ISIS的认证、汇总、过滤

ISIS的认证

1.接口认证：对于ISIS邻居建立的Hello报文认证

   [AR1-GigabitEthernet0/0/0]isis authentication-mode md5 plain Huawei@123 ？

 

hello报文添加的TLV字段：

   Authentication (t=10, l=17)

    Type: 10

    Length: 17

    hmac-md5 (54), message digest (length 16) = 2f52826aa78457f3e341a4af336b5f6f

   也可以在接口认证时指定是发送L1-hello认证 还是L2-hello认证

[AR1-GigabitEthernet0/0/0]isis authentication-mode md5 plain Huawei@123 ？Level-1 或者level-2

接口认证配置时，可以设置send-only参数，表示我只发送带有认证的hello报文，本端不检测对方的hello认证

 

[AR1-GigabitEthernet0/0/0]isis authentication-mode md5 plain Huawei@123 send-only ：说人话：加上send-only本端不检测对方的hello认证邻居关系不会断开，我只发送带hello认证的报文，但是自身不做认证

改密码操作：

先：AR1 AR2两端都[AR1-GigabitEthernet0/0/0]isis authentication-mode md5 plain Huawei@123 send-only

然后再修改密码把改成想要的：[AR1-GigabitEthernet0/0/0]isis authentication-mode md5 plain Xiaochen send-only

本端对端再相同的方法去掉send-only：[AR1-GigabitEthernet0/0/0]isis authentication-mode md5 plain Xiaochen

先设置send-only参数两个都设置两个都不检测，然后再把两个密码改成相同的再撤销send-only

1、先把原有的密码加上send-only  [AR1-GigabitEthernet0/0/0]isis authentication-mode md5 plain Huawei@123 send-only

2、再修改密码把改成想要的[AR1-GigabitEthernet0/0/0]isis authentication-mode md5 plain Xiaochen send-only

3、再把对端的密码打上send-only [AR2-GigabitEthernet0/0/0]isis authentication-mode md5 plain Huawei@123 send-only

4、再把对端的密码修改[AR2-GigabitEthernet0/0/0]isis authentication-mode md5 plain Xiaochen send-only

5、再两端去掉send-only    [AR1-GigabitEthernet0/0/0]isis authentication-mode md5 plain Xiaochen

 

 

• 根据报文的种类，认证可以分为以下三类：
  • 接口认证：在接口视图下配置，对Level-1和Level-2的Hello报文进行认证。
  • 区域认证：在IS-IS进程视图下配置，对Level-1的CSNP、PSNP和LSP报文进行认证。
  • 路由域认证：在IS-IS进程视图下配置，对Level-2的CSNP、PSNP和LSP报文进行认证。
• 根据报文的认证方式，可以分为以下四类：
  • 简单认证：将配置的密码直接加入报文中，这种加密方式安全性较其他两种方式低。
  • MD5认证：通过将配置的密码进行MD5算法加密之后再加入报文中，提高密码的安全性。
  • Keychian认证：通过配置随时间变化的密码链表来进一步提升网络的安全性。
  • HMAC-SHA256认证：通过将配置的密码进行HMAC-SHA256算法加密之后再加入报文中，提高密码的安全性。

 

2.区域认证：L1的LSP和SNP报文做认证

   [AR1-isis-1]area-authentication-mode md5 plain Huawei@123

   [AR2-isis-1]area-authentication-mode md5 plain Huawei@123 ?

    all-send-only  发送LSP和SNP报文时携带认证，但是接收对端的LSP和SNP报文不做检测

    snp-packet     只对SNP报文做认证，不对LSP报文做认证

   [AR1-isis-1]area-authentication-mode md5 plain Huawei@123 snp-packet ?

    authentication-avoid  发送时不携带认证，接收时不做认证检测

    send-only             发送时携带认证，接收时不做认证检测

   *做区域认证，默认对LSP和SNP报文进行认证

    通过参数snp-packet，来指定是否对SNP报文做认证

    1.LSP报文一定携带认证

    2.SNP报文可以通过参数配置是否携带认证

3.路由域认证：L2的LSP和SNP报文做认证

    [AR4-isis-1]domain-authentication-mode md5 plain Huawei

    和区域认证配置相同，且参数也相同，只是报文的级别发生了变化

ISIS报文

IIH	用于邻居的发现和维护