08、RIP V2路由邻居认证.ppt

RIPV2路由邻居认证,【实验目的】掌握如何配置RIP的明文认证及MD5认证方式。【背景描述】随着网络应用的日益广泛和深入，企业对网络安全越来越关心和重视，路由器设备的安全是网络安全一个重要的组成部份，为了防止攻击者（可能是恶意的黑客或故障路由器）利用路由更新对路由器可能造成的破坏，某企业网络管理员想实施路由更新认证措施，以此来加强网络的安全性。现要在路由器上做适当配置来实现这一目标。本实验以2台R2624路由器为例，路由器分别为Router1和Router2，路由器之间通过串口采用V35DCE/DTE电缆连接。PC1的IP地址和缺省网关分别为172.16.1.11和172.16.1.1，PC2的IP地址和缺省网关分别为172.16.3.22和172.16.3.2，网络掩码都是255.255.255.0。【实现功能】通过邻居路由器之间的路由更新认证来防止无效的路由更新可能对网络造成的威胁和破坏。【实验拓扑】【实验设备】R2624（2台）、V35DCE（1根）、V35DTE（1根）,【实验步骤】注：以下实验假定已配置了RIPV2路由协议及接口IP地址。在路由器Router1定义密钥链和密钥串，输入如下代码：Router1(config)#keychainripkey！定义一个密钥链ripkey，进入密钥链配置模式Router1(config-keychain)#key1！定义密钥序号1，进入密钥配置模式Router1(config-keychain-key)#key-stringkeya！定义密钥1的密钥内容为keyaRouter1(config-keychain-key)#accept-lifetime00:00:00oct12004infinite！定义密钥1的接收存活期从2004年10月1日至无限（infinite）Router1(config-keychain-key)#send-lifetime00:00:00oct12004infinite！定义密钥1的发送存活期为从2004年10月1日至无限验证测试：验证密钥链和密钥串配置信息Router1#showkeychain显示如下：Key-chainripkey:key1-textkeyaacceptlifetime(00:00:00Oct12004)-(infinite)sendlifetime(00:00:00Oct12004)-(infinite),在接口模式下定义认证模式，指定要引用的密钥链，输入如下代码：Router1(config)#interfaceserial0Router1(config-if)#ipripauthenticationmodemd5!定义认证模式为md5，若用text则表示明文认证，若不指明模式则缺省用明文认证Router1(config-if)#ipripauthenticationkey-chainripkey！引用密钥链ripkey验证测试：验证密钥链和密钥串配置信息Router1#showrunning-config!此处只列出与Serial0相关的配置，其余未列出显示如下：!interfaceSerial0ipaddress172.16.2.1255.255.255.0ipripauthenticationmodemd5ipripauthenticationkey-chainripkeyclockrate64000!,在路由器Router2定义密钥链和密钥串，输入如下代码：Router2(config)#keychainripkey！定义一个密钥链ripkey，进入密钥链配置模式Router2(config-keychain)#key1！定义密钥序号1，进入密钥配置模式Router2(config-keychain-key)#key-stringkeya！定义密钥1的密钥内容为keyaRouter2(config-keychain-key)#accept-lifetime00:00:00oct12004infinite！定义密钥1的接收存活期为从2004年10月1日至infinite(无限)Router2(config-keychain-key)#send-lifetime00:00:00oct12004infinite！定义密钥1的发送存活期为从2004年10月1日至无限验证测试：验证密钥链和密钥串配置信息Router2#showkeychain显示如下：Key-chainripkey:key1-textkeyaacceptlifetime(00:00:00Oct12004)-(infinite)sendlifetime(00:00:00Oct12004)-(infinite),在接口模式下定义认证模式，指定要引用的密钥链，输入如下代码：Router2(config)#interfaceserial0Router2(config-if)#ipripauthenticationmodemd5!定义认证模式为md5，若用text则表示明文认证Router2(config-if)#ipripauthenticationkey-chainripkey！引用密钥链ripkey验证测试：验证串口serial0上的认证密钥配置Router2#showrunning-config!此处只列出与Serial0相关的配置，其余未列出显示如下：!interfaceSerial0ipaddress172.16.2.2255.255.255.0ipripauthenticationmodemd5ipripauthenticationkey-chainripkey!,调试路由更新认证，即验证两端的认证是否匹配，是否有无效（invalid）的路由更新，输入如下代码：Router1#debugiprip！打开RIP调试功能，结果显示接收和发送路由更新都正常RIPprotocoldebuggingisonRouter1#RIP:sendingv2updateto224.0.0.9viaFastEthernet0(172.16.1.1)172.16.2.0/24-0.0.0.0,metric1,tag0172.16.3.0/24-0.0.0.0,metric2,tag0RIP:sendingv2updateto224.0.0.9viaSerial0(172.16.2.1)172.16.1.0/24-0.0.0.0,metric1,tag0RIP:sendingv2updateto224.0.0.9viaSerial0(172.16.2.1)172.16.1.0/24-0.0.0.0,metric1,tag0RIP:receivedpacketwithMD5authenticationRIP:receivedv2updatefrom172.16.2.2onSerial0172.16.3.0/24-0.0.0.0in1hopsRIP:receivedpacketwithMD5authenticationRIP:receivedv2updatefrom172.16.2.2onSerial0172.16.3.0/24-0.0.0.0in1hopsRIP:sendingv2updateto224.0.0.9viaSerial0(172.16.2.1)172.16.1.0/24-0.0.0.0,metric1,tag0RIP:sendingv2updateto224.0.0.9viaSerial0(172.16.2.1)172.16.1.0/24-0.0.0.0,metric1,tag0RIP:receivedpacketwithMD5authenticationRIP:receivedv2updatefrom172.16.2.2onSerial0172.16.3.0/24-0.0.0.0in1hopsRIP:receivedpacketwithMD5authenticationRIP:receivedv2updatefrom172.16.2.2onSerial0172.16.3.0/24-0.0.0.0in1hops,Router1#nodebugall!