华为eNSP:IS-IS认证

于 2025-05-01 19:50:53 发布
阅读量533 收藏 12
点赞数 14
文章标签： 华为 网络 智能路由器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/nankon_/article/details/147654486
版权

一、什么是IS-IS认证？

华为eNSP中的IS-IS认证

IS-IS认证是华为eNSP网络中用于保障中间系统到中间系统（IS-IS）协议通信安全性的核心机制，通过身份验证和数据完整性校验防止非法路由信息注入或篡改。其实现方式与关键特性如下：

1、认证类型与配置逻辑

接口级认证‌
在特定物理接口或逻辑链路上启用认证，确保相邻IS-IS设备间通信的合法性。例如，华为NetEngine系列路由器通过配置明文或MD5加密密钥实现链路级认证。

‌区域级认证‌
针对同一IS-IS区域内的所有路由交互统一设置认证策略，支持HMAC-SHA256等强加密算法，符合国家标准GB40050-2021对网络安全的要求。

路由域级认证‌
跨区域或域间路由更新时，通过密钥链（Keychain）动态轮换认证密钥，提升抗破解能力，适用于骨干网多区域互联场景。

2、技术实现与安全规范

‌加密算法兼容性‌
支持从MD5到SHA-256的多级加密方案，适应不同安全等级需求。例如，NetEngine 5000E-X16A等设备通过硬件加速模块高效处理高复杂度加密运算。

‌动态密钥管理‌
结合华为骨干路由器集群系统的平滑扩容架构，支持密钥生命周期管理和自动更新，降低因固定密钥泄露导致的安全风险。

3、应用场景与配置示例

场景‌：

运营商骨干网中跨域路由交互（如NetEngine 8000集群系统互联）需启用区域级认证以防止路由欺骗。企业分支机构通过接口级MD5认证确保本地链路安全。‌

挑战‌：

多区域认证策略需与动态路由优化机制（如负载均衡）兼容，避免因认证延迟影响路径收敛效率。

二、配置IS-IS认证的作用？

配置IS-IS认证的作用

1、保障路由协议通信安全

‌防止非法路由注入‌
通过加密算法（如MD5或SHA）验证路由信息的合法性，阻止未授权设备伪造或篡改路由表条目，确保网络拓扑的真实性。

‌防范中间人攻击‌
对IS-IS协议报文进行完整性校验，避免路由信息在传输过程中被截获或恶意修改，降低网络遭受路由欺骗攻击的风险。

2、支持大规模网络扩展需求

‌兼容高流量场景的平滑扩容‌
结合华为NetEngine系列设备的架构设计，认证机制可随带宽容量线性扩展，满足骨干网流量爆炸性增长时的安全需求。例如，NetEngine 5000E集群系统通过动态密钥管理适配带宽扩容，避免认证成为性能瓶颈。

‌增强跨域互联的稳定性‌
在多区域或跨域场景中，认证机制可确保不同区域间的路由交互可信，防止因错误路由信息导致的域间链路震荡或流量黑洞。

3、适配复杂网络环境

‌分层级安全策略控制‌
支持接口级、区域级和路由域级的分层认证配置，针对不同网络层级灵活设定安全强度，平衡性能与安全性。例如，骨干网核心节点可采用高强度加密算法，而边缘链路使用轻量级认证以降低时延。

三、实验步骤命令

拓扑图

实验目的：
1.实现IS-IS接口认证
2.实现IS-IS区域认证
3.实现IS-IS路由域认证

实验步骤：
1.设备重命名以及IP地址的配置
2.运行IS-IS
3. R1和R2之间用简单的明文认证//
  isis authentication-mode 
  simple joilabs level-1
   R4和R5之间用MD5认证//
  isis authentication-mode md5 
  joinlabs level-2
4.  49.0123配置区域认证
[R1-isis-1]area-authentication-mode 
md5 joinlabs
5. 路由域认证配置
[R2-isis-1]domain-authentication-mode 
md5 1234

R1命令 

<Huawei>sy
[Huawei]un in e
[Huawei]sys R1
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 12.1.1.1 24
[R1-GigabitEthernet0/0/0]int g0/0/1
[R1-GigabitEthernet0/0/1]ip add 13.1.1.1 24
[R1-GigabitEthernet0/0/1]q
[R1]int loopback 0
[R1-LoopBack0]ip add 1.1.1.1 32
[R1-LoopBack0]q
[R1]isis
[R1-isis-1]network-entity 49.0123.0000.0000.0001.00
[R1-isis-1]is-level level-1
[R1-isis-1]cost-style wide
[R1-isis-1]q
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]isis enable
[R1-GigabitEthernet0/0/0]int g0/0/1
[R1-GigabitEthernet0/0/1]isis enable
[R1-GigabitEthernet0/0/1]q
[R1]int loopback 0
[R1-LoopBack0]isis enable
[R1-LoopBack0]q
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]isis authentication-mode simple joinlabs level-1
[R1-GigabitEthernet0/0/0]q
[R1]isis 
[R1-isis-1]area-authentication-mode md5 joinlabs
[R1-isis-1]q

