配置 IS-IS 认证

Size: px

Start display at page:

Download "配置 IS-IS 认证"

妤享安
5 years ago
Views:

1 配置 IS-IS 认证目录简介先决条件要求使用的组件背景信息配置接口认证区域验证域认证结合域区域和接口认证验证故障排除相关信息简介配置路由协议的验证为了防止有恶意的信息的介绍到路由表是理想的本文展示在运行 IP 的路由器之间的明文验证中间系统对中间系统 (IS-IS) 本文只包括 IS-IS 明文验证参考增强在 IS-IS 网络的安全关于 IS-IS 验证的更多信息其他类型先决条件要求本文读者应该熟悉 IS-IS 操作和配置使用的组件本文档不限于特定的软件和硬件版本在本文的配置在思科 2500 系列路由器测试了, 运行 Cisco IOS 版本 12.2(24a) 背景信息 IS-IS 允许一个密码的配置一条指定的链路区域或者域的要变为邻居的路由器必须交换他们的已配置的级别的同一个密码验证一个路由器不拥有适当的密码被禁止参与对应的功能 ( 即可能不初始化链路, 是区域的成员或者是 2 级域的成员, 分别 )

2 Cisco IOS 软件允许 IS-IS 验证的三种类型将配置的 IS-IS 验证 - 长期地, 这是配置 IS-IS 的验证的唯一方法 IS-IS HMAC-MD5 验证 - 此功能添加一 HMAC-MD5 摘要到每 IS-IS 协议数据单元 (PDU) 在 Cisco IOS 软件版本 12.2(13)T 介绍和有限数量平台只支持它增强版明文验证 - 使用此新特性, 明文验证可以配置使用允许将加密的密码的新的命令, 当软件配置显示时它也使密码更加容易管理和更改注意 : 参考增强在 IS-IS 网络的安全关于 ISIS MD-5 和增强版明文验证的信息 IS-IS 协议, 在 RFC 1142 提供 Hello 的验证的和链路状态数据包 (LSP) 上指定通过认证信息包括作为 LSP 一部分三倍, 此认证信息编码, 当类型长度值 (TLV) 验证 TLV 的种类是 10;TLV 的长度可变 ; 并且 TLV 的值取决于使用的认证类型默认情况下, 验证禁用配置此部分讨论如何配置 IS-IS 明文验证在链路, 区域的和域的注意 : 要寻找关于用于本文的命令的其他信息, 请使用最佳实践搜索命令 ( 仅限注册用户 ) 接口认证当您配置在接口时的 IS-IS 验证, 您能启用 1 级的密码, 2 级, 或者两 L1/L2 路由如果不指定级别, 默认是 1 级, 并且级别 2. 根据验证配置的级别, 密码输入对应的 Hello 消息级别 IS-IS 接口验证应该跟踪邻接种类在接口的请使用 show clns neighbor 命令发现邻接种类对于区域和域认证, 您不能指定级别网络图和配置接口认证的在 Ethernet0 和, Ethernet0 如下所示和是两已配置的与 isis 1 级的密码 SECr3t 和 2 级这些密码区分大小写默认情况下在 Cisco 路由器上配置与无连接网络服务 (CLNS) IS-IS, 在他们之间的 CLNS 邻接是 L1/L2 因此, 和将有邻接两个类型, 除非特别地配置为 1 级或 2 级 isis password SECr3t isis password SECr3t

3 区域验证网络图和配置区域验证的如下所示当区域验证配置时, 密码输入 L1 LSP CSNPs 和 PSNPS 所有路由器是在同一个 IS-IS 区域, , 并且他们全部用更加严密的区域密码配置路由器 C ip address ip address net 路由器 D ip address ip address net

4 域认证网络图和配置域认证的如下所示和是在 IS-IS 区域 ; 路由器 C 在 IS-IS 区域 ; 并且路由器 D 在区域所有路由器是在同一个 IS-IS 域 (49) 和用域密码安全配置路由器 C ip address ip address net 路由器 D ip address ip address net

