Настройка и проверка аутентификации в протоколе OSPF

Материал из Cisco CCNP
Версия от 09:20, 8 ноября 2012; imported>Artem (→‎Пример настройки аутентификации открытым текстом)
Перейти к навигации Перейти к поиску

Аутентификация – механизм, позволяющий удостоверить личность. В OSPF аутентификация используется для защиты сети от злоумышленников, рассылающих ложную маршрутную информацию с целью обмануть маршрутизаторы сети и получить возможность перехвата, анализа и модификации данных, либо просто нарушая работу сети. Аутентификация заключается в защите пересылаемой информации заранее внесенным паролем.

Когда аутентификация соседей корректно сконфигурирована, маршрутизатор проверяет подлинность отправителя каждого пакета, содержащего обновление маршрутной информации при помощи обмена ключами аутентификации (или паролями), известными всем участникам, но по умолчанию, маршрутизаторы не используют аутентификацию в OSPF.

OSPF поддерживает 2 типа аутентификации: открытым текстом и MD5 (Message Digest, не использует пароль в открытом виде). Механизм аутентификации с использованием MD5 добавляет в каждый пакет увеличивающийся номер последовательности, защищая тем самым участников обмена от атак, использующих повторную пересылку захваченных ранее пакетов.

  • Цель - аутентификация маршрутной информации
    • Настраивает на интерфейсах
    • Маршрутизаторы принимают маршрутную информацию только от других маршрутизаторов, сконфигурированных с теми же параметрами аутентификации

Планирование аутентификации

  • Следующие ключевые параметры должны быть детально определены перед настройкой аутентификации:
    • Режим аутентификации (простой пароль или MD5)
    • Один или несколько ключей для аутентификации (в соответствии с планом безопасности сети)
  • Once defined, the following steps may be implemented:
    • Assign a password (key) to be used.
      • The actual command varies depending on the authentication mode used.
    • Specify the authentication mode (simple password or MD5).

Прежде чем настраивать аутентификацию в OSPF, сетевой администратор должен изучить существующую конфигурацию OSPF и определить требования для аутентификации. Требования должны содержать тип аутентификации (plain или MD5, или вовсе без аутентификации).

Настройка, проверка и решение проблем в аутентификации с простым паролем

(Configuring, Verifying, and Troubleshooting OSPF Simple Password Authentication)

Configuring OSPF Simple Password Authentication

Router(config-if)#ip ospf authentication-key пароль
Router(config-if)# ip ospf authentication [message-digest | null]

Пароль - строка до 8 байт длинной.

Первая команда назначает пароль для аутентификации соседей, доступных через текущий интерфейс. Пароль, указанный таким образом, будет в качестве ключа аутентификации внедрен в заголовок каждого уходящего в эту сеть пакета OSPF. Для каждого интерфейса можно назначить другой пароль, главное, чтобы все маршрутизаторы в сети, к которой подключен интерфейс, использовали этот же пароль для доступа к этой сети. Если пароль, настроенный на интерфейсе, и пароль в пришедшем пакете OSPF не совпадут – пакет будет проигнорирован. Также стоит учесть, что эффективная длина пароля – 8 символов, остальные не используются. При использовании IOS версий 12.4 и выше – о превышении длины будет сообщено. 

Внимание! если не используется шифрование паролей (команда service password-encryption),
то пароли будут храниться в конфигурации маршрутизатора в отрытом, незашифрованном виде. 
Если пароли зашифрованы, то перед ключом указывается тип шифрования 7.

Вторая команда, будучи использована без необязательных параметров, просто включает аутентификацию на интерфейсе. Для корректной работы требует, чтобы ключ был предварительно настроен командой ip ospf authentication-key.

Для simple password аутентификации используйте команду ip ospf authentication без параметров. Перед использованием настройте пароль используя ip ospf authentication-key

Команда ip ospf authentication появилась в Cisco IOS начиная с версии 12.0. До этого использовалась аутентификация для области, задаваемая в контексте процесса OSPF. Для обратной совместимости, аутентификация для области поддерживается до сих пор. Она используется в том случае, если на интерфейсе не указан тип аутентификации OSPF.

Чтобы настроить аутентификацию для области, нужно перейти в режим настройки маршрутизации OSPF, и воспользоваться командой: 

area area-id authentication [message-digest]

где area-id – номер области OSPF, а необязательный аргумент messagedigest позволяет включить аутентификацию MD5. null - (Optional) No authentication is used. Useful for overriding simple password or MD5 authentication if configured for an area.

Пример настройки аутентификации открытым текстом

394px
R1# show running-config
!
<output omitted> 
!
interface Fa0/0
 ip address 10.1.1.1 255.255.255.0
!
<output omitted>
!
interface Serial0/0/1
 ip address 192.168.1.101 255.255.255.224
 ip ospf authentication
 ip ospf authentication-key PLAINPAS 
!
<output omitted>
!
router ospf 10
 log-adjacency-changes
 network 10.1.1.1 0.0.0.0 area 0
 network 192.168.1.0 0.0.0.255 area 0
!
<output omitted>

R2# show running-config
!
<output omitted> 
!
interface Fa0/0
 ip address 10.2.2.1 255.255.255.0
!
<output omitted>
!
interface Serial0/0/1
 ip address 192.168.1.102 255.255.255.224
 ip ospf authentication
 ip ospf authentication-key PLAINPAS 
!
<output omitted>
!
router ospf 10
 log-adjacency-changes
 network 10.2.2.1 0.0.0.0 area 0
 network 192.168.1.0 0.0.0.255 area 0
!
<output omitted>

На обоих маршрутизаторах настроена аутентификация открытым текстом на интерфейсе Serial 0/0/0 при помощи команды ip ospf authentication, на обоих заданы пароли, обозначенные выше как «пароль», также использован одинаковый тип аутентификации. При нормально работающем OSPF, на настроенных вышеуказанным образом маршрутизаторах результат исполнения команд show ip ospf neighbor должна выдать записи о соседях.

Проверка работы аутентификации Simple Password

R1#show ip ospf interface
Serial0/0/1 is up, line protocol is up
    Internet Address 192.168.1.101/27, Area 0
    Process ID 1, Router ID 10.1.1.1, Network Type POINT_TO_POINT, Cost: 64
    Transmit Delay is 1 sec, State POINT_TO_POINT
<output omitted>
Neighbor Count is 1, Adjacent neighbor count is 1
    Adjacent with neighbor 10.2.2.2
        Suppress hello for 0 neighbor(s)
    Simple password authentication enabled
<output omitted>
R1#show ip ospf neighbor
Neighbor ID Pri State Dead Time Address Interface
10.2.2.2 0 FULL/ - 00:00:32 192.168.1.102 Serial0/0/1
Источник — https://wiki.shibaev.info/index.php?title=Настройка_и_проверка_аутентификации_в_протоколе_OSPF&oldid=1488