R2命令 

<Huawei>sy
Enter system view, return user view with Ctrl+Z.
[Huawei]un in e
Info: Information center is disabled.
[Huawei]sys R2
[R2]int g0/0/0
[R2-GigabitEthernet0/0/0]ip add 24.1.1.2 24
[R2-GigabitEthernet0/0/0]int g0/0/1
[R2-GigabitEthernet0/0/1]ip add 12.1.1.2 24
[R2-GigabitEthernet0/0/1]q
[R2]int loopback 0
[R2-LoopBack0]ip add 2.2.2.2 32
[R2-LoopBack0]q
[R2]isis
[R2-isis-1]network-entity 49.0123.0000.0000.0002.00
[R2-isis-1]cost-style wide
[R2-isis-1]q
[R2]int g0/0/0
[R2-GigabitEthernet0/0/0]isis enable
[R2-GigabitEthernet0/0/0]int g0/0/1
[R2-GigabitEthernet0/0/1]isis enable
[R2-GigabitEthernet0/0/1]q
[R2]int loopback 0
[R2-LoopBack0]isis enable
[R2-LoopBack0]q
[R2]isis
[R2-isis-1]import-route isis level-2 into level-1
[R2-isis-1]Q
[R2]int g0/0/1
[R2-GigabitEthernet0/0/1]isis authentication-mode simple joinlabs level-1
[R2-GigabitEthernet0/0/1]q
[R2]isis
[R2-isis-1]area-authentication-mode md5 joinlabs
[R2-isis-1]domain-authentication-mode md5 1234
[R2-isis-1]q
[R2]q

R3命令

 <Huawei>sy
[Huawei]un in e
[Huawei]sysname R3
[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]ip add 13.1.1.3 24
[R3-GigabitEthernet0/0/0]int g0/0/1
[R3-GigabitEthernet0/0/1]ip add 35.1.1.3 24
[R3-GigabitEthernet0/0/1]q
[R3]int loopback 0
[R3-LoopBack0]ip add 3.3.3.3 32
[R3-LoopBack0]q
[R3]isis
[R3-isis-1]network-entity 49.0123.0000.0000.0003.00
[R3-isis-1]cost-style wide
[R3-isis-1]q
[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]isis enable
[R3-GigabitEthernet0/0/0]int g0/0/1
[R3-GigabitEthernet0/0/1]isis enable
[R3-GigabitEthernet0/0/1]q
[R3]int loopback 0
[R3-LoopBack0]isis enable
[R3-LoopBack0]q
[R3]isis
[R3-isis-1]import-route isis level-2 into level-1
[R3-isis-1]Q
[R3]isis
[R3-isis-1]area-authentication-mode md5 joinlabs
[R3-isis-1]domain-authent    
[R3-isis-1]domain-authentication-mode md5 1234
[R3-isis-1]q

R4命令 

<Huawei>sy
[Huawei]un in e
[Huawei]sys R4
[R4]int g0/0/0
[R4-GigabitEthernet0/0/0]ip add 45.1.1.4 24
[R4-GigabitEthernet0/0/0]int g0/0/1
[R4-GigabitEthernet0/0/1]ip add 24.1.1.4 24
[R4-GigabitEthernet0/0/1]q
[R4]int loopback 0
[R4-LoopBack0]ip add 4.4.4.4 32
[R4-LoopBack0]q
[R4]isis
[R4-isis-1]network-entity 49.0123.0000.0000.0004.00
[R4-isis-1]is-level level-2
[R4-isis-1]cost-style wide 
[R4-isis-1]q
[R4]int g0/0/0
[R4-GigabitEthernet0/0/0]isis enable
[R4-GigabitEthernet0/0/0]int g0/0/1
[R4-GigabitEthernet0/0/1]isis enable
[R4-GigabitEthernet0/0/1]q
[R4]int loopback 0
[R4-LoopBack0]isis enable
[R4-LoopBack0]q
[R4]int loopback 100
[R4-LoopBack100]ip address 100.1.1.1 32
[R4-LoopBack100]q
[R4]isis
[R4-isis-1]import-route direct
[R4-isis-1]q
[R4]int g0/0/0
[R4-GigabitEthernet0/0/0]isis authentication-mode md5 joinlabs level-2
[R4-GigabitEthernet0/0/0]q
[R4]isis
[R4-isis-1]domain-authentication-mode md5 1234
[R4-isis-1]q

