こんにちは。
そして、私がいるこの ビデオへようこそ
実装について 話します
OSPF認証。
OSPF認証とは何かについて 簡単に確認します
利用可能な 認証オプション。
次に、 方法の例をいくつか見ていきます。
システム。
そして最後に、 いくつかのshowコマンドを見ていきます
それでは、おそらく 最も明白な質問から始めましょう
以前は、なぜ認証を構成したいのですか？
そもそも？
OSPFだけが ルーティングプロトコルではありません
認証をサポートします。
他の多くの ルーティングプロトコルが行います。
そして、簡単な答えは なりすましを防ぐことです。
ルーティングプロトコル攻撃を防ぐため。
ほら、あなたはあなたのルーターに 隣人関係を形成させたいのです
他の 許可されたルーターでのみ。
そのルーターを壁のRJ45 ネットワーキングジャックに接続しますか？
そして今、私たちは彼らの手に不正な ルーターを持っています。
そして、彼らがいくつかの スニファートレースを行う場合、
彼らは私たちの OSPFこんにちはか何かを見るかもしれません、
そうすれば、 このインターフェースがどの領域にあるかがわかります。
にあるはずです。
そして、彼らは彼らの 不正なルーターを私たちのルーターに接続することができます
だから私たちは それだけを確実にしたいのです
正規の承認済み 企業ルーターが想定されています
不正な無許可のルーターを使用します。
さて、これをどのように行うのですか？
そして、認証はこれを行うための 最も簡単な方法です。
したがって、 認証の背後にある考え方
単にあなたと 私がハローパケットを送信しているときです
お互いに、 こんにちはパケットの中で、ナンバーワン、
2つ目は、 お互いにどのタイプかを通知することです。
私たちが行っている認証の
そして、3番目の 私たちは実際に
あなたと私ができるように 認証データを取得します
私たちが実際に お互いに話すことになっていることを確認してください。
さて、 実際に設定しているとき
OSPFバージョン 2の認証は、2段階のプロセスです。
第一に、 識別または構成する必要があります
使用する認証の種類 、
少なくとも、 2つの選択肢があるからです。
Ciscoデバイスでは、 それ以上のものがある可能性があります。
そして、あなたも
パスワードはです。
そして、それを 特定した後、
隣人ごとに あなたが選択することができます
したがって、これは インターフェイスコマンドになります。
インターフェースに移動します。
このインターフェースで、 認証を実行したいとおっしゃっています。
そして、これが それを実現するために必要なすべての情報です。
ご覧のとおり、 スニファトレースの例を次に示します。
それは私たちを示しています。
OSPFパケットでは、 リンク状態であるかどうかに注意してください
更新、リンク状態 確認、またはこんにちは、
これらはすべて、 一般的なOSPFヘッダーです。
だからそれはいつも そこに行くだろう、
こんにちはかどうか、リンクの状態の更新、何があっても 。
そして、あなたはすぐそこに見ることができます ヘッダーには私たちがいる場所があります
認証用のフィールド。
さて、この 特定のケースでは、私たちは
null認証を使用します。 これは基本的に私がそうではないことを意味します
まったく認証を行っています。
しかし、 認証を行っている場合は、
これは別のことです。
だから私が今まで見た中で最も多いのは3種類です
一般的なタイプの 認証。
プレーンテキストの 認証があります、
推奨されません。
そして、 その理由をすぐにお見せします。
MD5認証があります。
そして、私はそこにあるすべての ベンダーがサポートしていると確信しています
少なくともこれらの2つ。
したがって、例として Vyosを扱う場合、
これらは、プレーンテキストとMD5の2つのオプションです。
現在、シスコは さらに一歩進んでいます。
シスコでは、ハッシュ化された メッセージ認証コードを実行できます
安全なハッシュアルゴリズムを使用します。
基本的に、それは より派手で強力な方法です
MD5よりも認証の。
残念ながら、Vyosは それをサポートしていません。
他のベンダーはそうかもしれません。
したがって、 認証を行いたい場合は、
おそらく良い考えです、 おそらく最初のもの
あなたがしたいのは あなたのユーザーガイドにあります
または 特定のベンダーのマニュアル、
サポートされている 認証のフレーバーを確認してください。
これで、プレーンテキストまたは MD5を構成できます
インターフェイスモードで。
