我的经验里OSPF 设备接入网络的方式往往比很多管理员预想的要随意得多。有次帮一家公司做核心网络巡检发现核心路由器的路由表里莫名多出一条指向办公区某台测试交换机的 10.x 网段路由整个区域的信息被污染了一圈。后来查清原因那台测试交换机当时被临时接到接入层开启了默认的 OSPF 进程瞬间就把自己的直连网段广播了出去。那次事故之后我养成了一个习惯——任何 OSPF 区域部署都必须把防篡改作为一等公民来设计。OSPF 区域防篡改配置这个概念拆开看就是三层意思一是防止未授权的路由器轻易加入区域二是防止伪造、非法的 LSA 在区域内扩散三是防止区域边界被注入不属于本区域规划的路由信息。本文就当一次复盘把这几层防护的配置思路、操作命令和排错经验完整过一遍适合正在做园区网、企业网或数据中心网络运维的工程师参考也能帮刚接触 OSPF 不久的同行建立起一套先防后通的布置习惯。1. 先搞清楚区域防篡改防的到底是什么1.1 OSPF 区域模型下的真实攻击面OSPF 是一种链路状态协议区域内所有路由器维护的是同一份 LSDB也就是链路状态数据库。只要一台路由器成功加入区域并且能完成邻居关系建立和数据库同步它就有能力通过 LSA 通告把自己掌握的直连路由、静态路由甚至是重发布进来的路由扩散给全网。这种设计的初衷是可信内网互信但一旦拓扑里混入了不该出现的设备或某台设备被人为配置了恶意路由区域内的路由表就会在没有任何提示的情况下被改写。具体到篡改这个词实际运维中常见这几类威胁非授权设备接入一台只配了 OSPF 的交换机或路由器直接接入网络通过 Hello 报文被发现的概率很高如果区域没有认证它几乎可以零成本加入区域。伪造 LSA 泛洪攻击者或误配置设备主动发送伪造的 Router LSA、Network LSA 或 External LSA把不存在的网段广播进 LSDB。区域边界注入在 ABR 或 ASBR 位置通过重发布引入错误路由或通过错误配置把本应隔离的外部路由灌入普通区域。区域类型被绕过设计时未合理使用 Stub、NSSA 等区域类型导致外部 LSA 大量进入不应存在的区域扩大了攻击面。看到这里你应该明白了OSPF 区域防篡改不是某一个单一功能而是一整套纵深防御机制的统称。1.2 组合拳思路认证、区域类型、边界过滤缺一不可很多工程师会误以为只要配了 OSPF 认证就万事大吉。说实话认证确实解决了大部分外部设备混入的问题但认证防不住区域内部合法设备因配置失误或中招后产生的错误 LSA也防不住 ABR/ASBR 上一句错误的重发布命令把外部路由灌进来。因此我个人的实战框架是三层防护认证层通过区域认证或接口认证确保只有持有密钥的设备才能建立 OSPF 邻居这属于最底层的身份校验。区域类型层通过 Stub、Totally Stub、NSSA 等区域类型限制外部 LSA 的传播路径缩小路由信息的暴露面。边界过滤层在 ABR/ASBR 上通过路由过滤、被动接口等手段阻断非法路由进入或离开区域。这三层组合起来的价值是即便某一层被绕过其他层依然能兜住风险不至于让一次小失误演变成全网路由抖动。2. 第一层防护区域认证与接口认证的完整配置2.1 三种认证级别的适用场景别一上来就全选OSPF 认证有三种作用范围区域认证、接口认证、虚链路认证。它们之间是向下覆盖的关系——配置了区域认证后该区域内所有接口的 OSPF 报文都默认携带认证信息接口认证的优先级更高适合对某个特定端口做差异化处理虚链路认证则是针对 OSPF 虚链路单独设置的。实际项目里我遵循一个简单的选择逻辑全网所有设备能力一致优先用区域认证配置量小统一管理。混合厂商设备或存在老版本设备不支持高等级认证算法时退而求其次用接口认证方便逐个接口调整。虚链路必须要单独配认证不要指望 area 0 的认证自动覆盖到虚链路这一点相当多同行吃过亏。2.2 MD5 与 HMAC-SHA256安全等级怎么选OSPF 的认证类型其实有四种Null0、明文1、MD52、HMAC-SHA256。明文认证没有任何安全性抓包就能直接看到密码只适合实验室。MD5 因为存在已知的碰撞攻击风险在有合规要求或安全等级较高的网络中已经不太推荐。HMAC-SHA256 是当前最稳妥的选择华为和思科较新的软件版本都支持。下面用一个对照表说明三种常用认证类型的特点认证类型安全强度是否可抓包还原密码适用场景明文认证极低是仅限实验环境MD5中等否但存在碰撞风险老设备兼容性要求高时使用HMAC-SHA256高否生产网络首选选型建议只要设备软件版本支持直接上 HMAC-SHA256。如果遇到老设备死活不支持 SHA256 的情况退而求其次用 MD5但要意识到这是临时妥协后续设备升级后要立刻切回来。