OSPF的认证示例配置

义一

已于 2023-07-04 22:37:30 修改

阅读量5.1k

点赞数 6

文章标签：网络

于 2023-07-04 22:35:51 首次发布

本文链接：https://blog.csdn.net/lehe99/article/details/131524654

版权

本文介绍了OSPF协议支持的报文验证功能，包括区域认证和链路认证，详细阐述了不同验证模式（简单、MD5和Keychain）的安全性和配置方法。实验部分涉及企业网络环境，通过配置区域明文和密文认证以及链路认证，提升OSPF网络的安全性。同时，文章通过示例演示了接口和区域认证的优先级以及如何通过ospfauthentication-mode命令进行验证模式的配置和撤销。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

原理概述

OSPF支持报文验证功能，只有通过验证的报文才能接收，否则将不能正常建立邻居关系。

OSPF协议支持两种认证方式：区域认证和链路认证。

OSPF区域认证：一个区域中所有的路由器在该区域下的认证模式和口令必须一致；
OSPF链路认证：可专门针对某个邻居设置单独的认证模式和密码，相比于区域认证更加灵活。

如果同时配置了接口认证和区域认证时，优先使用接口认证建立OSPF邻居。

每种认证方式又分为简单验证模式、MD5验证模式和Key chain验证模式。

简单验证模式在数据传递过程中，认证密钥和密钥ID都是明文传输，很容易被截获；
MD5验证模式下的密钥是经过MD5 加密传输，相比于简单验证模式更为安全；
Key chain 验证模式可以同时配置多个密钥，不同密钥可单独设置生效周期等。

实验内容

本实验模拟企业网络环境。R2、R5、R6属于公司总部骨干区域路由器，R1为ABR。公司分部路由器R3和R4都属于区域1，但分属不同部门，R3作为市场部门网关，R4作为财务部门网关。网络管理员在区域0和区域1上配置OSPF区域认证，其中区域0开启密文认证，区域1开启明文认证。为进一步提高该OSPF网络安全性，R1和R4上单独设置密钥，配置OSPF链路认证。

配置思路

在每台路由器上使能OSPF进程；
根据区域的划分情况，指定各路由器接口的所属区域；
配置OSPF区域明文认证；
配置OSPF区域密文认证；
配置OSPF链路认证。

配置步骤

进入系统视图，然后执行ospf[process-id | router-id router-id]命令以使能OSPF进程，并进入OSPF视图。
进入OSPF视图之后，我们需要根据网络规划来指定运行OSPF协议的接口以及这些接口所在的区域。

（1）我们需要在 OSPF 视图下执行命令 area area-id，该命令用来创建区域，并进入到区域视图。
（2）在区域视图下执行 network address wildcard-mask命令，该命令用来指定运行OSPF协议的接口，其中wildcard-mask被称为通配符掩码。

OSPF区域明文认证：在 OSPF的区域视图下使用 authentication-mode 命令指定该区域使用认证模式为 simple，即简单验证模式，配置口令为 huawei，并配置 plain参数。

配置 plain参数后，可以使得在查看配置文件时，口令均以明文方式显示。如果不设置该参数的话，在查看配置文件时，默认会以密文方式显示口令，即无法查看到所配置的口令原文，这可以使非管理员用户在登录设备后无法查看到口令原文，从而提高安全性。

配置 plain参数后，口令huawei以明文方式显示。

未配置 plain参数，口令huawei默认以密文方式显示。

OSPF区域密文认证：在 OSPF的区域视图下使用 authentication-mode 命令指定该区域使用认证模式为 MD5，即MD5验证模式，验证字标识符为1，配置口令为 huawei0，密文认证必须保证验证字标识符和口令完全一致认证才能通过。
OSPF链路认证：在接口视图下使用 ospf authentication-mode 命令指定该链路使用认证模式为 MD5，即MD5验证模式，验证字标识符为1，配置口令为 huawei1，链路认证必须保证在同一OSPF链路接口下验证字标识符和口令完全一致认证才能通过。

