配置OSPFv3 IPSec示例

在OSPFv3网络中互为OSPFv3邻居的设备接口上配置OSPFv3 IPSec，防止伪造的OSPFv3协议报文对设备进行非法攻击。

组网需求

如图1所示，RouterA和RouterB透过一段公共网络相连，RouterA和RouterB之间运行OSPFv3。如果不定义任何认证机制，RouterA和RouterB之间的路由协议报文很可能会被网络中的攻击者更改或者仿冒，造成RouterA和RouterB的邻接关系断开，或者引入错误路由。

为了防止上述情况发生，在RouterA和RouterB之间配置IPSec安全隧道，对它们收发的OSPFv3报文进行安全保护。安全协议采用ESP（Encapsulating Security Payload），认证算法采用SHA-1（Secure Hash Algorithm-1）。

图1 配置IPSec组网图

配置思路

采用如下的思路配置IPSec for OSPFv3特性：

配置OSPFv3基本功能，使RouterA和RouterB之间能够建立OSPFv3路由。

配置安全提议，以决定需要实施的安全协议、认证算法等。

配置安全联盟参数。

OSPFv3进程上应用安全联盟，以实现IPSec对RouterA和RouterB之间OSPFv3路由协议报文的保护。

数据准备

为完成此配置例，需要准备如下数据：

设备名称	Router ID	Process ID	IPv6地址	安全索引参数SPI	字符串密钥
RouterA	1.1.1.1	1	GE1/0/1: 2001:DB8:100::1/64	12345	Huawei-123
RouterB	2.2.2.2	1	GE1/0/1: 2001:DB8:100::2/64	12345	Huawei-123

操作步骤

1. 在RouterA和RouterB上配置OSPFv3。

# 配置RouterA。

<HUAWEI> system-view

[HUAWEI] sysname RouterA

[RouterA] ospfv3 1

[RouterA-ospfv3-1] router-id 1.1.1.1

[RouterA-ospfv3-1] area 1

[RouterA-ospfv3-1-area-0.0.0.1] quit

[RouterA-ospfv3-1] quit

# 配置RouterB。

<HUAWEI> system-view

[HUAWEI] sysname RouterB

[RouterB] ospfv3 1

[RouterB-ospfv3-1] router-id 2.2.2.2

[RouterB-ospfv3-1] area 1

[RouterB-ospfv3-1-area-0.0.0.1] quit

[RouterB-ospfv3-1] quit

1. 在接口上配置IPv6地址并使能OSPFv3。

# 配置RouterA。

[RouterA] ipv6

[RouterA]