路由协议认证比较

interface Serial1/0

ip ospf authentication //链路采用的却是明文认证

ip ospf authentication-key cisco2 //配置明文密码

如果链路要采用密文认证，以R1为例的配置

R1:

interface Serial1/1

ip ospf authentication message-digest //链路采用的是密文认证

ip ospf message-digest-key 1 md5 cisco //配置密文密码

2.1.3 虚链路认证

虚链路的配置和链路的配置很类似，虽然也是继承区域0的配置，但是可以在虚链路上进行覆盖。以下是在R3和R4之间的虚链路上进行明文认证：

R3:

router ospf 100

area 0 authentication message-digest //区域采用密文认证

area 1 virtual-link 4.4.4.4 authentication //虚链路却采用明文认证

area 1 virtual-link 4.4.4.4 authentication-key cisco3 //配置明文认证密码

以下是R3和R4之间的虚链路上进行密文认证：

R3:

router ospf 100

area 1 virtual-link 4.4.4.4 authentication message-digest //虚链路采用密文认证

area 1 virtual-link 4.4.4.4 message-digest-key 1 md5 cisco4 //配置密文认证密码

OSPF可以在修改密码过程中仍然保持毗邻关系正常，实现密码的平稳过渡，为了实现此目的，OSPF会发送旧密码。当新加入key时，OSPF把最后添加的key做为Youngest key，把Youngest key发送给对方（并携带了ID）；对方收到后，把它和自己的全部key一一进行比较（需要ID和密码都相同才算是匹配，并且是根据反顺序进行的）；如果通过则采用该key，否则继续采用旧的key。然而OSPF如果发现当前正在采用的key不是Youngest的key，则会把全部key（并携带ID）全部发送给对方；如果当前key是Youngest的key，则只发送Youngest的key，之前的key不再进行发送。表3是在R1和R2之间的链路上采用密文认证时，不断增加密码的规律，用show ip ospf interface 命令可以看到从接口上发送出去的密码。

EIGRP只支持md5认证，也只是在接口上配置认证，EIGRP也需要建立邻居关系。同样以图1为例，R1的配置如下，R2参照即可：

R1：

interface Serial1/1

ip authentication mode eigrp 90 md5 //采用密文认证

ip authentication key-chain eigrp 90 eigrp-key-chain //配置钥匙链

key chain eigrp-key-chain

key 1

key-string cisco

表4 EIGRP密文认证结果

EIGRP认证时，路由器发送最低ID的key，并且携带ID，只有ID和key值完全相同才能成功认证。图1中R1和R2的钥匙链配置如表4时，R1和R2的邻居关系如表4中的规律。

在RIP/OSPF/EIGRP中，key chain的名字都只是本地有效，key chain名字的不同不影响认证。

BGP只能采用MD5认证，也需要建立邻居关系，配置非常简单，配上密码即可，以图1中的R1为例，

R1:

router bgp 100

bgp log-neighbor-changes

neighbor 12.2.2.2 remote-as 100

neighbor 12.2.2.2 password cisco //配置密文认证的密码

BGP中，只有双方的密码相同才能形成邻居关系。

不同路由协议的认证方式虽然不同，但是只要是明文认证，安全性均存在很大的隐患；而密文认证的安全性在可预见的时间内是可以得到保证的，虽然密文认证会给路由器带来一些微不足道的负担。表5是各种路由协议的综合比较。

参考文献