OSPFのセキュリティ強化のために、ネイバー確立時に認証を行うことができます。認証の設定をすることで、悪意のあるルーターが不正にネットワークに参加することを防ぎ、信頼できるルーターのみがOSPFプロセスに参加できるようになります。
本記事では、OSPFの認証設定をエリア単位とインターフェース単位で行う方法について解説します。
OSPFの基本設定については、下記を参照してください。
OSPF認証の概要
OSPF認証の必要性
OSPFはデフォルトでは認証を行わず、ネットワーク内のすべてのルーターがOSPFプロセスに参加し、ルーティング情報を自由に交換できます。しかし、ネットワークの安全性を高めるためには、認証を導入して正規のルーターのみがOSPFトラフィックを処理できるようにする必要があります。これにより、意図しないルーターや攻撃者がOSPFプロセスに参加するリスクを軽減します。
認証の種類
OSPFの認証は、3つの種類に分けられています。（認証方法は2つあります。）
- タイプ0：認証なし
-
認証なしでOSPFネイバーを確立することができます。
- タイプ1：プレーンテキスト認証
-
認証情報が平文で送信されるため、基本的なセキュリティ対策として使用されますが、より強力なセキュリティが必要な場合には向きません。
- タイプ2：MD5認証
-
認証情報をハッシュ化して送信するため、より安全です。MD5は暗号化されたハッシュ値で認証を行うため、プレーンテキスト認証よりも信頼性が高く、推奨される認証方式です。
OSPFエリア単位での認証設定
エリア単位認証の概要
OSPF認証はエリア単位で設定することが可能です。エリア全体で認証を有効にすることで、そのエリア内の全ルーターが統一された認証情報を使用してOSPFプロセスに参加します。エリア単位の認証を設定する場合、すべてのインターフェースで一貫した認証方式を利用できます。
エリア単位認証の設定方法
Ciscoルーターでエリア単位で認証を設定するためには、OSPFプロセスの中で認証を有効にし、該当するエリアに対して認証を適用します。
以下は、エリア単位で認証を設定する具体的なコマンド例です。
エリア単位で認証を有効化するために下記のコマンドを実行します。
router ospf 1
# プレーンテキスト認証の場合
area [Area ID] authentication
# MD5認証の場合
area [Area ID] authentication message-digestMD5認証の場合の実際の設定
Router1(config)#router ospf 1
Router1(config-router)#area 0 authentication message-digestRouter2(config)#router ospf 1
Router2(config-router)#area 0 authentication message-digest認証用のパスワードはインターフェース毎に設定します。
interface [Interface Name]
# プレーンテキスト認証の場合
ip ospf authentication-key [Password]
# MD5認証の場合
ip ospf message-digest-key [Key ID] md5 [Password]MD5認証の場合の実際の設定
Router1(config)#interface GigabitEthernet0/0
Router1(config-if)#ip ospf message-digest-key 1 md5 ospf1Router1(config)#interface GigabitEthernet0/0
Router1(config-if)#ip ospf message-digest-key 1 md5 ospf1エリア単位認証の注意点
エリア単位の認証は、設定したエリア内のすべてのルーターで同じ認証方式とパスワードが使用されます。したがって、ルーター間で認証の不一致があると、OSPFネイバーが確立されない可能性があります。認証設定を一貫して行うことが重要です。
OSPFインターフェース単位での認証設定
インターフェース単位認証の概要
インターフェース単位での認証設定は、特定のインターフェースごとに認証を適用する方法です。エリア全体ではなく、インターフェースごとに認証の有無や認証方式を指定することができます。この方法は、特定のリンクやセグメントでのみ認証を必要とする場合に有効です。
インターフェース単位認証の設定方法
インターフェース単位で認証を設定する場合、各インターフェースごとに認証方式とキーを設定します。
以下は、インターフェース単位で認証を設定する具体的なコマンド例です。
エリア単位で認証を有効化するために下記のコマンドを実行します。
interface [Interface Name]
# プレーンテキスト認証の場合
ip ospf authentication
# MD5認証の場合
ip ospf authentication message-digestMD5認証の場合の実際の設定
Router1(config)#interface GigabitEthernet0/0
Router1(config-if)#ip ospf authentication message-digestRouter1(config)#interface GigabitEthernet0/0
Router1(config-if)#ip ospf authentication message-digest認証用のパスワードはインターフェース毎に設定します。
interface [Interface Name]
# プレーンテキスト認証の場合
ip ospf authentication-key [Password]
# MD5認証の場合
ip ospf message-digest-key [Key ID] md5 [Password]MD5認証の場合の実際の設定
Router1(config)#interface GigabitEthernet0/0
Router1(config-if)#ip ospf message-digest-key 1 md5 ospf1Router1(config)#interface GigabitEthernet0/0
Router1(config-if)#ip ospf message-digest-key 1 md5 ospf1インターフェース単位認証の適用シナリオ
インターフェース単位の認証は、セキュリティ要件が異なるネットワークセグメントや、異なるベンダーのルーターが混在する環境で有効です。例えば、重要なバックボーンリンクでのみ認証を行い、他のセグメントでは認証を必要としないようなケースで役立ちます。
OSPF認証設定の確認とトラブルシューティング
認証設定の確認方法
認証設定が有効化されているかを確認するためには下記のコマンドを実行します。
show ip ospf interfaceRouter1#show ip ospf interface Gi0/0
〜〜〜〜〜 中略 〜〜〜〜〜
# プレーンテキスト認証の場合
Simple password authentication enabled
# MD5認証の場合
Cryptographic authentication enabledよくあるトラブルと解決方法
- 認証パスワードや認証方式の不一致
-
最も一般的な問題は、認証パスワードや認証方式の不一致です。この場合、OSPFネイバーを確立することができません。すべてのルーターで認証設定が一致しているかを確認しましょう。
- キーIDの不一致
-
MD5認証の場合のキーIDは、ルーター間で一致している必要があります。
- エリア単位とインターフェース単位の混在
-
エリア単位の認証とインターフェース単位の認証を同時に使用する場合、設定が競合しないように注意が必要です。
Helloパケットのキャプチャー
OSPFの認証設定の有無によるHelloパケットの内容を確認します。
OSPF認証なし
OSPF認証がない場合のHelloパケットのキャプチャ結果です。
認証タイプが「0」となっていることが分かります。
OSPF認証あり(プレーンテキスト認証)
プレーンテキストでのOSPF認証がある場合のHelloパケットのキャプチャ結果です。
認証タイプが「1」となっており、認証パスワードが表示されていることが分かります。
OSPF認証あり(MD5認証)
MD5でのOSPF認証がある場合のHelloパケットのキャプチャ結果です。
認証タイプが「2」となっており、認証パスワードが暗号化されていることが分かります。
まとめ
OSPFの認証設定は、ネットワークのセキュリティを向上させるために必要な機能です。エリア単位の認証設定は一貫性が求められる場合に適しており、インターフェース単位の認証設定は柔軟なセキュリティ要件に対応できます。適切な認証設定とその確認を行うことで、安全で効率的なOSPFネットワーク運用を実現しましょう。
以上で、「OSPFの認証設定(エリア単位・インターフェース単位)」の説明は完了です！
