Просмотр исходного текста страницы Настройка и проверка аутентификации в протоколе OSPF

Аутентификация – механизм, позволяющий удостоверить личность. В OSPF аутентификация используется для защиты сети от злоумышленников, рассылающих ложную маршрутную информацию с целью обмануть маршрутизаторы сети и получить возможность перехвата, анализа и модификации данных, либо просто нарушая работу сети. Аутентификация заключается в защите пересылаемой информации заранее внесенным паролем.

Когда аутентификация соседей корректно сконфигурирована, маршрутизатор проверяет подлинность отправителя каждого пакета, содержащего обновление маршрутной информации при помощи обмена ключами аутентификации (или паролями), известными всем участникам, но по умолчанию, маршрутизаторы не используют аутентификацию в OSPF.

OSPF поддерживает 2 типа аутентификации: открытым текстом и MD5 (Message Digest, не использует пароль в открытом виде). Механизм аутентификации с использованием MD5 добавляет в каждый пакет увеличивающийся номер последовательности, защищая тем самым участников обмена от атак, использующих повторную пересылку захваченных ранее пакетов.
----
*Цель - аутентификация маршрутной информации
**Настраивает на интерфейсах
**Маршрутизаторы принимают маршрутную информацию только от других маршрутизаторов, сконфигурированных с теми же параметрами аутентификации

==Планирование аутентификации==
*Следующие ключевые параметры должны быть детально определены перед настройкой аутентификации:
**Режим аутентификации (простой пароль или MD5)
**Один или несколько ключей для аутентификации (в соответствии с планом безопасности сети)
*Once defined, the following steps may be implemented:
**Assign a password (key) to be used.
***The actual command varies depending on the authentication mode used.
**Specify the authentication mode (simple password or MD5).

Прежде чем настраивать аутентификацию в OSPF, сетевой администратор должен изучить существующую конфигурацию OSPF и определить требования для аутентификации. Требования должны содержать тип аутентификации (plain или MD5, или вовсе без аутентификации).

==Настройка, проверка и решение проблем в аутентификации с простым паролем==
''(Configuring, Verifying, and Troubleshooting OSPF Simple Password Authentication)''

===Configuring OSPF Simple Password Authentication===
 Router(config-if)#'''ip ospf authentication-key''' ''пароль''
 Router(config-if)# '''ip ospf authentication [message-digest | null]'''
Пароль - строка до 8 байт длинной.

Первая команда назначает пароль для аутентификации соседей, доступных через текущий интерфейс. Пароль, указанный таким образом, будет в качестве ключа аутентификации внедрен в заголовок каждого уходящего в эту сеть пакета OSPF. Для каждого интерфейса можно назначить другой пароль, главное, чтобы все маршрутизаторы в сети, к которой подключен интерфейс, использовали этот же пароль для доступа к этой сети. Если пароль, настроенный на интерфейсе, и пароль в пришедшем пакете OSPF не совпадут – пакет будет проигнорирован. Также стоит учесть, что эффективная длина пароля – 8 символов, остальные не используются. При использовании IOS версий 12.4 и выше – о превышении длины будет сообщено.

 '''Внимание!''' если не используется шифрование паролей (команда '''service password-encryption'''),
 то пароли будут храниться в конфигурации маршрутизатора в отрытом, незашифрованном виде. 
 Если пароли зашифрованы, то перед ключом указывается тип шифрования 7.

Вторая команда, будучи использована без необязательных параметров, просто включает аутентификацию на интерфейсе. Для корректной работы требует, чтобы ключ был предварительно настроен командой '''ip ospf authentication-key'''.

Для simple password аутентификации используйте команду '''ip ospf authentication''' без параметров. Перед использованием настройте пароль используя '''ip ospf authentication-key'''

Команда ip ospf authentication появилась в Cisco IOS начиная с версии 12.0. До этого использовалась аутентификация для области, задаваемая в контексте процесса OSPF. Для обратной совместимости, аутентификация для области поддерживается до сих пор. Она используется в том случае, если на интерфейсе не указан тип аутентификации OSPF. 

