BGP 路由身份验证

使用路由器和路由身份验证以及路由完整性可以极大地降低被配置为与其他路由器共享错误路由信息的计算机或路由器攻击的风险。在这种攻击中，可以诱使受攻击的路由器创建路由环路，或者可以大大增加被攻击路由器的路由表从而影响性能，或者可以将路由信息重定向到网络中的某个位置供攻击者分析。可以在分段上发送虚假路由广告。这些更新可以接受到邻居路由器的路由表中，除非有身份验证机制来验证路由的来源。

路由器和路由身份验证使路由器只有在能够根据密码（密钥）验证它们是否正在与受信任源通信时才能共享信息。在此方法中，散列密钥与发送到另一个路由器的路由一起发送。接收路由器将发送的密钥与其自己配置的密钥进行比较。如果它们相同，则接受路由。通过使用散列算法，密钥不会以纯文本形式通过网络发送。相反，哈希是使用配置的密钥计算的。路由更新与密钥一起用作哈希函数的输入文本。此哈希与路由更新一起发送到接收路由器。接收路由器将收到的哈希与其上使用其上配置的预共享密钥在路由更新上生成的哈希进行比较。如果两个哈希相同，则假定路由来自受信任的源。只有发送路由器和接收路由器知道密钥。

为了进一步增强安全性，您可以配置一系列身份验证密钥（ 钥匙串）。每个密钥在钥匙串中都有一个唯一的开始时间。钥匙串身份验证允许您定期更改密码信息，而不会关闭对等会话。此密钥链身份验证方法称为无中断，因为密钥会从一个密钥滚动到下一个密钥，而不会重置任何对等会话或 中断 路由协议。

发送对等方使用以下规则来标识活动身份验证密钥：

• 开始时间小于或等于当前时间（换句话说，不是将来的时间）。

• 开始时间大于链中开始时间小于当前时间（换句话说，最接近当前时间）的所有其他键的开始时间。

接收对等方根据传入密钥标识符确定用于进行身份验证的密钥。

发送对等方根据配置的开始时间标识当前身份验证密钥，然后使用当前密钥生成哈希值。然后，发送对等方将 TCP 增强型身份验证选项对象插入到 BGP 更新消息中。对象包含对象 ID（由 IANA 分配）、对象长度、当前键和哈希值。

接收对等方检查传入的 TCP 增强型身份验证选项，查找收到的身份验证密钥，并根据开始时间、系统时间和容差参数确定密钥是否可接受。如果接受密钥，接收对等方将计算哈希并对更新消息进行身份验证。

最初将钥匙串应用于 TCP 会话会导致会话重置。但是，应用钥匙串后，在钥匙串中添加或删除密码不会导致 TCP 会话重置。此外，当钥匙串从一种身份验证算法更改为另一种身份验证算法时，TCP 会话不会重置。

通常，在以下层次结构级别配置 TCP 身份验证：

• [edit protocols bgp]

• [edit protocols bgp group group-name]

• [edit protocols bgp group group-name neighbor address]

可以对所有 BGP 协议交换进行身份验证，以确保只有可信的路由设备参与自治系统 (AS) 路由更新。默认情况下，身份验证处于禁用状态。