OSPF协议的验证


路由器能够靠设定密码来参与路由信息域，通过这种方法就可以验证OSPF报文。默认情况下，路由器使用空验证，也就是说通过网络进行路由信息的交换是不验证的。OSPF网络的验证有两种方法：简单的密码验证(Simple PasswordAuthentication)和MD5验证Message Digest Authentication）。
1. 启动OSPF

在NE80核心路由器上启用OSPF路由协议包含以下两步。在全局配置模式下：

1 激活OSPF进程，在特权模式下执行：
router ospf

2 将端口划分到特定的区域中:
network <network or IP address><mask><area-id>

在Cisco的路由器上激活OSPF协议时还要指定process-id， 其是一个路由器上的本地有效地十进制数，不需要同其他路由器上的Process-id 相匹配。通过该process-id， 可以在一台路由器上运行多个OSPF进程。但是不推荐在同一台路由器上创建多个OSPF进程，因为那样会使路由器增加额外的开销。
Network命令是把一个端口分配到某个区域中的一种方法。掩码是作为一种快捷方式使用，可将同一个区域中的一系列端口列表用一行配置命令就可完成。掩码包含通配符“0” 和“1”，“0”位表示匹配，“1”位表示不匹配。如：0.0.255.255 表示匹配网络号的前两个字节。
Area-id 是端口所属的区域号，它是0到4294967295之间的一个整数，也可采取与IP地址类似的格式，如0.0.0.100 表示区域号为100.

 
RTA#
interface GigabitEthernet5/0/0
ip address 192.213.11.1 255.255.255.0
interface GigabitEthernet5/0/1
ip address 192.213.12.2 255.255.255.0
interface GigabitEthernet5/1/0
ip address 128.213.1.1 255.255.255.0
interface GigabitEthernet5/1/1
No ip address
router ospf 100
network 192.213.0.0 0.0.255.255 area 0.0.0.0
network 128.213.1.1 0.0.0.0 area 23
第一句network命令把E0和E1端口分配到区域0.0.0.0中，第二句network命令将E2分配到区域23中。注意0.0.0.0的掩码表示匹配所有的IP地址位。如果遇到掩码问题时，这是一个非常简便有效的方法来将一个端口分配到某个特定区域中。
2. 简单的密码验证

简单的密码验证允许一个区只配置一个密码Password），同一个区中的路由器要想参与路由，他们必须配置同一个密码。这种方法的缺点是易受攻击，任何人用线路分析仪都能从网络上窃取密码。使用下面的命令启动密码验证：

ip ospf authentication-key <key> 在特定的端口配置模式下设置）area <area-id> authentication 在路由配置模式"(config-router-ospf）"下设置)

例如：
interface GigabitEthernet1/0/0
ip address 10.10.10.10 255.255.255.0
ip ospf authentication-key mypassword
router ospf 10
network 10.10.0.0 0.0.255.255 area 0
area 0 authentication
3. MD5 验证

MD5 Message Digest Authentication） 是采用加密验证，每个路由器上都必须配置密码和密码ID。 路由器使用一种算法，基于OSPF报文、密码和密码ID产生一个“Message Digest”，然后加到OSPF报文中。不像简单密码验证，MD5验证密码不在网络上传输。每个OSPF报文中还包含有一个序列号以保护网络不受攻击。
这种验证方法可以更改密码而不中断网络业务，这有助于网络管理员在线更改OSPF验证密码。如果一个端口配置了一个新的密码，路由器将会向网络发送同一个报文的多个拷贝，每个报文用不同的密码来验证。当路由器检测到所有的邻居都采纳了新的密码后就会停止发送这种报文的副本。用下面的命令来配置MD5验证：

ip ospf message-digest-key <keyid> md5 <key> 在特定的端口配置模式下设置
area <area-id> authentication message-digest 在路由配置模式
"(config-router-ospf)"下设置)

例如
interface GigabitEthernet1/0/0
ip address 10.10.10.10 255.255.255.0
ip ospf message-digest-key 10 md5 mypassword
router ospf 10
network 10.10.0.0 0.0.255.255 area 0
area 0 authentication message-digest


相关内容