实验 | OSPF HMAC-SHA 扩展身份验证

我会带着你远行 2023-10-07 17:37 29阅读 0赞

OSPF 过去只支持纯文本和MD5 身份验证，但从 IOS 15.4(1)T 开始，OSPF 也支持 HMAC-SHA（哈希消息身份验证代码安全哈希算法）。除了新算法之外，您配置身份验证的方式也发生了变化。OSPF 现在使用密钥链，如 RIP 和 EIGRP。

为了演示 HMAC-SHA 身份验证，我们将使用这两个路由器：

![2901f59f74d8925b2aa66c0a6d7888fc.png][]

### 1、配置 ###

在两个路由器上启用 OSPF：

R1(config)#router ospf 1
    R1(config-router)#network 192.168.12.0 0.0.0.255 area 0

R2(config)#router ospf 1
    R2(config-router)#network 192.168.12.0 0.0.0.255 area 0

#### 1.1、R1： ####

首先，我们必须创建一个钥匙链，钥匙链的名称**仅在本地有意义**，两台路由器上的密钥 ID 必须相同，我将其命名为 R1 并使用密钥 1：

R1(config)#key chain R1
    R1(config-keychain)#key 1

在钥匙链配置中，我们要做两件事，首先，我们必须告诉路由器我们要使用不同的加密算法：

R1(config-keychain-key)#cryptographic-algorithm ?
      hmac-sha-1    HMAC-SHA-1 authentication algorithm
      hmac-sha-256  HMAC-SHA-256 authentication algorithm
      hmac-sha-384  HMAC-SHA-384 authentication algorithm
      hmac-sha-512  HMAC-SHA-512 authentication algorithm
      md5           MD5 authentication algorithm

如上所示，我们可以选择 HMAC-SHA 选项之一，这种新的钥匙链方法也支持 MD5，让我们使用最安全的 HMAC-SHA 选项：

R1(config-keychain-key)#cryptographic-algorithm hmac-sha-512

我们必须配置的另一件事是密钥字符串，我们要使用的密码：

R1(config-keychain-key)#key-string R1_R2_PASSWORD

现在唯一要做的就是启用身份验证，这只能在界面上完成，您不能使用此方法为整个区域启用它：

R1(config)#interface GigabitEthernet 0/1
    R1(config-if)#ip ospf authentication key-chain R1

#### 1.2、R2 ####

R2(config)#key chain R2
    R2(config-keychain)#key 1
    R2(config-keychain-key)#cryptographic-algorithm hmac-sha-512
    R2(config-keychain-key)#key-string R1_R2_PASSWORD
    
    R2(config)#interface GigabitEthernet 0/1
    R2(config-if)#ip ospf authentication key-chain R2

这就是我们需要配置的全部内容。

### 2、确认 ###

检查是否启用了身份验证：

R1#show ip ospf interface GigabitEthernet 0/1 | begin auth
      Cryptographic authentication enabled
        Sending SA: Key 1, Algorithm HMAC-SHA-512 - key chain R1

R2#show ip ospf interface GigabitEthernet 0/1 | begin auth
      Cryptographic authentication enabled
        Sending SA: Key 1, Algorithm HMAC-SHA-512 - key chain R2

如上所示，使用 HMAC-SHA-512 启用身份验证，确保我们的两个路由器是邻居：

R1#show ip ospf neighbor 
    
    Neighbor ID     Pri   State           Dead Time   Address         Interface
    192.168.12.2      1   FULL/DR         00:00:31    192.168.12.2    GigabitEthernet0/1

R2#show ip ospf neighbor 
    
    Neighbor ID     Pri   State           Dead Time   Address         Interface
    192.168.12.1      1   FULL/BDR        00:00:33    192.168.12.1    GigabitEthernet0/1

### 3、总结 ###

本文主要介绍了如何启用 OSPF HMAC-SHA 身份验证：

*  OSPF 从 IOS 15.4(1)T 开始支持 HMAC-SHA 身份验证。
 *  身份验证是使用密钥链配置的，类似于 RIP 和 EIGRP。
 *  除了密钥字符串，还必须配置要在密钥链上使用的加密算法。

[2901f59f74d8925b2aa66c0a6d7888fc.png]: https://img-blog.csdnimg.cn/img_convert/2901f59f74d8925b2aa66c0a6d7888fc.png