OSPF协议范文

OSPF协议范文（精选9篇）

OSPF协议 第1篇

随着Internet技术在全球范围内的飞速发展, IP网络作为一种最有前景的网络技术, 受到了人们的普遍关注。而作为IP网络生存、运作、组织的核心IP路由技术提供了解决IP网络动态可变性、实时性、Qo S等关键技术的一种可能。到了20世纪80年代中期, RIP不能服务于大型、异构网络的缺陷愈发明显。为了解决这个问题, IETF成立了IGP工作组, 专门设计用于因特网的基于最短路径优先 (SPF) 算法的IGP (内部网关协议, Interior Gateway Protocol, 简称IGP) 。OSPF作为是SPF类路由协议中的开放式版本, 由于它较好的解决了网络可扩展性及快速收敛的问题, 使得OSPF协议迅速成为目前Internet广域网和Intranet企业网采用最多、应用最广泛的动态路由技术之一。

1 OSPF工作原理

OSPF是一种分层次的路由协议, 其层次中最大的实体是AS (自治系统) , 即遵循共同路由策略管理下的一部分网络实体。在每个AS中, 将网络划分为不同的区域。每个区域都有自己特定的标识号。对于主干 (backbone) 区域, 负责在区域之间分发链路状态信息。这种分层次的网络结构是根据OSPF的实际提出来的。当网络中自治系统非常大时, 网络拓扑数据库的内容就更多, 所以如果不分层次的话, 一方面容易造成数据库溢出, 另一方面当网络中某一链路状态发生变化时, 会引起整个网络中每个节点都重新计算一遍自己的路由表, 既浪费资源与时间, 又会影响路由协议的性能 (如聚合速度、稳定性、灵活性等) 。

2 OSPF脆弱性分析

虽然OSPF路由协议自身的复杂性和其内建的安全机制使得对OSPF的攻击较难实施, 但是OSPF并不足够安全, 它仍存在着很多薄弱环节可以被攻击者利用, 例如美国人开发的nemesis-ospf工具软件就曾经可以成功的对OSPF进行某些形式的攻击。

2.1 内建安全机制的失效

在OSPF的三个内建安全机制中, 层次路由机制主要是尽力减小攻击的影响范围域, 它不能杜绝攻击, 而且若攻击者入侵到一个ABR、自治系统边界路由器 (AS Boundary Router, ASBR) , 或者攻击实体假扮成一个ABR, ASBR, 这时层次路由机制就不足为力了。程序性检验是一般路由协议都要进行的一个过程, 它只是为攻击增加了复杂度。OSPF自反击安全机制相对来说给攻击造成的麻烦要大一些, 但仍有一些方法可使自反击机制实效。

2.1.1 周期性注入

RFC2328规定LSA的更新速度不能超过最小LSA生成间隔 (Min LSInterval) , 该参数默认为5秒, 如果攻击者以比Min LSInterval更高的速度注人序号更大的虚假LSA, 就很可能使该虚假LSA被其它路由器应用, 而真正的LSA却被淹没了。

2.1.2 分块网络

如果使虚假LSA不被泛洪给该LSA的合法生成者, 则该ISA的合法生成者就不会启动其自反击机制来纠正该LSA。假设有一个被人侵的路由器所处的位置可以将区域分为两个子区域, 则攻击者就可以只向其中的一个子区域以另一个子区域中的某路由器的身份注人虚假LSA, 而不向另一个子区域注入, 这显然就可以达到欺骗的效果。

2.1.3 幻影路由器

虚构一个路由域中本不存在的路由器使路由域中的其它路由器认为好像存在这么一个路由器, 这样的路由器称为幻影路由器。以幻影路由器的身份注人大量虚假信息, 将不会触发自反击机制的作用。然而需要注意的是注人的LSA并不一定会参与路由计算, 除非该幻影路由器能够和某个路由器形成邻接关系。

2.1.4 注入AS外部路由

如果攻击者成功的人侵了一台ASBR或者伪装成一个ASBR, 它就可以通过注人LSA而引人虚假AS外部路由, 而其它路由器并不能验证、纠正其错误信息。

2.2 验证的安全性

OSPF信息交换都是需要进行验证的, 分为两类:简单密码验证和MD5加密认证, 也可以配置为不验证。简单密码验证其安全性几乎不值一提。对MD5加密认证机制, 这里我们假设其算法是安全的, 被使用的密钥不会被暴露, 并且选择适当, 运行平台被安全的管理并且没有被侵人, 由信息论表明:英语每8比特字符其平均信息嫡只有1.3, 如果管理者选择英语字母作为密钥, 则128比特密钥的信息嫡相当低, 攻击者可能只需要几分钟或者数天就能破解。而OSPF密钥选择很差劲几乎是一个普遍的现象, 并且通常3个月、半年才变换一次, 有的甚至从来不变化。在所有的这些场景中, 如果一个攻击者获得一条Hello报文, 他就很有可能破解该密钥, 并在随后侵人整个路由域。我们并得知, 2004年中国科学家已经成功的破解了MD5算法, 因此OSPF的验证方式并不足够安全。

2.3 对OSPF的常规攻击

OSPF整个运行机制相对比较复杂, 其运行过程中的很多环节都有可能被攻击者开发为对OSPF的攻击, 造成不同程度的危害, 这里我们只简要分析其中的部分情形作为示例。

2.3.1 利用Hello报文的攻击

OSPF路由器定期向外发送Hello报文, 用以发现邻居和维护邻接节点之间的关系。Hello报文中的区域ID, Hello间隔等参数错误, 会使该Hello报文被邻居路由器丢弃, 造成邻居Down, 直接在链路上阻绝Hello报文当然也可以造成这种危害。如果OSPF没有进行加密或者攻击者攻破了OSPF的验证体系, 攻击者就可以修改报文中的某些参数来达到攻击的效果。

2.3.2 利用Update报文的攻击

为修改LSA参数, 使OSPF朝着利于攻击者的方向运转, 攻击者必须能成功的注人虚假LSA。因此攻击者必须能够侵人或者假扮成一个OSPF路由器来和其它的路由器达到Exchange或者更高的状态, 以使两者间可以传送LSA, 而且此时攻击者显然必须至少占有一条链路的密钥或者该链路根本就不需要验证。然后, 攻击者就可以通过注人虚假LSA来达到攻击的目的了。例如不间断的发送大量Maxage的LSA进行Maxage攻击, 或者发送最大序号LS A进行最大序号攻击, 等等。

2.3.3 资源消耗攻击

通过不间断的大量发送各种类型的OSPF报文, 很可能造成被攻击实体的资源耗竭, 而无法正常工作。例如向OSPF的邻居发送包含过长邻居列表的超大Hello报文, 邻居路由器将需为邻居列表上的每个邻居创建邻居结构, 而消耗大量的资源。

3 相关建议

OSPF路由协议并不足够安全, 鉴于其在Intemet网络中的重要角色, 因此我们建议对OSPF采用积极的主动防护和检测机制来保证其安全。验证是OSPF保护的第一环, 因此对OSPF路由域内的所有OSPF路由器都采用有效的加密认证机制是非常必要的, 尽管我们仍需开发更安全有效的加密认证机制。此外, 设计适当的人侵检测系统也是很有帮助的, 它可以帮助发现很多针对OSPF的攻击, 因为对OSPF的攻击往往会因为OSPF的自反击机制在路由域中产生很多的冲突信息。总之, 维护OSPF的安全应有一个系统的全局的观念, 需要我们从多个层面分别着手来保障OSPF的安全。一是路由器层面, 我们需保证操作系统的安全, 路由器上其它所有协议的安全, 路由器的物理安全等。等;二是路由域层面, 这需要考虑所有边缘接人实体和所有链路的安全;最后我们要强调的是人的层面, 应更多地对网络进行监控和取证, 积极立法, 打击对网络造成危害的人和事, 防患于未然。

结束语

OSPF路由协议由于其自身的复杂性和内建的安全机制, 给攻击者造成了不小的困难, 但是本文的分析表明OSPF并不足够安全, 而一旦被人侵, 很可能造成巨大的危害。因此本文建议采用积极的主动防护和检测机制来增加OSPF的安全, 并强调维护OSPF的安全应有一个系统的全局的观念, 要从路由器和路由域等多个层面分别着手来保障OSPF的安全。

参考文献

[1]钟廷龙, 李鑫, 郭云飞.OSPF路由协议安全性分析[J].微计算机信息, 2005, (14) :16-17.

