IS-IS认证原理（华为设备）

概念：

IS-IS认证是基于网络安全性的要求而实现的一种认证手段，通过在IS-IS报文中增加认证字段对报文进行认证。当本地路由器接收到远端路由器发送过来的IS-IS报文，如果发现认证密码不匹配，则将收到的报文进行丢弃，达到自我保护的目的。

根据报文种类，IS-IS 支持以下三种认证类型：
一、接口认证：是指使能IS-IS协议的接口以指定方式和密码对Level-1和Level-2的Hello报文进行认证。对于IS-IS接口认证，有以下两种设置：

1. 发送带有验证TLV的验证报文，本地对收到的报文也进行验证检测
2. 发送带验证TLV的验证报文，但是本地对收到的报文不进行检测

二、区域认证：是指运行IS-IS的区域以指定方式和密码对Level-1的SNP和LSP报文进行认证。

三、路由域认证：是指运行IS-IS的路由域以指定方式和密码对Level-2的SNP和LSP报文进行认证。

对于区域和路由域认证，可以设置为SNP和LSP分开认证：

1. 本地发送的LSP报文和SNP报文都携带认证TLV，对收到的LSP报文和SNP报文都进行认证检查。
2. 本地发送的LSP报文携带认证TLV，对收到的LSP报文进行认证检查；发送的SNP报文携带认证TLV，但不对收到的SNP报文进行检查。
3. 本地发送的LSP报文携带认证TLV，对收到的LSP报文进行认证检查；发送的SNP报文不携带认证TLV，也不对收到的SNP报文进行认证检查。
4. 本地发送的LSP报文和SNP报文都携带认证TLV，对收到的LSP报文和SNP报文都不进行认证检查。

根据报文的认证方式，可以分为以下三类：
一、明文认证：一种简单的认证方式，将配置的密码直接加入报文中，这种认证方式安全性不够。

二、MD5认证：通过将配置的密码进行MD5算法之后再加入报文中，这样提高了密码的安全性。

三、Keychian认证：通过配置随时间变化的密码链表来进一步提升网络的安全性。

认证信息的携带形式：
IS-IS通过TLV的形式携带认证信息，认证TLV的类型为10，具体格式如下：

Type：ISO定义认证报文的类型值为10，长度为1字节。
Length：指定认证TLV值的长度，长度1字节。
Value：指定认证的具体内容，其中包括了认证的类型和认证的密码，长度为1～254字节。

其中认证的类型为1字节，具体定义如下：
0：保留的类型
1：明文认证
54：MD5认证
255：路由域私有认证方式

明文抓包信息如下：

可以看到明文认证对应的认证类型为1,并且密码是用明文方式发送的。

MD5抓包信息如下：

可以看到MD5认证对应的类型值为54，而且密码已经被加密。

IS-IS接口认证：

背景：
通常情况下，IS-IS不对发送的IS-IS报文封装认证信息，也不对收到的报文做认证检查。当有恶意报文对网络进行攻击时，可能会导致整个网络的信息被窃取，因此，需要配置IS-IS认证提高网络的安全性。

注意点：
通过配置IS-IS接口认证，可以封装认证信息到Hello报文中，以确认邻居的有效性和正确性。华为设备在配置接口认证时可以跟随send-only字段，具体解释解释：

1. 如果配置了send-only则表示仅对发送的Hello封装认证信息。而不检查收到的Hello报文是否通过了认证。在本端不需要进行认证检查且对端认证通过时。才可以建立起邻居关系。
2. 如果没有配置send-only ,此时应保证同一网络所有接口的相同级别的认证密码一致。

IS-IS区域认证和路由域认证：

背景：

通常情况下，IS-IS不对发送的IS-IS报文封装认证信息，也不对收到的报文做认证检查。当有恶意报文对网络进行攻击时，可能会导致整个网络的信息被窃取，因此，需要配置IS-IS认证提高网络的安全性。
区域认证会将认证密码封装在Level-1区域的IS-IS报文中（SNP和LSP），只有通过认证的报文才会被接收。因此，当需要对Level-1区域进行认证时，需要对该Level-1区域所有IS-IS设备配置IS-IS区域认证。
路由域认证是将认证密码封装在Level-2区域的IS-IS报文中（SNP和LSP），只有通过认证的报文才会被接收。因此，当需要对Level-2区域进行认证时，需要对Level-2区域所有IS-IS设备配置IS-IS路由域认证。

注意点：
配置路由域认证和区域认证可以同时进行，都可以生效，但是同一区域中认证方式一定要一致，不能进行接口认证，否则无法正常泛洪IS-IS报文。

在配置IS-IS认证时，要求同一区域或路由域的所有设备的认证方式和密码都必须一致，IS-IS报文才会正常扩散。无论是否通过区域认证或者路由域认证，均不影响Level-1或者Level-2邻居关系的建立（建立是通过hello报文）。

区域和路由域认证支持以下几种组合形式：（华为设备）

1. 对发送的LSP和SNP都封装认证信息，并检查收到的LSP和SNP是否通过认证,丢弃没有通过认证的报文。该情况下不配置参数snp-packet或all-send-only。
2. 对发送的LSP封装认证信息并检查收到的LSP ,对发送的SNP不封装认证信息,也不检查收到的SNP。该情况下需要配置参数snp-packet authentication-avoid。
3. 对发送的LSP和SNP都封装认证信息，只检查收到的LSP ,不检查收到的SNP。该情况下需要配置参数snp-packet send-only.
4. 对发送的LSP和SNP都封装认证信息,不检查收到的LSP和SNP。该情况下需要配置参数all-send-only.

optional checksum：

背景：
在网络运行期间，IS-IS路由器可能会收到恶意报文的攻击，或者IS-IS报文被篡改，可能导致网络的重要信息被窃取，给网络造成重大损失。optional checksum特性是指在IS-IS路由器发送的CSNP、PSNP及Hello报文中，封装optional checksum TLV，对端在收到封装后的报文后，首先检查其携带的TLV是否正确，如果不正确，则拒绝接收，从而保证网络的安全性。华为设备默认是开启的。

注意：
如果IS-IS接口或者区域已经配置了MD5认证或者含有生效MD5认证的Keychain认证，则IS-IS路由器发送Hello和SNP报文时不携带checksum TLV，只校验接收到的报文。

配置：
[R1-isis-1]optional-checksum enable //在进程下进行配置

参考资料：华为HedEx文档