2.3 华为、思科配置对照与验证华为的配置习惯是在 OSPF 进程视图下进入区域配置区域认证或在接口视图下做接口级认证。华为示例区域认证ospf 1 router-id 1.1.1.1 area 0 authentication-mode hmac-sha256 key-id 1 cipher Admin123华为示例接口认证interface GigabitEthernet0/0/1 ospf authentication-mode hmac-sha256 key-id 1 cipher Admin123思科的配置逻辑粒度类似区域认证要在 OSPF 进程视图下声明接口认证要单独声明密钥。思科示例区域认证router ospf 1 area 0 authentication message-digest思科示例接口认证必须先定义密钥再启用认证interface GigabitEthernet0/0 ip ospf message-digest-key 1 md5 Admin123这里有个特别容易踩的坑华为配置 HMAC-SHA256 时key-id 必须与邻居设备的 key-id 完全一致思科这边虽然也要求一致但因为思科走的是 message-digest-key 编号跨厂商互联时经常出现 key-id 对不上导致邻居关系一直卡在 ExStart 的情况。我在一个华为和 H3C 混合组网的项目里就踩过排查了两小时才发现两边 key-id 一个写 1、一个写 2压根没对上。配置完成后验证命令必须会看。华为用display ospf peer查邻居状态display ospf interface查接口的认证模式。如果认证配置错误邻居会卡在 Init 或 ExStartOSPF 接口状态也会变 DOWN。思科对应的是show ip ospf neighbor和show ip ospf interface。3. 第二层防护区域类型如何把篡改挡在区域外3.1 Stub 与 Totally Stub 对 LSA 的截断逻辑Stub 区域的核心逻辑是这里不需要知道外部世界长什么样。当一个区域被设置为 Stub 后ABR 不会把 Type 5 LSAAS-External LSA外部路由注入该区域区域内路由器只通过一条默认路由访问外部网络。Totally Stub 区域则更进一步连 Type 3 LSASummary LSA其他区域的汇总路由都拦在区域外只保留一条 ABR 通告的默认路由。从防篡改的角度看少即是多的道理很直接外部 LSA 进不来意味着伪造的 Type 5 LSA 即便产生了也没有传播的通道。区域越小、LSA 类型越少LSDB 被污染的攻击面就越小。华为配置 Stub 区域ospf 1 router-id 1.1.1.1 area 1 stub华为配置 Totally Stub 区域用 no-summary 参数ospf 1 router-id 1.1.1.1 area 1 stub no-summary思科配置逻辑相同但命令位置和参数写法不同router ospf 1 area 1 stub area 1 stub no-summary有一点务必注意Stub 区域内的所有路由器都必须配置 stub 关键字否则邻居起不来。华为设备会在区域下自动协商 Stub 标志位思科也会在 Hello 报文里携带 Stub 标志只要有一台设备没配邻居关系就建立不了。3.2 NSSA 场景下的小心机Type 7 转 Type 5 的边界控制真实网络里不可能所有区域都是纯 Stub某些区域里确实需要引入少量外部路由比如区域边界需要感知一条静态路由或另一套动态路由协议的路由。这时 NSSANot-So-Stubby Area就派上用场了。NSSA 允许区域内存在 ASBR但它产生的外部路由以 Type 7 LSA 形式存在由 ABR 做转换后以 Type 5 LSA 形式发布到骨干区域或其他区域。这个转换动作本身就是一个天然的防篡改检查点——ABR 只转换自己认可的 Type 7 路由其他不合理的注入在源头就会被隔离在一个小范围内。华为配置 NSSA 和 Totally NSSAospf 1 area 2 nssa nssa no-summary思科router ospf 1 area 2 nssa area 2 nssa no-summaryNSSA 的部署经验是配置 no-summary 的 Totally NSSA 区域能让区域内的 LSDB 干净到极致同时保留了 Type 7 的灵活性。不过转换后的路由类型有 N1/N2 和 E1/E2 的差异NSSA 区域内的 ASBR 在重发布时如果路由类型没规划好返程流量可能走非常规路径排障的时候容易被绕进去。