[2]孙文海, 焦利, 金跃辉.OSPF路由监测系统[J].计算机应用与软件, 2009, (06) :24-26.

华为OSPF协议基本配置 第2篇

1、系统视图下启动OSPF进程，应该Router ID

请根据需求，在相应的华为路由器、华为交换机上进行以下配置，

步骤 1 执行命令system-view，进入系统视图。

步骤 2 执行命令ospf [ process-id ] [ router-id router-id ]，启动OSPF进程，进入OS PF视图。

步骤 3 执行命令area area-id，进入OSPF区域视图。

步骤 4 可选配置(配置OSPF区域认证方式)

执行命令authentication-mode simple { [ plain ] plain-text | cipher cipher-text }，配置OSPF区域的验证模式(简单验证)。

执行命令authentication-mode { md5 | hmac-md5 } [ key-id { plain plain-text | [ cipher ] cipher-text } ]，配置OSPF区域的验证模式(md5验证)。

步骤5 执行命令 network ip-address wildcard-mask，配置区域所包含的网段。

router-id 建议配置OSPF 进程的时候，首先规划好Router ID，然后使用手动配RD

network 该处的网段是指运行OSPF协议接口的IP地址所在的网段。一个网段只能属于一个区域，或者说每个运行OSPF协议的接口必须指明属于某一个特定的区域。

满足下面两个条件，接口上才能正常运行OSPF协议：

1)、接口的IP地址掩码长度≥network命令中的掩码长度。

2)、接口的主IP地址必须在network命令指定的网段范围内。

Loopback 对于Loopback接口，缺省情况下OSPF以32位主机路由的方式对外发布其IP地址，与接口上配置的掩码长度无关。如果要发布Loopback接口的网段路由，需要将Loopback接口网络类型配置为非广播类型，一般配置成P2P

authentication-mode 使用区域验证时，一个区域中所有的路由器在该区域下的验证模式和口令必须一致。

2、配置OSPF接口参数，包括OSPF接口网络类型，cost等等。

请根据需求，在相应的华为路由器、华为交换机上进行以下配置。

步骤 1 执行命令system-view，进入系统视图。

步骤 2 执行命令interface interface-type interface-number，进入接口视图。

步骤 3 执行命令ospf network-type { broadcast | nbma | p2mp | p2p }，

配置OSPF接口的网络类型。

步骤 4 执行命令ospf cost cost，设置OSPF接口的开销值。

如果没有在接口视图下通过命令ospf cost配置此接口的开销值，OSPF会根据该接口的带宽自动计算其开销值。计算公式为：接口开销=带宽参考值/接口带宽，取计算结果的整数部分作为接口开销值(当结果小于1时取1)。通过改变带宽参考值可以间接改变接口的开销值，

在配置时注意，必须保证该进程中所有路由器的带宽参考值一致。建议在网络规划阶段，就应该规划好全局各条链路的ospf接口cost。

3、配置OSPF引入其它协议的路由

请根据需求，在相应的华为路由器、华为交换机上进行以下配置。

步骤 1 执行命令system-view，进入系统视图。

步骤 2 执行命令ospf [ process-id ]，启动OSPF进程，进入OSPF视图。

步骤 3 执行命令import-route protocol [ process-id ] [ cost cost | type type | tag tag ] * [ route-policy route-policy-name ]，引入其它协议的路由信息。

步骤 4 可选配置(配置对步骤3引入的外部路由进行过滤)

执行命令filter-policy { acl-number | ip-prefix ip-prefix-name } export [ protocol [ process-id ] ]，对引入的路由进行过滤，通过过滤的路由才能被发布出去。

import-route 1)、经常在后面加上route-policy进行过滤，过滤一些不想通过ospf协议发布的网段，在运营商网络中一般为私网地址。OSPF lsdb里是不会出现这些ase路由的。2)、该命令不能引入外部路由的缺省路由，OSPF引入外部缺省路由，将在其他文章中详细阐述。

filter-policy 1)、是对OSPF对引入后的路由进行过滤，是指OSPF只将满足条件的外部路由转换为Type5 LSA并发布出去。2)、用户可以通过指定protocol [ process-id ]对特定的某一种协议或某一进程的路由信息进行过滤。如果没有指定protocol [ process-id ]，则OSPF将对所有引入的路由信息进行过滤。

4、OSPF状态查看命令

查看OSPF统计信息 display ospf [ process-id ] cumulative

查看OSPF的LSDB信息 display ospf [ process-id ] lsdb [ brief ]

display ospf [ process-id ] lsdb [ router | network | summary | asbr | ase | nssa | opaque-link | opaque-area | opaque-as ] [ link-state-id ] [ originate-router [ advertising-router-id ] | self-originate ]

查看OSPF外部路由信息 display ospf [ process-id ] lsdb ase

查看OSPF自己引入的外部路由 display ospf [ process-id ] lsdb ase self-originate

查看OSPF邻居的信息 display ospf [ process-id ] peer [ interface-type interface-number ] [ neighbor-id ]

查看OSPF接口信息， display ospf [ process-id ] interface [ all | interface-type interface-number ]

OSPF协议安全性分析 第3篇

1 OSPF路由协议简介

OSPF协议全称为Open Shortest Path First, 是应用于TCP/IP网络下的路由协议, 是一种内部网关协议, 自治系统内的路由器用该协议来发布路由信息。OSPF协议是建立在链路状态与最短生成树技术基础之上进行工作的, 与早期的基于距离向量与BellmanFord算法的路由协议是完全不同的。

OSPF协议是IETF所提出的, 并专门针对TCP/IP网络所专门设计出的, 主要包括了CIDR技术与外部路由信息引用的支持。OSPF协议主要是为路由更新提供认证机制, 并且在报文的接收与发送过程中合理的对IP的多播性能进行利用。OSPF协议对于网络拓扑所出现的变化, 能够快速的进行反映并使之收敛并只引入少量的协议流量。OSPF路由协议是根据IP数据报中的目的IP地址来进行转发的服务的。其作为动态的路由协议, 能够快速的对网络拓扑的变化能够快速的做出反映, 并且能够在收敛周期中期内快速的计算出无环路经。在自治系统内的每一个OSPF路由器都给自维持有一个对自治系统的拓扑信息进行描述的数据库。在自治系统内的每一个OSPF路由器都有相等的链路状态数据库, 数据库主要是由每一个路由的各自的链路状态信息所构成的, 路由器会向自治系统内对自己的链路状态信息进行发布, 使得其他的路由器能够获得这条路由器所生成的链路状态信息。

2 OSPF协议的安全性分析

(1) 无认证以及简单明文认证

OSPF协议提供了认证机制, 但是在很多时候因为一些特殊的原因往往是采用的无认证或是简单明文认证, 使得其安全新降低。无认证指的是在路由器配置OSPF的过程用户没有采取任何的认证手段, 路由器默认的是使用这种方式, 这种情况下OSPF数据包包头中的“认证类型”与“认证数据”全部都为“0”。而简单明文认证则是指的在配置路由器时用户所设置的明文口令没有超过8个字节, 在不足8个字节时则是使用0进行填充。因为是明文口令, 其在网络中传输时是可见的, 只有在邻居不支持加密认证是才使用这种方式。无认证与简单明文认证的安全性对于攻击者来讲都一样。因为简单明文认证所设置的口令, 攻击者能够通过对广播的OSPF数据包的监听来获取, 并构造出相同口令且与OSPF协议规范相符合的数据包, 就能够与目标路由器交换信息, 进行攻击。

在图1中R1、R2以及R3都是通过OSPF协议进行连接的路由器, 并且采用的是无认证或简单明文认证, 其中攻击者Attacker则是位于R1与R2之间, 通过交换机S1接入到该网络中, 对于攻击者Attacker来讲, 他能够对R1与R2向224.0.0.5广播的数据包进行监听, 其中主要包括了Hello分组、LSU分组以及LSA分组。当攻击者Attacker获取了这些分组信息之后, 就能够伪装成为R1或者是R2对两者进行各种攻击, 例如插入恶意的路由信息、对两者的通信进行阻断、对网络流量进行引导等等。

