تكوين المصادقة في أقصر مسار مفتوح أولا
المحتويات
المقدمة
يوضح هذا المستند كيفية تكوين مصادقة فتح أقصر مسار أولا (OSPF) والسماح بالمرونة لمصادقة جيران OSPF.
المتطلبات الأساسية
المتطلبات
يجب أن يكون قراء هذا المستند على دراية بالمفاهيم الأساسية لبروتوكول توجيه OSPF. ارجع إلى المعلومات أو بروتوكول توجيه OSPF.
المكونات المستخدمة
تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية.
-
الموجهات طراز 2503 من Cisco
-
برنامج IOS® الإصدار 12.2(27) من Cisco
تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.
الاصطلاحات
راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.
معلومات أساسية
يعرض هذا المستند نموذجا لتكوينات مصادقة فتح أقصر مسار أولا (OSPF) التي تتيح المرونة لمصادقة جيران OSPF. يمكنك تمكين المصادقة في OSPF من أجل تبادل معلومات تحديث التوجيه بطريقة آمنة. يمكن أن تكون مصادقة OSPF إما بلا (أو خالية) أو بسيطة أو MD5. يعني أسلوب المصادقة "none" عدم إستخدام أية مصادقة ل OSPF وهو الطريقة الافتراضية. باستخدام المصادقة البسيطة، يتم إدخال كلمة المرور في نص واضح عبر الشبكة. باستخدام مصادقة MD5، لا تمر كلمة المرور عبر الشبكة. MD5 هي خوارزمية ملخص الرسائل المحددة في RFC 1321. يعد MD5 وضع مصادقة OSPF الأكثر أمانا. عند تكوين المصادقة، يجب تكوين منطقة بأكملها بنفس نوع المصادقة. مع الإصدار 12.0(8) من برنامج Cisco IOS، يتم دعم المصادقة على أساس كل واجهة. وهذا مذكور أيضا في الملحق د من RFC 2328.
هذه هي الأنواع الثلاثة المختلفة للمصادقة التي يدعمها OSPF:
-
المصادقة الخالية— يسمى هذا أيضا النوع 0 وهو يعني عدم تضمين معلومات المصادقة في رأس الحزمة. وهو الوضع الافتراضي.
-
مصادقة النص العادي— يسمى هذا أيضا النوع 1 ويستخدم كلمات مرور بسيطة للنص الواضح.
-
مصادقة MD5— يسمى هذا أيضا النوع 2 ويستخدم كلمات مرور تشفير MD5.
لا يلزم تعيين المصادقة. ومع ذلك، إذا تم تعيينها، فيجب أن يكون لجميع موجهات النظير في نفس المقطع نفس كلمة المرور وأسلوب المصادقة. توضح الأمثلة الواردة في هذا المستند تكوينات لكل من النص العادي ومصادقة MD5.
التكوين
يقدم لك هذا القسم معلومات تكوين الميزات التي يصفها هذا المستند.
الرسم التخطيطي للشبكة
يستخدم هذا المستند إعداد الشبكة التالي.
الرسم التخطيطي للشبكة
تكوينات لمصادقة النص العادي
يتم إستخدام مصادقة النص العادي عندما لا تستطيع الأجهزة الموجودة داخل منطقة ما دعم مصادقة MD5 الأكثر أمانا. تترك مصادقة النص العادي الشبكة البينية عرضة ل "هجوم sniffer"، حيث يتم التقاط الحزم بواسطة محلل بروتوكول ويمكن قراءة كلمات المرور. ومع ذلك، فإنه يكون مفيدا عند إجراء إعادة تكوين OSPF، بدلا من توفيره للأمان. على سبيل المثال، يمكن إستخدام كلمات مرور منفصلة على موجهات OSPF الأقدم والأحدث التي تشترك في شبكة بث مشتركة لمنع الاتصال بين الموجهات. لا يجب أن تكون كلمات مرور مصادقة النص العادي هي نفسها عبر منطقة ما، ولكن يجب أن تكون هي نفسها بين الجيران.
