ospfv3是基于ipv6的路由协议，因为IPV6本身的IPSEC安全特性，OSPFV3本身就已经没有再带安全认证功能，这一功能由IPV6协议来完成。

    （我查了好久，书里并没有提到如何配置，国内的论坛也很少说到，即使有说到配置，也没有文字说明，看得很不明白。查了国外的文章，才找了相关的资料。还是得谢谢google啊。）

    IPSEC有两种安全认证方法：AH 头和ESP头，AH支持认证，完整性校验，和防报文重放功能，ESP则更加强大，除了AH的前面几样功能，ESP还支持加密功能。但是由于目前的IOS性能，可能还不支持ESP的OSPFV3.所以只能用AH。

    实验：

ospfv3 认证配置_第1张图片

 

   
   
   
   
    
    
    
    
    
  1. R1： 
    2. 
    
    
    
    
  2.  
    3. 
    
    
    
    
  3. interface Serial0/0 
    4. 
    
    
    
    
  4.  no ip address 
    5. 
    
    
    
    
  5.  ipv6 address 2001:12::1/64 
    6. 
    
    
    
    
  6.  ipv6 address FE80:12::1 link-local 
    7. 
    
    
    
    
  7.  ipv6 ospf 100 area 0 
    8. 
    
    
    
    
  8.  ipv6 ospf authentication ipsec spi 256 sha1 5749CD34D2B87A1D4868F8ACA1ABF2F7025A32CA 
    9. 
    
    
    
    
  9.  serial restart-delay 0 
    10. 
    
    
    
    
  10. ! 
    11. 
    
    
    
    
  11.  
    12. 
    
    
    
    
  12. ipv6 router ospf 100 
    13. 
    
    
    
    
  13.  router-id 1.1.1.1 
    14. 
    
    
    
    
  14.  log-adjacency-changes 
    15.

 

   
   
   
   
    
    
    
    
    
  1. R2： 
    2. 
    
    
    
    
  2.  
    3. 
    
    
    
    
  3. interface Serial0/0 
    4. 
    
    
    
    
  4.  no ip address 
    5. 
    
    
    
    
  5.  ipv6 address 2001:12::2/64 
    6. 
    
    
    
    
  6.  ipv6 address FE80:12::2 link-local 
    7. 
    
    
    
    
  7.  ipv6 ospf 100 area 0 
    8. 
    
    
    
    
  8.  ipv6 ospf authentication ipsec spi 256 sha1 5749CD34D2B87A1D4868F8ACA1ABF2F7025A32CA 
    9. 
    
    
    
    
  9.  serial restart-delay 0 
    10. 
    
    
    
    
  10.  
    11. 
    
    
    
    
  11. ipv6 router ospf 100 
    12. 
    
    
    
    
  12.  router-id 2.2.2.2 
    13. 
    
    
    
    
  13.  log-adjacency-changes 
    14.

关键点在于其中红色部分的spi字段，spi跟我们配置key chain中的key number是具有相似的功能的，可以理解为标识符，标识这一条加密连接，但是在OSPFV3中，spi是必须匹配的。

这个值可能随便起，但是范围在256~~~4,294,967,295。必须匹配。

支持的hash算法有两种，MD5和SHA，

MD5有32个字符，SHA有40个字符长。在配置的时候这个值输入进去很费事。可以用另一种方法来代替，如果你用的是linux系统，则：

 

   
   
   
   
    
    
    
    
    
  1. yeelone@yee:~$ dd if=/dev/urandom count=1024 | sha1sum  
    2. 
    
    
    
    
  2. 5749cd34d2b87a1d4868f8aca1abf2f7025a32ca  - 
    3. 
    
    
    
    
  3. 记录了1024+0 的读入 
    4. 
    
    
    
    
  4. 记录了1024+0 的写出 
    5. 
    
    
    
    
  5. 524288字节(524 kB)已复制，0.123345 秒，4.3 MB/秒 
    6. 
    
    
    
    
  6. yeelone@yee:~$  
    7.

通过linux的dd命令和sha1sum来算出一个随机的hash值，然后复制进去。

 

   
   
   
   
    
    
    
    
    
  1. r2#show crypto  ipsec  sa  
    2. 
    
    
    
    
  2.  
    3. 
    
    
    
    
  3.  
    4. 
    
    
    
    
  4.     inbound ah sas: 
    5. 
    
    
    
    
  5.       spi: 0x100(256) 
    6. 
    
    
    
    
  6.         transform: ah-sha-hmac , 
    7. 
    
    
    
    
  7.         in use settings ={Transport, } 
    8. 
    
    
    
    
  8.         conn id: 2004, flow_id: SW:4, crypto map: (none) 
    9. 
    
    
    
    
  9.         no sa timing 
    10. 
    
    
    
    
  10.         replay detection support: N 
    11. 
    
    
    
    
  11.         Status: ACTIVE 
    12. 
    
    
    
    
  12.  
    13. 
    
    
    
    
  13.      inbound pcp sas: 
    14. 
    
    
    
    
  14.  
    15. 
    
    
    
    
  15.      outbound esp sas: 
    16. 
    
    
    
    
  16.  
    17. 
    
    
    
    
  17.      outbound ah sas: 
    18. 
    
    
    
    
  18.       spi: 0x100(256) 
    19. 
    
    
    
    
  19.         transform: ah-sha-hmac , 
    20. 
    
    
    
    
  20.         in use settings ={Transport, } 
    21. 
    
    
    
    
  21.         conn id: 2003, flow_id: SW:3, crypto map: (none) 
    22. 
    
    
    
    
  22.         no sa timing 
    23. 
    
    
    
    
  23.         replay detection support: N 
    24. 
    
    
    
    
  24.         Status: ACTIVE 
    25.

 

ospfv3即支持基于接口的认证，如上实验，也支持基于area的认证。

实验二：

拓扑还是上面那个：

 

   
   
   
   
    
    
    
    
    
  1. R1： 
    2. 
    
    
    
    
  2.  
    3. 
    
    
    
    
  3. ipv6 router ospf 100 
    4. 
    
    
    
    
  4.  router-id 1.1.1.1 
    5. 
    
    
    
    
  5.  log-adjacency-changes 
    6. 
    
    
    
    
  6.  area 0 authentication ipsec spi 256 sha1 5749CD34D2B87A1D4868F8ACA1ABF2F7
    7. 
    
    
    
    
  7. 025A32CA 
    8.

 

 

现在很多地方要用到IPSEC，个人感觉IPSEC真不好理解，理论真多。