(2) 泛洪机制

在OSPF协议中, LSA是利用可靠的泛洪来进行通告的, 能够保证链路状态在本区域中的一致性, 进而保证了所计算出的路由的一致性。这个特性让OSPF具备一定的自卫性。当某一个节点想要发送出伪造的或者经过修改过的LSA时, 只要是有一条其他的可用路由, 让这个LSA所声明的通告路由器受到这个LSA, 并且这个LSA所描述出来的信息和自身的信息不同时, 这个路由就会立刻生产一个新的LSA实例, 并将这个新产生的LSA的序号超过所接收到的LSA序号, 泛洪出去, 使得伪造的LSA被丢弃掉, 实现一定程度上的自卫, 冲突检测系统也能够很容易的发现这种现象。

需要注意的是仍然是有很多方法使得这种泛洪机制失效。其中主要有以下的几种。周期性的注入错误链路状态信息, 这主要是在OSPF协议中规定, 路由器链路状态数据库中所保存的链路状态信息的刷新状态不能够小于5秒, 当一个新的链路状态信息开始存入到链路状态数据库时, 路由器就会为这个链路状态信息启动一个5秒的计时器, 而在计时器到时之前, 即便是出现了新的链路状态也会被忽略。攻击者正好利用这种规则来实施攻击。对网络进行切割, 当恶意链路状态洗洗脑在网络中泛洪中煤油被生成路由器所接受到, 那么泛洪机制也就不会起到作用, 而这种可能是存在的。模拟傀儡路由器。攻击者能够利用软件在PC机上模拟出OSPF路由器的行为, 进而能够在网络中模拟出一个傀儡路由器, 这个傀儡路由器能够用来作为链路状态信息想原始生成者, 即使发送的是恶意的链路状态洗信息, 也是不会被发现的。

(3) 层次化的路由结构

在设计之初层次化的路由是为了能够解决路由的可扩展性问题, 但是后来发现层次化的路由减小的不仅仅是路由表的大小, 同时也会减少网络流量, 让网络可以快速收敛, 并且能够改善网络的安全性。OSPF协议则能够区分骨干区域与非骨干区域, 使得网络更加具有层次结构, 提高安全性。但是需要注意的是局部能够影响全局。因为OSPF协议自身并没有端到端的认证机制, 这就容易让链路状态信息在进行转发的过程中被篡改, 这就为攻击者提供了攻击的机会, 使得局部受到攻击时也容易对整体OSPF路由域产生影响。

3 结语

OSPF协议本身具有良好的安全性, 但是其所存在的能够被利用的漏洞也是很多的, 也正是因为这样才对OSPF协议的安全性以及改进进行探讨。到现在对于OSPF的研究已经有了新的研究方向, 就是利用密码体制安全性的同时对入侵检测技术进行引进, 让OSPF具有更好的安全性。

参考文献

[1]徐鲁宁.基于数字签名的OSPF路由协议安全性研究[D].南昌大学, 2011.

OSPF协议 第4篇

OSPF协议操作：

1、宣告OSPF的路由器从所有启动OSPF协议的接口上发出HELLO报文，两台ROUTER共享一条公共数据链路，并且能够相互成功协商各自HELLO报文中所指定的参数。那么它们就成为邻居(Neighbor)

2、邻接关系(Adjacency)建立是交换HELLO报文信息的路由器类型和交换HELLO报文信息的网络类型决定的

3、每一台ROUTER都会在所有形成邻接关系的邻居之间发链路通状态通告(Link State Advertisement,LSA) LSA 主要是通告描述了路由器所有的链路信息(OR 接口)和链路状态信息。由于链状态信息的多样性。OSPF协议定义了许多LSA类型

4、每一个收到从邻居ROUTER发出的LSA通告的 ROUTER都会把这些LSA通告记录在它的链路状态数据库当中，并且发送一份LSA的拷贝给该ROUTER的其它所有邻居

5、通过LSA扩散到整个区域。所有的ROURER都会形成同样的链路状态数据库

6、当所有的ROUTER的数据库都完全相同时，每一台路由器都将以它本身为根，使用SPF算法去计算一个无环路的拓朴图。来描述它所知道的到达每一个目的地的最短路径(最小的路径代价)，这个拓朴图就是SPF算法树

7、每一台路由器都将从SPF算法树中构建出自己的路由选择表

说明：当所有的链路状态信息扩散到一个区域内的所有路由器上---也就是说，链种状态数据库同步了，---并且成功创建路由选择表时，OSPF协议就变成了一个“安静”的协议。邻居之前的交换的HELLO报文称为KEEPALIVE(保持)报文。并且第隔30MIN重传一次LSA。

路由器ID是在OSPF区域内唯一标识一台路由器的IP地址.这个IP地址首先他选取所有的LOOPBACK接口上数值最高的IP地址，如果ROUTER没有配置IP地址的LOOPBACK接口，那么ROUTER将选取它所有的物理接口上数扭最高的IP地址。用作路由器的ID接口不一定非要运行OSPF协议。

使用LOOPBACK地址作为ROUTER ID有两个好处：一个是LOOPBACK接口比任何其它的物理接口都更稳定，因为只要路由器启动，这个环回接口就处理活动状态，只有这个ROUTER失效时它才会失效，

二个是：它具有理好控制ROUTER ID的能力。

OSPF路由器利用HELLO报文通告它的ROUTER ID来开始建立和邻居的关系。

HELLO报文协议服务于以下几个目的：

1、它是发现邻居路由器的方法;

2、在两台路由器成为邻居之前，需要通过HELLO报文协议通告这两台路由器必须相一认可的几个参数;

3、HELLO报文在邻居路由器之间担当KEEPALIVE的角色;

4、它确保邻居路由器之间的双向通信;

5、它用来在一个广播网络OR非广播多址(nbma)的网络上选取指定路由器(Designated Router,DR)和备份指定路由器(Backup Designated Router,BDR)

在思科路由器上面，HELLO默认10S发送一次，可以能通ip ospf hello-interval来更改

路由器的无效时间间隔是默认HELLO时间间隔的4倍可以通过ip ospf dead-interval来更改

一个HELLO报文包含以下部分：

始发路由器的路由器的ID(Router ID)

始发路由器接口的区域ID (Area ID)

始发路由器的接口的地址掩码

始发路由器接口的认证类型和认认信息

始发路由器接口的HELLO时间间隔

始发路由器接口的路由器无效时间间隔

路由器的优先级

指定路由器(DR)和备份指定路由器(BDR)

标识可选的性能的5个标记位

始发路由器的所有有效邻居的路由器的ID

一台路由器从它的邻居路由器收到一个HELLO报文时,它将检验这个HELLO报文携带的区域ID、认证信息、网络掩码、HELLO间隔时间、路由器无效时间间隔以及可选项的数值是否和接收接口上配置的对应值相符合，不符合，这个HELLO就不要，邻接关系也无法建立，

基于OSPF协议的路由器安全 第5篇

OSPF协议是各行业普遍使用的路由协议, 虽然它采用的spf算法和邻接关系等技术避免了自环产生, 提高了路由器的性能, 但随着广泛的应用, 其在安全方面的漏洞也日益被暴露出来。比如:篡改LSA、报文伪造、明文验证等。本文通过对原理的理解和工作过程的分析, 提出了使用数字加密验证的方法来解决以上潜在的漏洞, 从而保证路由器的安全。

1 OSPF协议的工作原理

1.1 工作原理

OSPF是一种开放式的链路状态路由协议, 运行该协议的路由器, 首先和相邻路由器建立邻居关系, 形成邻居表;然后, 相互学习对方的网络拓扑, 建立拓扑图;最后, 根据最短路径算法计算路由。

1.2 邻居关系建立过程

如图1所示, 在路由器R1初始化完成后, 它将向路由器R2发送Hello数据包。此时R1并不知道R2的存在, 因此在数据包中不包含R2的信息。而R2在接收到该数据包后, 将向R1发送Hello包。此时, Hello包中将表明它已知道存在R1这个邻居以及自己记录的其它邻居信息。R1收到这个回应包后就会知道邻居R2的存在, 并且邻居R2也知道了R1的存在。此时在路由器R1和R2之间就建立了邻居关系, 它们就可以把LSA发送给对方。

