登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

09-安全配置指导

目录

21-keychain配置

本章节下载： 21-keychain配置  (131.07 KB)

21-keychain配置

目  录

1 keychain

1.1 keychain简介

1.2 配置keychain

1.3 keychain显示和维护

1.4 典型配置举例

1.4.1 keychain配置举例

 

1 keychain

1.1  keychain简介

keychain是加密规则（key）的集合，用来为应用程序提供动态认证功能。keychain在不中断业务的前提下，通过定期更改用于认证的密钥和算法来提升网络数据传输的安全性。

一个keychain中的不同key可配置各自的认证密钥、认证算法和生命周期。key由认证密钥、认证算法和生命周期三部分组成。一个keychain中不同key的认证密钥、认证算法和生命周期可以不同。当系统时间处于key的生命周期内时，应用程序可以利用它对发送和接收的报文进行校验。当keychain内各个key的生命周期具有连续性时，随着系统时间的推移，各个key能够依次生效，从而实现动态地更改应用程序使用的认证算法和认证密钥。

keychain支持绝对时间模式，该模式的keychain中，key的生命周期是UTC（UTC，Coordinated Universal Time，国际协调时间）绝对时间，不受系统的时区和夏令时的影响。

1.2  配置keychain

配置时需要注意以下几点：

·     同一个keychain内的各个key使用send-lifetime utc指定的生命周期不可重叠，以确保在同一时刻，应用程序只使用一个key对发送的报文进行校验。

·     认证双方在同一时间内所使用的key的认证算法和认证密钥必须一致。

表1-1 配置keychain

操作

命令

说明

进入系统视图

system-view

-

创建keychain，并进入keychain视图

keychain keychain-name [ modeabsolute ]

缺省情况下，不存在keychain

（可选）为keychain中的key延长其在报文接收时的生命周期

accept-tolerance { value | infinite }

缺省情况下，没有为keychain中的key延长其在报文接收时的生命周期

创建一个key，并进入key视图

key key-id

缺省情况下，不存在key

配置认证算法

authentication-algorithm hmac-sha-256

缺省情况下，未配置key的认证算法

配置认证密钥

key-string {cipher | plain } string

缺省情况下，未配置key的认证密钥

配置用来校验发送报文时key的UTC模式的生命周期

send-lifetime utc start-timestart-date { duration { duration-value | infinite } | to end-timeend-date }

缺省情况下，未配置用来校验发送报文时key的生命周期

配置用来校验接收报文时key的UTC模式的生命周期

accept-lifetime utc start-timestart-date { duration { duration-value | infinite } | to end-timeend-date }

缺省情况下，未配置用来校验接收报文时key的生命周期

（可选）为keychain指定缺省发送key

default-send-key

缺省情况下，keychain中不存在缺省发送key

 

1.3  keychain显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后keychain的运行情况，通过查看显示信息验证配置的效果。

表1-2 keychain显示和维护

操作

命令

显示keychain信息

display keychain [ name keychain-name [ key key-id ] ]

 

1.4  典型配置举例

1.4.1  keychain配置举例

1. 组网需求

Switch A和Switch B之间建立OSPFv3邻居，使用keychain认证方式对发送和接收的报文进行校验。具体要求为：Switch A和Switch B的keychain中创建key 1和key 2，key 1的生命周期结束后，自动切换成key 2来对报文进行校验。

2. 组网图

图1-1 keychain配置组网图

 

3. 配置步骤

(1)     配置Switch A

# 配置接口的IPv6地址（略）。

# 配置OSPFv3基本功能。

<SwitchA> system-view

[SwitchA] ospfv3 1

[SwitchA-ospfv3-1] router-id 1.1.1.1

[SwitchA-ospfv3-1] quit

[SwitchA] interface vlan-interface 100

[SwitchA-Vlan-interface100] ospfv3 1 area 0

[SwitchA-Vlan-interface100] quit

# 配置名称为abc的keychain，并指定其工作于绝对时间模式。

[SwitchA] keychain abc mode absolute

# 在keychain abc中创建key 1和key 2，并配置其认证算法、认证密钥和生命周期。

[SwitchA-keychain-abc] key 1

[SwitchA-keychain-abc-key-1] authentication-algorithm hmac-sha-256

[SwitchA-keychain-abc-key-1] key-string plain 123456

[SwitchA-keychain-abc-key-1] send-lifetime utc 10:00:00 2015/02/06 to 11:00:00 2015/02/06