R5命令

 <Huawei>sy
[Huawei]un in e
[Huawei]sys R5
[R5]int g0/0/0
[R5-GigabitEthernet0/0/0]ip add 35.1.1.5 24
[R5-GigabitEthernet0/0/0]int g0/0/1
[R5-GigabitEthernet0/0/1]ip add 45.1.1.5 24
[R5-GigabitEthernet0/0/1]q
[R5]int loopback 0
[R5-LoopBack0]ip add 5.5.5.5 32
[R5-LoopBack0]q
[R5]isis
[R5-isis-1]network-entity 49.0123.0000.0000.0005.00
[R5-isis-1]is-level level-2
[R5-isis-1]cost-style wide
[R5-isis-1]q
[R5]int g0/0/0
[R5-GigabitEthernet0/0/0]isis enable
[R5-GigabitEthernet0/0/0]int g0/0/1
[R5-GigabitEthernet0/0/1]isis enable
[R5-GigabitEthernet0/0/1]q
[R5]int loopback 0
[R5-LoopBack0]isis enable
[R5-LoopBack0]q
[R5]int loopback 200
[R5-LoopBack200]ip address 200.1.1.1 32
[R5-LoopBack200]q
[R5]isis
[R5-isis-1]import-route direct
[R5-isis-1]q
[R5]int g0/0/1
[R5-GigabitEthernet0/0/1]isis authentication-mode md5 joinlabs level-2
[R5-GigabitEthernet0/0/1]q
[R5]isis
[R5-isis-1]domain-authentication-mode md5 1234
[R5-isis-1]q
[R5]q

四、总结

华为eNSP中的IS-IS认证通过分层加密策略和动态密钥管理，为路由协议提供端到端安全保障，其实现深度依赖华为NetEngine系列设备的硬件能力与架构设计创新 配置IS-IS认证通过加密验证和动态密钥管理，为路由协议提供端到端安全保障，同时兼容华为骨干路由器集群系统的平滑扩容能力，支撑高流量、跨域互联场景下的稳定运行。

