Autenticación para protocolos de enrutamiento

Algunos protocolos de enrutamiento (BGP, IS-IS, OSPF, RIP y RSVP) permiten configurar un método de autenticación y una contraseña. Los enrutadores vecinos utilizan la contraseña para verificar la autenticidad de los paquetes que el protocolo envía desde el enrutador o desde una interfaz de enrutador. Se admiten los siguientes métodos de autenticación:

• Autenticación simple (IS-IS, OSPF y RIP): utiliza una contraseña de texto simple. El enrutador receptor utiliza una clave de autenticación (contraseña) para verificar el paquete. Debido a que la contraseña se incluye en el paquete transmitido, este método de autenticación es relativamente inseguro. Le recomendamos que evite el uso de este método de autenticación.

• MD5 y HMAC-MD5 (BGP, IS-IS, OSPF, RIP y RSVP): MD5 crea una suma de comprobación codificada que se incluye en el paquete transmitido. HMAC-MD5, que combina la autenticación HMAC con MD5, agrega el uso de una función hash criptográfica iterada. Con ambos tipos de autenticación, el enrutador receptor utiliza una clave de autenticación (contraseña) para verificar el paquete. La autenticación HMAC-MD5 se define en RFC 2104, HMAC: Keyed-hashing para la autenticación de mensajes.

En general, las contraseñas de autenticación son cadenas de texto que constan de un número máximo de letras y dígitos. Las contraseñas pueden incluir cualquier carácter ASCII. Si incluye espacios en una contraseña, escriba todos los caracteres entre comillas (" ").

Junos-FIPS tiene requisitos de contraseña especiales. La longitud de las contraseñas FIPS debe estar comprendida entre 10 y 20 caracteres. Las contraseñas deben tener al menos tres de los cinco conjuntos de caracteres definidos (letras mayúsculas y minúsculas, dígitos, signos de puntuación y otros caracteres especiales). Si Junos-FIPS está instalado en el enrutador, no puede configurar contraseñas a menos que cumplan este estándar.

La tarea principal de un enrutador es utilizar sus tablas de enrutamiento y reenvío para reenviar el tráfico del usuario a su destino previsto. Los atacantes pueden enviar paquetes de protocolo de enrutamiento falsificados a un enrutador con la intención de cambiar o corromper el contenido de su tabla de enrutamiento u otras bases de datos, lo que a su vez puede degradar la funcionalidad del enrutador y la red. Para evitar este tipo de ataques, los enrutadores deben asegurarse de que forman relaciones de protocolo de enrutamiento (emparejamiento o relaciones vecinas) con pares de confianza. Una forma de hacerlo es mediante la autenticación de mensajes de protocolo de enrutamiento. Se recomienda encarecidamente utilizar la autenticación al configurar protocolos de enrutamiento.

Junos OS admite la autenticación HMAC-MD5 para BGP, IS-IS, OSPF, RIP y RSVP. HMAC-MD5 utiliza una clave secreta combinada con los datos que se transmiten para calcular un hash. El hash calculado se transmite junto con los datos. El receptor utiliza la clave coincidente para volver a calcular y validar el hash del mensaje. Si un atacante ha falsificado o modificado el mensaje, el hash no coincidirá y los datos se descartarán.

En los siguientes ejemplos, configuramos BGP como el protocolo de puerta de enlace exterior (EGP) e IS-IS como el protocolo de puerta de enlace interior (IGP). Si utiliza OSPF, configúrelo de manera similar a la configuración de IS-IS que se muestra.

• Configurar BGP
• Configurar IS-IS

[edit]
protocols {
    bgp {
        group ibgp {
            type internal;
            traceoptions {
                file bgp-trace size 1m files 10;
                flag state;
                flag general;
            }
            local-address 10.10.5.1;
            log-updown;
            neighbor 10.2.1.1;
            authentication-key "$9$aH1j8gqQ1gjyjgjhgjgiiiii";
        }
        group ebgp {
            type external;
            traceoptions {
                file ebgp-trace size 10m files 10;
                flag state;
                flag general;
            }
            local-address 10.10.5.1;
            log-updown;
            peer-as 2;
            neighbor 10.2.1.2;
            authentication-key "$9$aH1j8gqQ1gjyjgjhgjgiiiii";
        }
    }
}

[edit]
protocols {
    isis {
        level 1 {
            authentication-key "$9$aH1j8gqQ1gjyjgjhgjgiiiii"; # SECRET-DATA
            authentication-type md5;
        }
        interface at-0/0/0.131 {
            lsp-interval 50;
            level 2 disable;
            level 1 {
                metric 3;
                hello-interval 5;
                hold-time 60;
            }
        }
        interface lo0.0 {
            passive;
        }
        traceoptions {
            file isis-trace size 10m files 10;
            flag normal;
            flag error;
        }
    }
}