常用动态路由协议安全性分析总11页.docx

1、常用动态路由协议安全性分析总11页题 目 常用动态路由协议安全性分析 声 明本人郑重声明：所呈交的毕业论文，是本人在指导教师的指导下，独立进行研究所取得的成果。除文中已经注明引用的内容外，本论文不包含任何其他个人或集体已经发表或撰写过的科研成果，也不包含为获得其他教育机构的学位或证书而使用过的材料。我承诺，论文中的所有内容均真实、可信。本论文的成果属于云南警官学院所有。论文（设计）作者签名： 李世悦2016年6 月15 日 常用动态路由协议安全性分析 计算机科学专业与技术学生：李世悦 指导老师：王铁【摘 要】：动态路由协议的应用越来越广泛。针对路由协议的攻击在实际应用中经常发生，所以路由协议的

2、安全性备受关注，而在生活中，为了保护网络安全而选择适合的路由协议是非常有必要的。本文分析了路由协议安全性原理并解析了路由协议的实际应用，以指导人们选择适合的路由协议，达到保护网络安全的目的。 【关键字】：动态路由协议，安全性，路由器【abstract】:Router;Dynamic Routing Protocol;Router【keywords】:The application of dynamic routing protocol is increasingly wider and wider. As a result, the attack on dynamic routing prot

3、ocols occurs constantly, so there is much focus on the safety of this protocol. In life, it is necessary for people to chose proper protocols to protect network security. This paper is going to analyze the principles that secure the safety of dynamic routing protocols and the practical use of these

4、protocols, to help people chose the proper protocols in their life and protect network security. 第一章选题原因在二十一世纪信息已经成为重要的开发性资源，随着计算机网络的不断发展，路由技术在网络中变为至关重要，路由器也成为重要的网络设备，用户的需求推动着路由技术的发展。所以，研究网络，解决网络发展中的重要问题是计算机科学与技术科学的重要任务。本论文研究常用动态路由协议安全性。以直观，简洁，方便的形式展现，让人们更好的了解网络。近几年来，人们都在广泛运用计算机技术。计算机网络对人们的生活，工作和学习产

5、生着重要影响，在网络发达的时代，掌握网络，安全的使用计算机能带给人们无限的好处。 网络时代的到来给教育带来了前景。通过研究网络技术使我们不断进步。跟上时代发展的脚步。第二章路由器 2.1路由器的概念路由器又称路径器，它是计算机网络设备的一种，它将各种各样的数据传送至目的地这个过程就称为路由。路由器就是连接两个以上各别网络的设备，路由工作是在网络层。路由器是连接因特网中各局域网、广域网的设备，它是根据信道的情况自动选择和设定路由，以最佳的路径按照前后顺序发送信号。 路由器是互联网络的枢纽。目前各个行业已经广泛应用路由器，各种不同档次的产品已成为实现各种骨干网内部连接、骨干网间互联和骨干网与互联网

6、互联互通业务的关键。路由器依靠转发网络层数据包来实现网络互联。路由器首先在接口上按照物理层协议得到比特流，然后按照数据链路层协议成帧，在数据帧中得到网络层包后根据网络层地址以及路由信息来转发数据包。发送数据包则需要根据发送端口链路层协议成帧，然后根据发送端口物理层协议将比特流流出，路由器的路由信息可以通过手工输入或者通过运行路由协议从相邻路由器获取。 图2.1路由器2.2路由器的作用和功能2.2.1连通不同的网络换个角度来分析，拿过滤网络流量来说，路由器的功能和交换机与网桥较相似。路由器主要用于互联局域网和广域网、实现不同网络间的通信。而路由器与工作在网络物理层从物理上划分网段的交换机不一样，

