Autenticação para protocolos de roteamento

Alguns protocolos de roteamento — BGP, IS-IS, OSPF, RIP e RSVP — permitem que você configure um método de autenticação e uma senha. Os roteadores vizinhos usam a senha para verificar a autenticidade dos pacotes que o protocolo envia do roteador ou de uma interface de roteador. Os seguintes métodos de autenticação são suportados:

• Autenticação simples (IS-IS, OSPF e RIP) — usa uma senha de texto simples. O roteador receptor usa uma chave de autenticação (senha) para verificar o pacote. Como a senha está incluída no pacote transmitido, este método de autenticação é relativamente inseguro. Recomendamos que você evite usar este método de autenticação.

• MD5 e HMAC-MD5 (BGP, IS-IS, OSPF, RIP e RSVP) — o MD5 cria um checksum codificado que está incluído no pacote transmitido. O HMAC-MD5, que combina a autenticação de HMAC com MD5, adiciona o uso de uma função hash criptográfica iterada. Com ambos os tipos de autenticação, o roteador receptor usa uma chave de autenticação (senha) para verificar o pacote. A autenticação HMAC-MD5 é definida em RFC 2104, HMAC: Keyed-Hashing para autenticação de mensagens.

Em geral, as senhas de autenticação são strings de texto que consistem em algum número máximo de letras e dígitos. As senhas podem incluir quaisquer caracteres ASCII. Se você incluir espaços em uma senha, coloque todos os caracteres entre aspas (" ").

O Junos-FIPS tem requisitos especiais de senha. As senhas FIPS devem ter entre 10 e 20 caracteres de comprimento. As senhas devem usar pelo menos três dos cinco conjuntos de caracteres definidos (letras maiúsculas, letras minúsculas, dígitos, marcas de pontuação e outros caracteres especiais). Se o Junos-FIPS estiver instalado no roteador, você não poderá configurar senhas a menos que atendam a esse padrão.

A principal tarefa de um roteador é usar suas tabelas de roteamento e encaminhamento para encaminhar o tráfego de usuários para o destino desejado. Os invasores podem enviar pacotes de protocolo de roteamento forjados para um roteador com a intenção de alterar ou fraudar o conteúdo de sua tabela de roteamento ou outros bancos de dados, o que por sua vez pode degradar a funcionalidade do roteador e da rede. Para evitar tais ataques, os roteadores devem garantir que eles formem relações de protocolo de roteamento (peering ou relacionamentos vizinhos) a pares de confiança. Uma maneira de fazer isso é autenticando mensagens de protocolo de roteamento. Recomendamos fortemente o uso da autenticação na configuração de protocolos de roteamento.

Junos OS oferece suporte à autenticação HMAC-MD5 para BGP, IS-IS, OSPF, RIP e RSVP. O HMAC-MD5 usa uma chave secreta combinada com os dados sendo transmitidos para computar um hash. O hash computado é transmitido junto com os dados. O receptor usa a chave correspondente para recompensar e validar o hash da mensagem. Se um invasor forjou ou modificou a mensagem, o hash não corresponderá e os dados serão descartados.

Nos exemplos a seguir, configuramos o BGP como o protocolo de gateway exterior (EGP) e IS-IS como o protocolo de gateway interior (IGP). Se você usar o OSPF, configure-o de maneira semelhante à configuração IS-IS mostrada.

• Configure BGP
• Configure IS-IS

[edit]
protocols {
    bgp {
        group ibgp {
            type internal;
            traceoptions {
                file bgp-trace size 1m files 10;
                flag state;
                flag general;
            }
            local-address 10.10.5.1;
            log-updown;
            neighbor 10.2.1.1;
            authentication-key "$9$aH1j8gqQ1gjyjgjhgjgiiiii";
        }
        group ebgp {
            type external;
            traceoptions {
                file ebgp-trace size 10m files 10;
                flag state;
                flag general;
            }
            local-address 10.10.5.1;
            log-updown;
            peer-as 2;
            neighbor 10.2.1.2;
            authentication-key "$9$aH1j8gqQ1gjyjgjhgjgiiiii";
        }
    }
}

[edit]
protocols {
    isis {
        level 1 {
            authentication-key "$9$aH1j8gqQ1gjyjgjhgjgiiiii"; # SECRET-DATA
            authentication-type md5;
        }
        interface at-0/0/0.131 {
            lsp-interval 50;
            level 2 disable;
            level 1 {
                metric 3;
                hello-interval 5;
                hold-time 60;
            }
        }
        interface lo0.0 {
            passive;
        }
        traceoptions {
            file isis-trace size 10m files 10;
            flag normal;
            flag error;
        }
    }
}