Tweet
OSPFv3 AUTHENTICATION & ENCRYPTION: BẢO MẬT TOÀN DIỆN MẠNG IPv6 BẰNG IPSEC!
OSPFv3 AUTHENTICATION & ENCRYPTION: BẢO MẬT TOÀN DIỆN MẠNG IPv6 BẰNG IPSEC!Một trong những điểm khác biệt lớn nhất giữa OSPFv2 (IPv4) và OSPFv3 (IPv6) là cấu trúc của OSPF Header. Khác với OSPFv2 tích hợp sẵn trường Authentication trong Header, OSPFv3 loại bỏ hoàn toàn trường xác thực riêng.
Thay vào đó, OSPFv3 tận dụng sức mạnh bảo mật nền tảng của giao thức IPsec (IP Security) tích hợp sẵn trong bộ giao thức IPv6. IPsec cung cấp 2 cơ chế chính để bảo vệ gói tin OSPFv3:
- IPsec AH (Authentication Header): Cung cấp cơ chế Xác thực (Authentication) và đảm bảo tính toàn vẹn dữ liệu.
- IPsec ESP (Encapsulating Security Payload): Cung cấp cơ chế Xác thực + Mã hóa (Encryption) toàn bộ nội dung gói tin.
MÔ HÌNH LAB TIÊU CHUẨN- Topology: Mô hình gồm 2 Router R1 và R2 kết nối trực tiếp qua giao diện FastEthernet 0/0.
- IPv6 Addressing: Sử dụng địa chỉ Link-Local (FE80::) mặc định trên cổng kết nối.
- Kích hoạt OSPFv3 cơ bản:
Plaintext
R1 & R2(config)# interface FastEthernet 0/0
R1 & R2(config-if)# ipv6 ospf 1 area 0
1. CẤU HÌNH XÁC THỰC BẰNG IPSEC AH (IPSEC AUTHENTICATION)Phương thức này áp dụng tiêu chuẩn IPsec AH với thuật toán băm (Hash) như MD5 hoặc SHA-1 để xác thực các Router láng giềng. Các bước thực hiện:
Trực tiếp kích hoạt IPsec AH trên Interface với SPI (Security Parameters Index) và chuỗi khóa tĩnh (Static Key):
- Trên Router R1:
Plaintext
R1(config)# interface FastEthernet 0/0
R1(config-if)# ipv6 ospf authentication ipsec spi 256 sha1 A5DEC4DD155A695A88983AACEAA5A97C6AECB6D1
- Trên Router R2:
Plaintext
R2(config)# interface FastEthernet 0/0
R2(config-if)# ipv6 ospf authentication ipsec spi 256 sha1 A5DEC4DD155A695A88983AACEAA5A97C6AECB6D1
Giải thích tham số:- spi 256: Mã số định danh Security Association giữa 2 Router (bắt buộc phải trùng khớp trên cả 2 đầu).
- sha1: Thuật toán băm xác thực an toàn.
- Chuỗi Hex (40 ký tự): Khóa tĩnh dùng để tạo chữ ký ICV (Integrity Check Value).
Plaintext
R1# show ipv6 ospf interface FastEthernet 0/0 | include auth
SHA-1 authentication SPI 256, secure socket UP (errors: 0)
R1# show crypto ipsec sa
interface: FastEthernet0/0
...
inbound ah sas:
spi: 0x100(256)
transform: ah-sha-hmac,
in use settings = {Transport, }
2. CẤU HÌNH MÃ HÓA BẰNG IPSEC ESP (IPSEC ENCRYPTION)Nếu yêu cầu hệ thống không chỉ dừng ở mức xác thực mà cần mã hóa toàn bộ nội dung gói tin OSPFv3 (tránh bị nghe lén dữ liệu định tuyến qua Wireshark), chúng ta sẽ sử dụng tiêu chuẩn IPsec ESP. Các bước thực hiện:
Trước tiên, loại bỏ cấu hình IPsec AH cũ, sau đó áp dụng lệnh mã hóa ipv6 ospf encryption:
- Trên Router R1:
Plaintext
R1(config)# interface FastEthernet 0/0
R1(config-if)# no ipv6 ospf authentication ipsec spi 256 sha1 A5DEC4DD155A695A88983AACEAA5A97C6AECB6D1
R1(config-if)# ipv6 ospf encryption ipsec spi 256 esp aes-cbc 256 FDCEA619E8AA73F517F6EA997D7D782F3EB47B4FA425AA0AD1 9D73C2A7FBD85B sha1 A5DEC4DD155A695A88983AACEAA5A97C6AECB6D1
- Thực hiện tương tự trên Router R2:
Plaintext
R2(config)# interface FastEthernet 0/0
R2(config-if)# ipv6 ospf encryption ipsec spi 256 esp aes-cbc 256 FDCEA619E8AA73F517F6EA997D7D782F3EB47B4FA425AA0AD1 9D73C2A7FBD85B sha1 A5DEC4DD155A695A88983AACEAA5A97C6AECB6D1
Giải thích tham số ESP:- esp aes-cbc 256: Thuật toán mã hóa dữ liệu AES 256-bit.