7、路由器对网络进行划分主要是使用专门的软件协议从逻辑上进行操作。例如，可以把网络划分成多个子网段的支持IP协议的路由器，可以通过路由器的只有指向特殊IP地址的网络流量。对于每一个接收到的数据包，他们的校验值都会被路由器重新计算，并且写入新的物理地址。所以，使用路由器转发和过滤数据的速度通常要慢于仅仅查看数据包物理地址的交换机。然而，就部分结构复杂的网络来说，使用路由器可以扩大网络的整体效率。自动过滤网络广播是路由器的另外一个显著优势。总的来说，即插即用的交换机要比在网络中添加路由器的整个安装过程要容易很多。2.2.2选择信息传送的线路部分路由器只支持单一协议，但是大部分路由器能够支持多种协议的传

8、输，也就是多协议路由器。因为每一种协议都有自己单独的规则，所以降低路由器的性能的原因之一就有在一个路由器中完成多种协议的算法。为经过路由器的每个数据帧找寻一条最佳传输路径是路由器的主要工作，并将该数据有效地传送到目的站点。所以，路由器算法的关键在于选择最佳路径的策略。为了完成这项工作，在路由器中存在者很多数据是关于传输路径的即路径表，它是用来供路由选择使用。子网的标志信息、网上路由器的个数和下一个路由器的名字等内容保存在路径表中。路径表可以从以下几方面操作：1、是由系统管理员固定设置；2、由系统动态修改；3、由路由器自动调整；4、由主机控制。静态路径表是由系统管理员事先设置好固定的路径表，通常

9、是在系统安装时就根据网络的配置情况预先设定的，静态路径表不会因为未来网络结构的变化而改变。动态路径表是路由器根据网络系统的运行情况而自动调整的路径表。依据路由选择协议提供的功能，路由器能自动学习和记忆网络运行的情况。第三章动态路由概述 把数据从一个地方传送到另外一个地方的这个过程称为路由。动态路由是指网络中的路由器相互之间的通信，传递路由信息和利用收到的路由信息然后再更新路由表的过程。这个过程它能够快速，准确地适应网络结构的变化。动态路由要基于某种路由协议实现。假如路由更新信息一旦表明发生了相关的网络变化，路由选择软件就会重新计算路由，并且随之发出新的路由更新信息。这些信息就会通过各个网络使得

10、各路由器重新启动其路由算法，然后更新各自的路由表。动态地反映网络拓扑变化。网络规模大、网络拓扑复杂的网络比较合适使用动态路由。各种各样的动态路由协议会对网络带宽和CPU资源产生不同程度的占用。可以自动建立自己路由表并且能够依据实际情况的变化适当地进行整改的即动态路由。动态路由器上的路由表项交换彼此的信息是通过路由器之间的相互连接进行的，接下来按照一定的算法优化出来；为了应对反复变化的网络，路由信息必须在时间间隙里不断更新、变化，以此来随时获得最佳的寻路效果。 常用的动态路由协议有RIP,OSPF,BGP。RIP，OSPF运行在自治系统内称为域内路由协议。而BGP路由协议运行在自治系统间第四章R

11、IP OSPF BGP-4三个协议使用情况 4.1路由信息协议RIP4.1.1路由信息协议概述 路由信息协议（RIP）是一种内部网关协议。它是一种最著名，历史最悠久的内部网关协议动态路由协议。并且还属于距离向量协议。路由信息协议是由施乐公司在PUB和XNS路由协议基础上发展而来的。路由信息协议最早就是由施乐研究出来的。后来因为加州大学在许多局域网上采用了RIP协议，路由信息协议在UNIX上也得到了普遍实现。这样一来就推动了路由信息的广泛应用。对路由信息的推广起到了非常大的促进作用。虽然路由信息协议最早为局域网设计，但是现在路由信息协议已经被应用到城域网甚至广域网中。所以说现在路由信息协议的应用

12、范围已经不仅仅局限在局域网，路由信息协议是因特网协议的重要组成部分，它是一种简单的路由协议。并且在英特网中最早得到了广泛的应用。路由信息协议是链路状态的路由议，它被设计为用于单一自治系统的内部。而每一个路由器都维护一个描述自治系统拓扑的相同数据库。而最短路径树计算路由的方法就是路由器根据上述描述拓扑的数据库构造。 路由信息协议在1986年被IETE标准化为RFC1058。该协议是开放标准，适用于小网络内部网关协议。4.1.2路由信息协议RIP工作原理 运行路由信息协议的路由器定期的将路由表发送给相邻的路由器，路由器在收到相邻路由器发送的路由表之后就将每个路由的距离加1然后和自身路由表中的信息进

