学习笔记——vrrp安全认证

 VRRP（Virtual Router Redundancy Protocol）本身并没有提供内置的安全认证机制。然而，为了增强 VRRP 的安全性，可以采取一些额外的措施。下面是几种常见的方法：

使用访问控制列表（ACL）：在网络设备上配置 ACL，限制 VRRP 消息的源和目标 IP 地址。只允许来自信任的源 IP 地址发送 VRRP 消息，并且只允许将 VRRP 消息发送到受信任的目标 IP 地址。这可以有效地防止恶意的 VRRP 攻击。

配置 VRRP 密钥（VRRP Authentication Key）：VRRP 支持使用密钥进行认证，以确保只有知道密钥的设备才能参与 VRRP 过程。通过在 VRRP 配置中设置密钥，可以防止未经授权的设备加入 VRRP 组。密钥可以在 VRRP 主路由器和备用路由器之间进行预共享，确保只有知道密钥的设备才能成功认证。

使用 VRRPv3：VRRPv3 是 VRRP 的升级版本，引入了更强的安全特性。其中一个主要改进是支持 IPsec（Internet Protocol Security），可以对 VRRP 消息进行加密和认证，提供更高的安全性。使用 VRRPv3 可以在 VRRP 消息传输过程中保护消息的完整性和机密性。

隔离 VRRP 流量：将 VRRP 流量限制在受信任的网络段内，使用网络隔离技术（如 VLAN、ACL 等）确保只有授权的设备可以接收和发送 VRRP 消息。这可以防止未经授权的设备干扰 VRRP 过程。

实验拓扑

 

正文：在此只做关于VRRP密钥的认证

密钥有md5和simple

它们最大的区别就是一个是经过加密的密文，一个是未经加密的明文传输

需要注意的是，主备网关上密钥需要一模一样，包括模式，密码。否则主备之间将无法认证

simple在传输的时候是明文的，因此不推荐使用

---SW1---

##配置vlan10

vlan10

interface Vlanif10

 ip address 192.168.10.251 255.255.255.0

 vrrp vrid 10 virtual-ip 192.168.10.254

 vrrp vrid 10 priority 150

 vrrp vrid 10 authentication-mode md5 d2P5&Ob\C*uqcXT}k'OIgs3# \\ 加密后的密码

---SW2---

interface Vlanif10

 ip address 192.168.10.252 255.255.255.0

 vrrp vrid 10 virtual-ip 192.168.10.254

 vrrp vrid 10 authentication-mode md5 gu<4<hcHtX:.`&R&e7S(w{z# \\ 密钥一定要和SW1上的一样

---SW3---

#PC1接口

interface Ethernet0/0/1

 port link-type access

 port default vlan 10

#PC2接口

interface Ethernet0/0/2

 port link-type access

 port default vlan 10

#PC3接口

interface Ethernet0/0/3

 port link-type access

 port default vlan 11

#PC4接口

interface Ethernet0/0/4

 port link-type access

 port default vlan 11

#SW1接口

interface GigabitEthernet0/0/1

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

#SW2接口

interface GigabitEthernet0/0/2

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094