Аутентификация MPLS LDP

Окей. Из следующих фич, чем я хотел рассказать, это LDP-алтентификация. Единственное, я прямо уж не буду сильно останавливаться на этой теме, поскольку не так часто включают, особенно если вы будете настраиваться MPLS-энтерпрайзе. У вас есть команда MPLS-LDP-нейбор, например, 150-555, и вы здесь можете задать ему паспорт. Можете ему задать паспорт Cisco R1-R5, например. Cisco R1-R5. Обратите внимание, что я задал пароль на маршрутизатор R1 в сторону маршрутизатора R5, при этом моя сессия не дропается.

Почему? Я на самом деле говорил вам на прошлом занятии, что аутентификация – это просто один из… По сути, к самому LDP отношения никакого не имеет. Аутентификация используется посредством CCP протокола. Соответственно, если у вас LDP-сессия уже установлена, то для того, чтобы эти пароли заработали, вам нужно эту сессию реинициализировать. А у меня сразу вопрос. Ты сказал на прошлом занятии, что у тебя был случай, когда ты включил аутентификацию в LDP через ASU, и с этим были проблемы. Потому что мы ASU подключали, там линк флапнул, но новая сессия уже не установилась. Это как минимум означает, что кто-то использует эту фичу. Знаешь ли ты, зачем вообще говоря, использовать аутентификацию для MPLS LDP?

Да, нет, на самом деле, я как бы не могу придумать какого-то жизненного важной необходимости. Так, то есть только на безопасность совсем помешаю. Может быть, это нужно для некоторых аудитов. Вероятно. Ну, соответственно, видите, то есть на MRSA 3.1 вы сразу видите no-mdp5-digits. Соответственно, давайте просто сконфигурируем этот пароль. MPLS LDP neighbor 150111 пассворд CISK R1. А, по идее, сейчас все должно будет подняться. LDP neighbor. Соответственно, для верификации show MPLS LDP neighbor 15055 молодок. Наверное, нам нужно будет

выкладка detail. Detail, пассворд, not required. Обратите внимание, ребят, очень интересная запись. Password not required, but in use. То есть, дело в том, что у LDP есть различные варианты установления, скажем так, настройки аутентификации. Я их сам на память уже все не помню. Но суть в том, что, условно говоря, вы можете настроить, условно говоря, пароль на некую группу, да, на некую группу. И, например, использовать этот пароль только, условно говоря, если он настроен с двух сторон. Например, если пароль не настроен с двух сторон, да, сессия может с ним подняться. Если можно выставить этот параметр в required, в required, то есть, в том, что если вы пароль для этой сессии не зададите, то сессия сама по себе не поднимется.

То есть, not required просто говорит нам о том, что эту сессию можно поднять как с паролем, так и без пароля. А я бы еще хотел обратить внимание на таймеры, которые тут можно увидеть, как раз 5000 миллисекунд hello time и 15000 миллисекунд hold time. Очень характерные цисковские таймеры, нет, чуть выше. Да, очень характерные цисковские таймеры, которые хорошо подчеркивают природу протокола LDP, потому что когда-то в деличестве это был другой протокол, который назывался TDP, Tag Distribution Protocol, и он был фирменный цисковский. Потом просто его немножечко допилили на пикник, а мы сделали стандартно. Да, все это растет из TDP, конечно. У меня, в принципе, в принципе, так, шаринг экрана не пропал, нет? Пропал. Сорян, я случайно не твантыкнул. Тесты, но

есть у меня примеры конфигурации через пергруппы. Я, к сожалению, вам честно скажу, на памяти их не помню. Да, и не нужно их помнить. Но, если в том, что, условно говоря, можно сказать, что использовать один пароль, скажем, не на конкретного нейбора, а прямо на группу нейбора. Я вам просто покажу, покажу пару выводов. Я уже не буду себя в лабе это показывать, поскольку принципиально оно ничего не меняет. Может быть, только немножко усложнить конфигурацию некоторых случаев. Так, это, наверное, должно быть все распроводить. Multiple certification. Суть в том, что, видите, некоторый пароль на некоторый пароль

можно применить на целую группу мусортизаторов. То есть, в данном случае 333, 444, 466, это есть не что иное, просто как LDP router ID с мусортизаторов R3, R4, R6. И мы ко всем к этому аксесс-листу привязываем вот такой пароль. Честно говоря, я не знаю других примеров, когда аксесс-листом можно было бы обрабатывать не IP-адреса, а просто какие-то произвольные числа, потому что router ID это, по сути, число, а не IP-адрес. Собственно говоря, такую конструкцию в принципе сделать можно. Если кому-то хочется, видите, есть команда MPLS LDP password required, то есть, обратите внимание, что, если я, например, ее введу, скажем, на мусортизаторе R5, LDP is down, то есть, видите, у меня падает сессия с мусортизатором R3, да, и видите,

MD5 protection is required for pair. То есть, и в том, что у меня эта сессия никогда не поднимется до тех пор, пока пароль не будет явно сконфигурирован. Надеюсь, с этим появилась некоторая ясность. Скажите, можем ли мы идти дальше? Ну, в принципе, авторизатор, аутентификация LDP функция, ну, может быть, конечно, и полезная в сценарии, если у вас есть требования по аудиту, но сказать, что прямо повсеместно используется эта фича, мне кажется, нельзя. Ну, согласен, да, согласен. Игорь 까ck, это Vistaresser, в finds Goodness, это Evangelмат Supervisor, который Spl UWC 광 Plaza, в том числе,

это не может быть тот сув thereafter, который в том числе и в т washes it может быть друг MYC К