-
الفئة R2-2503
-
R1-2503
| الفئة R2-2503 |
|---|
interface Loopback0 ip address 10.70.70.70 255.255.255.255 ! interface Serial0 ip address 192.168.64.10 255.255.255.0 ip ospf authentication-key c1$c0 !--- The Key value is set as "c1$c0 ". !--- It is the password that is sent across the network. ! router ospf 10 log-adjacency-changes network 10.70.0.70 0.255.255.255 area 0 network 192.168.10.10 0.0.0.255 area 0 area 0 authentication !--- Plain text authentication is enabled for !--- all interfaces in Area 0. |
| R1-2503 |
|---|
interface Loopback0 ip address 172.16.10.36 255.255.255.240 ! interface Serial0 ip address 192.168.0.10 255.255.255.0 ip ospf authentication-key c1$c0 !--- The Key value is set as "c1$c0 ". !--- It is the password that is sent across the network. ! router ospf 10 network 172.16.0.0 0.0.255.255 area 0 network 192.168.10.10 0.0.0.255 area 0 area 0 authentication !--- Plain text authentication is enabled !--- for all interfaces in Area 0. |
تكوينات مصادقة MD5
توفر مصادقة MD5 أمانا أعلى من مصادقة النص العادي. تستخدم هذه الطريقة خوارزمية MD5 لحساب قيمة تجزئة من محتويات حزمة OSPF وكلمة مرور (أو مفتاح). يتم إرسال قيمة التجزئة هذه في الحزمة، مع معرف مفتاح ورقم تسلسلي غير متناقص. المستقبل، الذي يعرف نفس كلمة المرور، يحسب قيمة التجزئة الخاصة به. إذا لم يتغير أي شيء في الرسالة، يجب أن تتطابق قيمة التجزئة الخاصة بالمستلم مع قيمة التجزئة الخاصة بالمرسل التي يتم إرسالها مع الرسالة.
يسمح معرف المفتاح للموجهات بالإشارة إلى كلمات مرور متعددة. وهذا يجعل ترحيل كلمة المرور أسهل وأكثر أمانا. على سبيل المثال، للترحيل من كلمة مرور إلى أخرى، قم بتكوين كلمة مرور ضمن معرف مفتاح مختلف وقم بإزالة المفتاح الأول. يمنع رقم التسلسل هجمات إعادة التشغيل، والتي يتم فيها التقاط حزم OSPF وتعديلها وإعادة إرسالها إلى موجه. وكما هو الحال مع مصادقة النص العادي، لا يلزم أن تكون كلمات مرور مصادقة MD5 هي نفسها طوال المنطقة. ولكن يجب ان تكون هي نفسها بين الجيران.
-
الفئة R2-2503
-
R1-2503
| الفئة R2-2503 |
|---|
interface Loopback0 ip address 10.70.70.70 255.255.255.255 ! interface Serial0 ip address 192.168.64.10 255.255.255.0 ip ospf message-digest-key 1 md5 c1$c0 !--- Message digest key with ID "1" and !--- Key value (password) is set as "c1$c0 ". ! router ospf 10 network 192.168.10.10 0.0.0.255 area 0 network 10.70.0.70 0.255.255.255 area 0 area 0 authentication message-digest !--- MD5 authentication is enabled for !--- all interfaces in Area 0. |
| R1-2503 |
|---|
interface Loopback0 ip address 172.16.10.36 255.255.255.240 ! interface Serial0 ip address 192.168.0.10 255.255.255.0 ip ospf message-digest-key 1 md5 c1$c0 !--- Message digest key with ID "1" and !--- Key (password) value is set as "c1$c0 ". ! router ospf 10 network 172.16.0.0 0.0.255.255 area 0 network 192.168.10.10 0.0.0.255 area 0 area 0 authentication message-digest !--- MD5 authentication is enabled for !--- all interfaces in Area 0. |
التحقق من الصحة
توفر هذه الأقسام معلومات يمكنك إستخدامها للتأكد من أن التكوينات تعمل بشكل صحيح.
التحقق من مصادقة النص العادي
أستخدم الأمر show ip ospf interface لعرض نوع المصادقة الذي تم تكوينه للواجهة، كما يوضح هذا الإخراج. هنا، تم تكوين الواجهة 0 التسلسلية لمصادقة النص العادي.
R1-2503#show ip ospf interface serial0
Serial0 is up, line protocol is up
Internet Address 192.168.0.10/24, Area 0
Process ID 10, Router ID 172.16.10.36, Network Type POINT_TO_POINT, Cost: 64
Transmit Delay is 1 sec, State POINT_TO_POINT,
Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5
Hello due in 00:00:04
Index 2/2, flood queue length 0
Next 0x0(0)/0x0(0)
Last flood scan length is 1, maximum is 1
Last flood scan time is 0 msec, maximum is 4 msec
Neighbor Count is 0, Adjacent neighbor count is 0
Suppress hello for 0 neighbor(s)
Simple password authentication enabled
يعرض الأمر show ip ospf neighbor الجدول المجاور الذي يتكون من التفاصيل المجاورة، كما يظهر هذا الإخراج.