Чтобы настроить аутентификацию для области, нужно перейти в режим настройки маршрутизации OSPF, и воспользоваться командой:
 area area-id authentication [message-digest]
где '''area-id''' – номер области OSPF, а необязательный аргумент '''messagedigest''' позволяет включить аутентификацию MD5.
null - (Optional) No authentication is used. Useful for overriding simple password or MD5 authentication if configured for an area.

===Пример настройки аутентификации открытым текстом===
[[Файл:OSPF_auth_plain_pass_ex.png|center|394px]]

 '''R1'''# show running-config
 !
 <output omitted> 
 !
 interface Fa0/0
  ip address 10.1.1.1 255.255.255.0
 !
 <output omitted>
 !
 interface Serial0/0/1
  ip address 192.168.1.101 255.255.255.224
  ip ospf authentication
  ip ospf authentication-key PLAINPAS 
 !
 <output omitted>
 !
 router ospf 10
  log-adjacency-changes
  network 10.1.1.1 0.0.0.0 area 0
  network 192.168.1.0 0.0.0.255 area 0
 !
 <output omitted>

 R2# show running-config
 !
 <output omitted> 
 !
 interface Fa0/0
  ip address 10.2.2.1 255.255.255.0
 !
 <output omitted>
 !
 interface Serial0/0/1
  ip address 192.168.1.102 255.255.255.224
  ip ospf authentication
  ip ospf authentication-key PLAINPAS 
 !
 <output omitted>
 !
 router ospf 10
  log-adjacency-changes
  network 10.2.2.1 0.0.0.0 area 0
  network 192.168.1.0 0.0.0.255 area 0
 !
 <output omitted>

На обоих маршрутизаторах настроена аутентификация открытым текстом на интерфейсе Serial 0/0/0 при помощи команды ip ospf authentication, на обоих заданы пароли, обозначенные выше как «пароль», также использован одинаковый тип аутентификации. При нормально работающем OSPF, на настроенных вышеуказанным образом маршрутизаторах результат исполнения команд show ip ospf neighbor должна выдать записи о соседях.

===Проверка работы аутентификации Simple Password===
Пример ниже показывает вывод команды show ip ospf interface, show ip ospf neighbor и show ip route маршрутизатора R1.
Из show ip ospf interface и show ip ospf neighbor вывода вы можете видеть, что у R1 есть один сосед, и используется simple password аутентификация.

 R1#show ip ospf interface
 Serial0/0/1 is up, line protocol is up
     Internet Address 192.168.1.101/27, Area 0
     Process ID 1, Router ID 10.1.1.1, Network Type POINT_TO_POINT, Cost: 64
     Transmit Delay is 1 sec, State POINT_TO_POINT
 <output omitted>
 Neighbor Count is 1, Adjacent neighbor count is 1
     Adjacent with neighbor 10.2.2.2
         Suppress hello for 0 neighbor(s)
     Simple password authentication enabled
 <output omitted>
 R1#show ip ospf neighbor
 Neighbor ID Pri State Dead Time Address Interface
 10.2.2.2 0 FULL/ - 00:00:32 192.168.1.102 Serial0/0/1

 R1#show ip route
 <output omitted>
 Gateway of last resort is not set
    10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
 O    10.2.2.2/32 [110/782] via 192.168.1.102, 00:01:17, Serial0/0/1
 C    10.1.1.0/24 is directly connected, Loopback0
    192.168.1.0/27 is subnetted, 1 subnets
 C    192.168.1.96 is directly connected, Serial0/0/1

 R1#ping 10.2.2.2
 Type escape sequence to abort.
 Sending 5, 100-byte ICMP Echos to 10.2.2.2, timeout is 2 seconds:
 !!!!!
 Success rate is 100 percent (5/5), round-trip min/avg/max = 28/29/32 ms

Обратите внимание что команда '''show ip ospf neighbor''' показывает состояние соседа FULL, означающая, что два маршрутизатора успешно сформировали соседство. Таблица маршрутизации содержит нужную запись о 10.2.2.2.