2 安全分析

2.1 邻居关系建立过程分析

根据图2, 配置调试结果如下:

路由器的缺省配置中, 信息交换是不进行身份验证的, 只要checksum字段无误就可以接收路由包, 安全性极低。从画横线的地方知道, 两个路由器建立了邻居关系。通过debug ip ospf adj命令来进行修改, 但是出现了不能建立邻居关系的结果。同样, 我们把区域设置为不同, 也显示不能建立邻居关系。所以, 可以得出, 如果两个路由器的hello interval和dead interva以及area设置不同, 那么路由器是不能建立邻居关系的, 这也正是ospf的安全漏洞。我们可以在同一个区域中伪造一台路由器, 并且发送伪造的LSA, 该数据报被洪泛到其他路由器, 各路由器接收到以后, 会重新学习邻居表和计算路由表, 当源路由器收到这个虚假的LSA时, 将泛洪一个具有更高序列号的LSA, 其他路由器也更新相应LSA, 这样不停的循环操作可以导致路由器的资源耗尽、性能下降, 甚至出现崩溃。

2.2 明文验证的安全分析

当使用明文验证时, 验证类型字段为1, 64位验证数据字段存放的是验证口令, 在传输过程中ospf分组及其口令都是以明文进行传输, 接收方只要验证它的检验无误并且验证数据字段的值等于规定的口令, 就会接收分组。这种验证方式的弊端在于:通过明文验证的数据包, 其明文密码是直接存放于hello包的包头中, 如果该包被类似sniffer的软件截获, 密码就很容易暴露。所以, 这种验证方式是不安全的。

3 解决办法

根据以上两种安全分析, 我们可以通过使用密文邻居验证来提高运行ospf协议路由器的安全。加密验证的优点: (1) 这种验证方式采用的是MD5加密算法, 该算法中加入了散列函数, 对给定的一个散列值是很不容易找到两个以上的有相同结果的输入值的, 这也意味着ospf分组不容易被修改; (2) 在加密认证过程中, 路由器通过发送一个带有散列函数的ospf数据包, 并且产生一个消息码, 接收方经过散列函数和数据包重新生成消息码并和发送方的消息码进行对比, 从而决定是否接收数据包, 这个过程是相对安全的。关键实施步骤如下:

参考文献

[1]杨文虎, 樊静淳.网络安全技术与实训[M].北京:人民邮电出版社, 2007.

[2]林涛.计算机网络安全技术[M].北京:人民邮电出版社, 2007.

[3]王春海, 张翠轩.非常网管—网络工程案例[M].北京:人民邮电出版社, 2007.

[4]cisco公司.思科网络技术学院教程网络安全基础[M].北京:人民邮电出版社, 1993.

OSPF协议 第6篇

OSPF路由协议是由IETF开发的一个基于链路状态的动态路由协议,应用于自治系统内。OSPF上全称为开放最短路径协议(Open Shortest Path First),被广泛应用于IP网络上,通过收集和传递自治系统内的链路状态动态的发现和传递路由信息。O S P F当前的规范R F C文档为RFC 2328,版本是第二版。

O S P F具有许多优点,包括:

无路由自环

可适应大规模网络

路由变化收敛速度快

支持区域划分

支持等值路由

支持验证

支持路由分级管理

支持以组播地址发送协议报文

支持V L S M和C I D R

本文讨论OSPF双进程的实现,或对网络工程的实施略有帮助。

2. 案例背景

2.1 网络结构

如图1所示,为一大型金融机构的全省网络图,其中二级机构十几个,三级网点近千个。

省级机构通过两台路由器R A、R B与总部连接,为一级骨干网络,运行B G P路由协议,实现复杂的路由控制。

省级机构核心交换机S1、S2分别与R A、R B、R 1、R 2采用三层网间网连接,构成省级网络核心。S1、S2、RA、RB运行OSPF路由协议,同时S1、S2、R1、R2运行EIGRP路由协议。

R 1、R 2分别与二级机构路由器X X_R 1、X X_R 2采用S D H、A T M线路连接,构成二级骨干网络。在网络改造之前,运行EIGRP路由协议,是思科品牌设备。

在二级机构,交换机与X X_R 1、X X_R 2、X X_R 3、X X_R 4形成市级核心局域网络。XX_R4通过SDH等广域网线路与三级网点连接,并形成三级接入网络。路由协议采用OSPF,二级机构局域网络为骨干区域,三级接入网络或者处在骨干区域(网点较少),或者划分为独立的非骨干区域(网点较多)。

2.2 路由分析

在现有网络中,所有二级机构采用相对独立的OSPF路由设计,采用独立的骨干区域,也就是说,所有二级机构均具有O S P F骨干0区。

由于二级骨干采用EIGRP路由协议,起到了路由隔离的作用,各二级机构O S P F路由的计算局限于本二级机构内,省级机构通过汇总分别得到指向各二级机构的一条汇总路由,保证了省级机构路由表的清晰简洁,同时,各二级机构根据本地O S P F路由表对本地网点正确寻径,并根据省级机构下发的到其它二级机构的汇总路由进行正确的跨机构数据访问。

2.3 问题的提出

由于业务需要,省级机构提出更换各二级机构XX_R1、XX_R2路由器,由于更换后的路由器不支持EIGRP这一私有协议,省级机构按总部文件确定采用标准路由协议O S P F,并要求:

(1)、网络工程的实施平滑进行,尽可能不影响正常业务进行。

(2)、按总部要求,实现路由控制和汇总,省级机构路由表只包含各二级机构的汇总路由,不允许包含各二级机构的明细路由。

如图2所示。

由于原来运行的OSPF路由协议未在全省范围统一进行设计,必须首先考虑对OSPF骨干区域重新设计,可能的方式有:

原来各二级机构区域划分保持不变,省级机构O S P F骨干区域包含R 1、R 2、X X_R 1、X X_R 2,这样,工作量小,可以实现平滑切换,但无法实现明细路由的抑制,R1、R2路由表包含大量二级机构的明细路由,既是失败的路由设计,也不符合总部规定;

对各二级机构OSPF区域重新划分,使得骨干区域只包含各二级机构核心路由器的上联接口,核心路由器的其它接口以及接入网络划分到非骨干区,在区域间实现路由汇总。这样,可以实现明细路由的抑制,符合总部规定,但实施中涉及众多路由设备配置的变化,工作量很大,势必很大程度上影响全省范围营业业务。

问题似乎很棘手,既要考虑平滑过渡,又要考虑网络设计要求、总部要求,难以调和。可以采用OSPF双进程吗?答案是肯定的。

3. OSPF双进程实现

应该说,按OSPF的设计思想是支持双进程的,但实践中应用极少,鲜有成功案例可以借鉴。其一是OSPF本身设计复杂,采用双进程会大大增加实施复杂性;其二是O S P F算法占用C P U、内存较多,采用双进程,路由器需要维护两个本地链路状态数据库,资源利用率更高。

为了证实X X_R 1、X X_R 2支持OSPF双进程,并降低实施风险,我们在实验室搭建了与用户方相似的网络实验环境,模拟了从总部、省级机构、市级机构到网点末梢的完全层次,经过反复实验,证明O S P F双进程是可行的,并给出了一套平滑过渡的实施方案,并保证在实施过程中,二级骨干网络中断时间不超过300秒。

3.1 省级机构路由协议改造

(1)、在省级机构两台下联路由器R1、R2上均启用OSPF路由协议:两台核心交换机S1、S2上调整原来OSPF路由协议配置,以包含原来EIGRP路由协议所涵盖的网络接口或网段;两台下联路由器R1、R2上OSPF路由协议骨干区包含其与核心交换机互联接口、局域网络子接口、Loopback接口,暂不包含与二级机构的广域网互联接口。

(2)、在两台下联路由器R1、R2上,进行EIGRP与OSPF路由协议的相互分发,并进行路由标记(Tag):OSPF对EIGRP导入的路由汇总并向RA、RB发布,并打上Tag 3000。EIGRP对OSPF导入的路由打上Tag 1000。EIGRP重发布策略为拒绝Tag 3000,允许Tag1000,OSPF策略为拒绝Tag 1000,允许Tag3000。