Ciscoでは、 SHAを使用してHMACを実行する場合は、
次に、 この追加のものを作成する必要があります
キーホルダー。
そして、その方法を すぐに紹介します。
現在、一部のルーターは エリア全体の認証もサポートしています。
基本的には、ねえ、私は インターフェースでそれをしたくないという意味です
インターフェイスベース。
私が エリア1で学んだすべての隣人、
例として、 認証を行いたい。
それでは、 プレーンテキスト認証から始めましょう。
このスニファーの トレースはここにあると思います
理由のかなり良い例 これは良いことではありません。
したがって、ここで OSPFヘッダーを確認できます。
1、これは単純なパスワードです。
そして、認証データ、まあ、 それは私たちのパスワードです。
したがって、スニファで OSPFhelloパケットをキャプチャできる人は誰でも
トレース、今彼らはあなたのパスワードを 持っています。
おそらく何もないよりも 良いですが、そうではありません
何もないよりずっといい。
MD5認証 少なくとも
あなたがやりたいと思うでしょう。
したがって、ここで MD5認証を使用して確認できます
タイプは暗号化の場合は2です。
これで、 認証キーを指定します。
MD5 認証を使用すると、
複数の 認証キーを持つことができます。
また、各キーにはキーIDがあります。たとえば、 キーID番号1が必要です。
そのパスワードはCiscoです。
キーID 番号2とそのパスワードを持つことができます
INEなどです。
したがって、この場合、OSPFは ネイバーに通知する必要があります。
ただし、使用中の特定のキーID。
ただし、実際には パスワードを送信していないことに注意してください。
パスワードはここのどこにもありません。
パスワード、およびOSPFの他の要素
ヘッダーは、すべてハッシュ化されて 作成されます
暗号ダイジェスト。
これが、暗号化データで ここに表示されるものです。
したがって、これを OSPFhelloパケットとして送信した場合は
両方が キー番号1を使用していた場合
しかし、私のキー番号1はCisco で、キー番号1はボブです。
または、その暗号化データを 再作成すると言う必要があります。
そして、あなたは私たちの パスワードが同じではなかったことを知っているでしょう
パケットの本体の中に まったくありません。
それでは、 このようなものをどのように構成するかを見てみましょう。
したがって、シスコでは、 プレーンテキストが必要な場合は、
最も簡単なのは、 インターフェースに移動することです。
そして、それは2段階のプロセスです。
第一に、あなたが言うには、私は 認証をしたいのです。
つまり、ipospf認証です。
この3つの言葉は、 プレーンテキストをやりたいと言っています。
次に、 パスワードまたはキーを指定します。
authentication-key、 そしてあなたのキー。
さて、 キーは
クラシックモードで MD5を実行する場合は、
それはインターフェースにもあります。
しかし今、私たちは 認証タイプと言います
私がやりたいのはメッセージダイジェストです。
そしてメッセージダイジェスト キー、使いたい、
ええと、 どのキー番号を指定する必要があります。
そしてあなたのパスワード。
ここで、その パスワード、この場合は、
実際には パケット内に入るわけではありません。
それは体に入ります。
さて、Vyosでは、これは setinterfaceコマンドです。
インターフェイスを指定し、 次にipOSPF認証と言います。
まず、 プレーンテキストから始めましょう。
プレーンテキストにしたい場合は、 そのコマンドを終了するだけです
プレーン text-passwordで、次に
少し長くなります- setinterface ethernet ip ospf
認証md5。
それでも キーID番号を指定してから、
MD5キー。 実際のパスワードになります。
双方が パスワードだけでなく、
このINEの場合と同様に、 ただしキーIDも同様です。
たとえば、 セットアップして、自分の側にいる場合
キーIDは2、 INEですが、あなたは
キーIDが1の場合、これは INEであり、機能しません。
ねえ、私は1のキーIDを使用しています。
だから私は調べてこう言います OK、私のキーID 1は何ですか？
そして、それが何であれ、 あなたのものと一致することはありません。
したがって、これを構成するときは、これらが一致する必要があります 。
キーID番号と キーパスフレーズ
同様に一致する必要があります。
