Cómo proteger los protocolos de enrutamiento de Junos: dummies

Una forma de proteger los protocolos de enrutamiento es habilitar la autenticación para que los protocolos acepten el tráfico solo de los enrutadores conocidos para usted. Este enfoque garantiza que solo los enrutadores confiables aporten rutas a la tabla de enrutamiento y, por lo tanto, participen para determinar cómo se enruta el tráfico a través de su red.

Habilita la autenticación para cada protocolo de enrutamiento por separado.

Protocolo de información de enrutamiento seguro (RIP)

La autenticación más segura que RIP admite es MD5:

[editar protocolos] fred @ router # set rip authentication-type md5 [editar protocolos] fred @ router # set rip authentication-key > cadena-clave MD5 crea una suma de verificación codificada, que el enrutador de recepción verifica antes de aceptar los paquetes. Debe configurar la misma contraseña en todos los enrutadores RIP de la red y en el mismo tipo de autenticación. (RIP también le permite usar una contraseña simple y sin cifrar para la autenticación).

Secure IS-IS

IS-IS admite MD5 y una autenticación de contraseña simple, que utiliza una contraseña no cifrada de texto claro. Cuando la autenticación está habilitada, IS-IS valida que todos los LSP se reciban de enrutadores confiables.

Cada área IS-IS puede tener su propio método de cifrado y contraseña. Los siguientes comandos establecen el cifrado en el área IS-IS Nivel 2:

[editar protocolos] fred @ router # set isis nivel 2 authentication-type md5 [editar protocolos] fred @ router # set isis nivel 2 authentication-key > cadena-clave

Todos los enrutadores dentro de la misma área deben tener la misma clave de autenticación.

Secure OSPF

OSPF también es compatible con MD5 y una autenticación de contraseña simple. Cuando la autenticación está habilitada, OSPF valida sus paquetes de protocolo Hello y LSA.

El siguiente comando establece el cifrado OSPF para una interfaz en un área, aquí el área de la red troncal. Para OSPF, debe configurar el cifrado en cada interfaz por separado:

[editar protocolos] fred @ router # set ospf area 0. 0. 0. 0 interface

interface-name

authentication md5 1 key > cadena clave Los enrutadores solo podrán formar adyacencias sobre las interfaces con otros enrutadores configurados para usar la misma clave de autenticación para esa red. Autenticar pares BGP Las sesiones BGP son a menudo objeto de ataques externos en la red porque las sesiones son visibles en Internet. Permitir la autenticación de los paquetes BGP intercambiados por pares EBGP evita que el enrutador acepte paquetes no autorizados. Para BGP, también usas MD5. Cada grupo BGP puede tener su propia contraseña de autenticación:

[editar protocolos] fred @ router # set bgp group

group-name

authentication-key

key-string También puede establecer individual contraseñas de autenticación entre cada par BGP en una sesión EBGP: [editar protocolos] fred @ router # set bgp group group-name

neighbor

dirección authentication-key clave-cadena > El vecino en una sesión EBGP a menudo está en otro AS, por lo que debe asegurarse de coordinar los métodos y claves de autenticación con el administrador del AS externo. También puede habilitar la autenticación entre enrutadores pares IBGP. Incluso si los pares de IBGP están todos dentro de su dominio administrativo y usted los conoce como enrutadores de confianza, puede valer la pena habilitar la autenticación para evitar intentos de falsificar fraudulentamente estas sesiones. Habilitar autenticación en protocolos de señalización MPLS Utiliza un protocolo de señalización con MPLS, ya sea LDP o RSVP, para asignar y distribuir etiquetas en una red MPLS. La habilitación de la autenticación para estos dos protocolos garantiza la seguridad de los LSP MPLS en la red.

Habilitar la autenticación para LDP protege la conexión TCP utilizada para la sesión LDP contra la falsificación. Junos OS usa una firma MD5 para autenticación LDP. Configura la misma clave (contraseña) en ambos lados de la sesión LDP:

[editar protocolos] fred @ router # set ldp session

dirección

authentication-key

clave-cadena

RSVP la autenticación asegura que el tráfico de RSVP aceptado por el enrutador proviene de fuentes confiables. RSVP usa autenticación MD5, y todos los pares en un segmento de red común deben usar la misma clave de autenticación (contraseña) para comunicarse entre sí: [editar protocolos] fred @ router # set interfaz rsvp interfaz > clave de autenticación clave cadena