(3)、在两台核心交换机上删除有关EIGRP配置,进一步净化网络环境,为二级机构平滑切换准备。

这样,在省级机构,形成O S P F骨干区域,包含R A、R B、R 1、R 2、S 1、S 2,E I G R P仅包含在R 1、R 2路由配置中,是为了与各二级机构的路由寻径需要。

3.2 二级机构采用OSPF双进程

在省级机构进行了必要准备后,接下来就是对二级机构路由器X X_R 1、X X_R 2启用O S P F双进程。

(1)、对照原来路由器配置,对新的XX_R1、XX_R2进行除EIGRP之外的配置,其中进程OSPF 10用于二级机构本地局域网及三级接入网的路由寻径;

(2)、上联省级机构的路由协议使用进程OSPF 20,在新的XX_R1、XX_R2路由器上配置,接口仅包括路由器上联广域网接口地址,并作为router-id;

(3)、在OSPF 20中,进行对应于该二级机构IP地址段的强制汇总,使得省级机构收到并仅收到该二级机构的1条汇总路由;

(4)、在OSPF 20中,对上级机构下发的路由进行过滤,使得本机构只收到上级机构的汇总路由。

(5)、在OSPF 10中,分发OSPF 20的路由,以实现本地网络对上级机构的路由寻径需要。

4. 小结

本文叙述了采用标准OSPF路由协议进行路由设计、规划和实现的过程,并按照路由设计原则,实现了路由汇总、分发、过滤和控制,达到了路由设计要求,并在实际用户网络得到顺利实施和验证。

应该说,本文的设计思想具有丰富的内涵,倘深入研究和挖掘,对网络工程实践具有指导和借鉴意义。

摘要：OSPF路由协议为符合国际标准的内部网关协议,设计严谨而复杂,适合大型网络的使用,特别是适合网络设备众多、品牌型号各异的复杂网络环境。本文从典型案例入手,详细讨论了OSPF路由协议双进程的规划及其实现。

关键词：OSPF,路由策略,路由汇总,路由过滤,双进程

参考文献

[1](美)WilliamR.Parkhurst著.Cisco路由器OSPF设计与实现[M].潇湘工作室译.北京:机械工业出版社.1999-3-1.

OSPF协议 第7篇

1 OSPF协议背景介绍

随着Internet的发展,接入Internet的路由器越来越多,路由负载不断增加,路由表的大小也随着接入的网络数量的增加而增加。路由器和链路的数目越多,就越可能出现问题,原来的单一网络很难管理庞大的路由表以及路由更新等。于是引入了动态路由。顾名思义,动态路由协议是一些动态生成(或学习到)路由信息的协议。这些协议使路由器能动态地随着网络拓扑中产生(如某些路径的失效或新路由的产生等)的变化,更新其保存的路由表,使网络中的路由器在较短的时间内,无需网络管理员介入自动地维持一致的路由信息,使整个网络达到路由收敛状态,从而保持网络的快速收敛和高可用性。

动态路由协议中使用最广泛的是OSPF协议。所以很有必要对该协议进行深入研究并进行测试。OSPF(Open Shortest Path First)路由协议是Internet网络TCP/IP协议族中一种内部网关路由协议,是Internet OSPF网络协议工作组于1991年制定出,并以Internet协议标准RFC1583确立下来,被广泛应用于Internet路由器路由协议、ATM交换机选路上的一种功能很强的通用性非常高的路由协议。OSPF路由协议是为TCP/IP网络制定的,是基于网络链路状态变化而动态进行路由选择的一种内部网关路由协议。在IP网络内,每一个路由器维护着一个描述网络结构的数据库,路由器根据数据库,通过计算建立最短路径树而建立起路由表。

2 软件测试理论和测试方法研究

2.1 软件测试概述

信息技术的飞速发展,使软件产品应用到社会的各个领域,软件产品的质量自然成为人们共同关注的焦点。不论软件的生产者还是软件的使用者,均生存在竞争的环境中,软件开发商为了占有市场,必须把产品质量作为企业的重要目标之一,以免在激烈的竞争中被淘汰出局。用户为了保证自己业务的顺利完成,当然希望选用优质的软件。质量不佳的软件产品不仅会使开发商的维护费用和用户的使用成本大幅增加,还可能产生其他的责任风险,造成公司信誉下降,继而冲击股票市场。在一些关键应用(如民航订票系统、银行结算系统、证券交易系统、自动飞行控制软件、军事防御和核电站安全控制系统等)中使用质量有问题的软件,还可能造成灾难性的后果。

事实上,对于软件来讲,还没有象银弹那样的东西。不论采用什么技术和什么方法,软件中仍然会有错。采用新的语言、先进的开发方式、完善的开发过程,可以减少错误的引入,但是不可能完全杜绝软件中的错误,这些引入的错误需要测试来找出,软件中的错误密度也需要测试来进行估计。

2.2 软件测试的基本方法

软件测试的方法和技术是多种多样的。软件测试方法,可以从宏观和微观两个方面看。

从宏观看软件测试方法,也就是讨论软件测试的方法论。从方法论看,更多体现了一种哲学的思想,例如辩证统一的方法,在测试中有许多对立统一体,如静态测试和动态测试、白盒测试和黑盒测试、自动化测试和手工测试等。软件测试的方法论来源于软件工程的方法论,例如有面向对象的开发方法,就有面向对象的测试方法;有敏捷方法,就有和敏捷方法对应的测试方法。

从微观看软件测试方法,就是软件测试过程中所使用的、具体的测试方法,例如等价类划分、边界值分析、正交试验方法等。

包括下列各种方法:

1)白盒测试方法;

2)黑盒测试方法;

3)静态测试和动态测试;

4)主动测试和被动测试;

5)形式化测试方法;

6)基于风险的测试;

7)模糊测试方法;

8)ALAC测试和随机测试方法;

9)软件可靠性评估方法。

3 OSPF协议测试方法应用与测试

3.1 常用测试方法测试

1)配置测试。

这类测试是要检查计算机系统内各个设备或各种资源之间的相互联结和功能分配中的错误。它主要包括配置命令测试、循环配置测试和修复测试。

2)等价类划分测试。

等价类划分是一种典型的黑盒测试方法,使用这一方法时,完全不考虑程序的内部结构,只依据程序的规格说明来设计测试用例。等价类划分方法把所有可能的输入数据,即程序的输入域划分成若干部分,然后从每一部分中选取少数有代表性的数据做为测试用例。

3)边界值测试。

边界值分析方法是对等价类划分方法的补充。长期的测试工作经验告诉我们,大量的错误是发生在输入或输出范围的边界上而不是发生在输入输出范围的内部。因此针对各种边界情况设计测试用例,可以查出更多的错误。

4)功能测试。

功能测试又称正确性测试,即测试软件系统的功能是否正确,其依据是需求文档,如产品需求规格说明书。它检查软件的功能是否符合规格说明。

3.2 自我总结方法测试

对OSPF协议与软件测试方法深入研究,经过反复测试和总结,在常用测试方法基础上进行优化,作者总结了自己的一套测试方法。

1)用户角度测试。

软件系统的需求来源于用户,最终使用权也是用户,所以用户的感受很重要,只有满足用户需求和习惯的软件系统才能称之为真正意义的好系统,在此基础上,作者总结出了用户角度测试方法。用户角度测试是指测试人员进行换位思考,从用户角度考虑来对被测对象进行功能、界面等测试,从而判断被测试对象的界面等操作是否符合用户习惯,是否易用。

2)系统有故障下测试。

人生病了,可能是人体的某个功能器官发生了病变,需要针对性治疗,但是一般情况没有发生病变的功能器官运行正常,不会受到或者很少受到影响。比如手受伤了,并不会影响脚的行走。对于软件系统来讲,同样也适用。所以作者总结了系统有故障下测试方法。系统有故障下测试是指软件系统在有故障情况下,还能“带病运行”,只是某些功能点缺失,不会对整个系统造成大的影响。

3)满配测试。

当我们发现软件系统在正常情况或者配置量小的情况能工作正常,那么如果对软件施加压力进行满配置,软件系统是否还能正常运行呢?在此基础上作者总结了满配测试,有点类似于压力测试或者容量测试,但是又有区别。满配测试是指对被测对象的某项指标进行满配,看看系统是否正常运行,然后配置超过标称容量,看看系统是否正常运行,最后使配置又恢复到满配置或者略小于满配置,系统是否正常运行。