[SwitchA-keychain-abc-key-1]  accept-lifetime utc 10:00:00 2015/02/06 to 11:00:00 2015/02/06

[SwitchA-keychain-abc-key-1] quit

[SwitchA-keychain-abc] key 2

[SwitchA-keychain-abc-key-2] authentication-algorithm hmac-sha-256

[SwitchA-keychain-abc-key-2] key-string plain pwd123

[SwitchA-keychain-abc-key-2] send-lifetime utc 11:00:00 2015/02/06 to 12:00:00 2015/02/06

[SwitchA-keychain-abc-key-2] accept-lifetime utc 11:00:00 2015/02/06 to 12:00:00 2015/02/06

[SwitchA-keychain-abc-key-2] quit

[SwitchA-keychain-abc] quit

# 配置接口Vlan-interface 100使用keychain验证模式。

[SwitchA] interface vlan-interface 100

[SwitchA-Vlan-interface100] ospfv3 authentication-mode keychain abc

[SwitchA-Vlan-interface100] quit

(2)     配置Switch B

# 配置接口的IP地址（略）。

# 配置OSPFv3基本功能。

<SwitchB> system-view

[SwitchB] ospfv3 1

[SwitchB-ospfv3-1] router-id 2.2.2.2

[SwitchB-ospfv3-1] quit

[SwitchB] interface vlan-interface 100

[SwitchB-Vlan-interface100] ospfv3 1 area 0

[SwitchB-Vlan-interface100] quit

# 配置名称为abc的keychain，并指定其工作于绝对时间模式。

[SwitchB] keychain abc mode absolute

# 在keychain abc中创建key 1和key2，并配置其认证算法、认证密钥和生命周期。

[SwitchB-keychain-abc] key 1

[SwitchB-keychain-abc-key-1] authentication-algorithm hmac-sha-256

[SwitchB-keychain-abc-key-1] key-string plain 123456

[SwitchB-keychain-abc-key-1] send-lifetime utc 10:00:00 2015/02/06 to 11:00:00 2015/02/06

[SwitchB-keychain-abc-key-1] accept-lifetime utc 10:00:00 2015/02/06 to 11:00:00 2015/02/06

[SwitchB-keychain-abc-key-1] quit

[SwitchB-keychain-abc] key 2

[SwitchB-keychain-abc-key-2] authentication-algorithm hmac-sha-256

[SwitchB-keychain-abc-key-2] key-string plain pwd123

[SwitchB-keychain-abc-key-2] send-lifetime utc 11:00:00 2015/02/06 to 12:00:00 2015/02/06

[SwitchB-keychain-abc-key-2] accept-lifetime utc 11:00:00 2015/02/06 to 12:00:00 2015/02/06

[SwitchB-keychain-abc-key-2] quit

[SwitchB-keychain-abc] quit

# 配置接口Vlan-interface 100使用keychain验证模式。

[SwitchB] interface vlan-interface 100

[SwitchB-Vlan-interface100] ospfv3 authentication-mode keychain abc

[SwitchB-Vlan-interface100] quit

4. 验证配置

(1)     当系统时间处于2015/02/06的10:00:00到11:00:00时，通过查看以下信息来确认keychain的运行状态。

# 查看Switch A的keychain信息，发现key 1为有效key。

[SwitchA] display keychain

 

 Keychain name          : abc

   Mode                 : absolute

   Accept tolerance: 0

   Default send key ID  : None

   Active send key ID   : 1

   Active accept key IDs: 1

 

   Key ID               : 1

     Key string         : $c$3$dYTC8QeOKJkwFwP2k/rWL+1p6uMTw3MqNg==

     Algorithm          : hmac-sha-256

     Send lifetime      : 10:00:00 2015/02/06 to 11:00:00 2015/02/06

Send status        : Active

     Accept lifetime    : 10:00:00 2015/02/06 to 11:00:00 2015/02/06

Accept status      : Active

 