13、行对比，如果得到的距离大于和等于自身路由表中路由的距离则忽略收到的路由最后再刷新该路由条目，如果得到的距离小于自身路由表中路由的距离或者自身路由表中没有所比较的路由的话就将收到的路由信息写入路由表，距离为原距离增加1且下一跳为发送该路由信息的路由器，当距离为16时认为路由不可达，运行RIP的网络规模有限，路径最长距离为15.路由器定期清除长时间未刷新过的路由条目以防止某路由器死机后产生的路由黑洞。网络中所有运行RIP的路由器不了解整个网络中的拓扑结构，简单的相信能从某一个相邻路由器然后经过某一个特定距离能够到达目标网络。 4.2OSPF协议4.2.1OSPF协议概述OSPF是一个内部网关协议，

14、它是对链路状态路由协议的一种实现运作于自治系统的内部。随着当今科学技术的快速进步和网络规模的不断壮大，距离向量协议的各种缺陷随之凸显。所以进行了链路状态协议的尝试，链路就是指路由器之间的链接，而状态就是指路由器之间连接的时延，可用性和带宽等属性。和其它大多数路由协议不同的是OSPF协议不依赖于传输层协议提供数据传输，错误检查和恢复服务，数据包直接封装在网关协议内传输。OSPF最初是在RFC1131中被规范，之后很快的就被RFC1247替代了，RFC2178和RFC2328制定出来了之后，OSPF也得到了进一步的完善，目前RFC2328是被广泛实现的最新版本。OSPF协议被设计使用在单一的自治系

15、统内部，它是链路状态的路由协议。描述自治系统拓扑的相同数据库都被每一个路由器来维护；OSPF不能被用作为其它协议的路由。OSPF协议专门为IP所设计。OSPF协议使用IP数据包头中的IP地址来计算路径。另外OSPF消息不需要UDP或TCP等传输层协议承载，都直接在IP包中直接发送。相同开销的多条路径可以得到OSPF的支持，同时OSPF也支持将自治系统划分区域通过分层管理来减少路由协议带宽开销，此外OSPF协议还支持认证。4.2.2OSPF协议主要优点1、OSPF是真正的LOOP- FREE路由协议。源自其算法链路状态及最短路径树算法的优点。2、OSPF的收敛速度快，它将路由变化传递到整个自治系

16、统的所用时间非常短。3、由于区域划分概念的提出。自治系统被划分为不同区域后，通过区域之间对路由信息的摘要，从而减少了需传递的路由信息数量。同时也保证了路由信息不会因为网络规模的扩大而产生急剧膨胀。4、由于NSSA区域的概念被提出，从而使得NSSA区域内不再传播引入的ASE路由。5、在区域边界路由器（ABR）上支持路由聚合，能够大大减少了区域间的路由信息传递。6、OSPF通过严格的划分得出了路由的四个级别，为路由选择提供了可信的保障。7、OSPF支持基于接口的明文及MD5的验证，它具有良好的安全性。8、OSPF能够适应于各种各样规模的网络，最多甚至可以达到数千台。 4.3BGP-4协议4.3.1

17、BGP-4协议概述 BGP是运行在自治系统之间的路由协议，自治系统内部的路由选择由域内路由协议决定，自治系统之间以自治系统为单位路径的路径则由BGP决定，BGP运行在TCP之上，这一点与OSPF,ISIS,RIP都不同。BGP由外部网关协议发展而来 BGP在1989年标准化成BGP-1，到1993年定型称为BGP-4.BGP-4是目前最广泛使用的BGP版本。能够设计处理因特网的大小的协议只有BGP一种协议。同时BGP协议也是唯一一种能够妥善处理好非路由主机多路连接的协议。这个过程是通过 EGP 来实现的。和其他的 BGP 系统交换网络可达信息是BGP交互系统最主要的功能。可达信息经过的自治系统

