Настройка и проверка аутентификации протокола EIGRP

Вы можете защитить свой маршрутизатор от получения мошеннических обновлений маршрутизации, настроив аутентификацию между соседями.

Router Authentication

• Использование аутентификации позволяет предотвратить получение мошеннических EIGRP-обновлений. По умолчанию аутентификация EIGRP-пакетов выключена. При включенной аутентификации маршрутизатор проверяет источник полученных обновлений по ключам аутентификации или паролям, известных как передающему, так и принимающему маршрутизатору
• Простая аутентификация по паролю (plain-text authentication) поддерживается:
  • IS-IS
  • OSPF
  • RIPv2
• Аутентификация MD5 (message digest) поддерживается:
  • OSPF
  • RIPv2
  • BGP
  • EIGRP

Как только в маршрутизаторе на интерфейсе была сконфигурирована аутентификации, любое сообщение протокола маршрутизации должно быть аутентифицировано для всех смежных маршрутизаторов, подключённых к сети этого интерфейса, должен быть сконфигурирован тот же тип аутентификации, что и у данного устройства; кроме того, пароль должен совпадать. По умолчанию никакая аутентификация для пакетов протокола маршрутизации не используется, что представляет серьёзную угрозу безопасности (например, злоумышленник анонсирует неверные маршруты, перенаправляет трафик в свою сеть для анализа и расшифровки).

Простая аутентификация vs MD5-аутентификация

Маршрутизаторы поддерживают два типа аутентификации:

• Простая аутентификация по паролю (plain-text authentication) - поддерживается IS-IS, OSPF, RIPv2
• Аутентификация MD5 (message digest) - поддерживается OSPF, RIPv2, BGP и EIGRP.

Обе формы аутентификации работают одинаково, с одним исключением: md5 отправляет хэш-сумму, а не сам ключ аутентификации. Хэш-сумма генерируется с использованием ключа (и идентификатора ключа с некоторыми протоколами) и сообщения, но сам ключ не пересылается, что не даёт злоумышленнику узнать пароль.

При plain-text аутентификации получателю пакета передается ключ аутентификации. Ключ настраивается на маршрутизаторе, и оба соседа должны иметь одинаковый ключ.

При MD5 аутентификации ключ не посылается, в целях исключения его перехвата. Аутентификация MD5 является криптографической. Ключ и идентификатор (ID) ключа настраиваются на каждом маршрутизаторе. C помощью ключа, ID ключа и пакета генерируется хэш (hash), который присоединяется к отправляемому пакету.

MD5 является рекомендованным средством обеспечения безопасности. Описан в RFC 1321. Plain-text аутентификация не рекомендуется, т.к. является уязвимой для атак: любой, имеющий анализатор пакетов, может легко посмотреть пароль. Первичная роль plain-text аутентификации - предотвращение случайного изменения структуры маршрутизации в сети.

Очень важно заботиться о сохранности ключей и паролей, используемых при аутентификации соседей. Будьте бдительны выполняя
и не игнорируйте риск передачи ключей через небезопасные протоколы управления (например, SNMP).

MD5 используется только для аутентификации! Сами пакеты протоколов маршрутизации не шифруются!