   Key ID               : 2

     Key string         : $c$3$7TSPbUxoP1ytOqkdcJ3K3x0BnXEWl4mOEw==

     Algorithm          : hmac-sha-256

     Send lifetime      : 11:00:00 2015/02/06 to 12:00:00 2015/02/06

     Send status        : Inactive

     Accept lifetime    : 11:00:00 2015/02/06 to 12:00:00 2015/02/06

     Accept status      : Inactive

# 查看SwitchB的keychain信息，发现key 1为有效key。

[SwitchB] display keychain

 

 Keychain name          : abc

   Mode                 : absolute

   Accept tolerance: 0

   Default send key ID  : None

   Active send key ID   : 1

   Active accept key IDs: 1

 

   Key ID               : 1

     Key string         : $c$3$/G/Shnh6heXWprlSQy/XDmftHa2JZJBSgg==

     Algorithm          : hmac-sha-256

     Send lifetime      : 10:00:00 2015/02/06 to 11:00:00 2015/02/06

Send status        : Active

     Accept lifetime    : 10:00:00 2015/02/06 to 11:00:00 2015/02/06

Accept status      : Active

 

   Key ID               : 2

     Key string         : $c$3$t4qHAw1hpZYN0JKIEpXPcMFMVT81u0hiOw==

     Algorithm          : hmac-sha-256

     Send lifetime      : 11:00:00 2015/02/06 to 12:00:00 2015/02/06

     Send status        : Inactive

     Accept lifetime    : 11:00:00 2015/02/06 to 12:00:00 2015/02/06

     Accept status      : Inactive

(2)     当系统时间处于2015/02/06的11:00:00到12:00:00时，通过查看以下信息来确认keychain的运行状态。

# 查看SwitchA的keychain信息，发现key 2为有效key。

[SwitchA] display keychain

 

 Keychain name          : abc

   Mode                 : absolute

   Accept tolerance: 0

   Default send key ID  : None

   Active send key ID   : 2

   Active accept key IDs: 2

 

   Key ID               : 1

     Key string         : $c$3$dYTC8QeOKJkwFwP2k/rWL+1p6uMTw3MqNg==

     Algorithm          : hmac-sha-256

     Send lifetime      : 10:00:00 2015/02/06 to 11:00:00 2015/02/06

     Send status        : Inactive

     Accept lifetime    : 10:00:00 2015/02/06 to 11:00:00 2015/02/06

     Accept status      : Inactive

 

   Key ID               : 2

     Key string         : $c$3$7TSPbUxoP1ytOqkdcJ3K3x0BnXEWl4mOEw==

     Algorithm          : hmac-sha-256

     Send lifetime      : 11:00:00 2015/02/06 to 12:00:00 2015/02/06

Send status        : Active

     Accept lifetime    : 11:00:00 2015/02/06 to 12:00:00 2015/02/06

Accept status      : Active

# 查看SwitchB的keychain信息，发现key 2为有效key。

[SwitchB] display keychain

 

 Keychain name          : abc

   Mode                 : absolute

   Accept tolerance: 0

   Default send key ID  : None

   Active send key ID   : 1

   Active accept key IDs: 1

 

   Key ID               : 1

     Key string         : $c$3$/G/Shnh6heXWprlSQy/XDmftHa2JZJBSgg==

     Algorithm          : hmac-sha-256

     Send lifetime      : 10:00:00 2015/02/06 to 11:00:00 2015/02/06

Send status        : Inactive

     Accept lifetime    : 10:00:00 2015/02/06 to 11:00:00 2015/02/06

Accept status      : Inactive

 

   Key ID               : 2

     Key string         : $c$3$t4qHAw1hpZYN0JKIEpXPcMFMVT81u0hiOw==

     Algorithm          : hmac-sha-256

     Send lifetime      : 11:00:00 2015/02/06 to 12:00:00 2015/02/06

Send status        : Active

     Accept lifetime    : 11:00:00 2015/02/06 to 12:00:00 2015/02/06

Accept status      : Active

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们