前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >网工小白升级打怪篇(九)动态路由协议ospf的认证

网工小白升级打怪篇(九)动态路由协议ospf的认证

作者头像
释然
发布2022-10-27 17:20:12
5830
发布2022-10-27 17:20:12
举报
文章被收录于专栏:释然IT杂谈释然IT杂谈

■ 简介:

OSPF协议支持两种认证方式一区域认证和链路认证。使用区域认证时,一个区域中所有的路由器在该区域下的认证模式和口令必须一致; OSPF 链路认证相比于区域认证更加灵活,可专门针对某个邻居设置单独的认证模式和密码。如果同时配置了接口认证和区域认证时,优先使用接口认证建立OSPF邻居。

每种认证方式又分为简单验证模式、MD5验证模式和Key chain验证模式。简单验证模式在数据传递过程中,认证密钥和密钥ID都是明文传输,很容易被截获; MD5验证模式下的密钥是经过MD5加密传输,相比于简单验证模式更为安全; Key chain验证模式可以同时配置多个密钥,不同密钥可单独设置生效周期等。

■ 实施步骤

一、Cisco 设备实施步骤

1.实验拓扑

2.基础配置设置IP:

R1:

Router>en Router#conf t Router(config)#host R1 R1(config)#int e0/0 R1(config-if)#ip add 12.1.1.1 255.255.255.0 R1(config-if)#no shut R1(config-if)#int lo 0 R1(config-if)#ip add 1.1.1.1 255.255.255.255

R2:

Router>en Router#conf t Router(config)#hostname R2 R2(config)#int e0/0 R2(config-if)#ip add 12.1.1.2 255.255.255.0 R2(config-if)#no shut R2(config-if)#int e0/1 R2(config-if)#ip add 24.1.1.2 255.255.255.0 R2(config-if)#no shut R2(config-if)#int e0/2 R2(config-if)#ip add 13.1.1.2 255.255.255.0 R2(config-if)#no shut R2(config-if)#int lo 0 R2(config-if)#ip add 2.2.2.2 255.255.255.255

R3:

Router>en Router#conf t Router(config)#hostname R3 R3(config)#int e0/2 R3(config-if)#ip add 13.1.1.3 255.255.255.0 R3(config-if)#no shut R3(config-if)#int e0/0 R3(config-if)#ip add 35.1.1.3 255.255.255.0 R3(config-if)#no shut R3(config-if)#int e0/1 R3(config-if)#ip add 36.1.1.3 255.255.255.0 R3(config-if)#no shut R3(config-if)#int lo 0 R3(config-if)#ip add 3.3.3.3 255.255.255.255

R4:

Router>en Router#conf t Router(config)#hostname R4 R4(config)#int e0/0 R4(config-if)#ip add 24.1.1.4 255.255.255.0 R4(config-if)#no shut R4(config-if)#int lo 0 R4(config-if)#ip add 4.4.4.4 255.255.255.255

R5:

Router>en Router#conf t Router(config)#hostname R5 R5(config)#int e0/0 R5(config-if)#ip add 35.1.1.5 255.255.255.0 R5(config-if)#no shut R5(config-if)#int lo 0 R5(config-if)#ip add 5.5.5.5 255.255.255.255

R6:

Router>en Router#conf t Router(config)#hostname R6 R6(config)#int e0/0 R6(config-if)#ip add 36.1.1.6 255.255.255.0 R6(config-if)#no shut R6(config-if)#int lo 0 R6(config-if)#ip add 6.6.6.6 255.255.255.255

3.ospf多区域配置:

R1:

R1(config)#router ospf 1 R1(config-router)#router-id 1.1.1.1 R1(config-router)#net 1.1.1.1 0.0.0.0 R1(config-router)#net 1.1.1.1 0.0.0.0 area 1 R1(config-router)#net 12.1.1.0 0.0.0.255 area 1

R2:

R2(config)#router ospf 1 R2(config-router)#router-id 2.2.2.2 R2(config-router)#net 12.1.1.0 0.0.0.255 area 1 R2(config-router)#net 2.2.2.2 0.0.0.0 area 1 R2(config-router)#net 24.1.1.0 0.0.0.255 area 1 R2(config-router)#net 13.1.1.0 0.0.0.255 area 0

R3:

R3(config)#router ospf 1 R3(config-router)#router-id 3.3.3.3 R3(config-router)#net 35.1.1.0 0.0.0.255 area 0 R3(config-router)#net 36.1.1.0 0.0.0.255 area 0 R3(config-router)#net 3.3.3.3 0.0.0.0 area 0 R3(config-router)#net 13.1.1.0 0.0.0.255 area 0

R4:

R4(config)#router ospf 1 R4(config-router)#router-id 4.4.4.4 R4(config-router)#net 4.4.4.4 0.0.0.0 area 1 R4(config-router)#net 24.1.1.0 0.0.0.255 area 1

R5:

R5(config)#router ospf 1 R5(config-router)#router-id 5.5.5.5 R5(config-router)#net 5.5.5.5 0.0.0.0 area 0 R5(config-router)#net 35.1.1.0 0.0.0.255 area 0

R6:

R6(config)#router ospf 1 R6(config-router)#router-id 6.6.6.6 R6(config-router)#net 6.6.6.6 0.0.0.0 area 0 R6(config-router)#net 36.1.1.0 0.0.0.255 area 0

其中每台设备上的环回口地址是为了后续实验中方便测试使用,所以需要通告到其所在区域。

配置完成后测试各设备上环回口的连通性。

可以正常通信,其他环回口的测试省略。

4.配置OSPF区域明文认证 :

OSPF区域1中配置区域明文认证。在R1上OSPF的区域1开启明文认证,key是需要在接口下单独设置的,本质上也是链路认证。

router ospf 1 R1(config-router)#area 1 authentication R1(config-router)#int e0/0 R1(config-if)#ip ospf authentication-key cisco

配置完成,等待OSPF网络收敛之后,查看R1与R2的OSPF邻居

可以观察到,现在R1与R2邻居关系中断了,原因是目前仅仅在R1上配置了认证,导致R1和R2间的OSPF认证不匹配。

继续配置该区域的R2,必须要保证验证模式一致,口令也一致。

R2(config)#router ospf 1 R2(config-router)#area 1 authentication R2(config-router)#int e0/0 R2(config-if)#ip ospf authentication-key cisco R2(config-router)#int e0/1 R2(config-if)#ip ospf authentication-key cisco

配置完成后,等待一段时间,再次观察两者的邻居关系。可以观察到,现在R1与R2的邻居关系状态恢复正常。

同理在R4上也做相同配置。

R4(config)#router ospf 1 R4(config-router)#area 1 authentication R4(config)#int e0/0 R4(config-if)#ip ospf authentication-key cisco

配置完成后,在R2上查看OSPF邻居关系。

可以观察到,现在区域1中的邻居关系都建立正常。

5.配置OSPF区域密文认证:

OSPF区域0中配置区域密文认证。

在R2上配置OSPFArea0区域认证使用验证模式为md5,验证字标识符为1,口令为cisco

R2(config)#router ospf 1 R2(config-router)#area 0 authentication message-digest R2(config-if)#int e0/2 R2(config-if)#ip ospf message-digest-key 1 md5 cisco

继续在其他骨干路由器上做相同配置。注意,密文认证必须保证验证字标识符和口令完全一致认证才可以通过。

R3:

R3(config)#router ospf 1 R3(config-router)#area 0 authentication message-digest R3(config-router)#int e0/0 R3(config-if)#ip ospf message-digest-key 1 md5 cisco R3(config-if)#int e0/1 R3(config-if)#ip ospf message-digest-key 1 md5 cisco R3(config-if)#int e0/2 R3(config-if)#ip ospf message-digest-key 1 md5 cisco

R5:

R5(config)#router ospf 1 R5(config-router)#area 0 authentication message-digest R5(config-router)#int e0/0 R5(config-if)#ip ospf message-digest-key 1 md5 cisco

