例:IS-IS のヒットレス認証キー ロールオーバーの設定
この例では、IS-IS のヒットレス認証鍵ロールオーバーを設定する方法を示しています。
必要条件
IS-IS のヒットレス認証鍵ロールオーバーを設定する前に、デバイス初期化以外の特別な設定を行う必要はありません。
概要
認証により、信頼できるルーターのみがルーティング更新に参加することが保証されます。このキーチェーン認証方法は、ピアリングセッションをリセットしたり、ルーティングプロトコルを中断したりすることなく、キーが1つのキーから次のキーにロールオーバーするため、ヒットレスと呼ばれます。Junos OSは、RFC 5304、 IS-IS暗号化認証 とRFC 5310、 IS-IS汎用暗号化認証の両方をサポートしています。
この例では、キーチェーンを設定するための次のステートメントが含まれています。
-
algorithm:キーチェーン内のキーごとに、暗号化アルゴリズムを指定できます。アルゴリズムは SHA-1 または MD-5 です。
-
キー - キーチェーンは複数のキーを持つことができます。キーチェーン内の各キーは、一意の整数値で識別される必要があります。有効な ID 値の範囲は 0 から 63 です。
-
key-chain:キーチェーンごとに、名前を指定する必要があります。この例では、 base-key-global と base-key-inter の 2 つのキーチェーンを定義しています。
-
options—キーチェーン内の各キーに対して、メッセージ認証コードのエンコーディング(isis-enhanced または basic)を指定できます。基本(RFC 5304)操作はデフォルトで有効になっています。
isis-enhanced オプションを設定すると、Junos OS は RFC 5310 エンコードされたルーティングプロトコルパケットを送信し、他のデバイスから受信された RFC 5304 エンコードされたルーティングプロトコルパケットと RFC 5310 エンコードされたルーティングプロトコルパケットの両方を受け入れます。
basic を設定する(またはキー設定に options ステートメントを含めない)場合、Junos OS は RFC 5304 エンコード ルーティング プロトコル パケットを送受信し、他のデバイスから受信した 5310 エンコード ルーティング プロトコル パケットをドロップします。
この設定はIS-IS専用であるため、TCPおよびBFDプロトコルはキーで構成されたエンコードオプションを無視します。
-
secret:キーチェーン内のキーごとに、秘密のパスワードを設定する必要があります。このパスワードは、 シークレット ステートメントに暗号化またはプレーンテキスト形式で入力できます。常に暗号化された形式で表示されます。
-
start-time - 各キーは、ISO 8601 形式を使用して UTC に基づく開始時間を指定する必要があります。制御は 1 つのキーから次のキーに渡されます。(ルーティングデバイスのクロックに基づいて)設定された開始時間が来ると、その開始時間を持つキーがアクティブになります。開始時間は、ルーティングデバイスのローカルタイムゾーンで指定され、キーチェーン内で一意である必要があります。
キーチェーンは、すべてのインターフェイスにグローバルに適用することも、特定のインターフェイスに細かく適用することもできます。
この例では、すべてのインターフェイスまたは特定のインターフェイスにキーチェーンを適用するための以下のステートメントが含まれています。
-
authentication-key-chain—すべてのレベル 1 またはすべてのレベル 2 インターフェイスに、グローバル IS-IS レベルでキーチェーンを適用できます。
-
hello-authentication-key-chain:個々の IS-IS インターフェイス レベルでキーチェーンを適用できます。インターフェイスの設定は、グローバル設定よりも優先されます。
構成
プロシージャ
R0のCLIクイック設定
IS-IS のヒットレス認証キー ロールオーバーを迅速に設定するには、以下のコマンドをコピーして CLI に貼り付けます。
[edit] set interfaces ge-0/0/0 unit 0 description "interface A" set interfaces ge-0/0/0 unit 0 family inet address 10.0.0.1/30 set interfaces ge-0/0/0 unit 0 family iso set interfaces ge-0/0/0 unit 0 family inet6 address fe80::200:f8ff:fe21:67cf/128 set interfaces ge-0/0/1 unit 0 description "interface B" set interfaces ge-0/0/1 unit 0 family inet address 10.0.0.5/30 set interfaces ge-0/0/1 unit 0 family iso set interfaces ge-0/0/1 unit 0 family inet6 address 10FB::C:ABC:1F0C:44DA/128 set interfaces ge-0/0/2 unit 0 description "interface C" set interfaces ge-0/0/2 unit 0 family inet address 10.0.0.9/30 set interfaces ge-0/0/2 unit 0 family iso set interfaces ge-0/0/2 unit 0 family inet6 address ff06::c3/128 set security authentication-key-chains key-chain base-key-global key 63 secret "$ABC123" set security authentication-key-chains key-chain base-key-global key 63 start-time "2011-8-6.06:54:00-0700" set security authentication-key-chains