EIGRP: الـ Authentication بـ MD5 و SHA-256

enable
configure terminal
hostname R1
no ip domain-lookup
interface g0/0/0
ip address 10.0.12.1 255.255.255.0
no shutdown
interface lo0
ip address 1.1.1.1 255.255.255.255
interface lo1
ip address 172.16.1.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router eigrp 100
eigrp router-id 1.1.1.1
network 10.0.12.0 0.0.0.255
network 172.16.1.0 0.0.0.255
network 1.1.1.1 0.0.0.0
no auto-summary
end
enable
configure terminal
logging buffered
end

enable
configure terminal
hostname R2
no ip domain-lookup
interface g0/0/0
ip address 10.0.12.2 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.23.2 255.255.255.0
no shutdown
interface lo0
ip address 2.2.2.2 255.255.255.255
interface lo1
ip address 172.16.2.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router eigrp 100
eigrp router-id 2.2.2.2
network 10.0.12.0 0.0.0.255
network 10.0.23.0 0.0.0.255
network 172.16.2.0 0.0.0.255
network 2.2.2.2 0.0.0.0
no auto-summary
end

enable
configure terminal
hostname R3
no ip domain-lookup
interface g0/0/0
ip address 10.0.23.3 255.255.255.0
no shutdown
interface lo0
ip address 3.3.3.3 255.255.255.255
interface lo1
ip address 172.16.3.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
no router eigrp 100
router eigrp CORP
address-family ipv4 unicast autonomous-system 100
eigrp router-id 3.3.3.3
network 10.0.23.0 0.0.0.255
network 172.16.3.0 0.0.0.255
end

حيّاك الله. EIGRP بدون authentication يقبل أي جار يرسل hello صحيح على نفس الـ subnet ونفس الـ AS. يعني أي أحد يركّب لابتوب أو راوتر على الشبكة، ويشغّل EIGRP، ممكن يعلن default route ويسحب كل الترافيك له. والحل: authentication. كل رسالة EIGRP يكون معها hash من مفتاح سري، والجار اللي ما عنده نفس المفتاح، رسايله تنرمى.

في الـ classic mode، الخطوات ثلاث. key chain فيها key برقم، و key-string هو المفتاح. على الواجهة: ip authentication mode eigrp ورقم الـ AS و md5. وعلى الواجهة كمان: ip authentication key-chain eigrp ورقم الـ AS واسم الـ key chain. والـ classic يدعم MD5 بس. المعمل: R1 و R2 classic، و R3 named. نبدأ بالـ link بين R1 و R2. ونطبّق على R1 بس أول، عشان نشوف شكل المشكلة.

configure terminal
key chain EIGRP-KEYS
key 1
key-string Basma123
interface g0/0/0
ip authentication mode eigrp 100 md5
ip authentication key-chain eigrp 100 EIGRP-KEYS
end
show ip eigrp neighbors

الجيرة مع R2 طاحت. R1 الحين يرفض أي hello بدون hash صحيح، و R2 للحين يرسل بدون authentication. ونشوف السبب في الـ log.

show logging | include EIGRP|DUAL

الرسالة تقول: Neighbor ten dot zero dot twelve dot two is down: authentication mode changed. وبعدها ما فيه أي محاولة جيرة ناجحة، لأن كل hello من R2 ينرمى. ولو شغّلت debug eigrp packets بتشوف السبب لكل رسالة: missing authentication. وهذا الدليل اللي تدوّره في التشخيص. الحين نكمل الطرف الثاني، R2، بنفس المفتاح ونفس رقم الـ key.

configure terminal
key chain EIGRP-KEYS
key 1
key-string Basma123
interface g0/0/0
ip authentication mode eigrp 100 md5
ip authentication key-chain eigrp 100 EIGRP-KEYS
end

show ip eigrp neighbors

الجيرة رجعت. وأمرين يحبهم الاختبار. في MD5 رقم الـ key لازم يتطابق بين الطرفين، مو بس الـ string. والـ key chain يقدر يكون فيها أكثر من key، كل واحد له accept-lifetime و send-lifetime، عشان تغيّر المفتاح بدون ما تطيح الشبكة. والوقت لازم يكون مضبوط بالـ NTP، وإلا المفاتيح تنتهي في وقت غلط.

أما في الـ named mode، فيدعم HMAC-SHA-two fifty six، وأقوى من MD5. وكله تحت af-interface: authentication mode hmac-sha-two fifty six والمفتاح مباشرة. والـ named والـ classic ما يقدرون يتفقون على SHA، لأن الـ classic ما يدعمها. فعلى الـ link بين R2 الـ classic و R3 الـ named، لازم MD5. الحين دورك. فعّل MD5 على الـ link بين R2 و R3. على R2 بالطريقة الـ classic على g zero slash zero slash one، وعلى R3 من داخل af-interface g zero slash zero slash zero، بنفس الـ key chain. وتأكد إن R3 جار مع R2. وقّف الفيديو، وجرّب.

تمرين: R2: على g0/0/1 نفس أوامر ip authentication. R3: key chain EIGRP-KEYS (key 1، Basma123)، و router eigrp CORP ← address-family ← af-interface g0/0/0 ← authentication mode md5 و authentication key-chain EIGRP-KEYS.

الحل.

configure terminal
interface g0/0/1
ip authentication mode eigrp 100 md5
ip authentication key-chain eigrp 100 EIGRP-KEYS
end

configure terminal
key chain EIGRP-KEYS
key 1
key-string Basma123
router eigrp CORP
address-family ipv4 unicast autonomous-system 100
af-interface g0/0/0
authentication mode md5
authentication key-chain EIGRP-KEYS
end
show ip eigrp neighbors

R3 جار مع R2، والـ authentication شغّال على الـ link كله. الخلاصة: الـ classic MD5 بـ key chain على الواجهة، والـ named يدعم SHA-two fifty six تحت af-interface، والـ mismatch يطيّح الجيرة، والدليل في الـ log. والدرس الجاي: EIGRP مع IPv6.