5 结合域区域和接口认证拓扑和部分配置在此部分说明域区域和接口认证的组合和在同一个区域和用更加严密的区域密码配置路由器 C 和路由器 D 比和. 属于两个不同的区域所有路由器是在同一个域并且共享域级密码安全和路由器 C 有以太网链路的一个接口配置他们之间路由器 C 和路由器 D 形成 L2 与他们的邻居的仅邻接, 并且配置区域密码没有要求路由器 C ip address isis password Fri3nd level-2 interfaceethernet0 clns isis password Fri3nd level-2 domain-passwordsecurity 路由器 D ip address ip address

6 ip address net net 验证确定请显示命令支持 Cisco CLI 分析器 ( 仅限注册用户 ), 允许您查看 show 命令输出分析要验证, 如果接口认证是工作正常, 请使用 show clns neighbors 命令在用户 EXEC 或特权 EXEC 模式命令的输出显示连接的邻接类型和状态从 show clns neighbors 命令的此输出示例 : 显示为接口认证正确地配置的路由器并且显示状态作为 : RouterA# show clns neighbors System Id Interface SNPA State Holdtime Type Protocol RouterB Et c Up 27 L1L2 IS-IS 对于区域和域认证, 验证的验证可以完成使用调试指令按照下一部分说明故障排除另一方面如果连接的路由器直接地有在链路的一端配置的验证, 和没有, 路由器不形成 CLNS IS- IS 邻接在下面的输出中, 为在其 Ethernet0 接口的接口认证配置, 并且没有配置与在其毗邻接口的验证 show clns neighbors System Id Interface SNPA State Holdtime Type Protocol Router_B Et0 00e0.b064.46ec Init 265 IS ES-IS Router_B# show clns neighbors 如果连接的路由器直接地有在链路的一端配置的区域验证, CLNS IS-IS 邻接形成在两个路由之间然而, 区域验证配置的路由器, 不接受 L1 从 CLNS 邻居的 LSP 没有配置的区域验证然而, 没有区域验证的邻居继续接受 L1 和 L2 LSP 这是在区域验证是配置和接收 L1 从邻居的的调试消息 ( 没有区域验证的) 的 LSP : deb isis update-packets IS-IS Update related packet debugging is on *Mar 1 00:47:14.755: ISIS-Upd: Rec L1 LSP , seq 3, ht 1128, *Mar 1 00:47:14.759: ISIS-Upd: from SNPA c (Ethernet0) *Mar 1 00:47:14.763: ISIS-Upd: LSP authentication failed *Mar 1 00:47:24.455: ISIS-Upd: Rec L1 LSP , seq 3, ht 1118, *Mar 1 00:47:24.459: ISIS-Upd: from SNPA c (Ethernet0) *Mar 1 00:47:24.463: ISIS-Upd: LSP authentication failed RouterA# 如果配置在一个路由器的域认证, 拒绝从不安排域认证配置的路由器的 L2 LSP 不安排验证配置接受从路由器的 LSP 有配置的验证的路由器

7 下面的 debug 输出显示 LSP 认证失败路由器 CA 为区域或域认证配置并且是从没有为域或密码验证配置的路由器 ( 路由器 DB) 的接受级别 2 LSP debug isis update-packets IS-IS Update related packet debugging is on *Mar 1 02:32:48.315: ISIS-Upd: Rec L2 LSP , seq 8, ht 374, *Mar 1 02:32:48.319: ISIS-Upd: from SNPA c (Ethernet0) *Mar 1 02:32:48.319: ISIS-Upd: LSP authentication failed *Mar 1 02:32:57.723: ISIS-Upd: Rec L2 LSP , seq 8, ht 365, *Mar 1 02:32:57.727: ISIS-Upd: from SNPA c (Ethernet0) *Mar 1 02:32:57.727: ISIS-Upd: LSP authentication failed 相关信息 IP 路由支持页技术支持和文档 - Cisco Systems

IS-IS路由协议中文教程v1

IS-IS路由协议中文教程v1 IS-IS v1.0 Chapter 0 Preface Statement BSCI Building Scalable Cisco Internetworks Configuring IS-IS Protocol IS-IS IS-IS OSI TCP/IP IS-IS OSPF Cisco System BSCI Student Guide Outline 1 OSI IS-IS 2 IS-IS