- Chuỗi Hex Cipher Key (64 ký tự): Khóa dùng để mã hóa gói tin.
- sha1 <Auth Key>: Thuật toán và khóa dùng để xác thực đi kèm trong ESP.
Plaintext
R1# show ipv6 ospf interface FastEthernet 0/0 | include auth
AES-CBC-256 encryption SHA-1 auth SPI 256, secure socket UP (errors: 0)
R1# show crypto ipsec policy
Policy name: OSPFv3-1-256
Inbound ESP SPI: 256 (0x100)
Transform set: esp-256-aes esp-sha-hmac
Khi bắt gói tin bằng Wireshark, toàn bộ phần payload của OSPFv3 sẽ bị xáo trộn dưới dạng Encapsulating Security Payload (ESP), kẻ tấn công chỉ nhìn thấy địa chỉ IPv6 multicast (FF02::5) mà không thể xem được bất kỳ thông tin Hello hay LSA nào bên trong!
SO SÁNH NHANH IPSEC AH VÀ IPSEC ESP TRONG OSPFv3- IPsec AH (Authentication Header):
- IPsec ESP (Encapsulating Security Payload):
- Cú pháp: Sử dụng lệnh ipv6 ospf authentication ipsec ...
- Xác thực: Cung cấp xác thực nguồn gốc và kiểm tra tính toàn vẹn dữ liệu (AH ICV).
- Mã hóa: Không hỗ trợ mã hóa dữ liệu.
- Tải xử lý: Mức tiêu tốn CPU thấp hơn.
- Ứng dụng: Ngăn chặn giả mạo láng giềng OSPFv3.
- Cú pháp: Sử dụng lệnh ipv6 ospf encryption ipsec ...
- Xác thực: Cung cấp xác thực nguồn gốc dữ liệu đi kèm.
- Mã hóa: Hỗ trợ mã hóa mạnh mẽ (AES, 3DES, DES).
- Tải xử lý: Tiêu tốn tài nguyên CPU cao hơn do phải mã hóa/giải mã.
- Ứng dụng: Bảo mật tuyệt đối dữ liệu định tuyến khỏi hành vi nghe lén.
NÂNG BẬC TƯ DUY VÀ KỸ NĂNG MẠNG CÙNG KHÓA HỌC CCNP ENCOR (350-401)Làm chủ các cơ chế bảo mật nâng cao cho IPv6 và OSPFv3 là kỹ năng thiết yếu đối với mỗi Kỹ sư Mạng Enterprise hiện đại. Đừng bỏ lỡ cơ hội chuẩn hóa kiến thức theo tiêu chuẩn Cisco quốc tế!
Hãy đăng ký ngay khóa học CCNP ENCOR (350-401) để nâng tầm sự nghiệp:
LỚP OFFLINE: Tối 246 - khai giảng ngày 29/07/2026
LỚP ONLINE : Tối 357 - khai giảng ngày 28/07/2026
Mục tiêu: Nắm vững kiến thức chuyên sâu, thực hành Lab 100% trên thiết bị thật, tự tin thiết kế và vận hành hệ thống mạng Doanh nghiệp phức tạp.
Nhắn tin ngay hôm nay để nhận thông tin ưu đãi và giữ chỗ lớp học gần nhất!Hotline: 0933 427 079#CCNP #CCNPENCOR #ENCOR350401 #OSPFv3 #IPv6 #IPsec #AES #SHA1 #IPsecAH #IPsecESP #NetworkSecurity #CiscoIOS
Attached Files