key-chain base-key-global key 63 algorithm hmac-sha-1 set security authentication-key-chains key-chain base-key-global key 63 options isis-enhanced set security authentication-key-chains key-chain base-key-global key 64 secret "$ABC1234" set security authentication-key-chains key-chain base-key-global key 64 start-time "2011-10-6.06:54:00-0700" set security authentication-key-chains key-chain base-key-global key 64 algorithm hmac-sha-1 set security authentication-key-chains key-chain base-key-global key 64 options isis-enhanced set security authentication-key-chains key-chain base-key-inter key 0 secret "$ABC123" set security authentication-key-chains key-chain base-key-inter key 0 start-time "2011-8-6.06:54:00-0700" set security authentication-key-chains key-chain base-key-inter key 0 algorithm md5 set security authentication-key-chains key-chain base-key-inter key 0 options basic set security authentication-key-chains key-chain base-key-inter key 1 secret "$ABC1234" set security authentication-key-chains key-chain base-key-inter key 1 start-time "2011-10-6.06:54:00-0700" set security authentication-key-chains key-chain base-key-inter key 1 algorithm md5 set security authentication-key-chains key-chain base-key-inter key 1 options basic set protocols isis level 2 authentication-key-chain base-key-global set protocols isis interface ge-0/0/0.0 level 1 hello-authentication-key-chain base-key-inter
手順
IS-IS のヒットレス認証鍵ロールオーバーを設定するには、以下を行います。
-
ルーター R0 インターフェイスを設定します。
[edit] user@host# edit interfaces ge-0/0/0 unit 0 [edit interfaces ge-0/0/0 unit 0] user@host# set description "interface A" user@host# set family inet address 10.0.0.1/30 user@host# set family iso user@host# set family inet6 address fe80::200:f8ff:fe21:67cf/128 user@host# exit [edit] user@host# edit interfaces ge-0/0/1 unit 0 [edit interfaces ge-0/0/1 unit 0] user@host# set interfaces ge-0/0/1 unit 0 description "interface B" user@host# set interfaces ge-0/0/1 unit 0 family inet address 10.0.0.5/30 user@host# set interfaces ge-0/0/1 unit 0 family iso user@host# set interfaces ge-0/0/1 unit 0 family inet6 address 10FB::C:ABC:1F0C:44DA/128 user@host# exit [edit] user@host# edit interfaces ge-0/0/2 unit 0 [edit interfaces ge-0/0/2 unit 0] user@host# set description "interface C" user@host# set family inet address 10.0.0.9/30 user@host# set interfaces ge-0/0/2 unit 0 family iso user@host# set interfaces ge-0/0/2 unit 0 family inet6 address ff06::c3/128 user@host# exit
-
1 つ以上の認証キーチェーンとキーを設定します。この例では、2 つのキーを持つグローバル レベルとインターフェイス レベルの両方のキー チェーンの使用を示します。グローバルキーチェーンは、すべてのISISレベル2インターフェイスに適用されます。このキーチェーンは、hello と LSP の両方の交換を認証します。インターフェイスキーチェーンは、特にISISレベル1のge-0/0/0インターフェイス(インターフェイスA)に適用され、hello交換の認証にのみ使用されます。