配置命令

命令功能

ospf authentication-mode 命令用来设置相邻设备之间的验证模式及验证字。

ospf authentication-mode null 命令用来在接口上配置null验证模式。

undo ospf authentication-mode 命令用来删除接口下已设置的验证模式。

缺省情况下，接口不对OSPF报文进行验证。

命令格式

ospf authentication-mode { simple [ plain plain-text | [ cipher ] cipher-text ] | null }

ospf authentication-mode { md5 | hmac-md5 | hmac-sha256 } [ key-id { plain plain-text | [ cipher ] cipher-text } ]

ospf authentication-mode keychain keychain-name

undo ospf authentication-mode

网络拓扑图

代码段

sys
sysname R1
int gi 0/0/0
ip add 10.0.12.1 24
int gi 0/0/1
ip add 10.0.13.1  24
int gi 0/0/2
ip add 10.0.14.1 24
q
ospf 1 rout 1.1.1.1
area 0
net 10.0.12.0 0.0.0.255
authentication-mode md5 1 huawei0
area 1
net 10.0.13.0 0.0.0.255
net 10.0.14.0 0.0.0.255
authentication-mode simple plain huawei

sys
sysname R2
int gi 0/0/0
ip add 10.0.12.2 24
int gi 0/0/1
ip add 10.0.25.1  24
int gi 0/0/2
ip add 10.0.26.1 24
ospf authentication-mode md5 1 huawei1
q
ospf 1 rout 1.1.1.2
area 0
net 10.0.12.0 0.0.0.255
net 10.0.25.0 0.0.0.255
net 10.0.26.0 0.0.0.255
authentication-mode md5 1 huawei0

sys
sysname R3
int gi 0/0/0
ip add 10.0.13.2 24
int gi 0/0/1
ip add 192.168.1.254  24
q
ospf 1 rout 1.1.1.3
area 1
net 10.0.13.0 0.0.0.255
net 192.168.1.0 0.0.0.255
authentication-mode simple plain huawei

sys
sysname R4
int gi 0/0/0
ip add 10.0.14.2 24
ospf authentication-mode md5 1 huawei1
int gi 0/0/1
ip add 192.168.2.254  24
q
ospf 1 rout 1.1.1.4
area 1
net 10.0.14.0 0.0.0.255
net 192.168.2.0 0.0.0.255
authentication-mode simple plain huawei

sys
sysname R5
int gi 0/0/0
ip add 10.0.25.2 24
int gi 0/0/1
ip add 192.168.3.254  24
q
ospf 1 rout 1.1.1.5
area 0
net 10.0.25.0 0.0.0.255
net 192.168.3.0 0.0.0.255
authentication-mode md5 1 huawei0

sys
sysname R6
int gi 0/0/0
ip add 10.0.26.2 24
int gi 0/0/1
ip add 192.168.4.254  24
q
ospf 1 rout 1.1.1.6
area 0
net 10.0.26.0 0.0.0.255
net 192.168.4.0 0.0.0.255
authentication-mode md5 1 huawei0

代码解析

<Huawei>sys
[Huawei]sysname R1
[R1]int gi 0/0/0
[R1-GigabitEthernet0/0/0]ip add 10.0.12.1 24
[R1-GigabitEthernet0/0/0]int gi 0/0/1
[R1-GigabitEthernet0/0/1]ip add 10.0.13.1 24
[R1-GigabitEthernet0/0/1]int gi 0/0/2
[R1-GigabitEthernet0/0/2]ip add 10.0.14.1 24
[R1-GigabitEthernet0/0/2]ospf authentication-mode md5 1 huawei1 //链路认证
[R1-GigabitEthernet0/0/2]q
[R1]ospf 1 rout 1.1.1.1
[R1-ospf-1]area 0
[R1-ospf-1-area-0.0.0.0]net 10.0.12.0 0.0.0.255
[R1-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei0 //区域密文认证
[R1-ospf-1-area-0.0.0.0]area 1
[R1-ospf-1-area-0.0.0.1]net 10.0.13.0 0.0.0.255
[R1-ospf-1-area-0.0.0.1]net 10.0.14.0 0.0.0.255
[R1-ospf-1-area-0.0.0.1]authentication-mode simple plain huawei //区域明文认证

注：R1路由器和其他路由器配置相似，不再赘述。

测试验证

上图说明网络通信正常

注：在链路认证中，OSPF链路只有其中1个接口配置了链路认证，在同一OSPF链路的路由器是无法建立邻居的。如本示例中，只给R1路由器接GigabitEthernet0/0/2口配置了链路认证，R1与R4间就没了OSPF邻居关系。虽然之前已经配置好区域认证，但是如果同时配置了接口认证和区域认证时，会优先使用接口验证建立OSPF邻居。所以R4在没有配置链路认证之前，R1与R4的邻居关系会因认证不匹配而无法建立。