さて、私はシスコと もう少し先に進むことができると言いました
HMAC認証を使用します。
これには、キーチェーンの 構成が必要です。
ここでの構成。
彼らはかなり残酷になる可能性があります。
これは本当に基本的な キーチェーンです。
これは、 絶対最小要素を示しています。
したがって、キーチェーンは グローバル構成モードで構成されます。
あなたはキーダッシュと言います-あなたは キーチェーンと言い、それに名前を付けます。
この名前は 好きな名前にすることができます。
これはローカルで 重要な値です。
つまり、2台のルーターが キーチェーンを実行しています
キーチェーンと同じ 名前を付ける必要はありません。
そしてこの特定の ケースでは、私たちのキーチェーン
これが私たちのパスフレーズ、 キー文字列です。
そして今、私たちは 暗号化アルゴリズムと言うことができます
必要に応じて MD5を選択できることに注意してください。
ただし、SHAオプションを使用して HMACを選択することもできます。
そして セキュリティの世界では、より高い
数が多いほど、 安全性が高くなります。
誰かが それを割ったり壊したりするのは難しいです。
欠点は、 より多くのCPUサイクルとより多くのCPUが必要になることです
実際に 動作させるための処理。
だからあなたは まあ、何だろうと思うかもしれません
ここでキーチェーンの利点は？
つまり、明らかに、 HMACを使用したい場合は、
キーホルダーを使わなければなりません。
わかりました。
そして、おそらくHMACを使用したいと思います。 この特定のケースでは、512、
それが 最大で最強になるからです
SHA 認証のフレーバーを取得できます。
しかし、それ以外に、 キーチェーンの利点は何ですか？
たとえば、 MD5を使い続けたい場合はどうなりますか？
キース、あなたは私に MD55を設定する方法を教えてくれました
ここでキーチェーンに MD5を設定するのはなぜですか？
ええと、私たちが持っていないキーチェーンの 利点の1つ
この出力を参照してください それはあなたができることです
そして、各キー内で、 ここには表示されていませんが、
いくつかのタイマーを指定できます。
明日の午後3時まで。
そして、 キー2を使ってもらいたいです。
そして、それを 明日の3:01から使用してほしい
土曜日の午後5時まで。
そのため、 キーを動的に回転させることができます。
そして、それがキーチェーンを使用する 本当の力です。
そして、それをどのように適用するか。
この場合、 インターフェースに移動します。
そして、 インターフェースで、
だからこれは-だから今 2つではなく
私たちが言ったコマンド、これは 認証のタイプです
使いたいのですが、 これがパスワードです
使用したいのですが、 コマンドが1つだけあります。
それらの要素はそこにあります。
キーホルダーは ここにタイプがあると言います、
MD5、SHA 512、何でも。
そして、ここに重要な パスフレーズ、INEまたはCiscoがあります。
では、 これがすべて機能していることをどのように確認しますか？
第一に、 認証の不一致がある場合は、
タイプが 不一致であるか、キーフレーズが
パスワードが 不一致です、あなたは
したがって、show ipospfneighborを発行するだけです。
そこには何も表示されません。
これがおそらく認証の最大の指標です
不一致です。
しかし、ここでは実際にできます- showrunコマンドを発行できます。
そして、私たちは正しいことを確認することができます インターフェース上にあります
構成されています。
Ciscoで コマンドを実行することもできます--
show ipospfinterface。
そしてさらに下に 出力でそれ
言う、あなたが見ることができるように ここの一番下に、
暗号化 認証が有効になっています。
そして、それは私たちが使用している キーが何であるかを教えてくれます。
そしてVyos、本当に、私が見つけた唯一の コマンド
Ciscoルーターで runを表示するのと似ています。
したがって、show configurationと入力し、下にスクロールします
この 特定のインターフェイスイーサネットでここを見ることができます
0--
イーサネット1-と言うべきです
ip ospf authenticationconfigureがあること
MD5を使用して、 ここでキーを取得しました。
これで、OSPF認証に関するこのビデオは 終わりです。
それが何であるか、そしてそれをどのように構成するか 。