18、（AS）清单上的信息能够有效地构造 AS 互联的图像并由此清除路由环路，同时在 AS 级别上实施了策略决策。BGP-4 为支持无类域间路由提供了一套新的机制。支持网络前缀的广播、取消BGP网络中“类”的概念都属于这些机制。同时BGP-4 还引入机制支持路由聚合，包括 AS 路径的聚合。这些改变为建议的超网方案提供了支持。第五章安全性分析5.1RIP协议安全性分析网络中路由器之间的相互通信、传递路由信息和利用收到的路由信息更新路由表的过程就称之为动态路由协议。动态路由协议它是一个过程。它能够及时的适应网络结构的变化。常用的动态路由协议主要有：RIP V2协议、OSPF协议、BGP协议。5.1.1

19、RIP协议的优缺点：RIP协议最合适用于小规模网络，它配置简单。RIP协议的缺点包括:1大量广播：RIP每隔30秒就会向所有邻居广播一次完整的路由表,这样一来就会占用宝贵的带宽资源,如果广域网链路较慢就会出现很多问题2RIP缺乏成本概念：网络延迟和链路成本的概念在RIP中没有体现当采用RIP时,路由/转发只是由跳线决定,所以往往很容易导致无法选择出最佳路由例如,一条链路拥有较高的带宽,但是由于跳数较多,从而导致难以选择3RIP支持的网络规模有限:RIP只能适用于规模较少的网络因为RIP协议最多只能支持16个步跳,一旦超过16个步跳时,网络将认为无法到达。5.1.2RIP V2的应用 RIP协议

20、有着简单、可靠，便于配置的优点。它是一种使用广泛的内部网关协议。不足的是RIP只适用于小型的同构网络，其它的网络就不能适用。由于RIP协议允许的最大站点数是15，所以只要超过15个站点的目的地都不会被标记。造成网络的广播风暴的主要原因之一也就是每隔30秒一次的路由信息广播。5.1.3RIP V2的安全性分析RIP V2协议模拟攻击过程：由于RIP协议是通过UDP协议固定端口520-vrouter.ip.address.2来扫描520端口，从而来确认该网络是否使用RIP协议，然后通过sniffer来嗅探路由更新包，然后可以篡改路由更新包从而改变路由信息，这样就可以让原先的路由协议失效。RIP V

21、2和RIP V1都是使用UDP协议进行传输，UDP协议不可靠。但RIPV2提供两种认证机制。一种是明文认证机制另一种是密文认证机制。明文机制和密文机制相比较由于明文机制更容易被嗅探到，所以通常采用密文加密。RIP协议加密是采用通用的MD5认证，加密的同时使用的是RFC1723标准的报文格式。RIP密文认证过程：R1能接受R2发送过来的路由，否则就不能接受R2发送过来的路由。RIP的认证是单向的，由于RIP密文认证过程发送的报文都是经过MD5加密，因此不会被破解，从而起到了保护作用，而那些由于没有认证过的路由器发送过来的路由信息就会被丢弃掉，这样就可以防止路由信息通过被篡改过的报文而被更新。而且

22、所有起用RIP协议的路由器必须配置相同的密码才能进行路由更新，这样使路由器起用RIP协议时避免受到攻击。 5.2OSPF协议的安全性分析5.2.1 OSPF协议的应用：OSPF是当前应用最广泛的内部网关路由协议（Interior Gateway Protocol，IGP），主要提供自治系统（Autonomous System，AS）内的动态选择路由。OSPF的三个内建安全机制对于OSPF协议的安全运行是极其重要的。以下是 OSPF的三个内建安全机制：1可靠泛洪和OSPF自反击：OSPF通过泛洪来进行链路状态通告的传播，通过一种类似TCP的确认重传机制OSPF保证所进行的泛洪是可靠的，可靠泛洪机

