1authentication message-digest

 network12.1.1.1 0.0.0.0 area 0

R2:

R2(config-router)#do sh running | sec ospf

 ip ospfmessage-digest-key 1 md5 prin

 ip ospfmessage-digest-key 1 md5 prin

routerospf 110

 log-adjacency-changes

 area 0authentication message-digest

 area 1authentication message-digest

 network12.1.1.2 0.0.0.0 area 0

 network23.1.1.2 0.0.0.0 area 1

 network100.1.1.2 0.0.0.0 area 0

R3:

R3(config-router)#do sh running | sec ospf

 ip ospfmessage-digest-key 1 md5 prin

 ip ospfmessage-digest-key 1 md5 prin

routerospf 110

 log-adjacency-changes

 area 0authentication message-digest

 area 1authentication message-digest

 area 2authentication message-digest

 network23.1.1.3 0.0.0.0 area 1

 network34.1.1.3 0.0.0.0 area 2

 network100.1.1.3 0.0.0.0 area 0

R4:

R4(config-router)#do sh running | sec ospf

routerospf 110

 log-adjacency-changes

 network34.1.1.4 0.0.0.0 area 2

 

在没有配置Tunnel和OSPF区域认证之前，各台路由器之间都能建立稳定的邻接关系

以下是使用WireShark抓出的协议报文

此时没有认证，并且OSPFHeader报文里面的Auth字段为Null，Auth Data也为空。

但这时并不是完整的OSPF网络，由于Area2没有和Area0连接，所以，Area0内部没有Area2的信息，Area2就是一个隔离的区域。这时，在Area1内创建Tunnel网络

R2#sh running int tunnel 0

Building configuration...

 

Current configuration : 153 bytes

!

interfaceTunnel0

 ip address100.1.1.2 255.255.255.0

 ip ospfmessage-digest-key 1 md5 prin

 tunnel source23.1.1.2

 tunneldestination 23.1.1.3

 

R3：

R3#sh running int tunnel 0

Building configuration...

 

Current configuration : 153 bytes

!

InterfaceTunnel0

 ip address100.1.1.3 255.255.255.0

 ip ospfmessage-digest-key 1 md5 prin

 tunnel source23.1.1.3

 tunneldestination 23.1.1.2

此时R1的路由表才算真正完整。

用WireShark抓出Tunnel的报文如下：

以下是我对Tunnel报文的分析：

Tunnel报文封转在IP包里面，So和Des都是物理接口的IP，Protocol=GRE(47)，TTL=225。

Tunnel报文里面只有Flag和Protocol字段，Protocol字段的内容是IP，指向下一层的封装。

这个IP包里面的So=Tunnel IP的地址，Des就是Tunnel包所要发给的地址，可以使下一跳，也可以是组播地址，如果是224.0.0.5，那么就是OSPF的数据包。TTL值在这里是1。Protocol可以等于IGP，EIGRP、OSPF包就封装在下面。

Tunnel只是一个虚拟的地址，很多特性都需要真正物理口的支持。

 

在OSPF的路由器之间在不同的时间启用认证，这时，由于各台路由器之间的认证已经改变，他们的邻接关系也消失了，整个区域又回到无法互通的初始状态。

在各个接口下配置相同的密码，重新启动OSPF进程：

R1#shrunning int fa0/0

Building configuration...

 

Current configuration : 132 bytes

!

interface FastEthernet0/0

 ip address12.1.1.1 255.255.255.0

 ip ospf message-digest-key1 md5 prin

 duplex auto

 speed auto

end

 

R1#shrunning | inclu authent      

multilink bundle-name authenticated

 area 0authentication message-digest

 

R2#shrunning int fa0/0

Building configuration...

 

Current configuration : 132 bytes

!

interface FastEthernet0/0

 ip address12.1.1.2 255.255.255.0

 ip ospf message-digest-key1 md5 prin

 duplex auto

 speed auto

 

Building configuration...

 

Current configuration : 153 bytes

!

interface Tunnel0

 ip address100.1.1.2 255.255.255.0

 ip ospfmessage-digest-key 1 md5 prin

 tunnel source23.1.1.2

 tunneldestination 23.1.1.3

 

R2#shrunning | inclu authen

multilink bundle-name authenticated

 area 0 authenticationmessage-digest

 

R3#shrunning int tunnel 0

Building configuration...

 

Current configuration : 153 bytes

!

interface Tunnel0

 ip address100.1.1.3 255.255.255.0

 ip ospfmessage-digest-key 1 md5 prin

 tunnel source23.1.1.3

 tunneldestination 23.1.1.2

 

R3#shrunning | inclu authen

multilink bundle-name authenticated

 area 0 authenticationmessage-digest

 

重新获得OSPF的报文，如下所示：

可以看到里面比之前多了AuthType、Auth key ID、Auth CryptoSequence Number、AuthData，其中Auth Data里面的数据就是密钥与Key ID经过Hash之后的值。

Tunnel报文如下：

里面也有Auth Type、Auth key ID、Auth CryptoSequence Number、AuthData。并且与R1的Auth Data值相等。

 

此时在R3上启用Area2认证，R4作为非法的路由器想接入区域获得通往外网的途径。

R4(config-router)#do sh running | sec ospf

router ospf 110

 log-adjacency-changes

 network34.1.1.4 0.0.0.0 area 2

 

R3#sh running | inclu authen

multilink bundle-name authenticated

 area 0authentication message-digest

area 2authentication message-digest

 

Buildingconfiguration...

 

Currentconfiguration : 132 bytes

!

interfaceFastEthernet0/1

 ip address 34.1.1.3 255.255.255.0

 ip ospf message-digest-key 1 md5 prin

 duplex auto

 speed auto

 

此时，R4无法与R3建立邻接关系，因为也无法获取AS内部的路由信息。

实验完毕。