配置OSPF认证【eNSP实现】

OSPF支持报文验证功能，只有通过验证的报文才能接收，否则将不能正常建立邻居关系。

OSPF支持两种认证方式：区域认证和链路认证

• 使用区域认证时，一个区域中所有的路由器在该区域下的认证模式和口令必须一致
• 链路认证可专门针对某个邻居设置单独的认证模式和密码。

每种认证方式又分为简单验证模式，MD5验证模式和Key chain模式

• 简单验证模式在数据传递过程中，认证密钥和密钥ID都是明文传输，很容易被截获
• MD5验证模式下的密钥是经过MD5加密传输，相比于简单验证模式更为安全
• Key chain验证模式可以同时配置多个密钥，不同密钥可单独设置生效周期等

实验目的

• 理解OSPF认证的应用场景
• 理解OSPF区域认证和链路认证的区别
• 掌握配置OSPF区域认证的方法
• 掌握配置OSPF链路认证的方法

实验拓扑

实验步骤

1. 按照图示配置各端口IP地址与掩码，路由器编号即主机号编号；同时为每个路由器设置一个Loopback环回接口【只要设备运行正常，它将永处于up状态，不会因为线路中断而被关闭】，方便后续测试

   R1:
   <Huawei>system-view
   [Huawei]undo info-center enable
   [Huawei]sysname R1
   [R1]interface g0/0/0
   [R1-GigabitEthernet0/0/0]ip address 10.0.12.1 24
   [R1-GigabitEthernet0/0/0]interface LoopBack 0	//进入环回接口0
   [R1-LoopBack0]ip address 1.1.1.1 32		//设置环回接口地址与掩码
       
   R2:
   <Huawei>system-view
   [Huawei]undo info-center enable
   [Huawei]sysname R2
   [R2]interface g0/0/0
   [R2-GigabitEthernet0/0/0]ip address 10.0.12.2 24
   [R2-GigabitEthernet0/0/0]interface g0/0/1
   [R2-GigabitEthernet0/0/1]ip address 10.0.24.2 24
   [R2-GigabitEthernet0/0/1]interface g0/0/2
   [R2-GigabitEthernet0/0/2]ip address 10.0.23.2 24
   [R2-GigabitEthernet0/0/2]interface loopback0
   [R2-LoopBack0]ip address 2.2.2.2 32
       
   R3:
   <Huawei>system-view
   [Huawei]undo info-center enable
   [Huawei]sysname R3
   [R3]interface g0/0/2
   [R3-GigabitEthernet0/0/2]ip address 10.0.23.3 24
   [R3-GigabitEthernet0/0/2]interface g0/0/0
   [R3-GigabitEthernet0/0/0]ip address 10.0.35.3 24
   [R3-GigabitEthernet0/0/0]interface g0/0/1
   [R3-GigabitEthernet0/0/1]ip address 10.0.36.3 24
   [R3-GigabitEthernet0/0/1]interface LoopBack 0
   [R3-LoopBack0]ip address 3.3.3.3 32
   
   R4:
   <Huawei>system-view
   [Huawei]undo info-center enable
   [Huawei]sysname R4
   [R4]interface g0/0/0
   [R4-GigabitEthernet0/0/0]ip address 10.0.24.4 24
   [R4-GigabitEthernet0/0/0]interface LoopBack 0
   [R4-LoopBack0]ip address 4.4.4.4 32
       
   R5:
   <Huawei>system-view
   [Huawei]undo info-center enable
   [Huawei]sysname R5
   [R5]interface g0/0/0
   [R5-GigabitEthernet0/0/0]ip address 10.0.35.5 24
   [R5-GigabitEthernet0/0/0]interface LoopBack 0
   [R5-LoopBack0]ip address 5.5.5.5 32
       
   R6:
   <Huawei>system-view
   [Huawei]undo info-center enable
   [Huawei]sysname R6
   [R6]interface g0/0/0	
   [R6-GigabitEthernet0/0/0]ip address 10.0.36.6 24
   [R6-GigabitEthernet0/0/0]interface loopback0
   [R6-LoopBack0]ip address 6.6.6.6 32
   

2. 按照图示搭建OSPF网络，环回接口记得要通告

   R1:
   [R1]ospf		//进入OSPF模式
   [R1-ospf-1]area 1	//创建区域1
   [R1-ospf-1-area-0.0.0.1]network 10.0.12.0 0.0.0.255 //将此网段通告给同区域的路由器，掩码															写反码形式
   [R1-ospf-1-area-0.0.0.1]network 1.1.1.1 0.0.0.0	//通告环回接口
       
   R2:
   [R2]ospf
   [R2-ospf-1]area 1
   [R2-ospf-1-area-0.0.0.1]network 10.0.12.0 0.0.0.255
   [R2-ospf-1-area-0.0.0.1]network 10.0.24.0 0.0.0.255
   [R2-ospf-1-area-0.0.0.1]quit
   [R2-ospf-1]area 0
   [R2-ospf-1-area-0.0.0.0]network 10.0.23.0 0.0.0.255
   [R2-ospf-1-area-0.0.0.0]network 2.2.2.2 0.0.0.0
   
