Настройка и проверка аутентификации в протоколе OSPF

Материал из Cisco CCNP
Версия от 18:17, 8 ноября 2012; imported>Artem (→‎Пример траблшутинг аутентификации MD5)
(разн.) ← Предыдущая | Текущая версия (разн.) | Следующая → (разн.)
Перейти к навигации Перейти к поиску

Аутентификация – механизм, позволяющий удостоверить личность. В OSPF аутентификация используется для защиты сети от злоумышленников, рассылающих ложную маршрутную информацию с целью обмануть маршрутизаторы сети и получить возможность перехвата, анализа и модификации данных, либо просто нарушая работу сети. Аутентификация заключается в защите пересылаемой информации заранее внесенным паролем.

Когда аутентификация соседей корректно сконфигурирована, маршрутизатор проверяет подлинность отправителя каждого пакета, содержащего обновление маршрутной информации при помощи обмена ключами аутентификации (или паролями), известными всем участникам, но по умолчанию, маршрутизаторы не используют аутентификацию в OSPF.

OSPF поддерживает 2 типа аутентификации: открытым текстом и MD5 (Message Digest, не использует пароль в открытом виде). Механизм аутентификации с использованием MD5 добавляет в каждый пакет увеличивающийся номер последовательности, защищая тем самым участников обмена от атак, использующих повторную пересылку захваченных ранее пакетов.

  • Цель - аутентификация маршрутной информации
    • Настраивает на интерфейсах
    • Маршрутизаторы принимают маршрутную информацию только от других маршрутизаторов, сконфигурированных с теми же параметрами аутентификации

Планирование аутентификации

  • Следующие ключевые параметры должны быть детально определены перед настройкой аутентификации:
    • Режим аутентификации (простой пароль или MD5)
    • Один или несколько ключей для аутентификации (в соответствии с планом безопасности сети)
  • Once defined, the following steps may be implemented:
    • Assign a password (key) to be used.
      • The actual command varies depending on the authentication mode used.
    • Specify the authentication mode (simple password or MD5).

Прежде чем настраивать аутентификацию в OSPF, сетевой администратор должен изучить существующую конфигурацию OSPF и определить требования для аутентификации. Требования должны содержать тип аутентификации (plain или MD5, или вовсе без аутентификации).

Настройка, проверка и решение проблем в аутентификации с простым паролем

(Configuring, Verifying, and Troubleshooting OSPF Simple Password Authentication)

Configuring OSPF Simple Password Authentication

Router(config-if)#ip ospf authentication-key пароль
Router(config-if)# ip ospf authentication [message-digest | null]

Пароль - строка до 8 байт длинной.

Первая команда назначает пароль для аутентификации соседей, доступных через текущий интерфейс. Пароль, указанный таким образом, будет в качестве ключа аутентификации внедрен в заголовок каждого уходящего в эту сеть пакета OSPF. Для каждого интерфейса можно назначить другой пароль, главное, чтобы все маршрутизаторы в сети, к которой подключен интерфейс, использовали этот же пароль для доступа к этой сети. Если пароль, настроенный на интерфейсе, и пароль в пришедшем пакете OSPF не совпадут – пакет будет проигнорирован. Также стоит учесть, что эффективная длина пароля – 8 символов, остальные не используются. При использовании IOS версий 12.4 и выше – о превышении длины будет сообщено. 

Внимание! если не используется шифрование паролей (команда service password-encryption),
то пароли будут храниться в конфигурации маршрутизатора в отрытом, незашифрованном виде. 
Если пароли зашифрованы, то перед ключом указывается тип шифрования 7.

Вторая команда, будучи использована без необязательных параметров, просто включает аутентификацию на интерфейсе. Для корректной работы требует, чтобы ключ был предварительно настроен командой ip ospf authentication-key.

Для simple password аутентификации используйте команду ip ospf authentication без параметров. Перед использованием настройте пароль используя ip ospf authentication-key

Команда ip ospf authentication появилась в Cisco IOS начиная с версии 12.0. До этого использовалась аутентификация для области, задаваемая в контексте процесса OSPF. Для обратной совместимости, аутентификация для области поддерживается до сих пор. Она используется в том случае, если на интерфейсе не указан тип аутентификации OSPF.

Чтобы настроить аутентификацию для области, нужно перейти в режим настройки маршрутизации OSPF, и воспользоваться командой: 

area area-id authentication [message-digest]

где area-id – номер области OSPF, а необязательный аргумент messagedigest позволяет включить аутентификацию MD5. null - (Optional) No authentication is used. Useful for overriding simple password or MD5 authentication if configured for an area.