R1-2503#show ip ospf neighbor Neighbor ID Pri State Dead Time Address Interface 10.70.70.70 1 FULL/ - 00:00:31 192.168.64.10 Serial0
يعرض الأمر show ip route جدول التوجيه، كما يوضح هذا الإخراج.
R1-2503#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
10.70.0.70/32 is subnetted, 1 subnets
O 10.70.70.70 [110/65] via 192.168.64.10, 00:03:28, Serial0
172.16.0.0/28 is subnetted, 1 subnets
C 172.16.10.32 is directly connected, Loopback0
C 192.168.10.10/24 is directly connected, Serial0
التحقق من مصادقة MD5
أستخدم الأمر show ip ospf interface لعرض نوع المصادقة الذي تم تكوينه للواجهة، كما يوضح هذا الإخراج. هنا، تم تكوين الواجهة 0 التسلسلية لمصادقة MD5 بمعرف المفتاح "1".
R1-2503#show ip ospf interface serial0
Serial0 is up, line protocol is up
Internet Address 192.168.0.10/24, Area 0
Process ID 10, Router ID 172.16.10.36 , Network Type POINT_TO_POINT, Cost: 64
Transmit Delay is 1 sec, State POINT_TO_POINT,
Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5
Hello due in 00:00:05
Index 2/2, flood queue length 0
Next 0x0(0)/0x0(0)
Last flood scan length is 1, maximum is 1
Last flood scan time is 0 msec, maximum is 4 msec
Neighbor Count is 1, Adjacent neighbor count is 1
Adjacent with neighbor 10.70.70.70
Suppress hello for 0 neighbor(s)
Message digest authentication enabled
Youngest key id is 1
يعرض الأمر show ip ospf neighbor الجدول المجاور الذي يتكون من التفاصيل المجاورة، كما يظهر هذا الإخراج.
R1-2503#show ip ospf neighbor Neighbor ID Pri State Dead Time Address Interface 10.70.70.70 1 FULL/ - 00:00:34 192.168.64.10 Serial0 R1-2503#
يعرض الأمر show ip route جدول التوجيه، كما يوضح هذا الإخراج.
R1-2503#show ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route
Gateway of last resort is not set
10.70.0.70/32 is subnetted, 1 subnets
O 10.70.70.70 [110/65] via 192.168.64.10, 00:01:23, Serial0
172.16.0.0/28 is subnetted, 1 subnets
C 172.16.10.32 is directly connected, Loopback0
C 192.168.10.10/24 is directly connected, Serial0
استكشاف الأخطاء وإصلاحها
توفر هذه الأقسام معلومات يمكنك إستخدامها لاستكشاف أخطاء التكوينات وإصلاحها. قم بإصدار الأمر debug ip ospf adj من أجل التقاط عملية المصادقة. يجب إصدار أمر تصحيح الأخطاء هذا قبل إنشاء علاقة الجوار.
أستكشاف أخطاء مصادقة النص العادي وإصلاحها
يظهر إخراج deb ip ospf adj ل R1-2503 عندما تكون مصادقة النص العادي ناجحة.
