از داده های مسیر IS-IS با مجوز آزمایشگاه های IS-IS محافظت کنید

مانند OSPF و BGP ، IS-IS شامل یک مکانیسم ساده برای تأیید اعتبار در مسیر قاچاق-بسته های این است که ممکن است شامل یک رمز عبور در ClearText یا MD5- یا Sha Hash باشد^{بر خلاف OSPF ، IS-IS قابل تأیید است:}

• بسته های رد و بدل شده بین روترها (سلام بسته ها)
• محتوای حالت اتصال PDU در یک منطقه یا دامنه سیلاب می شود.

صدور گواهینامه ترافیک IS-IS به اندازه صدور گواهینامه ترافیک EBGP بسیار مهم نیست. تزریق بسته های IS-IS به یک بخش LAN که متجاوز به آن متصل نیست ، تقریباً غیرممکن است و به هر حال نباید IGP را در یک شبکه غیرقابل اعتماد شروع کنید.

بیشترین تحقق است رابط رمزهای عبور (بسته سلام IS-IS) ، منطقه رمزهای عبور (تأیید اعتبار LSP در سطح 1) و حوزه رمزهای عبور (سطح LEP 2). شما پیکربندی هر سه را در این تمرین آزمایشگاهی تمرین خواهید کرد.

مورد نیاز دستگاه

• از هر دستگاه پشتیبانی شده توسط باکله ماژول پیکربندی IS-IS برای R1 (به طور پیش فرض: جلوی ماشین های مجازی یا ظروف).
• اگر می خواهید یک رمز عبور از پیش تنظیم شده برای سه روتر دیگر (R2 ، R3 و R4) ، از Frrouting یا Arista EOS استفاده کنید. شما می توانید از هر دستگاه دیگری برای این روترها استفاده کنید ، اما باید خودتان رمزهای عبور را پیکربندی کنید.
• اعتبار سنجی خودکار آزمایشگاه نیاز به غلبه بر R2 ، R3 و R4 دارد.

شروع آزمایشگاه

شما می توانید آزمایشگاه زیرساخت های آزمایشگاهی خود یا در کدهای کد GitHub (جزئیات بیشتر) را راه اندازی کنید:

• تغییر فهرست از feature/3-md5
• دویدن Netlab UpS شما یک آزمایشگاه با آدرس های IPv4 پیکربندی شده به تمام رابط ها دریافت خواهید کرد و IS-IS برای همه روترها پیکربندی شده است.
• با روترهای آزمایشگاهی وارد شوید NetLab Connect و پیکربندی آنها را بررسی کنید.

پیکربندی اولیه

• R1 ، R2 و R3 در منطقه IS-IS 49.0001 قرار دارند.
• R4 در منطقه IS-IS 49.0002 است.
• R1 (روتر شما) و R2 روترهای سطح 1-2 هستند. R3 روتر سطح 1 و R4 یک روتر سطح 2 است.
• اتصال بین R1 و R2 یک اتصال LAN (دسترسی زیادی) است ، اتصالات R1-R3 و R1-R4 پیوندهایی از نقطه به نقطه هستند.

پیکربندی اولیه باید باعث شود که یک محله باشد:

استفاده از احراز هویت R2 ، R3 و R4 IS-IS MD5 با این کلیدها:

مشکل

برخی از تحقق IS-IS رفتار عجیبی را نشان می دهند که دستگاه های مجاور از عدم انطباق با احراز هویت برخوردار هستند. دستگاهی که از احراز هویت IS-IS استفاده نمی کند می تواند یک محله کامل با همسایگان خود داشته باشد. در مقابل ، دستگاه مجاور ادعا می کند که این محله در حالت اولیه قرار دارد یا نشان می دهد که این همسایگان رابط نیستند.

به عنوان مثال ، R1 ادعا می کند که سه همسایه IS-IS و یک محله کامل با دو نفر از آنها وجود دارد.

همسایگان R1 کار

$ netlab connect r1 --show isis neighbor
Connecting to container clab-md5-r1, executing vtysh -c "show isis neighbor"
Area Gandalf:
  System Id           Interface   L  State        Holdtime SNPA
 r2                  eth1        1  Initializing  28       aac1.ab76.78a5
 r2                  eth1        2  Initializing  28       aac1.ab76.78a5
 r3                  eth2        1  Up            28       2020.2020.2020
 r4                  eth3        2  Up            28       2020.2020.2020

در همان زمان ، R2 از طریق R4 ادعا می کند که آنها همسایه ندارند.

Arista EOS کمی سازگارتر است. R1 مدیریت آریستا EOS ادعا می کند که سه همسایه دارد اما این محله در آن گیر کرده است شروع کردن فاز

به همسایگان R1 کار با Arista EOS

r1# show isis neighbor
Instance  VRF      System Id        Type Interface          SNPA              State Hold time   Circuit Id
Gandalf   default  0000.0000.0002   L1   Ethernet1          52:dc:ca:fe:2:1   INIT  25          r1.97
Gandalf   default  0000.0000.0002   L2   Ethernet1          52:dc:ca:fe:2:1   INIT  25          r1.97
Gandalf   default  0000.0000.0003   L1   Ethernet2          P2P               INIT  26          95
Gandalf   default  0000.0000.0004   L2   Ethernet3          P2P               INIT  23          98

به هر حال ، ما می دانیم چه اشتباهی: R2 ، R3 و R4 از تأیید اعتبار MD5 استفاده می کنند و بسته های غیر معتبر ارسال شده توسط R1 را نادیده می گیرند^{بیایید آن را برطرف کنیم.}

وظایف پیکربندی

رمزهای عبور زیر را با استفاده از آن پیکربندی کنید تأیید یا رمز پیکربندی یک رابط یا روتر^:

اعتبار سنجی

می توانید استفاده کنید اعتبار سنجی اگر کار R2 ، R3 و R4 را اجرا کنید ، فرمان دهید. فرآیند اعتبار سنجی با استفاده از نام میزبان های IS-IS ، محله را بررسی می کند. اعتبار سنجی در صورت پیکربندی رمز عبور رابط (در غیر این صورت همسایه IS-E ایجاد نشده است) و رمز عبور رمز عبور (در غیر این صورت R2 و R3 به سیستم مجاور 0000.0000.0001 مراجعه کنید ، اما من نمی دانم که R1 است). برای موفقیت در R4 ، باید رمز عبور دامنه را پیکربندی کنید.