Пример настройки аутентификации открытым текстом

394px
R1# show running-config
!
<output omitted> 
!
interface Fa0/0
 ip address 10.1.1.1 255.255.255.0
!
<output omitted>
!
interface Serial0/0/1
 ip address 192.168.1.101 255.255.255.224
 ip ospf authentication
 ip ospf authentication-key PLAINPAS 
!
<output omitted>
!
router ospf 10
 log-adjacency-changes
 network 10.1.1.1 0.0.0.0 area 0
 network 192.168.1.0 0.0.0.255 area 0
!
<output omitted>

R2# show running-config
!
<output omitted> 
!
interface Fa0/0
 ip address 10.2.2.1 255.255.255.0
!
<output omitted>
!
interface Serial0/0/1
 ip address 192.168.1.102 255.255.255.224
 ip ospf authentication
 ip ospf authentication-key PLAINPAS 
!
<output omitted>
!
router ospf 10
 log-adjacency-changes
 network 10.2.2.1 0.0.0.0 area 0
 network 192.168.1.0 0.0.0.255 area 0
!
<output omitted>

На обоих маршрутизаторах настроена аутентификация открытым текстом на интерфейсе Serial 0/0/0 при помощи команды ip ospf authentication, на обоих заданы пароли, обозначенные выше как «пароль», также использован одинаковый тип аутентификации. При нормально работающем OSPF, на настроенных вышеуказанным образом маршрутизаторах результат исполнения команд show ip ospf neighbor должна выдать записи о соседях.

Проверка работы аутентификации Simple Password

Пример ниже показывает вывод команды show ip ospf interface, show ip ospf neighbor и show ip route маршрутизатора R1. Из show ip ospf interface и show ip ospf neighbor вывода вы можете видеть, что у R1 есть один сосед, и используется simple password аутентификация. 

R1#show ip ospf interface
Serial0/0/1 is up, line protocol is up
    Internet Address 192.168.1.101/27, Area 0
    Process ID 1, Router ID 10.1.1.1, Network Type POINT_TO_POINT, Cost: 64
    Transmit Delay is 1 sec, State POINT_TO_POINT
<output omitted>
Neighbor Count is 1, Adjacent neighbor count is 1
    Adjacent with neighbor 10.2.2.2
        Suppress hello for 0 neighbor(s)
    Simple password authentication enabled
<output omitted>
R1#show ip ospf neighbor
Neighbor ID Pri State Dead Time Address Interface
10.2.2.2 0 FULL/ - 00:00:32 192.168.1.102 Serial0/0/1

R1#show ip route
<output omitted>
Gateway of last resort is not set
   10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
O    10.2.2.2/32 [110/782] via 192.168.1.102, 00:01:17, Serial0/0/1
C    10.1.1.0/24 is directly connected, Loopback0
   192.168.1.0/27 is subnetted, 1 subnets
C    192.168.1.96 is directly connected, Serial0/0/1

R1#ping 10.2.2.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.2.2.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 28/29/32 ms

Обратите внимание что команда show ip ospf neighbor показывает состояние соседа FULL, означающая, что два маршрутизатора успешно сформировали соседство. Таблица маршрутизации содержит нужную запись о 10.2.2.2.

Troubleshooting Simple Password Authentication

Если аутентификация между маршрутизаторами настроена корректно, должны установиться соседские отношения, происходить обмен обновлениями маршрутизации а таблицы маршрутизации наполняться маршрутами. Проблемы могут возникнуть по следующим причинам:

  • Если аутентификация НЕ была настроена на обоих маршрутизаторах;
  • Если разные типы аутентификации;
  • Если пароль не совпадает.

Successful Simple Password Authentication Example

В случае возникновения проблем, рекомендуется воспользоваться командой debug ip ospf adj, позволяющей в реальном времени видеть сообщения о событиях, связанных с установкой соседства OSPF. 

Внимание!Although this debug ip ospf adj output does not indicate anything about the
authentication, it does show that the two routers successfully form a FULL adjacency. As
the output in the next section illustrates, this command output does display authentication
failures if there are any. During testing we were unable to find any debug command output
that displayed information about successful OSPF simple password authentication.