===Troubleshooting Simple Password Authentication===
Если аутентификация между маршрутизаторами настроена корректно, должны установиться соседские отношения, происходить обмен обновлениями маршрутизации а таблицы маршрутизации наполняться маршрутами.
Проблемы могут возникнуть по следующим причинам:
*Если аутентификация НЕ была настроена на обоих маршрутизаторах;
*Если разные типы аутентификации;
*Если пароль не совпадает.

===Successful Simple Password Authentication Example===

В случае возникновения проблем, рекомендуется воспользоваться командой '''debug ip ospf adj''', позволяющей в реальном времени видеть сообщения о событиях, связанных с установкой соседства OSPF. 

 '''Внимание!'''Although this debug ip ospf adj output does not indicate anything about the
 authentication, it does show that the two routers successfully form a FULL adjacency. As
 the output in the next section illustrates, this command output does display authentication
 failures if there are any. During testing we were unable to find any debug command output
 that displayed information about successful OSPF simple password authentication.

В случае возникновения каких-либо ошибок, информация о них отображается в логе. Так, при ошибке типа аутентификации, в логах четко видно строки Mismatch Authentication Type. При этом еще и четко указывается, что Input packet specified type X, we use type Y, где X и Y – коды удаленного и локального типов аутентификации. Код 0 обозначает отсутствие аутентификации, код 1 – аутентификация открытым текстом, код 2 – аутентификация MD 5 . 
Еще один тип ошибки, возникающей при аутентификации открытым текстом - несовпадение паролей. Строки вида Mismatch Authentication Key – Clear Text обозначают несовпадение локального и удаленного паролей, что приводит к невозможности установки соседства по этому интерфейсу. 
Убедиться в корректной работе OSPF можно при помощи команды show ip ospf neighbor, показывающей обнаруженные соседние маршрутизаторы и статус соседства. Если в столбце State находится значение, начинающееся с FULL – то значит, все в порядке.

 *Apr 20 18:41:51.242: OSPF: Interface Serial0/0/1 going Up
 *Apr 20 18:41:51.742: OSPF: Build router LSA for area 0, router ID 10.1.1.1, seq
 0x80000013
 *Apr 20 18:41:52.242: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1,
 changed state to up
 *Apr 20 18:42:01.250: OSPF: 2 Way Communication to 10.2.2.2 on Serial0/0/1, state
 2WAY
 *Apr 20 18:42:01.250: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x9B6 opt
 0x52 flag 0x7 len 32
 *Apr 20 18:42:01.262: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x23ED
 opt0x52 flag 0x7 len 32 mtu 1500 state EXSTART
 *Apr 20 18:42:01.262: OSPF: NBR Negotiation Done. We are the SLAVE
 *Apr 20 18:42:01.262: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x23ED opt
 0x52 flag 0x2 len 72
 *Apr 20 18:42:01.294: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x23EE
 opt0x52 flag 0x3 len 72 mtu 1500 state EXCHANGE
 *Apr 20 18:42:01.294: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x23EE opt
 0x52 flag 0x0 len 32
 *Apr 20 18:42:01.294: OSPF: Database request to 10.2.2.2
 *Apr 20 18:42:01.294: OSPF: sent LS REQ packet to 192.168.1.102, length 12
 *Apr 20 18:42:01.314: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x23EF
 opt0x52 flag 0x1 len 32 mtu 1500 state EXCHANGE
 *Apr 20 18:42:01.314: OSPF: Exchange Done with 10.2.2.2 on Serial0/0/1
 *Apr 20 18:42:01.314: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x23EF opt
 0x52 flag 0x0 len 32
 *Apr 20 18:42:01.326: OSPF: Synchronized with 10.2.2.2 on Serial0/0/1, state FULL
 *Apr 20 18:42:01.330: %OSPF-5-ADJCHG: Process 10, Nbr 10.2.2.2 on Serial0/0/1 from
 LOADING to
 FULL, Loading Done
 *Apr 20 18:42:01.830: OSPF: Build router LSA for area 0, router ID 10.1.1.1, seq
 0x80000014 