23、制确保同一区域内的路由器有同样的拓扑数据库。OSPF自反击是一种防止攻击OSPF的有效机制，它将使攻击者费尽心机伪造的LSA很难真正达到被其它路由器利用从而影响路由选择的实效。 2 层次路由和信息隐藏：层次路由机制的设计是为了解决路由的可扩展性问题，即减少路由表大小、带宽、路由计算的资源，增强稳定性等等，使OSPF更安全。OSPF通过将区域划分为骨干区和非骨干区的方式使得OSPF成为一个基于两个层次的路由协议在进行通告的时候，可以设置相应的策略不通告或只通告汇聚的路由信息等方式隐藏要被通告的区域中的某些重要的信息。3 程序性检验及约束：OSPF报文的接收要经过严格的检验过程，分三个阶段：IP头

24、、OSPF协议包头和OSPF具体协议报文头的检验。OSPF报文的这种常规性检验是必要的，它可以减少协议运行的错误，并增加了攻击的难度。5.2.2 OSPF安全性分析： OSPF整个运行机制相对比较复杂，其运行过程中的很多环节都有可能被攻击者开发为对OSPF的攻击，造成不同程度的危害，主要以下3种攻击方式： 1利用Hello报文的攻击：OSPF路由器定期向外发送Hello报文，用以发现邻居和维护邻接节点关系。Hello报文中的区域ID、Hello间隔等参数错误，会使该Hello报文被邻居路由器丢弃，造成邻居Down，直接在链路上阻绝Hello报文当然也可以造成这种危害。如果OSPF没有进行加密或

25、者攻击者攻破了OSPF的验证体系，攻击者就可以修改报文中的某些参数来达到攻击的效果。 2 利用Update报文的攻击：为修改LSA参数，使OSPF朝着利于攻击者的方向运转，攻击者必须能成功的注入虚假LSA。因此攻击者必须能够侵入或者假扮成一个OSPF路由器来和其它的路由器达到Exchange或者更高的状态，以使两者间可以传送LSA，而且此时攻击者显然必须至少占有一条链路的密钥或者该链路根本就不需要验证。然后，攻击者就可以通过注入虚假LSA来达到攻击的目的了，例如不间断的发送大量Maxage的LSA进行Maxage攻击等，这些攻击方式都很可能造成OSPF路由域的混乱。攻击者还可以通过修改LSA的

26、花费、链路描述等信息来诱使OSPF路由器计算出错误的路由，导致信息被传送至不安全的网络。 3 资源消耗攻击：通过不间断的大量发送各种类型的OSPF报文，很可能造成被攻击实体的资源耗竭，而无法正常工作。例如向OSPF的邻居发送包含过长邻居列表的超大Hello报文，邻居路由器将需为邻居列表上的每个邻居创建邻居结构，而消耗大量的资源，使资源枯竭。 OSPF路由协议并不足够安全，因此建议对OSPF采用积极的主动防护和检测机制来保证其安全。 1验证：验证是OSPF保护的第一环，因此对OSPF路由域内的所有OSPF路由器都采用有效的加密认证机制是非常必要的，尽管我们仍需开发更安全有效的加密认证机制。2入侵

27、检测系统：设计适当的入侵检测系统也是很有帮助的，它可以帮助发现很多针对OSPF的攻击为对OSPF的攻击往往会因为OSPF的自反击机制在路由域中产生很多的冲突信息。 首先是路由器层面，我们需保证操作系统的安全，路由器上其它所有协议的安全，路由器的物理安全等。 其次是路由域层面，这需要考虑所有边缘接入实体和所有链路的安全。 最后我们要强调的是人的层面，应更多地对网络进行监控和取证，积极立法，保护网络安全运行。5.2.3OSPF协议主要缺点如下:OSPF配置相对复杂由于网络区域划分和网络属性的复杂性,需要网络分析员有较高的网络知识水平才能配置和管理OSPF网络路由负载均衡能力较弱OSPF虽然能根据接