23zhgjx-LX
关注
华为eNSP实验：Eth-Trunk手工模式
nankon_的博客
05-30 2093
Eth-Trunk手工模式是一种网络技术，它通过手动配置将多条以太网物理链路捆绑成一条逻辑链路，旨在增加带宽和提高链路可靠性。基本概念：Eth-Trunk，即以太网链路聚合，通过将多条物理链路合并为单一逻辑链路来提升网络性能。这种技术不仅增加了链路的带宽，还通过在成员接口之间分配流量提高了链路的可靠性。配置方式：在手工模式下，Eth-Trunk的创建和成员接口的加入完全依赖于管理员的手动配置。
华为ensp----ISIS基本配置命令及查看命令
m0_63168557的博客
11-24 5469
ISIS基础命令
华为eNSP：实验 配置多区域集成IS-IS与其ISIS认证
2301_79997551的博客
04-06 813
通过以上输出得知，Level-1区域的路由会传给Level-2区域，但是level-2区域的路由却不会给Level-1区域，level-2的路由器自动发默认路由给level-1区域路由器。[R2-isis-1]import-route isis level-2 into level-1 //把Level-2路由泄露给Level-1。[R4-isis-1]import-route direct //引入直连路由。Level-2区域的路由都传给了Level-1区域。查看R1上的IS-IS邻接关系。
华为eNSP:多区域集成IS-IS
最新发布
nankon_的博客
05-01 838
多区域集成IS-IS通过分布式架构、动态路径优化和模块化扩展，解决了单区域在跨域协同、弹性扩容和复杂流量管理上的局限性，但也面临跨区域同步和算法复杂度的挑战。
华为eNSP：单区域集成IS-IS
nankon_的博客
03-31 761
IS-IS（Intermediate System to Intermediate System，中间系统到中间系统）是一种‌链路状态路由协议‌，属于‌内部网关协议（IGP）‌，主要用于大型网络（如互联网服务提供商ISP或企业骨干网）中的自治系统内部，实现高效的路由信息交换和路径计算。二.核心概念IS-IS是运营商级网络的核心路由协议，优势在于扩展性、多协议支持和高效收敛。尽管学习曲线较陡，但其在大规模网络中的性能远超OSPF。若涉及网络规划或对高可用性有严格需求（如5G核心网），IS-IS往往是更优选择。
华为eNSP:汇总实验
zhgjx_ywz的博客
07-08 2224
LSW2-GigabitEthernet0/0/1]port trunk allow-pass vlan all //设置所有vlan允许通过。[LSW3-GigabitEthernet0/0/1]port trunk allow-pass vlan all //设置允许所有vlan通过。[LSW1-GigabitEthernet0/0/2]port link-type trunk //设置trunk 模式。
华为eNSP:AAA认证（pap和chap）telnet/ssh
qq_59718828的博客
11-09 2103
右击路由，选择设置，将串口板卡拖动到路由器扩展槽，并开机即可。1、这个型号路由器是不带串口的，所以需要添加串口板卡。可以看到ppp pap 协议下存在明文的账号密码。可以看到ppp chap 协议下是加密的密码。1、在r6路由器telnet到r5路由器。2、在r5路由器上可以查到认证信息。1、认证成功，接口抓包分析。2、如认证失败，则如下结果。1、认证成功，接口抓包分析。2、认证失败，则结果如下。2、被认证方路由器配置。3、认证方路由器配置。认证失败会回包Nak。1、认证方路由器配置。
华为ensp：WLAN的无线综合实验
2401_83878929的博客
09-10 8945
总之，WLAN作为一种灵活便捷的无线网络形式，极大地提升了工作和生活中的网络应用体验。从其发展历程来看，WLAN经历了多次技术进步，不断优化传输速率和网络稳定性。尽管存在一些不足，但随着技术的不断完善，WLAN将更好地满足人们日益增长的无线联网需求。
华为ensp的缺省_华为-ensp，IS-IS详细实验配置及解析
weixin_39864591的博客
12-20 1875
IS-IS配置：ISIS认证：接口认证：如果配置了send-only则表示仅对发送的Hello封装认证信息，而不检查收到的Hello报文是否通过了认证。在本端不需要进行认证检查且对端认证通过时，才可以建立起邻居关系。如果没有配置send-only，此时应保证同一网络所有接口的相同级别的认证密码一致。区域认证或路由器域认证：对发送的LSP和SNP都封装认证信息，并检查收到的LSP和SNP是否通过认证...
实操：IS-IS协议多区域配置实验演练.mp4
07-09
华为ENSP软件 实操：IS-IS协议多区域配置实验演练.mp4
基于华为eNSP的IS-IS路由协议部署
Ouyangliquan的博客
03-28 1674
3台路由器和4台交换机配置基本IS-IS, 包括创建IS-IS进程，配置开销类型、配置NET、动态主机名、激活运行IS-IS的路由器接口等。在总部和分公司设备上完成IP地址配置，包括配置路由器接口的IP地址、三层交换机创建VLANIF并配置IP地址以及配置计算机和服务器的IP地址、子网掩码和网关。为了提高网络安全性，在深圳总部到分公司的两条链路上，配置IS-IS接口MD5验证。项目核心任务是完成IS-IS部署，针对IS-IS部署任务对项目整体拓扑进行简化，只保留运行IS-IS的设备，如下图。
华为HMS for Car亮相2025上海车展，赋能车企打造智能车载生态
weixin_43735236的博客
05-01 286
在国内最具影响力的上海车展上，华为HMS for Car车载解决方案携最新技术和生态合作成果亮相大会，全方位展示了“Map Box、AI Box、App Box、Net Box”四大核心模块的技术实力，并与海内外合作伙伴及客户联动，在展区接待了来自全球的车企客户和生态伙伴，现场深度交流，共同探讨智能座舱软件如何打造差异化特性，助力中国车企智能化升级。华为HMS for Car持续深化与生态伙伴的合作，携手TomTom、四维图新等海内外生态合作伙伴，共建更具竞争力的车载生态服务，助力中国车企扬帆海外。