 '''R1#show ip ospf neighbor'''
 Neighbor ID Pri State Dead Time Address Interface
 10.2.2.2 0 FULL/ - 00:00:34 192.168.1.102 Serial0/0/1

===Troubleshooting Simple Password Authentication Problems Example===

Using the network in Figure 3-55, if simple password authentication is configured on the R1 serial 0/0/1 interface but no authentication is configured on the R2 serial 0/0/1 interface, the routers will not be able to form an adjacency over that link. The output of the debug ip ospf adj command shown in Example 3-47 illustrates that the routers report a mismatch in authentication type. No OSPF packets will be sent between the neighbors. 

 R1#
 *Apr 17 18:51:31.242: OSPF: Rcv pkt from 192.168.1.102, Serial0/0/1 : '''Mismatch
 Authentication type. Input packet specified type 0, we use type 1'''
 R2#
 *Apr 17 18:50:43.046: OSPF: Rcv pkt from 192.168.1.101, Serial0/0/1 : '''Mismatch
 Authentication type. Input packet specified type 1, we use type 0'''

 '''Внимание!'''
 Различные типы аутентификаций OSPF имеют разный тип кодов:
 Null—Type 0
 Simple password—Type 1
 MD5—Type 2

Ниже пример несовпадения паролей
 R1#
 *Apr 17 18:54:01.238: OSPF: Rcv pkt from 192.168.1.102, Serial0/0/1 : '''Mismatch
 Authentication Key - Clear Text'''
 R2#
 *Apr 17 18:53:13.050: OSPF: Rcv pkt from 192.168.1.101, Serial0/0/1 : '''Mismatch
 Authentication Key - Clear Text'''

===Настройка аутентификация с простым паролем на виртуальных каналах===
''(Configuring OSPF Simple Password Authentication for Virtual Links)''
[[Файл:OSPF_auth_plain_pass_virtual_links.png‎|center|753px]]

 R1
 router ospf 10
 network 172.16.0.0 0.0.255.255 area 0
 network 172.17.0.0 0.0.255.255 area 1
 area 0 authenticaiton
 !
 area 1 virtual-link 3.3.3.3 authentication-key cisco

 R3
 router ospf 10
 network 172.19.0.0 0.0.255.255 area 2
 network 172.18.0.0 0.0.255.255 area 1
 area 0 authenticaiton
 !
 area 1 virtual-link 1.1.1.1 authentication-key cisco

На маршрутизаторе R1 аутентификация с простым паролем настроена для всей зоны 0 (командой '''area 0 authentication'''). Виртуальный канал подключает зону 2 к зоне 0 через транзитную зону 1. Используется ключ '''cisco''', задаваемый командой '''area 1 virtual-link 3.3.3.3 authentication-key'''. Конфигурация маршрутизатора R3 похожа на R1.

==Настройка, проверка и решение проблем при аутентификации MD5==
''(Configuring, Verifying, and Troubleshooting MD5 Authentication)''

 '''Внимание!''' При OSPF MD5 аутентификация в каждом пакете OSPF содержится неубывающий 
 номер последовательности. Это сделано для защиты от replay атак.

Для корректной настройки аутентификации MD5, на маршрутизаторе необходимо указать ключ и его ID при помощи команды
 '''ip ospf message-digest-key''' ''key-ID'' '''md5''' ''КЛЮЧ''

где:
'''key-ID''' – идентификатор ключа, цифра от 1 до 255
'''КЛЮЧ''' – пароль длиной до 16 символов (Предупреждение о слишком длинном пароле IOS выдает начиная с версии 12.4, но все версии, включая и более ранние, используют только 16 байт от пароля).

