■ 简介:
OSPF协议支持两种认证方式一区域认证和链路认证。使用区域认证时,一个区域中所有的路由器在该区域下的认证模式和口令必须一致; OSPF 链路认证相比于区域认证更加灵活,可专门针对某个邻居设置单独的认证模式和密码。如果同时配置了接口认证和区域认证时,优先使用接口认证建立OSPF邻居。
每种认证方式又分为简单验证模式、MD5验证模式和Key chain验证模式。简单验证模式在数据传递过程中,认证密钥和密钥ID都是明文传输,很容易被截获; MD5验证模式下的密钥是经过MD5加密传输,相比于简单验证模式更为安全; Key chain验证模式可以同时配置多个密钥,不同密钥可单独设置生效周期等。
■ 实施步骤
一、Cisco 设备实施步骤
1.实验拓扑
2.基础配置设置IP:
R1:
Router>en
Router#conf t
Router(config)#host R1
R1(config)#int e0/0
R1(config-if)#ip add 12.1.1.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#int lo 0
R1(config-if)#ip add 1.1.1.1 255.255.255.255
R2:
Router>en
Router#conf t
Router(config)#hostname R2
R2(config)#int e0/0
R2(config-if)#ip add 12.1.1.2 255.255.255.0
R2(config-if)#no shut
R2(config-if)#int e0/1
R2(config-if)#ip add 24.1.1.2 255.255.255.0
R2(config-if)#no shut
R2(config-if)#int e0/2
R2(config-if)#ip add 13.1.1.2 255.255.255.0
R2(config-if)#no shut
R2(config-if)#int lo 0
R2(config-if)#ip add 2.2.2.2 255.255.255.255
R3:
Router>en
Router#conf t
Router(config)#hostname R3
R3(config)#int e0/2
R3(config-if)#ip add 13.1.1.3 255.255.255.0
R3(config-if)#no shut
R3(config-if)#int e0/0
R3(config-if)#ip add 35.1.1.3 255.255.255.0
R3(config-if)#no shut
R3(config-if)#int e0/1
R3(config-if)#ip add 36.1.1.3 255.255.255.0
R3(config-if)#no shut
R3(config-if)#int lo 0
R3(config-if)#ip add 3.3.3.3 255.255.255.255
R4:
Router>en
Router#conf t
Router(config)#hostname R4
R4(config)#int e0/0
R4(config-if)#ip add 24.1.1.4 255.255.255.0
R4(config-if)#no shut
R4(config-if)#int lo 0
R4(config-if)#ip add 4.4.4.4 255.255.255.255
R5:
Router>en
Router#conf t
Router(config)#hostname R5
R5(config)#int e0/0
R5(config-if)#ip add 35.1.1.5 255.255.255.0
R5(config-if)#no shut
R5(config-if)#int lo 0
R5(config-if)#ip add 5.5.5.5 255.255.255.255
R6:
Router>en
Router#conf t
Router(config)#hostname R6
R6(config)#int e0/0
R6(config-if)#ip add 36.1.1.6 255.255.255.0
R6(config-if)#no shut
R6(config-if)#int lo 0
R6(config-if)#ip add 6.6.6.6 255.255.255.255
3.ospf多区域配置:
R1:
R1(config)#router ospf 1
R1(config-router)#router-id 1.1.1.1
R1(config-router)#net 1.1.1.1 0.0.0.0
R1(config-router)#net 1.1.1.1 0.0.0.0 area 1
R1(config-router)#net 12.1.1.0 0.0.0.255 area 1
R2:
R2(config)#router ospf 1
R2(config-router)#router-id 2.2.2.2
R2(config-router)#net 12.1.1.0 0.0.0.255 area 1
R2(config-router)#net 2.2.2.2 0.0.0.0 area 1
R2(config-router)#net 24.1.1.0 0.0.0.255 area 1
R2(config-router)#net 13.1.1.0 0.0.0.255 area 0
R3:
R3(config)#router ospf 1
R3(config-router)#router-id 3.3.3.3
R3(config-router)#net 35.1.1.0 0.0.0.255 area 0
R3(config-router)#net 36.1.1.0 0.0.0.255 area 0
R3(config-router)#net 3.3.3.3 0.0.0.0 area 0
R3(config-router)#net 13.1.1.0 0.0.0.255 area 0
R4:
R4(config)#router ospf 1
R4(config-router)#router-id 4.4.4.4
R4(config-router)#net 4.4.4.4 0.0.0.0 area 1
R4(config-router)#net 24.1.1.0 0.0.0.255 area 1
R5:
R5(config)#router ospf 1
R5(config-router)#router-id 5.5.5.5