4)版本升级回退测试。

我们在使用某款软件时,会发现软件经常会升级,比如从1.0升级2.0。那么是否也可以引申出一种测试方法呢?在此基础上作者总结了版本升级回退测试方法。版本升级回退是指软件系统从低版本升级到高版本或者从高版本回退到低版本时,软件是否正常运行。

5)一种操作反复测试。

电灯大家都会用到,每天都要操作多次开和关。好的电灯频繁开和关都没有问题,不好的电灯有可能反反复复后就坏掉了。既然这个可以作为检验电灯好坏的一种方法,那么对于我们的软件系统是否也适用呢?在此基础上作者总结了一种操作反复测试方法。一种操作反复测试是指对软件系统反复多次进行同一种或者几种操作,看看软件系统是否能正常运行。

6)兼容测试。

我们日常生活中经常会使用螺丝和配套的螺帽,螺丝和螺帽的生产厂商有很多个,但是不同厂商出厂的螺丝和螺帽为什么能匹配呢?需要一个标准,厂商根据标准生产螺丝和螺帽。符合标准的即使是不同厂商的也没有关系,也能够匹配,如果不匹配则不符合标准,则有问题。那么我们的软件系统是否也存在同样的问题呢?在此基础上作者总结了兼容测试方法。

兼容测试按照功能可以划分为三种兼容测试方法:向上兼容、向下兼容和不同厂商兼容测试方法。前两种测试方法是针对同一软件系统,而第三种测试方法是针对不同的软件系统。

7)后台告警测试。

开过汽车的都知道,汽车启动时会进行整车系统自检,如果检测失败会有相应提示,告知哪个部件有问题。能否将这应用于我们的软件测试呢?在此基础上作者总结了后台告警测试方法。后台告警测试是指系统在出现故障或者出现隐患时,在软件系统的后台上会看到告警提示,并提示信息正确等。

8)分析关键点测试。

我们在政治学上学到事物有很多矛盾,我们要抓住主要矛盾。那么我们的软件子系统测试呢?如果软件子系统测试提供很多功能点,又需要在短时间测试完怎么办?在此基础上作者总结了分析关键测试方法。分析关键点测试是指被测对象有很多功能点需要测试,在测试过程中需要分析哪些功能点是关键点,哪些功能点容易出错误,然后有针对性测试。

3.3 OSPF协议在校园网中的应用

1)校园网设计。

某校园网网络拓扑图如图1所示。

整个校园网采用三层星型拓扑结构,配置一台高端核心交换机,支持双电源双引擎热备,支持万兆扩展和IPV6平滑升级过渡;在教学楼和信息楼等区域配置汇聚交换机,为本楼的接入交换机提供汇聚功能,汇聚交换机支持高密度的千兆接口,并能扩展万兆和IPV6,构建万兆骨干IPV6校园网;食堂、操场等区域直接采用接入交换机通过千兆光纤连接核心交换机。接入交换机要求支持丰富的安全功能,能够防御各种ARP欺骗,支持环路检测和自动阻断并在设置的时间内自动恢复,支持端口防雷等功能,确保接入的安全、稳定;出口采用一台千兆防火墙,负责出口的地址转换,流量控制和安全策略控制,并能够进行出口NAT、URL日志记录,输出到专用的日志审计系统中进行至少60天的自动覆盖保存,满足公安部的要求。

为了方便学校进行统一管理,需要提供一套对用户身份认证进行管理和网络设备进行管理的系统,实现对用户上网认证、地址绑定、日志审计,拓扑管理,配置保存等功能,方便学校使用和管理。

2)校园网路由设计。

核心交换机、汇聚交换机和接入交换机我们可以选择三层交换机(也可以理解为路由器)即支持动态路由协议的交换机。

在动态路由选择上,OSPF协议无疑是我们的最佳选择。

1)路由区域的划分。

根据地理环境或管理体制,在路由设计中将网络拓扑上相邻的节点密集区域集合成若干相互连接的路由区域,这就是路由区域的划分。因此我们把核心交换机和汇聚交换机都划分在area 0区域即骨干区域。

2)边界路由器的设计。

校园网边界路由决定校园网与INTERNET间的数据通信转发,它负责校园网路由信息的对外发布与INTERNET路由信息的注入。由于校园网都是通过核心交换机和INTERNET交换数据,所以我们把核心交换机作为边界路由器。

3)校园网OSPF测试应用。

校园网组设计和组建好了后,我们可以应用前一章提到的测试方法对校园网进行测试,测试交换机以及整个网络拓扑设计是否合理,运行是否良好。下面以一个简单的实际网络出现故障的案例来阐述问题的定位以及相应测试方法的应用。

在运行过程中发现教学楼的有一片区域不能上网。因为有了关于OSPF协议的知识和测试方法的研究,我们于是对故障进行定位。通过研究校园网的网络拓扑结构,我们可以顺藤摸瓜,一步一步定位出问题的所在。

1)查看不能上网的教学楼某区域相对应的接入交换机是否有问题。首先我们通过串口登陆到接入交换机上查看对接入交换机的各个端口是否up,发现有一个端口状态一直是down状态,这个出问题的接口是和上游交换机连接的,于是判断应该是组网问题,需要对上游汇聚交换机进行定位。在定位过程中,我们使用了功能测试方法(查看端口状态信息)和关键点测试方法(根据经验选择最有可能出问题的功能点端口状态进行测试)。

2)查看与出问题的接入交换机对接的汇聚交换机是否有问题。同样我们通过串口登陆到汇聚交换机出问题的那个端口,发现其端口状态一直是down掉的。于是定位出来是汇聚交换机和接入交换机相邻端口连接出问题了。在这个定位过程中,我们使用了功能测试方法(查看端口状态信息)和关键点测试方法(直接对出问题的端口查看端口状态,其它的功能点都不需要进行测试)。

3)更换网线,查看问题是否解决。分别登陆到出问题的汇聚交换机和接入交换机查看问题端口的状态,发现端口up,而且在界面上有端口up的打印信息。这时不能上网的教学楼某区域已经可以上网,问题解决。在定位过程中,我们使用了了功能测试方法(查看端口状态信息)、关键点测试方法(网线出问题的概率最大,直接更换网线)和后台告警方法测试(界面有端口up的打印信息)。

4 展望

本文虽然对主流的测试方法进行了研究,并在此基础上总结了一套自己的测试方法,但是并没有覆盖所有的测试方法,下一步可以对其它的测试方法也进行研究。在对OSPF协议进行测试时,由于主要目的是将常见的和自己总结的测试方法应用到OSPF协议的测试中,虽然涉及到一些主要测试方法,但是并没有覆盖到被测试对象的OSPF协议的所有功能点,所以说测试还不是很全面,下一步可以对照OSPF协议标准,对OSPF协议做一致性测试覆盖所有功能点。

摘要：该论文介绍了OSPF协议的背景;对软件测试理论和软件测试方法进行研究;将两者相结合得出常见的测试方法,并且在此基础上总结了自己的一套测试方法。这些测试方法可以对支持OSPF协议的不同厂商的路由器进行针对性测试,从而判断路由器的OSPF协议是否正确。最后举例说明校园网OSPF协议的应用。

关键词：OSPF协议,软件测试理论,软件测试方法,校园网

参考文献

[1]张尚韬.OSPF路由协议的研究[J].福建信息技术教育,2007(3):14-15.

[2]Paul C.Jorgensen.软件测试[M].2版.北京:机械工业出版社,2003.