В случае возникновения каких-либо ошибок, информация о них отображается в логе. Так, при ошибке типа аутентификации, в логах четко видно строки Mismatch Authentication Type. При этом еще и четко указывается, что Input packet specified type X, we use type Y, где X и Y – коды удаленного и локального типов аутентификации. Код 0 обозначает отсутствие аутентификации, код 1 – аутентификация открытым текстом, код 2 – аутентификация MD 5 . Еще один тип ошибки, возникающей при аутентификации открытым текстом - несовпадение паролей. Строки вида Mismatch Authentication Key – Clear Text обозначают несовпадение локального и удаленного паролей, что приводит к невозможности установки соседства по этому интерфейсу. Убедиться в корректной работе OSPF можно при помощи команды show ip ospf neighbor, показывающей обнаруженные соседние маршрутизаторы и статус соседства. Если в столбце State находится значение, начинающееся с FULL – то значит, все в порядке. 

*Apr 20 18:41:51.242: OSPF: Interface Serial0/0/1 going Up
*Apr 20 18:41:51.742: OSPF: Build router LSA for area 0, router ID 10.1.1.1, seq
0x80000013
*Apr 20 18:41:52.242: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1,
changed state to up
*Apr 20 18:42:01.250: OSPF: 2 Way Communication to 10.2.2.2 on Serial0/0/1, state
2WAY
*Apr 20 18:42:01.250: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x9B6 opt
0x52 flag 0x7 len 32
*Apr 20 18:42:01.262: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x23ED
opt0x52 flag 0x7 len 32 mtu 1500 state EXSTART
*Apr 20 18:42:01.262: OSPF: NBR Negotiation Done. We are the SLAVE
*Apr 20 18:42:01.262: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x23ED opt
0x52 flag 0x2 len 72
*Apr 20 18:42:01.294: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x23EE
opt0x52 flag 0x3 len 72 mtu 1500 state EXCHANGE
*Apr 20 18:42:01.294: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x23EE opt
0x52 flag 0x0 len 32
*Apr 20 18:42:01.294: OSPF: Database request to 10.2.2.2
*Apr 20 18:42:01.294: OSPF: sent LS REQ packet to 192.168.1.102, length 12
*Apr 20 18:42:01.314: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x23EF
opt0x52 flag 0x1 len 32 mtu 1500 state EXCHANGE
*Apr 20 18:42:01.314: OSPF: Exchange Done with 10.2.2.2 on Serial0/0/1
*Apr 20 18:42:01.314: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x23EF opt
0x52 flag 0x0 len 32
*Apr 20 18:42:01.326: OSPF: Synchronized with 10.2.2.2 on Serial0/0/1, state FULL
*Apr 20 18:42:01.330: %OSPF-5-ADJCHG: Process 10, Nbr 10.2.2.2 on Serial0/0/1 from
LOADING to
FULL, Loading Done
*Apr 20 18:42:01.830: OSPF: Build router LSA for area 0, router ID 10.1.1.1, seq
0x80000014 

R1#show ip ospf neighbor
Neighbor ID Pri State Dead Time Address Interface
10.2.2.2 0 FULL/ - 00:00:34 192.168.1.102 Serial0/0/1

Troubleshooting Simple Password Authentication Problems Example

Using the network in Figure 3-55, if simple password authentication is configured on the R1 serial 0/0/1 interface but no authentication is configured on the R2 serial 0/0/1 interface, the routers will not be able to form an adjacency over that link. The output of the debug ip ospf adj command shown in Example 3-47 illustrates that the routers report a mismatch in authentication type. No OSPF packets will be sent between the neighbors. 

R1#
*Apr 17 18:51:31.242: OSPF: Rcv pkt from 192.168.1.102, Serial0/0/1 : Mismatch
Authentication type. Input packet specified type 0, we use type 1
R2#
*Apr 17 18:50:43.046: OSPF: Rcv pkt from 192.168.1.101, Serial0/0/1 : Mismatch
Authentication type. Input packet specified type 1, we use type 0

Внимание!
Различные типы аутентификаций OSPF имеют разный тип кодов:
Null—Type 0
Simple password—Type 1
MD5—Type 2

Ниже пример несовпадения паролей 

R1#
*Apr 17 18:54:01.238: OSPF: Rcv pkt from 192.168.1.102, Serial0/0/1 : Mismatch
Authentication Key - Clear Text
R2#
*Apr 17 18:53:13.050: OSPF: Rcv pkt from 192.168.1.101, Serial0/0/1 : Mismatch
Authentication Key - Clear Text

Настройка аутентификация с простым паролем на виртуальных каналах

(Configuring OSPF Simple Password Authentication for Virtual Links)