R5(config-router)#net 5.5.5.5 0.0.0.0 area 0
R5(config-router)#net 35.1.1.0 0.0.0.255 area 0
R6:
R6(config)#router ospf 1
R6(config-router)#router-id 6.6.6.6
R6(config-router)#net 6.6.6.6 0.0.0.0 area 0
R6(config-router)#net 36.1.1.0 0.0.0.255 area 0
其中每台设备上的环回口地址是为了后续实验中方便测试使用,所以需要通告到其所在区域。
配置完成后测试各设备上环回口的连通性。
可以正常通信,其他环回口的测试省略。
4.配置OSPF区域明文认证 :
OSPF区域1中配置区域明文认证。在R1上OSPF的区域1开启明文认证,key是需要在接口下单独设置的,本质上也是链路认证。
router ospf 1
R1(config-router)#area 1 authentication
R1(config-router)#int e0/0
R1(config-if)#ip ospf authentication-key cisco
配置完成,等待OSPF网络收敛之后,查看R1与R2的OSPF邻居
可以观察到,现在R1与R2邻居关系中断了,原因是目前仅仅在R1上配置了认证,导致R1和R2间的OSPF认证不匹配。
继续配置该区域的R2,必须要保证验证模式一致,口令也一致。
R2(config)#router ospf 1
R2(config-router)#area 1 authentication
R2(config-router)#int e0/0
R2(config-if)#ip ospf authentication-key cisco
R2(config-router)#int e0/1
R2(config-if)#ip ospf authentication-key cisco
配置完成后,等待一段时间,再次观察两者的邻居关系。可以观察到,现在R1与R2的邻居关系状态恢复正常。
同理在R4上也做相同配置。
R4(config)#router ospf 1
R4(config-router)#area 1 authentication
R4(config)#int e0/0
R4(config-if)#ip ospf authentication-key cisco
配置完成后,在R2上查看OSPF邻居关系。
可以观察到,现在区域1中的邻居关系都建立正常。
5.配置OSPF区域密文认证:
OSPF区域0中配置区域密文认证。
在R2上配置OSPFArea0区域认证使用验证模式为md5,验证字标识符为1,口令为cisco
R2(config)#router ospf 1
R2(config-router)#area 0 authentication message-digest
R2(config-if)#int e0/2
R2(config-if)#ip ospf message-digest-key 1 md5 cisco
继续在其他骨干路由器上做相同配置。注意,密文认证必须保证验证字标识符和口令完全一致认证才可以通过。
R3:
R3(config)#router ospf 1
R3(config-router)#area 0 authentication message-digest
R3(config-router)#int e0/0
R3(config-if)#ip ospf message-digest-key 1 md5 cisco
R3(config-if)#int e0/1
R3(config-if)#ip ospf message-digest-key 1 md5 cisco
R3(config-if)#int e0/2
R3(config-if)#ip ospf message-digest-key 1 md5 cisco
R5:
R5(config)#router ospf 1
R5(config-router)#area 0 authentication message-digest
R5(config-router)#int e0/0
R5(config-if)#ip ospf message-digest-key 1 md5 cisco
R6:
R6(config)#router ospf 1
R6(config-router)#area 0 authentication message-digest
R6(config-router)#int e0/0
R6(config-if)#ip ospf message-digest-key 1 md5 cisco
配置完成后,查看R3的OSPF邻居状态。
可以观察到,OSPF邻居状态建立正常,其他设备上的查看过程省略。
6.配置OSPF链路认证:
相比区域认证,使用链路认证方式配置可以达到同样的效果。如果采用链路认证的方式,就需要在同一OSPF的链路接口下都配置链路认证的命令,设置验证模式和口令等参数;而采用区域认证的方式时,在同一区域中,仅需在OSPF进程下的相应区域视图下配置一条命令来设置验证模式和口令即可,大大节省了配置量,所以在同一区域中如果有多台OSPF设备需要配置认证,建议选用区域认证的方式进行配置。
为了进一步提升R2与R4之间的OSPF网络安全性,需要在两台设备之间部署MD5验证模式的OSPF链路认证。配置链路认证,配置使用MD5验证模式,验证字标识符为1,口令为cisco。
R2(config)#int e0/1
R2(config-if)#ip ospf authentication message-digest
R2(config-if)#ip ospf message-digest-key 1 md5 cisco
配置完成后,等待一段时间,查看R2.上的简要OSPF邻居信息。
发现R2与R4间的OSPF邻居关系已经消失。虽然已经配置好区域认证,但是如果同时配置了接口认证和区域认证时,会优先使用接口验证建立OSPF邻居。所以R4在没有配置链路认证之前,R2与R4的邻居关系会因认证不匹配而无法建立。
同样在R4上配置链路,注意,验证模式、标识符、口令都需要保持一致。
R4(config)#int e0/0
R4(config-if)#ip ospf authentication message-digest
R4(config-if)#ip ospf message-digest-key 1 md5 cisco
配置完成后,等待一段时间,再次查看R4的OSPF邻居信息。
可以观察到,邻居关系已经恢复正常。至此,OSPF链路认证配置完成。
