RIPv2 认证示例配置

Size: px

Start display at page:

Download "RIPv2 认证示例配置"

处崔
5 years ago
Views:

1 RIPv2 认证示例配置目录简介先决条件要求使用的组件规则背景信息配置网络图配置配置纯文本认证配置 MD5 认证验证验证纯文本认证验证 MD5 认证故障排除故障排除命令相关信息简介本文档介绍 Routing Information Protocol 版本 2 (RIPv2) 路由信息交换进程身份验证的配置示例 Cisco RIPv2 实施支持两种身份验证模式 : 纯文本身份验证和消息摘要 5 (MD5) 身份验证启用身份验证时, 在每个 RIPv2 数据包中, 纯文本身份验证模式都是默认设置如果考虑安全性, 就不应该使用纯文本身份验证, 因为在每个 RIPv2 数据包中将发送未加密的身份验证口令注意 : RIP 版本 1 (RIPv1) 不支持身份验证如果是发送和接收 RIPv2 数据包, 则可在接口上启用 RIP 身份验证先决条件要求本文档的读者应该对以下主题有一定的基本了解 : RIPv1 和 RIPv2 使用的组件

本文档不限于特定的软件和硬件版本自 Cisco IOS 软件版本 11.1 开始提供了对 RIPv2 的支持, 因此 Cisco IOS 软件版本 11.1 及更高版本支持配置中给出的所有命令测试和更新本文档中的配置时使用的是以下版本的软件和硬件 : Cisco 2500 系列路由器 Cisco IOS 软件版本 12.

2 本文档不限于特定的软件和硬件版本自 Cisco IOS 软件版本 11.1 开始提供了对 RIPv2 的支持, 因此 Cisco IOS 软件版本 11.1 及更高版本支持配置中给出的所有命令测试和更新本文档中的配置时使用的是以下版本的软件和硬件 : Cisco 2500 系列路由器 Cisco IOS 软件版本 12.3(3) 本文档中的信息都是基于特定实验室环境中的设备编写的本文档中使用的所有设备最初均采用原始 ( 默认 ) 配置如果您使用的是真实网络, 请确保您已经了解所有命令的潜在影响规则有关文档规则的详细信息, 请参阅 Cisco 技术提示规则背景信息如今, 安全是网络设计人员的首要关注点之一保护网络包括保护路由器间的路由信息交换, 例如, 确保进入路由表的信息有效, 而且不会由试图干扰网络的人发起或被其篡改攻击者可能会尝试引入无效更新, 以欺骗路由器发送数据到错误的目标地址或严重降低网络性能此外, 由于配置不良 ( 例如不在网络边界上使用 passive interface 命令 ) 或路由器功能不正常, 无效的路由更新可能最终就留在路由表中因此就有必要对路由器上运行的路由更新进程进行身份验证配置本部分提供有关如何配置本文档所述功能的信息注意 : 要查找本文档所用命令的其他信息, 请使用命令查找工具 ( 仅限注册用户 ) 网络图本文档使用下图所示的网络设置以下配置示例中使用的上述网络由两个路由器组成, 即路由器 RA 和路由器 RB, 它们都运行 RIP 并定期交换路由更新通过串行链路进行的这种路由信息交换必须经过身份验证配置执行以下步骤, 以配置 RIPv2 中的身份验证 :

3 1. 为密钥链定义一个名称注意 : 密钥链确定了一组可在接口上使用的密钥如果没有配置密钥链, 在该接口上就不执行身份验证 2. 定义钥匙链上的密钥 3. 指定用于密钥的口令或密钥字符串这是使用所验证的路由协议的数据包中必须发送和接收的身份验证字符串 ( 在下面给出的示例中, 字符串的值是 234 ) 4. 启用接口上的身份验证并指定要使用的密钥链由于身份验证是按接口启用的, 因此对于某个运行 RIPv2 的路由器, 可以在某些特定接口上进行身份验证配置, 而无需其他任何接口也进行身份验证 5. 指定接口是使用纯文本身份验证还是 MD5 身份验证在上一步启用身份验证后,RIPv2 中使用的默认身份验证是纯文本身份验证因此, 如果要使用纯文本身份验证, 则无需执行此步骤 6. 配置密钥管理 ( 此步骤为可选 ) 密钥管理是一种控制身份验证密钥的方法它用于从一个身份验证密钥迁移到另一个有关详细信息, 请参阅配置独立于 IP 路由协议的功能中的管理身份验证密钥部分配置纯文本认证有两种方法可用于对 RIP 更新进行身份验证, 其中之一就是使用纯文本身份验证可按下表所示的方式进行配置 RA key chain kal!--- Name a key chain. A key chain may contain more than one key for added security.!--- It need not be identical on the remote router. key 1!--- This is the Identification number of an authentication key on a key chain.!--- It need not be identical on the remote router. key-string 234!--- The actual password or key-string.!--- It needs to be identical to the keystring on the remote router.! interface Loopback0 ip address ! interface Serial0 ip address ip rip authentication key-chain kal!--- Enables authentication on the interface and configures!--- the key chain that will be used.! router rip version 2 network network RB key chain kal key 1 key-string 234! interface Loopback0 ip address ! interface Serial0 ip address ip rip authentication key-chain kal clockrate 64000! router rip version 2 network network 有关命令的详细信息, 请参阅 Cisco IOS IP 命令参考配置 MD5 认证 MD5 身份验证是一种可选的身份验证模式, 由 Cisco 在原始的 RFC 1723 定义的纯文本身份验证基础之上添加而来除了额外使用 ip rip authentication mode md5 命令之外, 其配置与纯文本身份验证的配置相同对于 MD5 身份验证方法, 用户必须对链路两端的路由器接口都进行配置, 确保两端的密钥编号和密钥字符串匹配