OSPF协议 第8篇

OSPF[1]协议是一种应用十分广泛的内部网关路由协议。目前大部分商用路由器都支持该协议。OSPF协议在通信网络应用包括两部分:路由信息扩散形成路由表用于数据转发;利用CSPF (受限最短路径优先) 算法计算满足Qos的路径[2]。如何改进OSPF路由协议报文格式以及路由算法, 使其能够应用到可信网络中, 成为OSPF协议可信技术研究的重点。

1 可信网络环境分析

在如图1可信网络中, 各通信节点都对与之相邻节点有一个信任度评估, 信任评估结果称为可信度量值 (图1)。

信任评估的方法有多种, 其中一种方法称为基于身份的评估。基于身份的信任采用静态验证机制来决定是否给一个实体授权。常用的技术:当两个实体A与B进行交互时, 首先需要对对方的身份进行验证。即, 信任的首要前提是对对方身份的确认, 否则与虚假、恶意的实体进行交互, 很有可能导致损失。所以应用于可信网络中的OSPF路由协议首先要具有身份认证能力。

计算可信传输路径是可信网络的另一重要应用。可信传输路径是指设置或计算出某条路径, 该路径上所有的通信节点都满足可信度量的要求。目前OSPF协议可以采用CSPF算法来完成Qos路径计算的能力。Qos路径中包含了诸如带宽、时延等诸多数据传输的要求。可以将节点可信度量值的要求也加入路径计算中, 作为其中的一个约束条件。这样计算出的传输路径具有可信属性。

综上所述, OSPF在可信网中应用, 需要做以下两点研究:

OSPF认证机制研究与改进;

CSPF可信传输路径计算方法的研究。

2 OSPF协议可信改进方案设计

2.1 OSPF认证机制

OSPF协议的报文头格式如表1所示。

原型采用三种类型的认证, 用Autype字段三个值表示:0不认证;1简单认证;2 MD5密码认证[3]。其中0和1安全性较差, 而MD5认证目前也被破解, 所以采用原有的认证机制并不可靠。基于此, 可信路由协议增加一种认证类型CPK认证[4], Autype字段添3。

相比于现有的PKI、IBE认证, 基于标识的CPK认证体制不需要第三方证明、不需要数据库的在线支持, 可用单芯片实现, 在规模性、经济性、可行性、运行效率上具有无法比拟的优势, 适合在可信网络中应用。

Authentication字段原用于存储MD5签名, 长度为64bit。现在为了适应CPK认证, 扩展为128bit用于存储CPK签名。

认证处理流程如(图2)所示。

2.2 CSPF可信传输路径计算

在OSPF原有协议中, 为了满足Qos路由需求, OSPF对协议进行了流量工程扩展, 可在每个OSPF节点建立TED (流量工程数据库) , 然后运用CSPF算法计算满足各种约束条件的路径。

在RFC2370中, 定义类型10的模糊LSA, 该LSA为适应Qos需求进行了重新定义, 以携带链路的流量参数, 该LSA被称为TE-LSA[5]。

TE-LSA由TE-LSA头和TE-LSA净荷组成。TE-LSA净菏由一个或多个TLV组成。TLV填充成4字节排列, 填充部分不计算在长度域之内。嵌套的TLV也是4字节填充。有两个顶层的TLV, 分别是Router Address TLV和Link TLV。

其中, Link TLV它由一组子TLVs构成, 没有次序的要求。为了允许更好的拓扑改变粒度, 每个TE-LSA只准携带一个Link TLV。Link TLV的类型=2, 长度可变。Link TLV的子TLVs定义见表2。

路由器通过组织本地链路的TE-LSA, 反映本地链路的流量工程参数, 然后利用OSPF协议的扩散机制将其在区域内扩散。从而建立一个全网的TED。当链路的流量参数发生变化时, 路由器会重新组织其TE-LSA并进行扩散。

这种扩散机制同样适用于可信度量值扩散。因此, 可以增加一种link TLV的子TLV类型10, 长度为4byte, 用以传递设备的可信度量。

解决了可信度量值扩散的问题, 还需要设计基于CSPF可信度量算法[6]:

我们假设网络中有两个随机的通信节点S和D, S发送数据给D节点, 那么路径P (s, i, j.D) 表示从S到D的一条路径, 我们定义mij为路径从S到D节点上路径的节点i对节点j的可信度量值, 为了表示路径的可信度量值引进参数Pij, 如果Pij=1则表示路径ij在从S到D的路径上, 如果Pij=0则表示路径ij不再从S到D的路径上, M为业务要求的可信度量值。因此可以得出:链路S到D的度量值为:

M (p) =min mij*Pij,

传输路径中各节点可信度量值在满足要求的基础上, 越高越可信。可以用度量值利用率来表示这一数值:

其中M为业务需要的度量值, bij为链路i到j的实际度量值。所以最终CSPF计算可信传输路径的约束条件为:

上述约束条件可以增加到算法约束库中, 与其它约束条件并列, 并不影响原有的Qos路径计算。

3 方案实现

OSPF可信路由软件模块组成如 (图3) 所示。

OSPF协议处理:处理与协议对等体之间交互的OSPF协议消息, 包括hello、DD、LSR、LSU等消息。

链路状态库:存放网络的拓扑信息。

可信度量数据库:存放网络各节点的可信度量值。

CSPF路径计算:依据链路状态库和可信度量数据库进行受限路径计算。

CPK[7]安全认证模块:完成对OSPF协议消息的摘要、签名以及签名认证功能。

Socket通信:将OSPF协议消息封装为Socket套接字来进行发送或接收。

用户模块:设置可信传输路径参数, 包括路径的可信度量值、带宽、时延等。

操作系统:采用VxWorks6.6实时嵌入式操作系统, 实现上述各软件模块的消息队列、定时器、任务调度等功能。

代码采用标准C编程。代码样例 (OSPF协议头部改进后格式) 如下:

4 试验验证

将编译完成代码加入到OpenNet软件做验证。OpenNet设定网络拓扑如图4所示。

各通信节点可信度量值设置如表3所示。

仿真1:可信传输路径计算

计算Router1->Router10的可信传输路径, 路径可信度量要求为0.73 (1为100%可信) 。在HopListShow模块中查看传输路径为图4中Path 1所标注路路径。所经过各点的度量值都大于等于0.73, 证明OSPF可信路由技术可以计算出满足度量的传输路径。

仿真2:抗毁性测试

在仿真1计算的传输路径基础上, 调整Router 8的度量值为0.5。查看HopListShow模块, 发现可信传输路径发生变化, 变化部分如图4中Path 2所标注路径。证明OSPF可信路由技术可以传递度量值变化, 进而触发可信传输路径重新计算。获取满足可信度量的新路径 (图4)。

5 结语

基于OSPF协议的可信路由技术解决了两个问题:通信节点可信度量扩散问题和可信传输路径建立问题。可信度量扩散使得网络中任何一点都可以获取其它节点的可信度量值。而基于CSPF的可信路径计算提出了一种有效可信路由决策算法。基于CPK的协议认证机制, 使得OSPF协议完整性、不可抵赖性得到保证。进一步提高协议的安全防护等级。同时, 基于OSPF协议的实现可信路由技术也可运用于其它同类型路由协议中, 改进的方法类似。

摘要：随着可信网络普及, 可信路由技术作为可信网络基础技术也成为研究的热点。本文以OSPF协议为基础, 通过分析可信网络的技术需求, 得出OSPF路由协议需要改进的两个方面:更换更有效的协议认证机制和增加可信路径计算功能。通过对协议格式和路径算法的分析, 得出基于CPK的认证方法和基于CSPF的可信路径算法。该文给出了OSPF可信路由软件方案设计以及编码实现。并将软件加载到OpenNet软件中进行了仿真验证。

关键词：OSPF,可信路由,签名认证,CSPF

参考文献

[1]IETF RFC2328:OSPF Version 2.1998年4月.

[2]IETF RFC2676:QoS Routing Mechanisms and OSPF Extensions.1999年8月.

[3]杨静, 谢蒂, 王雷.OSPF路由协议的安全分析及其漏洞分析.山东大学学报 (工学版) , 第33卷第5期.2003.

[4]李鹏, 王绍棣, 王汝传等.携带数字签名的OSPF路由协议安全研究南京邮电学院学报2005.

[5]IETF RFC2370:OSPF Opaque LSA Option.1998年7月.