753px
R1
router ospf 10
network 172.16.0.0 0.0.255.255 area 0
network 172.17.0.0 0.0.255.255 area 1
area 0 authenticaiton
!
area 1 virtual-link 3.3.3.3 authentication-key cisco

R3
router ospf 10
network 172.19.0.0 0.0.255.255 area 2
network 172.18.0.0 0.0.255.255 area 1
area 0 authenticaiton
!
area 1 virtual-link 1.1.1.1 authentication-key cisco

На маршрутизаторе R1 аутентификация с простым паролем настроена для всей зоны 0 (командой area 0 authentication). Виртуальный канал подключает зону 2 к зоне 0 через транзитную зону 1. Используется ключ cisco, задаваемый командой area 1 virtual-link 3.3.3.3 authentication-key. Конфигурация маршрутизатора R3 похожа на R1.

Настройка, проверка и решение проблем при аутентификации MD5

(Configuring, Verifying, and Troubleshooting MD5 Authentication) 

Внимание! При OSPF MD5 аутентификация в каждом пакете OSPF содержится неубывающий 
номер последовательности. Это сделано для защиты от replay атак.

Для корректной настройки аутентификации MD5, на маршрутизаторе необходимо указать ключ и его ID при помощи команды 

ip ospf message-digest-key key-ID md5 КЛЮЧ

где: key-ID – идентификатор ключа, цифра от 1 до 255 КЛЮЧ – пароль длиной до 16 символов (Предупреждение о слишком длинном пароле IOS выдает начиная с версии 12.4, но все версии, включая и более ранние, используют только 16 байт от пароля).

После этого нужно включить аутентификацию командой ip ospf authentication message-digest 

ip ospf authentication message-digest

Где:
message-digest - использовать MD5

Ключ и его идентификатор, указанные командой ip ospf messagedigest-key используются для генерации контрольной суммы (хэш) каждого пакета OSPF, которая отправляется вместе с сообщением. При этом, на каждом сетевом интерфейсе может быть использован другой пароль. Чаще всего, каждому интерфейсу маршрутизатора назначается отдельный пароль, совпадающий с паролями интерфейсов других маршрутизаторов, подключенных к этой же сети, и используется как для генерации аутентификационной информации при отправке пакетов OSPF через интерфейс, так и для проверки оной у входящих пакетов. Еще раз обращаем ваше внимание на тот факт, что для корректной работы аутентификации MD5 необходимо, чтобы на всех интерфейсах маршрутизаторов объединенных сетью, был задан одинаковый ключ аутентификации с одинаковым key-ID.

ID ключа, будучи правильно использованным, позволяет сменить ключ аутентификации OSPF «на лету», не прерывая работы. При добавлении ключа с новым ID, маршрутизатор начинает посылать несколько копий пакета, по одной на каждый сконфигурированный ключ. Отправка дублей прекращается, когда маршрутизатор убеждается в наличии нового ключа у всех соседей, то есть после получения хотя бы одного пакета OSPF аутентифицированного новым ключом от каждого соседа. 

interface FastEthernet 0/0
ip ospf message-digest-key 5 md5 A

interface FastEthernet 0/0
ip ospf message-digest-key 6 md5 B

Предположим, мы настроили все маршрутизаторы на использование ключа А с идентификатором 5. Возникла необходимость в смене ключа. Мы создаем ключ Б с идентификатором 6, например. Маршрутизатор сразу начинает отправлять каждый пакет OSPF два раза, один аутентифицированный ключом А, второй – Б. Это происходит на каждом маршрутизаторе, пока на всех не будет настроен ключ Б (с идентификатором 6). Получив от него пакет аутентифицированный ключом Б, каждый маршрутизатор запомнит его, как имеющего новый ключ. Соответственно, если все соседи отмечены как имеющие новый ключ, то зачем отправлять сообщения, использующие старый? Верно, незачем. Соответственно, с этого момента отправка пакетов с использованием старого ключа прекращается, и его можно безопасно удалить, используя команду no ip ospf message-digest-key 5 (если помните, в данном случае 5 – идентификатор старого ключа). 

interface FastEthernet 0/0
no ip ospf message-digest-key 5

Не рекомендуется оставлять на интерфейсе более одного ключа, так как это дает вероятность отправки дублей. Также, наличие старого ключа оставляет лазейку злоумышленнику, возможно знающему старый ключ.

Если не использовалась команда service password-encryption, то пароли хранятся в конфигурации маршрутизатора в открытом, незашифрованном виде. Использование команды service passwordencryption позволяет защитить пароли от нежелательного внимания. После использования данной команды пароли отображаются в зашифрованном виде, тип шифрования – 7.