   R3:
   [R3]ospf
   [R3-ospf-1]area 0
   [R3-ospf-1-area-0.0.0.0]network 10.0.23.0 0.0.0.255
   [R3-ospf-1-area-0.0.0.0]network 10.0.35.0 0.0.0.255
   [R3-ospf-1-area-0.0.0.0]network 10.0.36.0 0.0.0.255
   [R3-ospf-1-area-0.0.0.0]network 3.3.3.3 0.0.0.0
       
   R4:
   [R4]ospf
   [R4-ospf-1]area 1
   [R4-ospf-1-area-0.0.0.1]network 10.0.24.0 0.0.0.255
   [R4-ospf-1-area-0.0.0.1]network 4.4.4.4 0.0.0.0
       
   R5:
   [R5]ospf
   [R5-ospf-1]area 0
   [R5-ospf-1-area-0.0.0.0]network 10.0.35.0 0.0.0.255
   [R5-ospf-1-area-0.0.0.0]network 5.5.5.5 0.0.0.0
       
   R6:
   [R6]ospf
   [R6-ospf-1]area 0
   [R6-ospf-1-area-0.0.0.0]network 10.0.36.0 0.0.0.255
   [R6-ospf-1-area-0.0.0.0]network 6.6.6.6 0.0.0.0
   

   配置完成后按理各路由器都相互学习到各自路由，因此环回接口间可以相互ping通

   

3. 在R1上OSPF的区域1视图下使用authentication-mode命令指定该区域使用认证模式为simple，即简单验证模式，配置口令为huawei1，并配置plain参数，配置区域明文认证

   R1:
   [R1]ospf
   [R1-ospf-1]area 1	
   //配置认证模式为简单验证模式，口令为huawei1
   [R1-ospf-1-area-0.0.0.1]authentication-mode simple plain huawei1
   

   

   若忘记配置plain参数也不要紧，eNSP会自动配置。当配置文件里面没有plain参数时口令会以密文的形式显示

4. 查看此时R1的OSPF邻居

   

   我们发现原本应该是R1邻居的R2不在R1的邻居表中，这是为什么呢？

   原因是目前仅仅在R1上配置了认证，导致R1和R2间的OSPF认证不匹配，因此我们还需要在R2上完成一样的配置，才能使它们成为邻居

   R2:
   [R2]ospf
   [R2-ospf-1]area 1	
   [R2-ospf-1-area-0.0.0.1]authentication-mode simple huawei1
   

   此时我们再次查看R1的邻居表

   

   同理，我们在R4上建立同样的验证模式和口令，再看看R2的邻居情况

   

5. 接着我们准备在区域 0配置区域密文认证

   在R2上配置OSPF Area 0区域认证，使用验证模式为MD5，即MD5验证模式，验证字标符为1，配置口令为huawei3，同时在区域0的其他设备做同等配置。

   R2:
   [R2]ospf
   [R2-ospf-1]area 0
   [R2-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei3
   
   R3:
   [R3]ospf
   [R3-ospf-1]area 0
   [R3-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei3
       
   R5:
   [R5]ospf
   [R5-ospf-1]area 0
   [R5-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei3
       
   R6:
   [R6]ospf 
   [R6-ospf-1]area 0
   [R6-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei3
   

   观察配置后的口令密文情况

   

   观察R3的邻居情况

   

6. 在上述步骤中，我们使用了OSPF的区域认证方式配置了OSPF认证，使用链路认证配置方式可以达到同样的效果

   如果采用链路认证的方式，就需要在同一OSPF的链路接口下都配置链路认证的命令，设置验证模式和口令等参数；而采取区域认证的方式时，在同一区域中，仅需在OSPF进程下的相应区域视图下配置一条命令来设置验证模式和口令即可，大大节省了配置量。所以在同一区域中如果有多台OSPF设备需要配置认证，建议选用区域认证的方式进行配置

   如果同时配置了接口认证和区域认证时，会优先使用接口验证建立OSPF邻居

7. 为了进一步提示R2与R4之间的OSPF网络安全性，网络管理员需要在两台设备之间部署MD5验证模式的OSPF链路认证。在R2的g0/0/1接口下配置使用MD5验证模式，验证字标识符为1，口令为huawei5

   R2:
   [R2]interface g0/0/1	
   //在g0/0/1接口上配置md5验证模式，标识符为1，口令为huawei5
   [R2-GigabitEthernet0/0/1]ospf authentication-mode md5 1 huawei5 
   

   

   接着我们在R4上进行同样的配置，看看配置后R2的邻居状态是否恢复

   R4:
   [R4]interface g0/0/0
   [R4-GigabitEthernet0/0/0]ospf authentication-mode md5 1 huawei5
   

   

本实验取自华为公司《HCNA网络技术实验指南》，此书对于新手学习计算机网络协议以及熟悉eNSP操作十分友好，强烈推荐！！！