调试完后必须关闭调试功能Router2#debugiprip！打开RIP调试功能，结果显示接收和发送路由更新都正常RIP:sendingv2updateto224.0.0.9viaSerial0(172.16.2.2)172.16.3.0/24-0.0.0.0,metric1,tag0RIP:sendingv2updateto224.0.0.9viaSerial0(172.16.2.2)172.16.3.0/24-0.0.0.0,metric1,tag0RIP:receivedpacketwithMD5authenticationRIP:receivedv2updatefrom172.16.2.1onSerial0172.16.1.0/24-0.0.0.0in1hopsRIP:receivedpacketwithMD5authenticationRIP:receivedv2updatefrom172.16.2.1onSerial0172.16.1.0/24-0.0.0.0in1hopsRIP:sexitingv2updateto224.0.0.9viaFastEthernet0(172.16.3.2)172.16.1.0/24-0.0.0.0,metric2,tag0172.16.2.0/24-0.0.0.0,metric1,tag0RIP:sexitingv2updateto224.0.0.9viaSerial0(172.16.2.2)172.16.3.0/24-0.0.0.0,metric1,tag0RIP:sexitingv2updateto224.0.0.9viaSerial0(172.16.2.2)172.16.3.0/24-0.0.0.0,metric1,tag0RIP:receivedpacketwithMD5authenticationRouter2#nodebugall!调试完后必须关闭调试功能,进一步验证路由表的完整性，输入如下代码：Router1#showiproute!结果显示Router1具有全网路由Codes:C-connected,S-static,R-RIPO-OSPF,IA-OSPFinterareaE1-OSPFexternaltype1,E2-OSPFexternaltype2Gatewayoflastresortisnotset172.16.0.0/24issubnetted,3subnetsC172.16.1.0isdirectlyconnected,FastEthernet0C172.16.2.0isdirectlyconnected,Serial0R172.16.3.0120/1via172.16.2.2,00:00:05,Serial0Router2#showiproute!结果显示Router2具有全网路由Codes:C-connected,S-static,R-RIPO-OSPF,IA-OSPFinterareaE1-OSPFexternaltype1,E2-OSPFexternaltype2Gatewayoflastresortisnotset172.16.0.0/24issubnetted,3subnetsR172.16.1.0120/1via172.16.2.1,00:00:17,Serial0C172.16.2.0isdirectlyconnected,Serial0C172.16.3.0isdirectlyconnected,FastEthernet0,【注意事项】在配置密钥的接收/发送时间前，应该先校正路由器的时钟；RIPV1不支持路由认证；RIPV2支持两种认证方式：明文认证和MD5认证。缺省不进行认证；可以配置多个密钥，在不同的时间应用不同的密钥；当配有多个密钥时，路由器按照从上到下的顺序检索匹配的密钥；当发送路由更新数据包时，路由器利用检索到的第一个匹配的密钥发送路由更新数据包；当接收到一个路由更新数据包时，如果路由器没有检索到一个匹配的密钥，则丢弃收到的路由更新数据包；若是通过telnet到Router2上去做调试(debug)，则需加此命令Router2#terminalmonitor,【参考配置】Router1#showrunning-config!显示路由器Router1的全部配置Currentconfiguration:!NVRAMconfiglastupdatedat19:56:34UTCFriOct292004!version6.14(2)!hostnameRouter1!enablesecret5$1$EN5L$wwHurnJ/4ZePTv7sUoAVP1!ipsubnet-zero!keychainripkeykey1key-stringkeyaaccept-lifetime00:00:00Oct12004infinitesexit-lifetime00:00:00Oct12004infinite!interfaceFastEthernet0ipaddress172.16.1.1255.255.255.0!interfaceFastEthernet1noipaddressshutdown!interfaceFastEthernet2noipaddressshutdown!,interfaceFastEthernet3noipaddressshutdown!interfaceSerial0ipaddress172.16.2.1255.255.255.0ipripauthenticationmodemd5ipripauthenticationkey-chainripkeyclockrate64000!interfaceSerial1noipaddressshutdown!voice-port0!voice-port1!voice-port2!voice-port3routerripversion2network172.16.0.0!ipclassless!,linecon0line18lineaux0linevty04passwordstarlogin!exitRouter2#showrunning-config!显示路由器Router2的全部配置Currentconfiguration:!Lastconfigurationchangeat20:06:15UTCFriOct