После этого нужно включить аутентификацию командой
'''ip ospf authentication''' '''message-digest'''

 ip ospf authentication message-digest

Где: <br />
message-digest - использовать MD5

Ключ и его идентификатор, указанные командой ip ospf messagedigest-key используются для генерации контрольной суммы (хэш) каждого пакета OSPF, которая отправляется вместе с сообщением. При этом, на каждом сетевом интерфейсе может быть использован другой пароль. Чаще всего, каждому интерфейсу маршрутизатора назначается отдельный пароль, совпадающий с паролями интерфейсов других маршрутизаторов, подключенных к этой же сети, и используется как для генерации аутентификационной информации при отправке пакетов OSPF через интерфейс, так и для проверки оной у входящих пакетов. Еще раз обращаем ваше внимание на тот факт, что для корректной работы аутентификации MD5 необходимо, чтобы на всех интерфейсах маршрутизаторов объединенных сетью, был задан '''одинаковый ключ''' аутентификации с '''одинаковым key-ID'''.

ID ключа, будучи правильно использованным, позволяет сменить ключ аутентификации OSPF «на лету», не прерывая работы. При добавлении ключа с новым ID, маршрутизатор начинает посылать несколько копий пакета, по одной на каждый сконфигурированный ключ. Отправка дублей прекращается, когда маршрутизатор убеждается в наличии нового ключа у всех соседей, то есть после получения хотя бы одного пакета OSPF аутентифицированного новым ключом от каждого соседа. 

 interface FastEthernet 0/0
 ip ospf message-digest-key 5 md5 A

 interface FastEthernet 0/0
 ip ospf message-digest-key 6 md5 B

Предположим, мы настроили все маршрутизаторы на использование ключа А с идентификатором 5. Возникла необходимость в смене ключа. Мы создаем ключ Б с идентификатором 6, например. Маршрутизатор сразу начинает отправлять каждый пакет OSPF два раза, один аутентифицированный ключом А, второй – Б. Это происходит на каждом маршрутизаторе, пока на всех не будет настроен ключ Б (с идентификатором 6). Получив от него пакет аутентифицированный ключом Б, каждый маршрутизатор запомнит его, как имеющего новый ключ. Соответственно, если все соседи отмечены как имеющие новый ключ, то зачем отправлять сообщения, использующие старый? Верно, незачем. Соответственно, с этого момента отправка пакетов с использованием старого ключа прекращается, и его можно безопасно удалить, используя команду '''no ip ospf message-digest-key 5''' (если помните, в данном случае 5 – идентификатор старого ключа).

 interface FastEthernet 0/0
 no ip ospf message-digest-key 5

Не рекомендуется оставлять на интерфейсе более одного ключа, так как это дает вероятность отправки дублей. Также, наличие старого ключа оставляет лазейку злоумышленнику, возможно знающему старый ключ. 

Если не использовалась команда '''service password-encryption''', то пароли хранятся в конфигурации маршрутизатора в открытом, незашифрованном виде. Использование команды service passwordencryption позволяет защитить пароли от нежелательного внимания. После использования данной команды пароли отображаются в зашифрованном виде, тип шифрования – '''7'''.

[[Файл:OSPF_auth_md5_ex.png|center|393px]]

 R1# show running-config
 !
 <output omitted> 
 !
 interface Fa0/0
  ip address 10.1.1.1 255.255.255.0
 !
 <output omitted>
 !
 interface Serial0/0/1
  ip address 192.168.1.101 255.255.255.224
  ip ospf authentication message-digest
  ip ospf message-digest-key 1 md5 SECRETPASS 
 !
 <output omitted>
 !
 router ospf 10
  log-adjacency-changes
  network 10.1.1.1 0.0.0.0 area 0
  network 192.168.1.0 0.0.0.255 area 0
 !
 <output omitted>

 R2# show running-config
 !
 <output omitted> 
 !
 interface Fa0/0
  ip address 10.2.2.1 255.255.255.0
 !
 <output omitted>
 !
 interface Serial0/0/1
  ip address 192.168.1.102 255.255.255.224
  ip ospf authentication message-digest
  ip ospf message-digest-key 1 md5 SECRETPASS 
 !
 <output omitted>
 !
 router ospf 10
  log-adjacency-changes
  network 10.2.2.1 0.0.0.0 area 0
  network 192.168.1.0 0.0.0.255 area 0
 !
 <output omitted>