我一般习惯将 NSSA 区域的转换路由明确设置为 N-2 类型保持和普通外部路由一致的选路优先级。3.3 配置后的检查与边界提醒区域类型配置完成后验证命令可以看 LSDB 的 LSA 类型分布。华为用display ospf lsdb思科用show ip ospf database。如果在一个 Stub 区域的 LSDB 里看到了 Type 5 LSA说明你的 Stub 配置有问题基本是区域内某台设备没配 stub 参数或者 ABR 上的配置没有真正下发。Stub 区域还有一个硬性限制内部不能存在 ASBR。也就是说Stub 区域内的路由器不能配置重发布命令否则邻居关系会因为 LSA 类型冲突而异常。4. 第三层防护ABR/ASBR 边界过滤与被动接口4.1 路由过滤与 LSA 过滤很多人搞混了不少工程师在配置 OSPF 过滤时会把路由层面的过滤和LSA 层面的过滤当成一回事。实际上它们工作位置不同效果也不同。LSA 过滤是阻断 LSA 的生成或泛洪直接在源头或传递路径上拦截。华为通过filter-lsa-out等命令实现思科通过area filter-list实现。路由过滤是当 LSA 已经进入 LSDB 后在路由计算或路由引入时进行的过滤。华为用filter-policy思科用distribute-list。防篡改场景下我建议两者结合使用LSA 过滤负责大门口管控防止非法 LSA 进入区域路由过滤负责落地检查即使 LSA 进来了也不让它影响本机的 OSPF 路由表。华为的过滤示例对 ABR 上进入 OSPF 进程的路由做过滤ospf 1 filter-policy ip-prefix OSPF-ALLOW import先定义前缀列表ip ip-prefix OSPF-ALLOW permit 10.0.0.0 8 greater-equal 16 less-equal 24思科的对应配置router ospf 1 distribute-list 10 in配合 ACL 10 定义允许进入的网段范围。具体写法是 access-list 10 permit 10.0.0.0 0.255.255.255然后结合反向掩码控制前缀长度。4.2 被动接口阻止野路由器动态建邻如果说前面的认证和过滤都是被动防御那被动接口就是一道很主动的限制接入手段。配置了 silent-interface华为或 passive-interface思科的接口不会发送 OSPF Hello 报文也就会忽略收到的 Hello 报文直接把动态邻居关系掐死在萌芽阶段。这个功能特别适合两种场景一是连接终端设备的接入层接口这些口理论上不应该有路由器接入二是连接拨号用户或第三方设备但不确定对方是否会启用 OSPF 的边界口。唯一要注意的是被动接口不会影响通过 network 命令宣告到 OSPF 进程中的直连路由——它只是不建立邻居不等于不参与区域内路由通告。华为全局设置被动接口ospf 1 silent-interface GigabitEthernet0/0/2思科可以用passive-interface default把所有接口设为被动再单独放行核心互联接口router ospf 1 passive-interface default no passive-interface GigabitEthernet0/1我个人非常推荐在接入层设备上做默认被动逐一放行互联口的配置策略这比逐个封闭口要稳健得多也防止新加的接口忘了改配置导致区域混入非法设备。4.3 防止外部路由恶意注入的配置流程ASBR 是外部路由进入 OSPF 的门户也是防篡改必须严控的位置。一个典型的防止外部路由恶意注入的配置流程如下确认 ASBR 上需要引入哪些路由来源是静态路由还是其他动态协议。配置精确的前缀列表只允许需要引入的网段通过。在重发布语句中挂接过滤策略拒绝未授权网段。在 ABR 上再配一层 LSA 过滤防止误入区域的 LSA 往外扩散。华为的静态路由重发布过滤示例ospf 1 import-route static route-policy OSPF-STATIC-ONLYRoute-Policy 只 permit 明确允许的前缀其他全部 deny。思科的重发布过滤router ospf 1 redistribute static subnets route-map STATIC-TO-OSPFroute-map 里同样只 permit 特定的前缀和标签其他全拦。这套流程的价值在哪里即使有人在 ASBR 上加了一条错误静态路由重发布进 OSPF 时就会被策略拦下不会进入任何区域的 LSDB。5. 验证与排错防篡改配置真的生效了吗5.1 用查看命令和抓包确认认证与 LSA 状况配置做完了不能只看配置心里踏实还得用命令和抓包双重验证。