二、华为设备实施步骤
1.实验拓扑:
基础ip已经配置好了这里就不演示了
2.ospf基础配置:
R1:
[R1]ospf 1
[R1-ospf-1]area 1
[R1-ospf-1-area-0.0.0.1]net 1.1.1.1 0.0.0.0
[R1-ospf-1-area-0.0.0.1]net 12.1.1.0 0.0.0.255
R2:
[R2]ospf 1
[R2-ospf-1]area 0
[R2-ospf-1-area-0.0.0.0]net 23.1.1.0 0.0.0.255
[R2-ospf-1-area-0.0.0.0]quit
[R2-ospf-1]area 1
[R2-ospf-1-area-0.0.0.1]net 12.1.1.0 0.0.0.255
[R2-ospf-1-area-0.0.0.1]net 24.1.1.0 0.0.0.255
[R2-ospf-1-area-0.0.0.1]net 2.2.2.2 0.0.0.0
R3:
[R3]ospf 1
[R3-ospf-1]area 0
[R3-ospf-1-area-0.0.0.0]net 35.1.1.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]net 36.1.1.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]net 3.3.3.3 0.0.0.0
[R3-ospf-1-area-0.0.0.0]net 23.1.1.0 0.0.0.255
R4:
[R4]ospf 1
[R4-ospf-1]area 1
[R4-ospf-1-area-0.0.0.1]net 4.4.4.4 0.0.0.0
[R4-ospf-1-area-0.0.0.1]net 24.1.1.0 0.0.0.255
R5:
[R5]ospf 1
[R5-ospf-1]area 0
[R5-ospf-1-area-0.0.0.0]net 5.5.5.5 0.0.0.0
[R5-ospf-1-area-0.0.0.0]net 35.1.1.0 0.0.0.255
R6:
[R6]ospf 1
[R6-ospf-1]area 0
[R6-ospf-1-area-0.0.0.0]net 6.6.6.6 0.0.0.0
[R6-ospf-1-area-0.0.0.0]net 36.1.1.0 0.0.0.255
3.配置OSPF区域明文认证 :
OSPF区域1中配置区域明文认证。在R1上OSPF的区域1开启明文认证,
模式为simple,即简单验证模式,配置口令为huawei,并配置plain参数。
配置plain参数后,可以使得在查看配置文件时,口令均以明文方式显示。如果不设置该参数的话,在查看配置文件时,默认会以密文方式显示口令,即无法查看到所配置的口令原文,这可以使非管理员用户在登录设备后无法查看到口令原文,从而提高安全性。
[R1]ospf 1
[R1-ospf-1]area 1
[R1-ospf-1-area-0.0.0.1]authentication-mode simple plain huawei
配置完成,等待OSPF网络收敛之后,查看R1与R2的OSPF邻居
可以观察到,现在R1与R2邻居关系中断了,原因是目前仅仅在R1上配置了认证,导致R1和R2间的OSPF认证不匹配。
继续配置该区域的R2,必须要保证验证模式一致,口令也一致。
R2]ospf 1
[R2-ospf-1]area 1
[R2-ospf-1-area-0.0.0.1]authentication-mode simple plain huawei
配置完成后,等待一段时间,再次观察两者的邻居关系。可以观察到,现在R1与R2的邻居关系状态恢复正常。
同理在R4上也做相同配置。
[R4]ospf 1
[R4-ospf-1]area 1
[R4-ospf-1-area-0.0.0.1]authentication-mode simple plain huawei
配置完成后,在R2上查看OSPF邻居关系。
可以观察到,现在区域1中的邻居关系都建立正常。
4.配置OSPF区域密文认证:
OSPF区域0中配置区域密文认证。
在R2上配置OSPFArea0区域认证,使用验证模式为md5,即MD5验证模式,验证字标识符为1,配置口令为huawei。
[R2]ospf 1
[R2-ospf-1]area 0
[R2-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei
继续在其他骨干路由器上做相同配置。注意,密文认证必须保证验证字标识符和口令完全一致认证才可以通过。
R3:
[R3]ospf 1
[R3-ospf-1]area 0
[R3-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei
R5:
[R5]ospf 1
[R5-ospf-1]area 0
[R5-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei
R6:
[R6]ospf 1
[R6-ospf-1]area 0
[R6-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei
配置完成后,查看R3的OSPF邻居状态。
可以观察到,OSPF邻居状态建立正常,其他设备上的查看过程省略。
5.配置OSPF链路认证:
为了进一步提升R2与R4之间的OSPF网络安全性,需要在两台设备之间部署MD5验证模式的OSPF链路认证。配置链路认证,配置使用MD5验证模式,验证字标识符为1,口令为huawei。
[R2]int g0/0/1
[R2-GigabitEthernet0/0/1]ospf authentication-mode md5 1 huawei
配置完成后,等待一段时间,查看R2.上的简要OSPF邻居信息。
发现R2与R4间的OSPF邻居关系已经消失。虽然已经配置好区域认证,但是如果同时配置了接口认证和区域认证时,会优先使用接口验证建立OSPF邻居。所以R4在没有配置链路认证之前,R2与R4的邻居关系会因认证不匹配而无法建立。
同样在R4上配置链路,注意,验证模式、标识符、口令都需要保持一致。
[R4]int g0/0/0
[R4-GigabitEthernet0/0/0]ospf authentication-mode md5 1 huawei
配置完成后,等待一段时间,再次查看R4的OSPF邻居信息。
可以观察到,邻居关系已经恢复正常。至此,OSPF链路认证配置完成。
猜您喜欢
往期精选▼
更多精选资源尽在星球,欢迎加入交流