R1-2503#debug ip ospf adj 00:50:57: %LINK-3-UPDOWN: Interface Serial0, changed state to down 00:50:57: OSPF: Interface Serial0 going Down 00:50:57: OSPF: 172.16.10.36 address 192.168.0.10 on Serial0 is dead, state DOWN 00:50:57: OSPF: 10.70.70.70 address 192.168.64.10 on Serial0 is dead, state DOWN 00:50:57: %OSPF-5-ADJCHG: Process 10, Nbr 10.70.70.70 on Serial0 from FULL to DOWN, Neighbor Down: Interface down or detached 00:50:58: OSPF: Build router LSA for area 0, router ID 172.16.10.36, seq 0x80000009 00:50:58: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0, changed state to down 00:51:03: %LINK-3-UPDOWN: Interface Serial0, changed state to up 00:51:03: OSPF: Interface Serial0 going Up 00:51:04: OSPF: Build router LSA for area 0, router ID 172.16.10.36, seq 0x8000000A 00:51:04: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0, changed state to up 00:51:13: OSPF: 2 Way Communication to 10.70.70.70 on Serial0, state 2WAY 00:51:13: OSPF: Send DBD to 10.70.70.70 on Serial0 seq 0x2486 opt 0x42 flag 0x7 len 32 00:51:13: OSPF: Rcv DBD from 10.70.70.70 on Serial0 seq 0x19A4 opt 0x42 flag 0x7 len 32 mtu 1500 state EXSTART 00:51:13: OSPF: First DBD and we are not SLAVE 00:51:13: OSPF: Rcv DBD from 10.70.70.70 on Serial0 seq 0x2486 opt 0x42 flag 0x2 len 72 mtu 1500 state EXSTART 00:51:13: OSPF: NBR Negotiation Done. We are the MASTER 00:51:13: OSPF: Send DBD to 10.70.70.70 on Serial0 seq 0x2487 opt 0x42 flag 0x3 len 72 00:51:13: OSPF: Database request to 10.70.70.70 00:51:13: OSPF: sent LS REQ packet to 192.168.64.10, length 12 00:51:13: OSPF: Rcv DBD from 10.70.70.70 on Serial0 seq 0x2487 opt 0x42 flag 0x0 len 32 mtu 1500 state EXCHANGE 00:51:13: OSPF: Send DBD to 10.70.70.70 on Serial0 seq 0x2488 opt 0x42 flag 0x1 len 32 00:51:13: OSPF: Rcv DBD from 10.70.70.70 on Serial0 seq 0x2488 opt 0x42 flag 0x0 len 32 mtu 1500 state EXCHANGE 00:51:13: OSPF: Exchange Done with 10.70.70.70 on Serial0 00:51:13: OSPF: Synchronized with 10.70.70.70 on Serial0, state FULL !--- Indicates the neighbor adjacency is established. 00:51:13: %OSPF-5-ADJCHG: Process 10, Nbr 10.70.70.70 on Serial0 from LOADING to FULL, Loading Done 00:51:14: OSPF: Build router LSA for area 0, router ID 172.16.10.36, seq 0x8000000B R1-2503#
هذا هو مخرج الأمر debug ip ospf adj عندما يكون هناك عدم تطابق في نوع المصادقة التي تم تكوينها على الموجهات. يوضح هذا الإخراج أن الموجه R1-2503 يستخدم مصادقة النوع 1 بينما يتم تكوين الموجه R2-2503 لمصادقة النوع 0. هذا يعني أنه تم تكوين الموجه R1-2503 لمصادقة النص العادي (النوع 1) في حين تم تكوين الموجه R2-2503 للمصادقة الخالية (النوع 0).
R1-2503#debug ip ospf adj 00:51:23: OSPF: Rcv pkt from 192.168.64.10, Serial0 : Mismatch Authentication type. !--- Input packet specified type 0, you use type 1.
هذا هو مخرج الأمر debug ip ospf adj عندما يكون هناك عدم تطابق في قيم مفتاح المصادقة (كلمة المرور). في هذه الحالة، تم تكوين كلا الموجهين لمصادقة النص العادي (النوع 1) ولكن هناك عدم تطابق في قيم المفتاح (كلمة المرور).
R1-2503#debug ip ospf adj 00:51:33: OSPF: Rcv pkt from 192.168.64.10, Serial0 : Mismatch Authentication Key - Clear Text
أستكشاف أخطاء مصادقة MD5 وإصلاحها
هذا هو مخرج الأمر debug ip ospf adj ل R1-2503 عندما تكون مصادقة MD5 ناجحة.