393px
R1# show running-config
!
<output omitted> 
!
interface Fa0/0
 ip address 10.1.1.1 255.255.255.0
!
<output omitted>
!
interface Serial0/0/1
 ip address 192.168.1.101 255.255.255.224
 ip ospf authentication message-digest
 ip ospf message-digest-key 1 md5 SECRETPASS 
!
<output omitted>
!
router ospf 10
 log-adjacency-changes
 network 10.1.1.1 0.0.0.0 area 0
 network 192.168.1.0 0.0.0.255 area 0
!
<output omitted>

R2# show running-config
!
<output omitted> 
!
interface Fa0/0
 ip address 10.2.2.1 255.255.255.0
!
<output omitted>
!
interface Serial0/0/1
 ip address 192.168.1.102 255.255.255.224
 ip ospf authentication message-digest
 ip ospf message-digest-key 1 md5 SECRETPASS 
!
<output omitted>
!
router ospf 10
 log-adjacency-changes
 network 10.2.2.1 0.0.0.0 area 0
 network 192.168.1.0 0.0.0.255 area 0
!
<output omitted>

Проверка работы аутентификации MD5

R1# show ip ospf interface
Serial0/0/1 is up, line protocol is up
  Internet Address 192.168.1.101/27, Area 0
  Process ID 10, Router ID 10.1.1.1, Network Type POINT_TO_POINT, Cost: 64
  Transmit Delay is 1 sec, State POINT_TO_POINT
<output omitted>
  Neighbor Count is 1, Adjacent neighbor count is 1    // <--------------
    Adjacent with neighbor 10.2.2.1 
  Suppress hello for 0 neighbor(s)
  Message digest authentication enabled              // <--------------
    Youngest key id is 1
<output omitted>

R1# debug ip ospf adj
OSPF adjacency events debugging is on
<output omitted>
*Feb 17 17:14:06.530: OSPF: Send with youngest Key 1
*Feb 17 17:14:06.546: OSPF: 2 Way Communication to 10.2.2.2 on Serial0/0/1, state 2WAY
*Feb 17 17:14:06.546: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0xB37 opt 0x52 flag 0x7 len 32
*Feb 17 17:14:06.546: OSPF: Send with youngest Key 1
*Feb 17 17:14:06.562: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x32F opt 0x52 flag 0x7 len 32  mtu 1500 state EXSTART
*Feb 17 17:14:06.562: OSPF: NBR Negotiation Done. We are the SLAVE
*Feb 17 17:14:06.562: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x32F opt 0x52 flag 0x2 len 72
*Feb 17 17:14:06.562: OSPF: Send with youngest Key 1
<output omitted>

Вывод команды debug ip ospf adj иллюстрирует успешную аутентификацию по MD5 на R1 после того, как интерфейс был настроен. 

R1# show ip ospf neighbor
Neighbor ID     Pri   State           Dead Time   Address         Interface
10.2.2.1          0   FULL/  -        00:00:31    192.168.1.102   Serial0/0/1 // <-------------

R1#show ip route
<output omitted>
 Gateway of last resort is not set
   10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
 O   10.2.2.2/32 [110/782] via 192.168.1.102, 00:00:37, Serial0/0/1
 C   10.1.1.0/24 is directly connected, Loopback0
   192.168.1.0/27 is subnetted, 1 subnets
 C 192.168.1.96 is directly connected, Serial0/0/1

R1#ping 10.2.2.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.2.2.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 28/28/32 ms

Обратите внимание, что вывод show ip ospf interface показывает, что у R1 есть сосед, и что он использует аутентификацию md5. Вывод show ip ospf neighbor показывает, что сосед в состоянии FULL, т.е. два соседа успешно сформировали соседство.

Troubleshooting MD5 Authentication

В случае возникновения проблем, рекомендуется воспользоваться опять-таки командой debug ip ospf adj. Также может пригодиться команда show ip ospf neighbor, показывающая состояние обнаруженных соседей. При работе без ошибок вы увидите в списке соседей в состоянии FULL, при ошибках состояние будет иным. При отсутствии идентификаторов ключей, в логе отладки вы увидите сообщения вида Mismatch Authentication Key – No message digest key X on interface, где X – идентификатор ключа, присланного другой стороной.