R6:

R6(config)#router ospf 1 R6(config-router)#area 0 authentication message-digest R6(config-router)#int e0/0 R6(config-if)#ip ospf message-digest-key 1 md5 cisco

配置完成后,查看R3的OSPF邻居状态。

可以观察到,OSPF邻居状态建立正常,其他设备上的查看过程省略。

6.配置OSPF链路认证:

相比区域认证,使用链路认证方式配置可以达到同样的效果。如果采用链路认证的方式,就需要在同一OSPF的链路接口下都配置链路认证的命令,设置验证模式和口令等参数;而采用区域认证的方式时,在同一区域中,仅需在OSPF进程下的相应区域视图下配置一条命令来设置验证模式和口令即可,大大节省了配置量,所以在同一区域中如果有多台OSPF设备需要配置认证,建议选用区域认证的方式进行配置。

为了进一步提升R2与R4之间的OSPF网络安全性,需要在两台设备之间部署MD5验证模式的OSPF链路认证。配置链路认证,配置使用MD5验证模式,验证字标识符为1,口令为cisco。

R2(config)#int e0/1 R2(config-if)#ip ospf authentication message-digest R2(config-if)#ip ospf message-digest-key 1 md5 cisco

配置完成后,等待一段时间,查看R2.上的简要OSPF邻居信息。

发现R2与R4间的OSPF邻居关系已经消失。虽然已经配置好区域认证,但是如果同时配置了接口认证和区域认证时,会优先使用接口验证建立OSPF邻居。所以R4在没有配置链路认证之前,R2与R4的邻居关系会因认证不匹配而无法建立。

同样在R4上配置链路,注意,验证模式、标识符、口令都需要保持一致。

R4(config)#int e0/0 R4(config-if)#ip ospf authentication message-digest R4(config-if)#ip ospf message-digest-key 1 md5 cisco

配置完成后,等待一段时间,再次查看R4的OSPF邻居信息。

可以观察到,邻居关系已经恢复正常。至此,OSPF链路认证配置完成。

二、华为设备实施步骤

1.实验拓扑:

基础ip已经配置好了这里就不演示了

2.ospf基础配置:

R1:

[R1]ospf 1 [R1-ospf-1]area 1 [R1-ospf-1-area-0.0.0.1]net 1.1.1.1 0.0.0.0 [R1-ospf-1-area-0.0.0.1]net 12.1.1.0 0.0.0.255

R2:

[R2]ospf 1 [R2-ospf-1]area 0 [R2-ospf-1-area-0.0.0.0]net 23.1.1.0 0.0.0.255 [R2-ospf-1-area-0.0.0.0]quit [R2-ospf-1]area 1 [R2-ospf-1-area-0.0.0.1]net 12.1.1.0 0.0.0.255 [R2-ospf-1-area-0.0.0.1]net 24.1.1.0 0.0.0.255 [R2-ospf-1-area-0.0.0.1]net 2.2.2.2 0.0.0.0

R3:

[R3]ospf 1 [R3-ospf-1]area 0 [R3-ospf-1-area-0.0.0.0]net 35.1.1.0 0.0.0.255 [R3-ospf-1-area-0.0.0.0]net 36.1.1.0 0.0.0.255 [R3-ospf-1-area-0.0.0.0]net 3.3.3.3 0.0.0.0 [R3-ospf-1-area-0.0.0.0]net 23.1.1.0 0.0.0.255

R4:

[R4]ospf 1 [R4-ospf-1]area 1 [R4-ospf-1-area-0.0.0.1]net 4.4.4.4 0.0.0.0 [R4-ospf-1-area-0.0.0.1]net 24.1.1.0 0.0.0.255

R5:

[R5]ospf 1 [R5-ospf-1]area 0 [R5-ospf-1-area-0.0.0.0]net 5.5.5.5 0.0.0.0 [R5-ospf-1-area-0.0.0.0]net 35.1.1.0 0.0.0.255

R6:

[R6]ospf 1 [R6-ospf-1]area 0 [R6-ospf-1-area-0.0.0.0]net 6.6.6.6 0.0.0.0 [R6-ospf-1-area-0.0.0.0]net 36.1.1.0 0.0.0.255

3.配置OSPF区域明文认证 :

OSPF区域1中配置区域明文认证。在R1上OSPF的区域1开启明文认证,

模式为simple,即简单验证模式,配置口令为huawei,并配置plain参数。

配置plain参数后,可以使得在查看配置文件时,口令均以明文方式显示。如果不设置该参数的话,在查看配置文件时,默认会以密文方式显示口令,即无法查看到所配置的口令原文,这可以使非管理员用户在登录设备后无法查看到口令原文,从而提高安全性。

[R1]ospf 1 [R1-ospf-1]area 1 [R1-ospf-1-area-0.0.0.1]authentication-mode simple plain huawei

配置完成,等待OSPF网络收敛之后,查看R1与R2的OSPF邻居

可以观察到,现在R1与R2邻居关系中断了,原因是目前仅仅在R1上配置了认证,导致R1和R2间的OSPF认证不匹配。

继续配置该区域的R2,必须要保证验证模式一致,口令也一致。

R2]ospf 1 [R2-ospf-1]area 1 [R2-ospf-1-area-0.0.0.1]authentication-mode simple plain huawei

配置完成后,等待一段时间,再次观察两者的邻居关系。可以观察到,现在R1与R2的邻居关系状态恢复正常。

同理在R4上也做相同配置。

[R4]ospf 1 [R4-ospf-1]area 1 [R4-ospf-1-area-0.0.0.1]authentication-mode simple plain huawei

配置完成后,在R2上查看OSPF邻居关系。

可以观察到,现在区域1中的邻居关系都建立正常。

4.配置OSPF区域密文认证:

OSPF区域0中配置区域密文认证。

在R2上配置OSPFArea0区域认证,使用验证模式为md5,即MD5验证模式,验证字标识符为1,配置口令为huawei。

[R2]ospf 1 [R2-ospf-1]area 0 [R2-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei

继续在其他骨干路由器上做相同配置。注意,密文认证必须保证验证字标识符和口令完全一致认证才可以通过。

R3:

[R3]ospf 1 [R3-ospf-1]area 0 [R3-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei

R5:

[R5]ospf 1 [R5-ospf-1]area 0 [R5-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei

R6:

[R6]ospf 1 [R6-ospf-1]area 0 [R6-ospf-1-area-0.0.0.0]authentication-mode md5 1 huawei

配置完成后,查看R3的OSPF邻居状态。

可以观察到,OSPF邻居状态建立正常,其他设备上的查看过程省略。

5.配置OSPF链路认证:

为了进一步提升R2与R4之间的OSPF网络安全性,需要在两台设备之间部署MD5验证模式的OSPF链路认证。配置链路认证,配置使用MD5验证模式,验证字标识符为1,口令为huawei。

[R2]int g0/0/1 [R2-GigabitEthernet0/0/1]ospf authentication-mode md5 1 huawei

配置完成后,等待一段时间,查看R2.上的简要OSPF邻居信息。

发现R2与R4间的OSPF邻居关系已经消失。虽然已经配置好区域认证,但是如果同时配置了接口认证和区域认证时,会优先使用接口验证建立OSPF邻居。所以R4在没有配置链路认证之前,R2与R4的邻居关系会因认证不匹配而无法建立。

同样在R4上配置链路,注意,验证模式、标识符、口令都需要保持一致。

[R4]int g0/0/0 [R4-GigabitEthernet0/0/0]ospf authentication-mode md5 1 huawei

配置完成后,等待一段时间,再次查看R4的OSPF邻居信息。

可以观察到,邻居关系已经恢复正常。至此,OSPF链路认证配置完成。

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2021-01-14,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 释然IT杂谈 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • ■ 简介:
  • ■ 实施步骤
  • 一、Cisco 设备实施步骤
  • 二、华为设备实施步骤
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档