R1-2503#debug ip ospf adj 00:59:03: OSPF: Send with youngest Key 1 00:59:13: OSPF: Send with youngest Key 1 00:59:17: %LINK-3-UPDOWN: Interface Serial0, changed state to down 00:59:17: OSPF: Interface Serial0 going Down 00:59:17: OSPF: 172.16.10.36 address 192.168.0.10 on Serial0 is dead, state DOWN 00:59:17: OSPF: 10.70.70.70 address 192.168.64.10 on Serial0 is dead, state DOWN 00:59:17: %OSPF-5-ADJCHG: Process 10, Nbr 10.70.70.70 on Serial0 from FULL to DOWN, Neighbor Down: Interface down or detached 00:59:17: OSPF: Build router LSA for area 0, router ID 172.16.10.36, seq 0x8000000E 00:59:18: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0, changed state to down 00:59:32: %LINK-3-UPDOWN: Interface Serial0, changed state to up 00:59:32: OSPF: Interface Serial0 going Up 00:59:32: OSPF: Send with youngest Key 1 00:59:33: OSPF: Build router LSA for area 0, router ID 172.16.10.36, seq 0x8000000F 00:59:33: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0, changed state to up 00:59:42: OSPF: Send with youngest Key 1 00:59:42: OSPF: 2 Way Communication to 10.70.70.70 on Serial0, state 2WAY !--- Both neighbors configured for Message !--- digest authentication with Key ID "1". 00:59:42: OSPF: Send DBD to 10.70.70.70 on Serial0 seq 0x2125 opt 0x42 flag 0x7len 32 00:59:42: OSPF: Send with youngest Key 1 00:59:42: OSPF: Rcv DBD from 10.70.70.70 on Serial0 seq 0x11F3 opt 0x42 flag 0x7 len 32 mtu 1500 state EXSTART 00:59:42: OSPF: First DBD and we are not SLAVE 00:59:42: OSPF: Rcv DBD from 10.70.70.70 on Serial0 seq 0x2125 opt 0x42 flag 0x2 len 72 mtu 1500 state EXSTART 00:59:42: OSPF: NBR Negotiation Done. We are the MASTER 00:59:42: OSPF: Send DBD to 10.70.70.70 on Serial0 seq 0x2126 opt 0x42 flag 0x3 len 72 00:59:42: OSPF: Send with youngest Key 1 00:59:42: OSPF: Send with youngest Key 1 00:59:42: OSPF: Database request to 10.70.70.70 00:59:42: OSPF: sent LS REQ packet to 192.168.64.10, length 12 00:59:42: OSPF: Rcv DBD from 10.70.70.70 on Serial0 seq 0x2126 opt 0x42 flag 0x0 len 32 mtu 1500 state EXCHANGE 00:59:42: OSPF: Send DBD to 10.70.70.70 on Serial0 seq 0x2127 opt 0x42 flag 0x1len 32 00:59:42: OSPF: Send with youngest Key 1 00:59:42: OSPF: Send with youngest Key 1 00:59:42: OSPF: Rcv DBD from 10.70.70.70 on Serial0 seq 0x2127 opt 0x42 flag 0x0 len 32 mtu 1500 state EXCHANGE 00:59:42: OSPF: Exchange Done with 10.70.70.70 on Serial0 00:59:42: OSPF: Synchronized with 10.70.70.70 on Serial0, state FULL 00:59:42: %OSPF-5-ADJCHG: Process 10, Nbr 10.70.70.70 on Serial0 from LOADING to FULL, Loading Done 00:59:43: OSPF: Build router LSA for area 0, router ID 172.16.10.36, seq 0x80000010 00:59:43: OSPF: Send with youngest Key 1 00:59:45: OSPF: Send with youngest Key 1 R1-2503#
هذا هو مخرج الأمر debug ip ospf adj عندما يكون هناك عدم تطابق في نوع المصادقة التي تم تكوينها على الموجهات. يوضح هذا الإخراج أن الموجه R1-2503 يستخدم مصادقة النوع 2 (MD5) بينما يستخدم الموجه R2-2503 مصادقة النوع 1 (مصادقة النص العادي).
R1-2503#debug ip ospf adj 00:59:33: OSPF: Rcv pkt from 192.168.64.10, Serial0 : Mismatch Authentication type. !--- Input packet specified type 1, you use type 2.
هذا هو مخرج الأمر debug ip ospf adj عندما يكون هناك عدم تطابق في معرفات المفاتيح التي يتم إستخدامها للمصادقة. يوضح هذا الإخراج أن الموجه R1-2503 يستخدم مصادقة MD5 مع معرف المفتاح 1، بينما يستخدم الموجه R2-2503 مصادقة MD5 مع معرف المفتاح 2.
R1-2503#debug ip ospf adj 00:59:33: OSPF: Send with youngest Key 1 00:59:43: OSPF: Rcv pkt from 192.168.64.10, Serial0 : Mismatch Authentication Key - No message digest key 2 on interface
يظهر إخراج الأمر debug ip ospf adj هذا ل R1-2503 عند تكوين كل من المفتاح 1 والمفتاح 2 لمصادقة MD5 كجزء من الترحيل.
R1-2503#debug ip ospf adj 00:59:43: OSPF: Send with youngest Key 1 00:59:53: OSPF: Send with youngest Key 2 !--- Informs that this router is also configured !--- for Key 2 and both routers now use Key 2. 01:00:53: OSPF: 2 Way Communication to 10.70.70.70 on Serial0, state 2WAY R1-2503#
معلومات ذات صلة
محفوظات المراجعة
| المراجعة | تاريخ النشر | التعليقات |
|---|---|---|
2.0 |
21-Aug-2023 |
تقويم |
1.0 |
10-Dec-2001 |
الإصدار الأولي |
التعليقات