Hur man säkrar Junos Routing Protocols - dummies

Ett sätt att skydda routingsprotokollen är att aktivera autentisering så att protokollen endast accepterar trafik från routrar som är kända för dig. Detta tillvägagångssätt säkerställer att endast betrodda routrar bidrar till vägar till routingtabellen och därmed deltar i att bestämma hur trafiken dirigeras via ditt nätverk.

Du aktiverar autentisering för varje routingprotokoll separat.

Secure Routing Information Protocol (RIP)

Den mest säkra autentiserings-RIP-supporten är MD5:

[redigera protokoll] fred @ router # set rip-autentiseringstyp md5 [redigera protokoll] fred @ router # set rip-autentiseringsnyckel > nyckelsträng MD5 skapar ett kodat kontrollsumma, vilket är verifierat av mottagningsroutern innan den accepterar paket. Du måste konfigurera samma lösenord på alla RIP-routrar på nätverket och samma autentiseringstyp. (RIP låter dig också använda ett enkelt, okrypterat lösenord för autentisering.)

Säkra IS-IS

IS-IS stöder MD5 och en enkel lösenordsautentisering, som använder ett okrypterat lösenord med klart och enkelt text. När autentisering är aktiverad, validerar IS-IS att alla LSP-er mottas från betrodda routrar.

Varje IS-IS-område kan ha sin egen krypteringsmetod och lösenord. Följande kommandon anger kryptering i området IS-IS Level 2:

[redigera protokoll] fred @ router # set isis nivå 2 autentiseringstyp md5 [redigera protokoll] fred @ router # set isis nivå 2 autentiseringsnyckel > nyckelsträng

Alla routrar inom samma område måste ha samma autentiseringsnyckel.

Säkert OSPF

OSPF stöder också MD5 och en enkel lösenordsautentisering. När autentisering är aktiverad, validerar OSPF dess Hello och LSA protokollpaket.

Följande kommando ställer in OSPF-kryptering för ett gränssnitt i ett område, här ryggradsområdet. För OSPF måste du ställa in krypteringen separat för varje gränssnitt:

[redigera protokoll] fred @ router # set ospf area 0. 0. 0. 0 gränssnitt

gränssnittsnamn

autentisering md5 1 tangent > nyckelsträng Routrar kan bara skapa adjacencies över gränssnitt med andra routrar som är konfigurerade för att använda samma autentiseringsnyckel för det nätverket. Godkänn BGP-kamrater BGP-sessioner är ofta föremål för externa attacker på nätverket eftersom sessionerna är synliga på Internet. Att aktivera autentisering av BGP-paket som byts ut av EBGP-peers hindrar routern från att acceptera obehöriga paket. För BGP använder du också MD5. Varje BGP-grupp kan ha sitt eget autentiseringslösenord:

[redigera protokoll] fred @ router # set bgp-grupp

gruppnamn

autentiseringsnyckel

nyckelsträng Du kan också ställa in individuella autentiseringslösenord mellan varje BGP-peer i en EBGP-session: [redigera protokoll] fred @ router # set bgp-grupp gruppnamn

granne

adress autentiseringsnyckelnyckel > Grannen i en EBGP-session är ofta i en annan AS, så du är säker på att samordna autentiseringsmetoder och nycklar med administratören för den externa AS. Du kan också aktivera autentisering mellan IBGP-peer-routrar. Även om IBGP-kamraterna är alla inom din administrativa domän och du vet att de är betrodda routrar, kan det vara värt att möjliggöra autentisering för att förhindra att försiktigt spoofar dessa sessioner. Aktivera autentisering på MPLS-signalprotokoll Du använder ett signalprotokoll med MPLS - antingen LDP eller RSVP - för att allokera och distribuera etiketter i ett MPLS-nätverk. Aktivera autentisering för dessa två protokoll säkerställer säkerheten för MPLS LSPs i nätverket.

Aktivera autentisering för LDP skyddar TCP-anslutningen som används för LDP-sessionen mot spoofing. Junos OS använder en MD5-signatur för LDP-autentisering. Du konfigurerar samma nyckel (lösenord) på båda sidor av LDP-sessionen:

[redigera protokoll] fred @ router # set ldp session

adress

autentiseringsnyckel

nyckelsträng

RSVP autentisering säkerställer att RSVP-trafik accepterad av routern kommer från betrodda källor. RSVP använder MD5-autentisering och alla peers på ett gemensamt nätverkssegment måste använda samma autentiseringsnyckel (lösenord) för att kommunicera med varandra: [redigera protokoll] fred @ router # set rsvp-gränssnitt gränssnitt > autentisering-tangenten nyckel-string