区域认证保护的是什么
OSPF 默认不做任何身份校验，任何接入网段、能发出 OSPF 报文的设备都能建立邻居、参与路由计算，甚至宣告错误路由把流量引走。区域认证给整个区域加一道口令：区域内所有路由器必须使用相同的认证模式与密钥，报文校验不通过就丢弃，邻居建不起来。它的好处是密钥按区域配一次，区域内所有接口自动生效，不必逐接口重复配置。
基本信息
| 适用平台 | 全部支持 OSPF 的三层设备（华为 VRP、思科 IOS、H3C Comware） |
|---|---|
| 认证模式 | 简单口令（simple，明文）/ MD5，高版本另支持 HMAC-SHA256 |
| 生效范围 | 整个区域的接口；接口级认证优先于区域级认证 |
| 权限要求 | system-view / OSPF 进程视图 |
| 变更影响 | 认证参数改动会中断现有邻接，需在窗口内操作 |
典型使用场景
- 园区汇聚区域加固：防止接入层私接设备发出 OSPF 报文污染路由
- 多厂商对接：先统一认证模式与 key-id，再核对密钥内容一致
- 安全整改：把历史遗留的无认证区域逐步加上 MD5 或 SHA 认证
- 故障复盘：邻居卡在 Init 或 2-Way 时，认证不匹配是首要怀疑对象
- 与第三方设备互连：确认对端支持的认证模式，避免只支持简单口令的旧设备无法对接
华为 VRP
华为 VRP
[Huawei] ospf 1
[Huawei-ospf-1] area 0
[Huawei-ospf-1-area-0.0.0.0] authentication-mode md5 1 cipher Huawei@123
! 简单口令模式：authentication-mode simple cipher Huawei@123
! key-id 必须与对端一致，否则校验失败
<Huawei> display ospf interface | include authentication # 核对生效模式思科 IOS
思科 IOS
SW-CORE-01(config)# router ospf 1
SW-CORE-01(config-router)# area 0 authentication message-digest # 第一步：区域声明模式
SW-CORE-01(config)# interface GigabitEthernet0/1
SW-CORE-01(config-if)# ip ospf message-digest-key 1 md5 Cisco@123 # 第二步：接口放密钥
! 简单口令：area 0 authentication + ip ospf authentication-key 密钥H3C Comware
H3C Comware
[H3C] ospf 1
[H3C-ospf-1] area 0
[H3C-ospf-1-area-0.0.0.0] authentication-mode md5 1 cipher H3C@123
! 简单口令：authentication-mode simple cipher H3C@123认证模式对照
| 模式 | 报文中的密钥形态 | 安全性 | 适用建议 |
|---|---|---|---|
| simple（简单口令） | 明文随报文传输 | 低，抓包可直接还原 | 仅在完全可信的实验室或旧设备兼容场景使用 |
| MD5（key-id + 密钥） | 摘要值，不传明文密钥 | 中高，长期广泛使用 | 现有网络的稳妥选择，key-id 需两端一致 |
| HMAC-SHA256 | 摘要值，算法强度更高 | 高 | 高版本设备推荐，需两端同时支持 |
思科要配两段：区域里声明认证模式，接口上放具体密钥，缺一段邻居就建不起来；华为与 H3C 在区域视图一次配完密钥。改认证等于改邻居成立条件，务必两端同窗口修改并预留 Console。