我的排查习惯是三个命令一循环看邻居状态华为display ospf peer思科show ip ospf neighbor。正常状态是 Full只要不是 Full 就得查。看 LSDB 内容华为display ospf lsdb思科show ip ospf database。确认该区域里只存在预期类型的 LSAStub 区域里绝不能出现 Type 5。看路由表确认 OSPF 引入的路由网段是否符合规划如果有异常网段说明过滤没生效。抓包验证可以更直观。用 Wireshark 在 OSPF 互联接口上抓 Hello 报文看报文的认证字段。选择OSPF过滤后在 Hello packet 的 Authentication 字段能看到认证类型0 是 Null1 是明文密码2 是 MD5如果抓包看到密码明晃晃地出现在报文里说明你不小心选了明文认证。HMAC-SHA256 在抓包里看到的是 key-id 和加密后的摘要不会还原出明文密码。5.2 常见问题的完整排查链路防篡改配置最常见的问题大概率集中在认证不匹配。我经历过的典型故障是这样的某分支节点路由器升级系统版本后设备上原有的 OSPF 认证配置没生效分支与总部核心之间的邻居关系直接卡在 ExStart。排查链路可以参考下面的步骤先在分支路由器上display ospf peer发现邻居状态卡在 ExStart说明 DD 报文交互异常大概率是认证不匹配或 MTU 不一致。抓包查看 OSPF 报文认证字段发现认证类型变成了 Null确认是本端配置丢失。回到配置里检查ospf 1进程下的 area 认证配置发现升级后认证配置被重置。重新配置认证并核对 key-id、密码后邻居在几十秒内恢复正常。另一个高频坑是华为设备在配置 area 认证后如果接口视图下还残留了旧的明文认证配置会覆盖区域认证的 HMAC-SHA256 配置导致认证失效。排查时不要只看区域视图下的认证还要检查接口下是否有 ospf authentication-mode 的残留命令。Stub 区域配置不一致导致的邻居 Down 也蛮常见。某次配置一个 Stub 区域时漏配了一台接入交换机的 stub 标记结果那台交换机与汇聚交换机之间邻居一直起不来。解决办法是登录漏配设备补上 area stub 配置两边的 Stub 标志一致后邻居立刻就 Full 了。所以区域类型的变更强烈建议在变更窗口内逐台确认不要批量刷完就不管了。6. 全网部署前必须想清楚的几件事6.1 配置顺序与密钥轮换方案防篡改配置上线顺序非常重要。我的建议是先通后锁先在设备上把邻居全部建立起来确认区域类型和路由都是正常状态再启用认证。认证一旦启用所有邻居几乎同时需要更新配置如果全网设备不是同一批次操作很可能出现一边已经启用认证而另一边还没配置的情况中间的邻居关系会闪断。密钥轮换也值得提前规划。HMAC-SHA256 和 MD5 都支持配置多个 key-id设备会同时接受多个密钥的报文这就给了优雅切换的空间。实践方案是在需要轮换密钥的设备上先配置新 key-id 和新密码。等待一段时间确认所有设备都已经有了新密钥。删掉旧 key-id 和旧密码。再等一个邻居刷新周期确认邻居状态依然 Full。这个方法能很大程度上避免密钥更换过程中的全网 OSPF 闪断。需要提醒的是不同厂商对多 key 同时生效的支持程度不同跨厂商场景下务必要先在测试环境验证。6.2 多厂商兼容性与试点上线经验多厂商混合组网环境下OSPF 防篡改配置的兼容性是绕不开的话题。思科的老版本设备只支持 MD5华为的新版本只推荐 HMAC-SHA256不同厂商之间的 key-id 匹配规则也有细微差异。建议的做法是先在测试环境搭一个与生产环境一致的厂商组合把认证算法、key-id、区域类型全部验证通过后再上线。试点策略上我不建议第一次就在全网所有区域同时上防篡改配置。可以先挑一个边界区域做认证和区域类型调整观察 1 到 2 周确认路由稳定、邻居无误报后再向其他区域推广。某次我在一个数据中心项目里先在核心汇聚之间启用了 HMAC-SHA256 认证验证了与监控、备份这类旁路设备的 OSPF 邻居不受影响后才逐步把认证下发到接入层。还有个小技巧变更窗口尽量选在业务低峰期并且准备好回退预案。OSPF 防篡改配置的回退通常只需要删掉认证配置或改回普通区域类型命令简单但弄不好的话全网路由重新收敛的影响面很大。我的经验是防篡改配置属于典型的平时看不见效果出事时保命的类型。上线的时候觉得麻烦等哪天真遇到有人不小心接错设备、配置错误导致路由被污染时才会庆幸当初把这些防护都做了。建议看完这篇的同行回去先翻一下现有 OSPF 区域的认证和过滤配置再对照区域类型设计审视一遍大概率能找到几处可以优化的点。
