Junosルーティングプロトコルを安全にする方法 - ダミー

ルーティングプロトコルを保護する1つの方法は、プロトコルが既知のルータからのトラフィックだけを受け入れるように認証を有効にすることです。この方法では、トラステッドルータのみがルーティングテーブルにルートを提供し、トラフィックがネットワークを通ってルーティングされる方法を決定することになります。

各ルーティングプロトコルの認証を個別に有効にします。

Secure Routing Information Protocol（RIP）

最も安全な認証RIPのサポートはMD5です。

[edit protocols] fred @ router#set rip認証タイプmd5 [edit protocols] fred @ router#set rip authentication-key > key-string MD5は暗号化されたチェックサムを作成します。このチェックサムは受信側ルータがパケットを受け入れる前に検証します。ネットワーク上のすべてのRIPルーターと同じ認証タイプで同じパスワードを設定する必要があります。 （RIPでは、認証にシンプルで暗号化されていないパスワードを使用することもできます。）

<！ IS-ISは、MD5とクリアテキストの暗号化されていないパスワードを使用する単純なパスワード認証をサポートしています。認証が有効な場合、IS-ISはすべてのLSPが信頼できるルータから受信されたことを検証します。

各IS-ISエリアは、独自の暗号化方法とパスワードを持つことができます。次のコマンドは、IS-ISレベル2領域で暗号化を設定します。

[edit protocols] fred @ router#set isisレベル2認証タイプmd5 [edit protocols] fred @ router#set isisレベル2 authentication-key > key-string

同じエリア内のすべてのルータに同じ認証キーが必要です。

<！ - 3 - >

安全なOSPF OSPFはMD5と簡単なパスワード認証もサポートしています。認証が有効になると、OSPFはそのHelloパケットとLSAプロトコルパケットを検証します。

次のコマンドは、ある領域内のインタフェース（ここではバックボーン領域）のOSPF暗号化を設定します。 OSPFの場合は、各インタフェースで暗号化を別々に設定する必要があります。

[edit protocols] fred @ router#set ospf area 0 0. 0. 0 interface

interface-name

authentication md5 1 key > key-string

ルータは、そのネットワークに同じ認証鍵を使用するように設定された他のルータとのインターフェイス上でのみ隣接関係を形成できます。

BGPピアの認証 BGPセッションは、インターネット上でセッションが表示されるため、ネットワーク上の外部攻撃の対象となることがよくあります。 EBGPピアによって交換されるBGPパケットの認証をイネーブルにすると、ルータは許可されていないパケットを受け入れることができなくなります。 BGPの場合は、MD5も使用します。各BGPグループは独自の認証パスワードを持つことができます。 fred @ router#set bgp group group-name

認証キー

key-string

EBGPセッションの各BGPピア間の認証パスワード：

fred @ router#set bgpグループ グループ名 ネイバー アドレス

認証キーキーストリング > EBGPセッション内のネイバーは、しばしば別のASにあります。そのため、認証メソッドとキーを外部ASの管理者と調整する必要があります。

IBGPピアルータ間で認証を有効にすることもできます。 IBGPピアがすべて管理ドメイン内にあり、信頼できるルータであることがわかっていても、これらのセッションを悪意のあるように偽装することを防ぐために、認証を有効にする価値があります。 MPLSシグナリングプロトコルでの認証を有効にする MPLSを使用するシグナリングプロトコル（LDPまたはRSVP）を使用して、MPLSネットワーク全体にラベルを割り当てて配布します。これら2つのプロトコルの認証をイネーブルにすると、ネットワーク内のMPLS LSPのセキュリティが確保されます。 LDPの認証を有効にすると、LDPセッションに使用されるTCP接続がスプーフィングから保護されます。 Junos OSは、LDP認証にMD5署名を使用します。 fred @ router#set ldp session

address

認証キー

キーストリング

RSVPセッションの両側で同じキー（パスワード）を設定します。認証は、ルータが受け入れたRSVPトラフィックが信頼できる発信元から来ることを保証します。 RSVPはMD5認証を使用し、共通のネットワークセグメント上のすべてのピアは相互に通信するために同じ認証キー（パスワード）を使用する必要があります：

[edit protocols] fred @ router#set rsvp interface

interface >認証キー キーストリング