[edit] user@host# edit security authentication-key-chains key-chain base-key-global [edit security authentication-key-chains key-chain base-key-global] user@host# set key 63 secret "$ABC123" user@host# set key 63 start-time "2011-8-6.06:54:00-0700" user@host# set key 63 algorithm hmac-sha-1 user@host# set key 63 options isis-enhanced user@host# set key 64 secret "$ABC1234" user@host# set key 64 start-time "2011-10-6.06:54:00-0700" user@host# set key 64 algorithm hmac-sha-1 user@host# set key 64 options isis-enhanced user@host# exit [edit] user@host# edit security authentication-key-chains key-chain base-key-inter [edit security authentication-key-chains key-chain base-key-inter] user@host# set key 0 secret "$ABC123" user@host# set key 0 start-time "2011-8-6.06:54:00-0700" user@host# set key 0 algorithm md5 user@host# set key 0 options basic user@host# set key 1 secret "$ABC1234" user@host# set key 1 start-time "2011-10-6.06:54:00-0700" user@host# set key 1 algorithm md5 user@host# set key 1 options basic user@host# exit
-
ルーター R0 上のすべてのレベル 2 ISISインターフェイスに、ベースキーグローバルキーチェーンを適用します。
[edit] user@host# edit protocols isis level 2 [edit protocols isis level 1] set authentication-key-chain base-key-global user@host# exit
-
レベル 1 での ISIS hello 認証の base-key-inter 鍵チェーンを、ルーター R0 の ge-0/0/0.0 インターフェイスに適用します。
[edit] user@host# edit protocols isis interface ge-0/0/0.0 level 1 [edit protocols isis interface ge-0/0/0.0 level 1] set hello-authentication-key-chain base-key-inter user@host# exit
-
デバイスの設定が完了したら、設定をコミットします。
[edit] user@host# commit
業績
show interfaces、show protocols、および show security コマンドを入力して、設定を確認します。
user@host# show interfaces
ge-0/0/0 {
unit 0 {
description "interface A";
family inet {
address 10.0.0.1/30;
}
family iso;
family inet6 {
address fe80::200:f8ff:fe21:67cf/128;
}
}
}
ge-0/0/1 {
unit 0 {
description "interface B";
family inet {
address 10.0.0.5/30;
}
family iso;
family inet6 {
address 10FB::C:ABC:1F0C:44DA/128;
}
}
}
ge-0/0/2 {
unit 0 {
description "interface C";
family inet {
address 10.0.0.9/30;
}
family iso;
family inet6 {
address ff06::c3/128;
}
}
}
user@host# show protocols
isis {
level 2 authentication-key-chain base-key-global;
interface ge-0/0/0.0 {
level 1 hello-authentication-key-chain base-key-inter;
}
}
user@host# show security
authentication-key-chains {
key-chain base-key-global {
key 63 {
secret "ABC123”;
start-time "2011-8-6.06:54:00-0700";
algorithm hmac-sha-1;
options isis-enhanced;
}
key 64 {
secret "ABC1234”;
start-time "2011-10-6.06:54:00-0700";
algorithm hmac-sha-1;
options isis-enhanced;
}
key-chain base-key-inter {
key 0 {
secret "$ABC123”;
start-time "2011-8-6.06:54:00-0700";
algorithm md5;
options basic;
}
key 1 {
secret "$ABC1234”;
start-time "2011-10-6.06:54:00-0700";
algorithm md5;
options basic;
}
}
}
検証
設定を確認するには、次のコマンドを実行します。
-
ISIS認証を表示
-
セキュリティキーチェーンを表示