Пример успешной аутентификации MD5

Вывод дебага иллюстрирует успешную аутентификацию по MD5 на R1 

R1#debug ip ospf adj
OSPF adjacency events debugging is on
*Apr 20 17:13:56.530: %LINK-3-UPDOWN: Interface Serial0/0/1, changed state to up
*Apr 20 17:13:56.530: OSPF: Interface Serial0/0/1 going Up
*Apr 20 17:13:56.530: OSPF: Send with youngest Key 1          // <---------------
*Apr 20 17:13:57.030: OSPF: Build router LSA for area 0, router ID 10.1.1.1, seq
0x80000009
*Apr 20 17:13:57.530: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0/1,
changed state to up
*Apr 20 17:14:06.530: OSPF: Send with youngest Key 1
*Apr 20 17:14:06.546: OSPF: 2 Way Communication to 10.2.2.2 on Serial0/0/1, state
2WAY
*Apr 20 17:14:06.546: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0xB37 opt
0x52 flag 0x7 len 32
*Apr 20 17:14:06.546: OSPF: Send with youngest Key 1
*Apr 20 17:14:06.562: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x32F opt 0
x52 flag 0x7 len 32 mtu 1500 state EXSTART
*Apr 20 17:14:06.562: OSPF: NBR Negotiation Done. We are the SLAVE
*Apr 20 17:14:06.562: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x32F opt
0x52 flag 0x2 len 72
*Apr 20 17:14:06.562: OSPF: Send with youngest Key 1
*Apr 20 17:14:06.602: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x330 opt
0x52 flag 0x3 len 72 mtu 1500 state EXCHANGE
*Apr 20 17:14:06.602: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x330 opt
0x52 flag 0x0 len 32
*Apr 20 17:14:06.602: OSPF: Send with youngest Key 1
*Apr 20 17:14:06.602: OSPF: Database request to 10.2.2.2
*Apr 20 17:14:06.602: OSPF: Send with youngest Key 1
*Apr 20 17:14:06.602: OSPF: sent LS REQ packet to 192.168.1.102, length 12
*Apr 20 17:14:06.614: OSPF: Send with youngest Key 1
*Apr 20 17:14:06.634: OSPF: Rcv DBD from 10.2.2.2 on Serial0/0/1 seq 0x331 opt
0x52 flag 0x1 len 32 mtu 1500 state EXCHANGE
*Apr 20 17:14:06.634: OSPF: Exchange Done with 10.2.2.2 on Serial0/0/1
*Apr 20 17:14:06.634: OSPF: Send DBD to 10.2.2.2 on Serial0/0/1 seq 0x331 opt
0x52 flag 0x0 len 32
*Apr 20 17:14:06.634: OSPF: Send with youngest Key 1
*Apr 20 17:14:06.650: OSPF: Synchronized with 10.2.2.2 on Serial0/0/1, state FULL
*Apr 20 17:14:06.650: %OSPF-5-ADJCHG: Process 10, Nbr 10.2.2.2 on Serial0/0/1 from
LOADING to FULL, Loading Done   // <------------- 
*Apr 20 17:14:07.150: OSPF: Send with youngest Key 1
*Apr 20 17:14:07.150: OSPF: Build router LSA for area 0, router ID 10.1.1.1, seq
0x8000000A
*Apr 20 17:14:09.150: OSPF: Send with youngest Key 1

Пример траблшутинг аутентификации MD5

В примере аутентификация настроена на нужных интерфейсах, но используются разные ключи: key 1 на R1 и key 2 R2. Соседство не установится между маршрутизаторами даже если будут настроены одинаковые пароли. Вывод дебага иллюстрирует сообщение о несовпадении ключа аутентификации. OSPF пакеты между соседями рассылаться не будут. 

R1#
*Apr 20 17:56:16.530: OSPF: Send with youngest Key 1
*Apr 20 17:56:26.502: OSPF: Rcv pkt from 192.168.1.102, Serial0/0/1 : Mismatch   <--------
Authentication Key - No message digest key 2 on interface
*Apr 20 17:56:26.530: OSPF: Send with youngest Key 1

R2#
*Apr 20 17:55:28.226: OSPF: Send with youngest Key 2
*Apr 20 17:55:28.286: OSPF: Rcv pkt from 192.168.1.101, Serial0/0/1 : Mismatch   <--------
Authentication Key - No message digest key 1 on interface
*Apr 20 17:55:38.226: OSPF: Send with youngest Key 2
Источник — https://wiki.shibaev.info/index.php?title=Настройка_и_проверка_аутентификации_в_протоколе_OSPF&oldid=1523