OSPF: الـ Authentication بـ MD5 و SHA

نحمي جيرة OSPF من راوترات غريبة. نطبّق MD5 على واجهة، ونشوف الجيرة تطيح لما طرف واحد بس مفعّل، ونعرف الفرق بين التفعيل على الواجهة والتفعيل على الـ area كلها، وبعدها HMAC-SHA-256 بالـ key chain، وكيف تقرا show ip ospf interface عشان تتأكد.

ضمن مسار ENARSI 300-410 — التوجيه المتقدم وخدمات الشبكات

شرح الدرس مكتوبًا

نص شرح المعلم والكود الذي كتبه ونتيجة تشغيله، بنفس ترتيب الدرس.

enable
configure terminal
hostname R1
no ip domain-lookup
interface g0/0/0
ip address 10.0.12.1 255.255.255.0
no shutdown
interface lo0
ip address 1.1.1.1 255.255.255.255
interface lo1
ip address 172.16.1.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router ospf 1
router-id 1.1.1.1
network 10.0.12.0 0.0.0.255 area 0
network 172.16.1.0 0.0.0.255 area 0
network 1.1.1.1 0.0.0.0 area 0
end

enable
configure terminal
hostname R2
no ip domain-lookup
interface g0/0/0
ip address 10.0.12.2 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.23.2 255.255.255.0
no shutdown
interface lo0
ip address 2.2.2.2 255.255.255.255
interface lo1
ip address 172.16.2.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router ospf 1
router-id 2.2.2.2
network 10.0.12.0 0.0.0.255 area 0
network 10.0.23.0 0.0.0.255 area 0
network 172.16.2.0 0.0.0.255 area 0
network 2.2.2.2 0.0.0.0 area 0
end

enable
configure terminal
hostname R3
no ip domain-lookup
interface g0/0/0
ip address 10.0.23.3 255.255.255.0
no shutdown
interface lo0
ip address 3.3.3.3 255.255.255.255
interface lo1
ip address 172.16.3.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router ospf 1
router-id 3.3.3.3
network 10.0.23.0 0.0.0.255 area 0
network 172.16.3.0 0.0.0.255 area 0
network 3.3.3.3 0.0.0.0 area 0
end

حيّاك الله. زي EIGRP، OSPF بدون authentication يقبل أي راوتر يرسل hello صحيح. والخطر في OSPF أكبر: أي LSA يدخل الـ database، ينتشر في كل الـ area. و OSPFv2 فيه ثلاث أنواع: type zero يعني بدون، و type one نص مكشوف، و type two يعني MD5، أو SHA في الإصدارات الحديثة. والنص المكشوف ما يحمي من شي، لأن أي أحد يلتقط الـ packet يشوف الكلمة.

والتفعيل في مكانين. على الواجهة: ip ospf authentication message-digest، و ip ospf message-digest-key ورقم و md5 والمفتاح. أو على الـ area كلها: تحت router ospf تكتب area صفر authentication message-digest، وهذا يفعّل النوع على كل واجهات الـ area، والمفتاح للحين على كل واجهة. ورقم الـ key لازم يتطابق بين الجارين، زي EIGRP. المعمل: ثلاث راوترات على خط، OSPF في area صفر. نبدأ بالـ link بين R1 و R2، ونفعّل على R1 بس، ونراقب.

configure terminal
interface g0/0/0
ip ospf authentication message-digest
ip ospf message-digest-key 1 md5 Basma123
end
show ip ospf neighbor

R2 اختفى من جيران R1، بعد ما خلص الـ dead timer. و R2 يستقبل hello من R1 فيها MD5، وهو ما يتوقع authentication، فيرميها. والعكس كمان. و show ip ospf interface تبين وش مفعّل على الواجهة.

show ip ospf interface g0/0/0 | include authentication|key

Message digest authentication enabled، و Youngest key id is one. نكمل الطرف الثاني على R2، بنفس الرقم ونفس المفتاح.

configure terminal
interface g0/0/0
ip ospf authentication message-digest
ip ospf message-digest-key 1 md5 Basma123
end

show ip ospf neighbor

الجيرة رجعت FULL. والحين الطريقة الأحدث: HMAC-SHA-two fifty six. MD5 صار ضعيف، و SHA أقوى. وتنكتب بالـ key chain: key chain، و key برقم، و key-string، و cryptographic-algorithm hmac-sha-two fifty six. وبعدها على الواجهة: ip ospf authentication key-chain واسمها. الحين دورك. فعّل HMAC-SHA-two fifty six على الـ link بين R2 و R3، بالـ key chain، على الطرفين. وتأكد إن R3 جار FULL مع R2. وقّف الفيديو، وجرّب.

تمرين: على R2 و R3: key chain OSPF-SHA (key 1، key-string Basma123، cryptographic-algorithm hmac-sha-256). وعلى الواجهة بين الاثنين (R2 g0/0/1، R3 g0/0/0): ip ospf authentication key-chain OSPF-SHA.

الحل.

configure terminal
key chain OSPF-SHA
key 1
key-string Basma123
cryptographic-algorithm hmac-sha-256
interface g0/0/1
ip ospf authentication key-chain OSPF-SHA
end

configure terminal
key chain OSPF-SHA
key 1
key-string Basma123
cryptographic-algorithm hmac-sha-256
interface g0/0/0
ip ospf authentication key-chain OSPF-SHA
end
show ip ospf neighbor
show ip ospf interface g0/0/0 | include authentication|key

R3 و R2 FULL، والواجهة تقول إن الـ authentication بالـ key chain. وفي التشخيص: أول ما تشوف جار اختفى بعد تغيير، قارن show ip ospf interface في الطرفين، ولو فيه debug ip ospf adj بتلقى السبب مكتوب: Mismatched authentication. الخلاصة: MD5 على الواجهة أو الـ area، و SHA بالـ key chain، ورقم الـ key والمفتاح يتطابقون. والدرس الجاي: OSPFv3 و IPv6.

دروس المسار (74)