Настройка и проверка аутентификации протокола EIGRP

Вы можете защитить свой маршрутизатор от получения мошеннических обновлений маршрутизации, настроив аутентификацию между соседями.

Router Authentication

• Использование аутентификации позволяет предотвратить получение мошеннических EIGRP-обновлений. По умолчанию аутентификация EIGRP-пакетов выключена. При включенной аутентификации маршрутизатор проверяет источник полученных обновлений по ключам аутентификации или паролям, известных как передающему, так и принимающему маршрутизатору
• Простая аутентификация по паролю (plain-text authentication) поддерживается:
  • IS-IS
  • OSPF
  • RIPv2
• Аутентификация MD5 (message digest) поддерживается:
  • OSPF
  • RIPv2
  • BGP
  • EIGRP

Как только в маршрутизаторе на интерфейсе была сконфигурирована аутентификации, любое сообщение протокола маршрутизации должно быть аутентифицировано для всех смежных маршрутизаторов, подключённых к сети этого интерфейса, должен быть сконфигурирован тот же тип аутентификации, что и у данного устройства; кроме того, пароль должен совпадать. По умолчанию никакая аутентификация для пакетов протокола маршрутизации не используется, что представляет серьёзную угрозу безопасности (например, злоумышленник анонсирует неверные маршруты, перенаправляет трафик в свою сеть для анализа и расшифровки).

Простая аутентификация vs MD5-аутентификация

Маршрутизаторы поддерживают два типа аутентификации:

• Простая аутентификация по паролю (plain-text authentication) - поддерживается IS-IS, OSPF, RIPv2
• Аутентификация MD5 (message digest) - поддерживается OSPF, RIPv2, BGP и EIGRP.

Обе формы аутентификации работают одинаково, с одним исключением: md5 отправляет хэш-сумму, а не сам ключ аутентификации. Хэш-сумма генерируется с использованием ключа (и идентификатора ключа с некоторыми протоколами) и сообщения, но сам ключ не пересылается, что не даёт злоумышленнику узнать пароль.

При plain-text аутентификации получателю пакета передается ключ аутентификации. Ключ настраивается на маршрутизаторе, и оба соседа должны иметь одинаковый ключ.

При MD5 аутентификации ключ не посылается, в целях исключения его перехвата. Аутентификация MD5 является криптографической. Ключ и идентификатор (ID) ключа настраиваются на каждом маршрутизаторе. C помощью ключа, ID ключа и пакета генерируется хэш (hash), который присоединяется к отправляемому пакету.

MD5 является рекомендованным средством обеспечения безопасности. Описан в RFC 1321. Plain-text аутентификация не рекомендуется, т.к. является уязвимой для атак: любой, имеющий анализатор пакетов, может легко посмотреть пароль. Первичная роль plain-text аутентификации - предотвращение случайного изменения структуры маршрутизации в сети.

Очень важно заботиться о сохранности ключей и паролей, используемых при аутентификации соседей. Будьте бдительны выполняя
и не игнорируйте риск передачи ключей через небезопасные протоколы управления (например, SNMP).

MD5 используется только для аутентификации! Сами пакеты протоколов маршрутизации не шифруются!

MD5-аутентификация

• EIGRP поддерживает MD5 аутентификацию
• Маршрутизатор генерирует и проверяет каждый EIGRP пакет
• Маршрутизатор генерирует и проверяет каждый пакет EIGRP. Маршрутизатор проверяет подлинность источника каждого пакета обновления маршрутизации, которые он получает.
• Настройте key (пароль) и key ID; каждый участвующий сосед должен иметь ту же конфигурацию ключа.
• аутентификация EIGRP MD5:

EIGRP MD5 authentication: Router generates a message digest, or hash, of the key, key-id, and message. EIGRP allows keys to be managed using key chains. Specify key-id (number, key, and lifetime of key). First valid activated key, in order of key numbers, is used.

По умолчанию никакая аутентификация в EIGRP не используется. Когда аутентификация соседей настроена на маршрутизаторе, он проверяет источник каждого пакета маршрутизации, который получает. MD5 создает хэш для каждого EIGRP-пакета, предотвращая тем самым получение сообщений от несанкционированных источников.

ID ключа (key ID) и ключ (key) аутентификации (иногда называемый паролем) должен быть настроен для MD5-аутентификации как на передающем, так и на принимающем маршрутизаторе.

ID ключа и ключ сохраняются локально. Для управления ключами используются цепочки ключей (key chains). Каждый ID в цепочке может иметь собственный интервал времени, в течении которого он действует. Каждый маршрутизатор используя key и key ID генерирует хэш, который он прикрепляет к каждому пакету протокола маршрутизации, отправляемому соседу. Маршрутизатор, получивший такой пакет, вычисляет MD5-хэш исходя из полученной информации. Если хэш совпадает с полученным, пакет принимается, иначе дропается.

Каждый key имеет свой key ID, хранящийся локально. Комбинация key ID и интерфейса, связанного с сообщением, однозначно идентифицирует алгоритм аутентификации и используемый ключ аутентификации MD (and MD5 authentication key in use).

Улучшить безопасность аутентификации MD5 в EIGRP можно настроив

Независимо от того, сколько ключей действует в настоящий момент, для передачи пакета используется лишь один: первый действующий ключ в цепочке. Поэтому для цепочки рекомендуется перекрывать интервалы действия ключей, во избежание появления периодов отсутствия действующих ключей. Если нет действующего ключа, аутентификация не состоится, и обновление маршрутизации будет отброшено. Для успешной аутентификации маршрутизаторы должны синхронно производить ротацию ключей в цепочке.