===Проверка работы аутентификации MD5===

 R1# show ip ospf interface
 Serial0/0/1 is up, line protocol is up
   Internet Address 192.168.1.101/27, Area 0
   Process ID 10, Router ID 10.1.1.1, Network Type POINT_TO_POINT, Cost: 64
   Transmit Delay is 1 sec, State POINT_TO_POINT
 <output omitted>
   Neighbor Count is 1, Adjacent neighbor count is 1    // <--------------
     Adjacent with neighbor 10.2.2.1 
   Suppress hello for 0 neighbor(s)
   Message digest authentication enabled              // <--------------
     Youngest key id is 1
 <output omitted>

 R1# debug ip ospf adj
 OSPF adjacency events debugging is on
 <output omitted>
 *Feb 17 17:14:06.530: OSPF: Send with youngest Key 1
 *Feb 17 17:14:06.546: OSPF: 2 Way Communication to 10.2.2.2 on Serial0/0/1, state 2WAY
 *Feb 17 17:14:06.546: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0xB37 opt 0x52 flag 0x7 len 32
 *Feb 17 17:14:06.546: OSPF: Send with youngest Key 1
 *Feb 17 17:14:06.562: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x32F opt 0x52 flag 0x7 len 32  mtu 1500 state EXSTART
 *Feb 17 17:14:06.562: OSPF: NBR Negotiation Done. We are the SLAVE
 *Feb 17 17:14:06.562: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x32F opt 0x52 flag 0x2 len 72
 *Feb 17 17:14:06.562: OSPF: Send with youngest Key 1
 <output omitted>

Вывод команды '''debug ip ospf adj''' иллюстрирует успешную аутентификацию по MD5 на R1 после того, как интерфейс был настроен.

 R1# show ip ospf neighbor
 Neighbor ID     Pri   State           Dead Time   Address         Interface
 10.2.2.1          0   FULL/  -        00:00:31    192.168.1.102   Serial0/0/1 // <-------------

 R1#show ip route
 <output omitted>
  Gateway of last resort is not set
    10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
  O   10.2.2.2/32 [110/782] via 192.168.1.102, 00:00:37, Serial0/0/1
  C   10.1.1.0/24 is directly connected, Loopback0
    192.168.1.0/27 is subnetted, 1 subnets
  C 192.168.1.96 is directly connected, Serial0/0/1

 R1#ping 10.2.2.2
 Type escape sequence to abort.
 Sending 5, 100-byte ICMP Echos to 10.2.2.2, timeout is 2 seconds:
 !!!!!
 Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/32 ms

Обратите внимание, что вывод show ip ospf interface показывает, что у R1 есть сосед, и что он использует аутентификацию md5. Вывод show ip ospf neighbor показывает, что сосед в состоянии FULL, т.е. два соседа успешно сформировали соседство.

===Troubleshooting MD5 Authentication===
В случае возникновения проблем, рекомендуется воспользоваться опять-таки командой '''debug ip ospf adj'''. Также может пригодиться команда '''show ip ospf neighbor''', показывающая состояние обнаруженных соседей. При работе без ошибок вы увидите в списке соседей в состоянии FULL, при ошибках состояние будет иным. При отсутствии идентификаторов ключей, в логе отладки вы увидите сообщения вида '''Mismatch Authentication Key – No message digest key X on interface''', где '''X''' – идентификатор ключа, присланного другой стороной.

