Tweet
[CCNP -ENCOR] EIGRP MD5 AUTHENTICATION: LÁ CHẮN BẢO VỆ HẠ TẦNG ĐỊNH TUYẾN DOANH NGHIỆPTrong một hệ thống mạng chạy giao thức định tuyến động, các Router tự động trao đổi thông tin định tuyến với nhau. Tuy nhiên, nếu bạn để cấu hình mặc định (không có xác thực), bất kỳ ai cũng có thể cắm một chiếc máy tính chạy giả lập (như GNS3/Dynamips), khởi tạo một Router ảo và cố gắng thiết lập mối quan hệ láng giềng (Neighbor Adjacency) với Router thật của doanh nghiệp.
Hậu quả của việc này cực kỳ nghiêm trọng: Kẻ tấn công có thể bơm các tuyến đường rác (Junk routes) vào hệ thống để làm sai lệch hướng đi của dữ liệu, hoặc gửi các gói tin độc hại để làm rớt kết nối mạng. Để ngăn chặn triệt để nguy cơ này, việc kích hoạt tính năng EIGRP MD5 Authentication là điều kiện tiên quyết đối với mọi kỹ sư quản trị mạng.
Những Lợi Ích Cốt Lõi Khi Bật Xác Thực EIGRP- Xác minh nguồn gốc gói tin: Router sẽ kiểm tra và xác thực danh tính của từng nguồn gửi gói tin cập nhật định tuyến trước khi xử lý.
- Chặn đứng cập nhật giả mạo: Ngăn chặn và loại bỏ hoàn toàn các gói tin định tuyến từ những nguồn không được phê duyệt trong hệ thống.
- Bảo vệ tính toàn vẹn: Bỏ qua hoàn toàn các gói tin mang mục đích phá hoại hoặc gây nhiễu bảng định tuyến.
LƯU Ý CÔNG NGHỆ: EIGRP hoàn toàn không hỗ trợ kiểu xác thực dạng văn bản thuần túy (Plaintext Authentication). Giao thức này chỉ hỗ trợ các thuật toán mã hóa an toàn là MD5 và các thuật toán SHA nâng cao.
Kịch Bản Triển Khai Thực TếXét mô hình mạng cơ bản gồm hai Router R1 và R2 kết nối trực tiếp với nhau qua phân đoạn mạng 192.168.12.0/24 thuộc Autonomous System (AS) 12.
Để cấu hình xác thực MD5 cho EIGRP Classic Mode, chúng ta cần thực hiện tuần tự qua hai bước lớn: Tạo chuỗi khóa (Key Chain) và Áp dụng vào cổng kết nối.
Tiến Trình Cấu Hình Từng Bước Trên Cisco IOS- Bước 1: Tạo Chuỗi Khóa (Key Chain) trên các Router Chúng ta tiến hành khai báo một chuỗi khóa mang tên MY_KEY_CHAIN. Trong chuỗi khóa này, chúng ta tạo ra một mã số định danh Key ID 1 và gán mật khẩu bảo mật là MY_KEY_STRING. (Lưu ý: Tên Key Chain có thể khác nhau trên mỗi Router, nhưng số Key ID và mật khẩu Key-string bắt buộc phải trùng khớp tuyệt đối ở cả hai đầu kết nối).
R1(config)# key chain MY_KEY_CHAIN
R1(config-keychain)# key 1
R1(config-keychain-key)# key-string MY_KEY_STRING
- Bước 2: Kích hoạt chế độ xác thực trên cổng vật lý Sau khi đã có chuỗi khóa, chúng ta truy cập vào cổng giao tiếp vật lý kết nối láng giềng để bật tính năng xác thực MD5 và gọi tên chuỗi khóa vừa tạo. Bạn cần chỉ định chính xác số AS đang chạy (ở đây là AS 12).
R1(config)# interface FastEthernet 0/0
R1(config-if)# ip authentication mode eigrp 12 md5
R1(config-if)# ip authentication key-chain eigrp 12 MY_KEY_CHAIN
Kiểm Tra Và Giám Sát Trạng Thái Hệ ThốngĐể đảm bảo bộ lọc hoạt động chính xác, bạn có thể thực hiện kiểm tra qua hai trạng thái trực quan sau:
1. Khi một trong hai bên chưa bật xác thực (Hoặc sai mật khẩu):
Nếu bạn mới chỉ bật xác thực trên R1 mà chưa bật trên R2, khi dùng lệnh kiểm tra gói tin debug eigrp packets trên R2, hệ thống sẽ liên tục cảnh báo và từ chối nhận thông tin:
EIGRP: FastEthernet0/0: ignored packet from 192.168.12.1 (authentication off or key-chain missing)
Nếu bạn nhập sai mật khẩu (ví dụ dùng WRONG_KEY_STRING), hệ thống sẽ báo lỗi lệch pha:
EIGRP: pkt key id=1, authentication mismatch 2. Khi cấu hình đồng bộ thành công ở cả hai đầu:
Ngay sau khi bạn hoàn tất cấu hình chính xác trên Router R2 giống như R1, mối quan hệ láng giềng sẽ ngay lập tức được thiết lập an toàn:
%DUAL-5-NBRCHANGE: IP-EIGRP(0) 12: Neighbor 192.168.12.1 (FastEthernet0/0) is up: new adjacency
Lời KhuyênTrong thực tế, bạn hoàn toàn có thể cấu hình thêm thời gian hiệu lực cho các chìa khóa (Accept và Expire Lifetime) để tăng tính bảo mật. Việc này giúp tự động hóa quá trình thay đổi mật khẩu định kỳ theo tuần hoặc theo tháng.
Tuy nhiên, nếu triển khai tính năng giới hạn thời gian này, bạn hãy đảm bảo hệ thống mạng đã được đồng bộ thời gian chuẩn xác thông qua một máy chủ NTP (Network Time Protocol) chung để tránh việc lệch múi giờ khiến các Router tự động ngắt kết nối lẫn nhau.
#VnPro #CCNA #CCNP #CCIEEnterprise #EIGRP #EIGRPAuthentication #MD5 #NetworkSecurity #CiscoLab
Attached Files