4 RA key chain kal!--- Need not be identical on the remote router. key 1!--- Needs to be identical on remote router. key-string 234!--- Needs to be identical to the key-string on the remote router.! interface Loopback0 ip address ! interface Serial0 ip address ip rip authentication mode md5!--- Specifies the type of authentication used!--- in RIPv2 packets.!--- Needs to be identical on remote router.!-- To restore clear text authentication, use the no form of this command. ip rip authentication key-chain kal! router rip version 2 network network RB key chain kal key 1 key-string 234! interface Loopback0 ip address ! interface Serial0 ip address ip rip authentication mode md5 ip rip authentication key-chain kal clockrate 64000! router rip version 2 network network 有关命令的详细信息, 请参阅 Cisco IOS 命令参考验证验证纯文本认证本部分提供的信息用于确认您的配置可以正常发挥作用如上所示配置路由器之后, 交换的所有路由更新在接收之前都将经过身份验证通过观察 debug ip rip 和 show ip route 命令的输出可以验证这一点注意 : 在发出 debug 命令之前, 请参阅有关 Debug 命令的重要信息 RB#debug ip rip RIP protocol debugging is on *Mar 3 02:11:39.207: RIP: received packet with text authentication 234 *Mar 3 02:11:39.211: RIP: received v2 update from on Serial0 *Mar 3 02:11:39.211: RIP: /8 via in 1 hops RB#show ip route R /8 [120/1] via , 00:00:25, Serial /24 is subnetted, 1 subnets C is directly connected, Loopback /30 is subnetted, 1 subnets C is directly connected, Serial0 使用纯文本身份验证可以防止原本不是要参与本地路由交换进程的路由器发起路由更新, 从而改进网络设计然而, 这种身份验证不安全口令 ( 在本示例中为 234) 的交换采用了纯文本形式这样很容易遭到捕获和利用正如前文所述, 考虑到安全性时, 相对于纯文本身份验证, 更好的方法是选择 MD5 身份验证验证 MD5 认证如上所示配置 RA 和 RB 路由器之后, 交换的所有路由更新在接收之前都将经过身份验证通过观察 debug ip rip 和 show ip route 命令的输出可以验证这一点 RB#debug ip rip RIP protocol debugging is on *Mar 3 20:48:37.046: RIP: received packet with MD5 authentication *Mar 3 20:48:37.046: RIP: received v2 update from on Serial0 *Mar 3 20:48:37.050: /8 via in 1 hops RB#show ip route R /8 [120/1] via

5 , 00:00:03, Serial /24 is subnetted, 1 subnets C is directly connected, Loopback /30 is subnetted, 1 subnets C is directly connected, Serial0 MD5 身份验证使用单向式 MD5 散列算法, 这是一种公认的较强的散列算法在这种身份验证模式下, 路由更新不再出于身份验证目的传输口令相反, 将对口令运行 MD5 算法以生成一则 128 位消息, 然后将此消息发送出去以进行身份验证因此, 考虑到 MD5 身份验证更安全, 推荐使用这种方法而非纯文本身份验证方法故障排除本部分提供的信息可用于对配置进行故障排除故障排除命令命令输出解释程序工具 ( 仅限注册用户 ) 支持某些 show 命令, 使用此工具可以查看对 show 命令输出的分析 debug ip rip 命令可用于在遇到 RIPv2 身份验证相关问题时进行故障排除注意 : 发出 debug 命令之前, 请参阅关于 Debug 命令的重要信息注意 : 下面是一个 debug ip rip 命令输出示例, 其中说明的问题是相邻路由器之间要求完全相同的身份验证相关参数实际上并未匹配这可能导致两个路由器中的某一个或全部都无法在各自的路由表中安装接收到的路由 RA#debug ip rip RIP protocol debugging is on *Mar 1 06:47:42.422: RIP: received packet with text authentication 234 *Mar 1 06:47:42.426: RIP: ignored v2 packet from (invalid authentication) RB#debug ip rip RIP protocol debugging is on *Mar 1 06:48:58.478: RIP: received packet with text authentication 235 *Mar 1 06:48:58.482: RIP: ignored v2 packet from (invalid authentication) 下面的 show ip route 命令输出显示路由器未通过 RIP 获知任何路由 : RB#show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is not set /24 is subnetted, 1 subnets C is directly connected, Loopback /30 is subnetted, 1 subnets C is directly connected, Serial0 RB# 注释 1: 使用纯文本身份验证模式时, 为了成功进行身份验证, 请确保相邻路由器上的以下参数互相匹配密钥字符串身份验证模式注释 2: 使用 MD5 身份验证模式时, 为了成功进行身份验证, 请确保相邻路由器上的以下参数互相匹配密钥字符串密钥编号身份验证模式相关信息

6 Routing Information Protocol (RIP) 简介配置 RIP 配置独立于 IP 路由协议的功能 RIP 命令 Cisco IOS IP 命令参考, 第 2 卷 ( 共 4 卷 ): 路由协议, 版本 12.3 RIP 技术支持页 IP 路由协议技术支持页技术支持 - Cisco Systems

基于点到点链路的 OSPF 的初始配置

基于点到点链路的 OSPF 的初始配置目录简介先决条件要求使用的组件规则带有串行接口 IP 地址的点对点链路上的 OSPF 网络图配置带有未编号接口的点对点链路上的 OSPF 网络图配置验证验证带有串行接口 IP 地址的 OSPF 的配置验证带有未编号接口的 OSPF 的配置故障排除相关信息简介在高级数据链路控制 (HDLC) 和点对点协议 (PPP) 等点对点链路上, 开放最短路径优先 (OSPF)