28、口的速率连接可靠性等信息,自动生成接口路由优先级,但在通往同一目的的不同优先级路由中,OSPF只选择优先级较高的转发,不同优先级的路由中,不能实现负载分担只有相同优先级的,才能达到负载均衡的目的,不像EIGRP那样可以根据优先级不同,自动匹配流量5.3BGP-4协议的安全性分析5.3.1BGP协议的应用：在BGP网络中，可以将一根网络分成多个自治系统。自治系统间使用eBGP广播路由，自制系统内使用iBGP在自己的网络内广播路由。BGP的作用主要是在自治系统间自动交换无环路的路由信息，通过交换带有自治系统号（AS）序列属性的路径可达信息，来构造自治区域的拓扑图，从而消除路由环路并且实施用户配置的

29、路由策略。5.3.2BGP协议的安全性分析： Internet由多个互相连接的商业网络组成。每个企业网络或ISP必须定义一个自治系统号（ASN）。这些系统号由IANA分配。共有65535个可用的自治系统号，其中65512-65535为私用保留。当共享路由信息时，这个号码也允许以层的方式进行维护。BGP使用可靠的会话管理，TCP中的179端口用于触发update和Keepalive信息到它的邻居，以传播和更新BGP路由表。但是，由于BGP使用了TCP的传输方式，它就会使BGP引起不少关于TCP方面的问题，如SYN Flood攻击，序列号预测，一般拒绝服务攻击等。BGP没有使用它们自身的序列而依靠

30、TCP的序列号来代替，因此，如果设备采用了可预测序列号方案的话，就存在这种类型的攻击。幸好，运行在Internet上大部分重要的路由器使用了Cisco设备，而其是没有使用预测序列号方案。部分BGP的实现默认情况下没有使用任何的认证机制，而有些可能存在和RIP同样问题的就是使用了明文密码，将导致被攻击的可能性增大。BGP协议在实际应用中还会受到类似OSPF协议一样的伪造报文攻击等，但BGP协议一般都是应用在核心网的出口并且配置密码认证，BGP协议的认证只有密文认证，安全性相对较好。由于BGP使用了TCP的传输方式，它就会使BGP引起不少关于TCP方面的问题，如很普遍的SYN Flood攻击，序列

31、号预测，一般拒绝服务攻击等。BGP没有使用它们自身的序列而依靠TCP的序列号来代替，因此，如果设备采用了可预测序列号方案的话，就存在这种类型的攻击，幸好的是，运行在Internet上大部分重要的路由器使用了Cisco设备，而其是没有使用可预测序列号方案。部分BGP的实现默认情况下没有使用任何的认证机制，而有些可能存在和RIP同样的问题就是使用了明文密码。这样假如认证方案不够强壮的话，攻击者发送UPDATE信息来修改路由表的远程攻击的机会就会增加许多，导致进一步的破坏扩大。BGP也可以传播伪造的路由信息，如果攻击者能够从一协议如RIP中修改或者插入路由信息并由BGP重新分配。这个缺陷是存在与信任

32、模块中而不是其BGP路由协议本身。另外BGP的community 配置也会有某些类型的攻击，原因是community name在某些情况下是作为信任token(标志)可以被获得。至于通过通过BGP的下层协议（TCP）对其攻击看来是比较困难的，因为会话在点对点之间是通过一条单独的物理线路进行通信的，但在一定环境如在两AS系统通过交换机来连接则可能存在TCP插入的攻击，在这样的网络中，攻击者在同一VLAN或者他有能力嗅探switch的通信(如使用dsniff工具通过ARP欺骗来获得），监视TCP序列号，插入修改的信息包或者使用工具如hunt的进行hijack连接而获得成功，但这种类型的攻击一般只能在实验室环境中演示比较容易，而在实际的网络中因为太过复杂而很难成功。第六章总结常用动态路由协议在应用时均存在安全隐患。因此，在使用时应该采取有效方式进行解决。通常采用建立实用认证机制方式，可以降低存在风险，但是因为路由协议认证方式存在差