Настройка и проверка аутентификации протокола EIGRP — различия между версиями
imported>Artem (→Router Authentication) |
imported>Artem |
||
| Строка 1: | Строка 1: | ||
| + | Вы можете защитить свой маршрутизатор от получения мошеннических обновлений маршрутизации, настроив аутентификацию между соседями. | ||
==Router Authentication== | ==Router Authentication== | ||
| − | + | *Использование аутентификации позволяет предотвратить получение мошеннических EIGRP-обновлений. По умолчанию аутентификация EIGRP-пакетов выключена. При включенной аутентификации маршрутизатор проверяет источник полученных обновлений по ключам аутентификации или паролям, известных как передающему, так и принимающему маршрутизатору | |
| + | *Простая аутентификация по паролю (plain-text authentication) поддерживается: | ||
| + | **IS-IS | ||
| + | **OSPF | ||
| + | **RIPv2 | ||
| + | *Аутентификация MD5 (message digest) поддерживается: | ||
| + | **OSPF | ||
| + | **RIPv2 | ||
| + | **BGP | ||
| + | **EIGRP | ||
| + | |||
| + | Обе формы аутентификации работают одинаково, с одним исключением: md5 отправляет хэш-сумму, а не сам ключ аутентификации. Хэш-сумма генерируется с использованием ключа (и идентификатором ключа вместе с некоторыми протоколами) и сообщения, но сам ключ не пересылается, препятствуя его получению | ||
| + | |||
| + | Как только в маршрутизаторе на интерфейсе была сконфигурирована аутентификации, любое сообщение протокола маршрутизации должно быть аутентифицировано для всех смежных маршрутизаторов, подключённых к сети этого интерфейса, должен быть сконфигурирован тот же тип аутентификации, что и у данного устройства; кроме того, пароль должен совпадать. | ||
| + | По умолчанию никакая аутентификация для пакетов протокола маршрутизации не используется, что представляет серьёзную угрозу безопасности (например, злоумышленник анонсирует неверные маршруты, перенаправляет трафик в свою сеть для анализа и расшифровки). | ||
==Простая аутентификация vs MD5-аутентификация== | ==Простая аутентификация vs MD5-аутентификация== | ||
| + | Маршрутизаторы поддерживают два типа аутентификации: | ||
| + | *'''Простая аутентификация по паролю (plain-text authentication)''' - поддерживается IS-IS, OSPF, RIPv2 | ||
| + | *'''Аутентификация MD5 (message digest)''' - поддерживается OSPF, RIPv2, BGP и EIGRP. | ||
| + | |||
| + | При '''plain-text аутентификации''' получателю пакета передается ключ аутентификации. Ключ настраивается на маршрутизаторе, и оба соседа должны иметь одинаковый ключ. | ||
| + | |||
| + | При '''MD5''' аутентификации ключ не посылается, в целях исключения его перехвата. Аутентификация MD5 является '''криптографической'''. Ключ и идентификатор (ID) ключа настраиваются на маршрутизаторе. C помощью ключа, ID ключа и пакета генерируется хэш (hash), который присоединяется к отправляемому пакету. | ||
| + | |||
| + | '''MD5''' является рекомендованным средством обеспечения безопасности. '''Plain-text''' аутентификация не рекомендуется, т.к. является уязвимой для атак: любой, имеющий анализатор пакетов, может легко посмотреть пароль. Первичная роль plain-text аутентификации - предотвращение случайного изменения структуры маршрутизации в сети. | ||
| + | |||
==MD5-аутентификация== | ==MD5-аутентификация== | ||
===Планирование аутентификации EIGRP=== | ===Планирование аутентификации EIGRP=== | ||
Версия 08:36, 16 февраля 2012
Вы можете защитить свой маршрутизатор от получения мошеннических обновлений маршрутизации, настроив аутентификацию между соседями.
Содержание
Router Authentication
- Использование аутентификации позволяет предотвратить получение мошеннических EIGRP-обновлений. По умолчанию аутентификация EIGRP-пакетов выключена. При включенной аутентификации маршрутизатор проверяет источник полученных обновлений по ключам аутентификации или паролям, известных как передающему, так и принимающему маршрутизатору
- Простая аутентификация по паролю (plain-text authentication) поддерживается:
- IS-IS
- OSPF
- RIPv2
- Аутентификация MD5 (message digest) поддерживается:
- OSPF
- RIPv2
- BGP
- EIGRP
Обе формы аутентификации работают одинаково, с одним исключением: md5 отправляет хэш-сумму, а не сам ключ аутентификации. Хэш-сумма генерируется с использованием ключа (и идентификатором ключа вместе с некоторыми протоколами) и сообщения, но сам ключ не пересылается, препятствуя его получению
Как только в маршрутизаторе на интерфейсе была сконфигурирована аутентификации, любое сообщение протокола маршрутизации должно быть аутентифицировано для всех смежных маршрутизаторов, подключённых к сети этого интерфейса, должен быть сконфигурирован тот же тип аутентификации, что и у данного устройства; кроме того, пароль должен совпадать. По умолчанию никакая аутентификация для пакетов протокола маршрутизации не используется, что представляет серьёзную угрозу безопасности (например, злоумышленник анонсирует неверные маршруты, перенаправляет трафик в свою сеть для анализа и расшифровки).
Простая аутентификация vs MD5-аутентификация
Маршрутизаторы поддерживают два типа аутентификации:
- Простая аутентификация по паролю (plain-text authentication) - поддерживается IS-IS, OSPF, RIPv2
- Аутентификация MD5 (message digest) - поддерживается OSPF, RIPv2, BGP и EIGRP.
При plain-text аутентификации получателю пакета передается ключ аутентификации. Ключ настраивается на маршрутизаторе, и оба соседа должны иметь одинаковый ключ.
При MD5 аутентификации ключ не посылается, в целях исключения его перехвата. Аутентификация MD5 является криптографической. Ключ и идентификатор (ID) ключа настраиваются на маршрутизаторе. C помощью ключа, ID ключа и пакета генерируется хэш (hash), который присоединяется к отправляемому пакету.
MD5 является рекомендованным средством обеспечения безопасности. Plain-text аутентификация не рекомендуется, т.к. является уязвимой для атак: любой, имеющий анализатор пакетов, может легко посмотреть пароль. Первичная роль plain-text аутентификации - предотвращение случайного изменения структуры маршрутизации в сети.
