Users Guide

默认路由
您可以生成外部默认路由并将默认信息分发至 OSPFv3 路由域。
● 在 OSPFv3 模式下使用 default-information originate [always] 命令生成默认路由。
配置默认路由
OS10(config)# router ospfv3 100
OS10(config-router-ospf-100)# default-information originate always
查看默认路由配置
OS10(config-router-ospf-100)# show configuration
!
router ospfv3 100
default-information originate always
OSPFv3 IPsec 身份验证和加密
与 OSPFv2 不同，OSPFv3 在其协议标头中没有身份验证字段来提供安全性。为了提供身份验证和机密性，OSPFv3 使用 IP 安
全 (IPsec) — 一组用于对数据包进行身份验证和加密的安全协议。OS10 OSPFv3 使用 IPv6 身份验证标头 (AH) 或 IPv6 封装安
全有效负载 (ESP) 来支持 IPsec。
● AH 身份验证会验证数据在传输过程中不会更改，并确保用户与预期的个人或组织进行通信。在 IP 标头之后插入身份验证标
头，其值为 51。支持 MD5 和 SHA1 身份验证类型；支持加密和未加密密钥。
● ESP 加密可封装数据，从而实现数据报中遵循的数据保护。在 IP 标头之后和下一个层协议标头之前已插入 ESP 扩展名标
头。支持 3DES、DES、AES-CBC 和 NULL 加密算法；支持加密和未加密密钥。
在物理、端口通道或 VLAN 接口上或在 OSPFv3 区域中应用 IPsec 身份验证或加密。每个配置包含一个安全策略索引 (SPI) 和
OSPFv3 数据包验证密钥。配置 OSPFv3 的 IPsec 协议后，IPsec 操作对用户不可见。
您一次只能在一个接口或某个区域上启用一种身份验证或加密安全协议。使用 ipv6 ospf authentication 命令启用 IPsec
AH；使用 ipv6 ospf encryption 命令启用 IPsec ESP。
● 默认情况下，将在该区域中的所有接口上继承为区域配置的安全策略。
● 在接口上配置的安全策略将覆盖为其分配接口的区域的任何区域级别配置的安全性。
● 已配置的身份验证或加密策略适用于在接口或区域中传输的所有 OSPFv3 数据包。OSPFv3 接口上的入站和出站流量中的
IPsec 安全关联相同。
● 由于标头包含具有可变长度的字段，因此没有最大 AH 或 ESP 标头长度。
在接口上配置 IPsec 身份验证
前提条件：在 OSPFv3 接口上启用 IPsec 身份验证之前，必须在全局范围内启用 IPv6 单播路由、启用接口上的 OSPFv3，并将
其分配给某个区域。
对于路由器上的一个 IPsec 身份验证或加密安全策略，SPI 值必须是唯一的。您不能在另一个接口上配置相同的 SPI 值，即使它
使用相同的身份验证或加密算法也是如此。
您不能在接口上同时使用 IPsec MD5 或 SHA1 身份验证类型和 null 设置。这些设置相互排斥。
● 在接口模式下为 OSPFv3 数据包启用 IPsec 身份验证。
ipv6 ospf authentication {null | ipsec spi number {MD5 | SHA1} key}
○ null — 禁止在接口上继承为区域配置的身份验证策略。只有在配置 IPsec 区域身份验证时，才能使用此参数。
○ ipsec spi number — 输入一个唯一的安全策略索引 (SPI) 值，从 256 到 4294967295。
○ md5 — 启用消息摘要 5 (MD5) 身份验证。
○ sha1 — 启用安全哈希算法 1 (SHA-1) 身份验证。
○ key — 输入在验证类型中使用的文本字符串。所有邻接的 OSPFv3 路由器必须共享密钥以交换信息。仅支持非加密密
钥。对于 MD5 身份验证，非加密的密钥必须是 32 位明文十六进制数字。对于 SHA-1 身份验证，非加密密钥必须是 40
位十六进制数字。不支持加密密钥。
要删除 IPsec 身份验证策略，请使用 no ipv6 ospf authentication ipsec spi number 或 no ipv6 ospf
authentication null 命令。
第
3 储 631