读书笔记--华为从偶然到必然之创新与技术开发阅读有感
hhue2007的专栏
04-28 715
华为在创新与技术研发方面有体系化、系统化和延续性。创新是企业的生命线，是企业发展的不竭动力，同时将企业文化与创新精神进行了融合，华为的企业文化强调以客户为中心、以奋斗者为本、长期艰苦奋斗、坚持自我批判，"以客户为中心"不仅是口号，更是技术创新的北斗导航，始终认为企业存在的理由在于满足客户需求，为客户创造价值，华为的创新就是紧紧围绕客户需求进行的，创新有确定性创新和不确定性创新，前者由产品线负责，后者由各类实验室或研究院负责，华为鼓励创新、宽容失败。
AI赋能新生代，2025华为开发者大赛·少年开发者人工智能大赛赛题发布会成功举办
weixin_43735236的博客
04-30 421
大赛秉持“以技术创新，让美好发生”的精神，围绕“数据驱动”的开发理念，鼓励青少年在比赛中，以数据为核心介质，在整合创新与应用实现中完成创意表达，并挖掘数据背后的价值。在技术讲座环节，华为云PaaS产品部的技术专家为同学们带来了低代码主题分享，他系统地介绍了华为云Astro低代码平台的核心服务，结合流程化、可视化的案例，展示了Astro低代码平台如何帮助我们真正实现“事半功倍”的效能提升，同时也探讨了低代码与AI技术的融合趋势，为同学们解锁了AI技术落地的实践通道，给未来的开发者们提供了新的创新思路。
业务流程BPM能力框架体系及华为中兴流程变革案例P83（83页PPT）（文末有下载方式）
2301_78256053的博客
05-01 694
涵盖战略规划、流程治理、基础管理、服务、变革及支持等方面。采取统一架构、平台、监控、优化等措施，建成业务流程管理信息平台和合规性审计平台，建立风险防控指标体系，根据绩效差异改进流程。该文档围绕业务流程管理（BPM）能力框架体系展开，先阐述其定义、驱动因素与能力框架，再详细介绍战略规划、流程治理等关键环节，最后通过华为、中兴等企业案例展示实践应用。：面临执行方式不一致等挑战，通过组建专家团队、混合交付模式等，为各部门提供流程设计等支持，推动流程变革项目，如上游业务流程设计改善、人力资源规划流程再造等。
自动驾驶L4级技术落地：特斯拉、Waymo与华为的路线之争
layneyao的博客
04-28 2439
自动驾驶L4级技术落地：特斯拉、Waymo与华为的路线之争
华为VRF技术基于三层交换机的应用实例
WXDCSDN的博客
04-29 791
VRF全称是虚拟路由转发（Virtual Routing Forwarding），通过在路由器或交换机上创建多个虚拟的路由表和转发平面，将不同的用户、业务或部门的网络流量隔离开来。每个 VRF 实例都有自己独立的路由信息、接口集合和转发规则，就好像是一台独立的路由器一样。不同 VRF 之间的流量默认是相互隔离的，只有通过特定的配置才能实现有限的互通。
华为发布全球首个L3商用智驾ADS4.0
筋斗云与自动驾驶
04-30 1201
对于ADS3.0，虽然,华为宣称是端到端网络，但却不是一个一体式的端到端，仍然是分模块的端到端，即感知一个端到端模块，决策和规划是一个端到但模块。肯定也是被上面默许了的，这相当于是在告诉大家：国家是鼓励你们做高阶智驾的，有实力的，真的能达到那个程度的，可以宣传；后面，其它车企应该会比较着急了，那么，紧接着，国内其它哪家企业将会有实力成为第二家，第三家宣布L3商用的企业，让我们拭目以待。虽然，硬件上看着是简配了，但是由于软件架构和算法上的巨大改进，在降本的同时，整体功能的性能和体验却有不小程度的提升。
【大模型实战篇】华为信创环境采用vllm部署QwQ-32B模型
源泉的小广场
05-01 655
华为、信创、qwq-32b、昇腾、鲲鹏、vllm、vllm-ascend、ascend、模型推理、模型部署
ensp 华为is-is实验配置
11-02
ENSP (Enterprise Network Simulation Platform) 是华为的一种网络模拟器，主要用于教学、培训和网络规划实验。在华为IS-IS（Intermediate System to Intermediate System，一种链路状态路由协议）实验配置中，通常会涉及到以下几个步骤： 1. **创建设备**：首先需要在ENSP环境中创建代表华为路由器的虚拟设备，并配置其基本属性，如IP地址和接口信息。 ```bash [Huawei] interface Ethernet0/0 [Huawei-1-2 ``` 2. **配置邻居**：为路由器配置邻接的IS-IS邻居，通过`isis neighbor`命令。 ```bash [Huawei] isis neighbor <邻居IP> address-type <IP类型> system-id <系统ID> ``` 3. **设定区域和层级信息**：在Level-1-2网络中，需要设置Level-1和Level-2区域。 ```bash [Huawei] isis is-level level-1-2 [Huawei] isis circuit-type level-2-only [Huawei] isis address-family ipv4 unicast ``` 4. **发布路由信息**：配置路由器将路由信息广播到IS-IS网络。 5. **查看状态和验证配置**：使用`display isis brief`等命令检查配置是否生效，确认邻居建立和路由学习情况。 记得在实际操作中，你需要结合具体的实验指导文档来完成配置，因为ENSP可能会有一些特定的交互界面和指令语法。如果你遇到具体的问题，可以提供更详细的信息以便得到更精确的帮助。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值