OSPF协议 第9篇

卫星通信已经得到广泛的应用,尤其在应急通信领域有着不可替代的地位。随着网络技术的发展,以IP为基础的宽带数据业务的传输成为必然趋势。卫星通信系统要支持多种IP业务的应用需求,就必须支持IP网络层和传输层的性能需求。OSPF路由协议作为TCP/IP协议栈中的重要成员之一,为网络上的IP数据包选择合适的传输路径。路由协议选择的合适与否直接影响整个卫星通信网络的传输效率,这也成为系统设计、建设和维护中的重要课题。本文结合雅砻江流域卫星通信系统在扩容过程中发现的问题及解决方案,探讨如何在卫星通信系统中选择高效、合适的IP路由协议。

二、雅砻江流域简介

雅砻江是金沙江的最大支流,发源于青海省巴颜喀拉山南麓,自西北向东南流至呷依寺附近进入四川省境内,为我国十三大水电基地之一。雅砻江干流由北向南流经四川甘孜藏族自治州、凉山彝族自治州,在攀枝花市倮果汇入金沙江,全长1571km,流域面积约13.6万平方公里,天然落差3830m,河口多年平均流量1910m3/s,年径流量602亿立方米。

雅砻江流域水量丰沛、落差大,干支流蕴藏了丰富的水力资源。雅砻江水电资源开发,初步拟定上、中、下游三河段共22级电站的开发方案,装机容量约30000MW,年发电量约1500亿千瓦时,干流技术可开发装机容量占四川全省的24%.约占全国的5%。随着二滩、官地、锦东和锦西等巨型电站的陆续投产发电,雅砻江公司于201 1年在成都建设了雅砻江公司集控中心,集控中心负责雅砻江流域水电联合优化调度并远程控制流域投产电站。

为加强集控中心至流域电站的通信安全,公司在建设了地面光通信系统的基础上,还建设了雅砻江流域应急卫星通信系统。目前卫星通信系统已建设了5个站点,其中1个中心站4个子站,中心站的核心设备采用1:1冗余热备配置方式,子站采用单设备配置。系统主要承载平常的语音及数据的传输,另外还承载应急情况下的视频信息。远期卫星通信系统预计23个站点,因此现阶段卫星站点的建设既要满足当前业务需求,又要兼顾后续站点增加扩容的需要。

三、问题提出

1.系统结构及特点

本案卫星通信系统拓扑结构如图I所示。根据系统配置方案及拓扑结构,可以看出该卫星通信系统有如下特点:

⊙采用全网状结构,组网灵活,各站点直接可互相通信,可以依据业务的要求组建星状、网状或混合网。

⊙系统设置了中心站,数据的传输通过卫星“单跳”传送到相应目的地址,缩短了传输时延。

⊙该系统选择VSAT PLUS3第四代卫星通信技术,卫星终端内置卫星路由器,通过网络接口可以和地面网络有效互联。

⊙该系统应用了OSPF动态路由协议,实现了卫星带宽的按需分配(BOD),并且适应了主站基带单元1:1冗余热备的配置方案。

2.问题提出

卫星通信系统只有中心站及A,B,C三个子站时,系统运行状态稳定、话音清晰,数据传输质量较高,但是在新增子站D的安装调试过程中,发现如下问题:

(1)子站D安装调试完成,设备入网后,在与中心站及其他站点之间使用卫星电话进行通话时,话音断续、质量差、时好时坏,同时其他子站也出现相同问题。而在增加子站D时,只做了子站D的入网调试,未对其他子站的参数做任何修改。通过频谱仪扫描发现,卫星系统使用的卫星频段非常干净,信号底噪平坦没有干扰,因此排除了频率干扰的影响。频谱扫描见图2。

(2)主站和各子站之间Ping正常,有的包延时在600ms左右,有的包延时在1180ms,而且每隔几个包就出现丢包现象。通过在中心站网管远程登录子站的基带单元或网关时,速度较慢或根本打不开,而本地网管显示卫星系统链路质量好,站点入网正常,系统运行状态良好。各站点信号电平见图3。

(3)通过(1).(2)所述问题及现象,可以判定系统硬件结构及各卫星站点入网状态均正常,问题可能来源于卫星通信系统所应用的OSPF协议的固有缺陷。

四、现象分析

卫星站点之间数据的传输需要系统依据数据量的大小按需分配相应的时隙进行传输,如果因为某些原因系统没有空闲的时隙可以分配,就会造成站点之间分配不到相应的时隙或只分配到部分时隙,而造成站点之间数据传输不能全部有效传送。这将导致话音断续或数据丢包,远程登录网管时速度慢或登录失败。

根据OSPF协议的路由状态探测特性,网内的某个站点向其他站点发送路由状态探测时,系统会给站点分配时隙以保证路由状态探测的进行,O S P F协议网状探测占用时隙数为N(N-1)。

通过频谱图可以发现,该卫星通信系统为TDMA单载波系统,按照当前使用的带宽计算,系统的时隙总数为26个。当D站点未增加时,系统内路由点的数量为5个(中心站1:1配置).探测信息占用的时隙数是20个未超出26个时隙的最大值,此时卫星系统还有空闲的6个时隙供语音,数据等业务信息的传输;当站点D入网后,系统内路由点的数量变成6个,探测信息占用的时隙数是30个,系统提供的2 6个时隙已不能满足时隙探测的需要,正常传输的语音、数据等业务也会受到影响。系统内6个路由点的时隙分配见图4。

从理论上来讲,OSPF动态路由协议在带宽有保障的前提下,适用于多数IP网络的数据通信。但是卫星通信系统与地面网络相比较而言是一个窄带系统,系统带宽变得弥足珍贵,所以系统的开销要求尽可能降低。

本案卫星系统中五个卫星节点路由器之间希望交换同步路由信息,它们之间使用的是网状的逻辑拓扑。通过图1可以看出.5个卫星节点的路由器之间将需要形成9个邻接关系,同时将产生25条LSA。25条单向卫星链路.维持路由之间能够迅速同步.但是占据了系统大部分链路开销,严重时占据全部链路导致没有空闲链路提供给正常语音及数据业务传输,使正常业务受到干扰,维护成本较高。

经过上述综合分析、比较,该系统出现的不正常现象是由当前OSPF协议的固有缺陷引起。

五、故障处理

1.路由协议选择

OSPF协议的网状路由探测特性决定了系统需要占用较多的时隙以传输实时探测信息,因此目前应用于卫星系统的OSPF协议适合站点较少的系统,站点增多超过临界点就会造成系统时隙占用完毕,没有空闲时隙进行有效的数据传输,出现丢包等现象。针对上述问题,在分析总结的基础上,将具有网状路由探测特性的OSPF协议改为星状路由探测特性的仿真OSPF协议版本。新版本的OSPF协议将减少卫星系统的开销,保证系统有空闲时隙,站点之间可以进行有效的数据传输,保证数据、话音和视频的质量。

2.指定路由器

基于上述这种考虑,我们可以在网络上选择一个路由器并将其设为“DR”指定路由器(Designated Router,规定其他的路由器如果希望与另一个路由器通信,那么,只要经过这个“DR”就可以了。所以如果把中心站当成“DR”,则拓扑就变成了图5所示的结构。所有的路由器之间通信都通过中心站卫星路由器,5个卫星节点的路由器之间需要形成4个邻接关系,减少了路由信息在网络上的洪泛,节约了网络带宽及时隙。

OSPF协议升级后的卫星系统链路使用关系测试见图6。从图6的测试结果可以看出,卫星系统瞬间使用8条单向卫星链路维持路由之间同步,只占据了系统小部分链路开销,空闲的链路可以进行正常数据业务传输,同时保证不会受到干扰,维护成本得到控制。

六、结束语

作为有着广泛用户的OSPF协议,是近年来出现的比较好的动态路由协议,在网络通信中起着不可替代的作用。但是由于卫星通信系统的特性,使得OSPF的固有缺陷也随着卫星通信网络规模的增加显现出来。因此,在实际应用中,还是要结合运用的实际环境去优化和选择更合适的协议。

摘要：现代卫星通信系统可以实现IP宽带网络的互联,既可以和地面网络互为备份提供可靠通信链路,又可以在地面网络不可达的地点单独提供高质量的通信链路。OSPF协议在卫星通信网络中的应用解决了单站点基带单元1:1冗余热备的配置方式,灵活的组网方式有效利用了卫星宝贵带宽资源,实现了带宽资源的按需分配。本文结合雅砻江公司卫星通信网络在实际应用中出现的问题,通过分析比较发现了OSPF协议在卫星通信网络中应用的固有缺陷,而经过卫星通信系统的协议优化,使OSPF协议很好地适应了卫星通信的业务传输。

关键词：OSPF,卫星通信,路由,分析

参考文献