====Пример успешной аутентификации MD5====
Вывод дебага иллюстрирует успешную аутентификацию по MD5 на R1
 R1#debug ip ospf adj
 OSPF adjacency events debugging is on
 *Apr 20 17:13:56.530: %LINK-3-UPDOWN: Interface Serial0/0/1, changed state to up
 *Apr 20 17:13:56.530: OSPF: Interface Serial0/0/1 going Up
 *Apr 20 17:13:56.530: OSPF: Send with youngest Key 1          // <---------------
 *Apr 20 17:13:57.030: OSPF: Build router LSA for area 0, router ID 10.1.1.1, seq
 0x80000009
 *Apr 20 17:13:57.530: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1,
 changed state to up
 *Apr 20 17:14:06.530: OSPF: Send with youngest Key 1
 *Apr 20 17:14:06.546: OSPF: 2 Way Communication to 10.2.2.2 on Serial0/0/1, state
 2WAY
 *Apr 20 17:14:06.546: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0xB37 opt
 0x52 flag 0x7 len 32
 *Apr 20 17:14:06.546: OSPF: Send with youngest Key 1
 *Apr 20 17:14:06.562: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x32F opt 0
 x52 flag 0x7 len 32 mtu 1500 state EXSTART
 *Apr 20 17:14:06.562: OSPF: NBR Negotiation Done. We are the SLAVE
 *Apr 20 17:14:06.562: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x32F opt
 0x52 flag 0x2 len 72
 *Apr 20 17:14:06.562: OSPF: Send with youngest Key 1
 *Apr 20 17:14:06.602: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x330 opt
 0x52 flag 0x3 len 72 mtu 1500 state EXCHANGE
 *Apr 20 17:14:06.602: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x330 opt
 0x52 flag 0x0 len 32
 *Apr 20 17:14:06.602: OSPF: Send with youngest Key 1
 *Apr 20 17:14:06.602: OSPF: Database request to 10.2.2.2
 *Apr 20 17:14:06.602: OSPF: Send with youngest Key 1
 *Apr 20 17:14:06.602: OSPF: sent LS REQ packet to 192.168.1.102, length 12
 *Apr 20 17:14:06.614: OSPF: Send with youngest Key 1
 *Apr 20 17:14:06.634: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x331 opt
 0x52 flag 0x1 len 32 mtu 1500 state EXCHANGE
 *Apr 20 17:14:06.634: OSPF: Exchange Done with 10.2.2.2 on Serial0/0/1
 *Apr 20 17:14:06.634: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x331 opt
 0x52 flag 0x0 len 32
 *Apr 20 17:14:06.634: OSPF: Send with youngest Key 1
 *Apr 20 17:14:06.650: OSPF: Synchronized with 10.2.2.2 on Serial0/0/1, state FULL
 *Apr 20 17:14:06.650: %OSPF-5-ADJCHG: Process 10, Nbr 10.2.2.2 on Serial0/0/1 from
 LOADING to FULL, Loading Done   // <------------- 
 *Apr 20 17:14:07.150: OSPF: Send with youngest Key 1
 *Apr 20 17:14:07.150: OSPF: Build router LSA for area 0, router ID 10.1.1.1, seq
 0x8000000A
 *Apr 20 17:14:09.150: OSPF: Send with youngest Key 1

====Пример траблшутинг аутентификации MD5====
В примере аутентификация настроена на нужных интерфейсах, но используются разные ключи: key 1 на R1 и key 2 R2. Соседство не установится между маршрутизаторами даже если будут настроены одинаковые пароли. Вывод дебага иллюстрирует сообщение о несовпадении ключа аутентификации. OSPF пакеты между соседями рассылаться не будут.

 R1#
 *Apr 20 17:56:16.530: OSPF: Send with youngest Key 1
 *Apr 20 17:56:26.502: OSPF: Rcv pkt from 192.168.1.102, Serial0/0/1 : Mismatch   <--------
 Authentication Key - No message digest key 2 on interface
 *Apr 20 17:56:26.530: OSPF: Send with youngest Key 1

 R2#
 *Apr 20 17:55:28.226: OSPF: Send with youngest Key 2
 *Apr 20 17:55:28.286: OSPF: Rcv pkt from 192.168.1.101, Serial0/0/1 : Mismatch   <--------
 Authentication Key - No message digest key 1 on interface
 *Apr 20 17:55:38.226: OSPF: Send with youngest Key 2