به عنوان مثال ، این چاپی است که پس از پیکربندی رمزهای عبور رابط و منطقه دریافت می کنید:

همچنین می توانید اعتبار سنجی دستی را انجام دهید:

• پس از پیکربندی رمزهای عبور رابط ، تمام محله های مجاور IS-E باید بتوانند روی همه روترها قرار بگیرند.

به همسایگان R1 کار با Arista EOS

r1#show isis neighbors

Instance  VRF      System Id        Type Interface          SNPA              State Hold time   Circuit Id
Gandalf   default  r2               L1   Ethernet1          52:dc:ca:fe:2:1   UP    8           r2.a4
Gandalf   default  r2               L2   Ethernet1          52:dc:ca:fe:2:1   UP    6           r2.a4
Gandalf   default  r3               L1   Ethernet2          P2P               UP    22          A6
Gandalf   default  r4               L2   Ethernet3          P2P               UP    28          A8

• تا زمانی که رمز عبور (سطح 1) R1 را پیکربندی نکنید ، LSP R1 LSP-1 از روترهای دیگر را مشاهده نخواهید کرد. به عنوان مثال ، این پایگاه داده در سطح 1 R2 است که R1 رمز عبور برای منطقه ندارد. R1 LSP از دست رفته و R3 در دسترس نیست.

is-is is arista eos arista eos

r2#show isis database level-1
Legend:
H - hostname conflict
U - node unreachable

IS-IS Instance: Gandalf VRF: default
  IS-IS Level 1 Link State Database
    LSPID                   Seq Num  Cksum  Life Length IS  Received LSPID        Flags
    r2.00-00                      3  61902   905    113 L2  0000.0000.0002.00-00  
 U  r2.a4-00                      1  13264   905     70 L2  0000.0000.0002.a4-00  
 U  r3.00-00                      3  58414   907    113 L1  0000.0000.0003.00-00  

• پس از پیکربندی رمز عبور منطقه (سطح 1) R1 ، R2 و R3 باید LSP R1 را در پایگاه داده داده خود نشان دهد سطح 1:

پایگاه داده IS-IS سطح 1 از R2 Works Arista EOS حاوی یک LSP معتبر R1 است

r2#show isis database level-1
Legend:
H - hostname conflict
U - node unreachable

IS-IS Instance: Gandalf VRF: default
  IS-IS Level 1 Link State Database
    LSPID                   Seq Num  Cksum  Life Length IS  Received LSPID        Flags
    r1.00-00                      9  61720  1195    150 L2  0000.0000.0001.00-00  
    r2.00-00                      3  61902   842    113 L2  0000.0000.0002.00-00  
    r2.a4-00                      1  13264   842     70 L2  0000.0000.0002.a4-00  
    r3.00-00                      3  58414   844    113 L1  0000.0000.0003.00-00  

• به همین ترتیب ، R2 و R4 تا زمانی که رمز عبور دامنه را پیکربندی نکنید (سطح 2) R1 سطح 2 LSP را نشان نمی دهد:

بانک اطلاعاتی IS-IS سطح 2 از R4 (Arista EOS در حال کار) حاوی R1 LSP نیست

r4#show isis database
Legend:
H - hostname conflict
U - node unreachable

IS-IS Instance: Gandalf VRF: default
  IS-IS Level 2 Link State Database
    LSPID                   Seq Num  Cksum  Life Length IS  Received LSPID        Flags
 U  r2.00-00                      4  53488  1052    151 L2  0000.0000.0002.00-00  
 U  r2.a4-00                      1  20572   711     70 L2  0000.0000.0002.a4-00  
    r4.00-00                      3  36459   711    113 L2  0000.0000.0004.00-00  

• پس از پیکربندی رمز عبور دامنه (سطح 2) R1 ، R2 و R4 باید LSP R1 را در پایگاه داده داده خود نشان دهد:

پایگاه داده R4 IS-IS Level-2 Works Arista EOS حاوی یک LSP معتبر R1 است

r4#show isis database
Legend:
H - hostname conflict
U - node unreachable

IS-IS Instance: Gandalf VRF: default
  IS-IS Level 2 Link State Database
    LSPID                   Seq Num  Cksum  Life Length IS  Received LSPID        Flags
    r1.00-00                     10  16371  1196    170 L2  0000.0000.0001.00-00  
    r2.00-00                      4  53488   983    151 L2  0000.0000.0002.00-00  
    r2.a4-00                      1  20572   642     70 L2  0000.0000.0002.a4-00  
    r4.00-00                      3  36459   642    113 L2  0000.0000.0004.00-00  

پس: مخفی کردن زیر شبکه ترانزیت در شبکه های IS-IS

مرجع

سیم کشی

توجه: نام رابط به دستگاههایی که در آزمایشگاه استفاده می کنید بستگی دارد. این چاپ توسط دستگاه های آزمایشگاهی کار می کند.

آزمایشی