OSPF 接口认证配置
接口认证只作用于单个接口，优先级高于区域认证，适合「同区域内只有部分链路需要认证」或跨厂商对接时逐链路使用不同密钥的场景。链路两端必须模式、密钥、Key ID 完全一致，任何一项不同邻居都建不起来，而且卡在哪个状态能直接指认问题类型。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware |
|---|---|
| 华为与 H3C 命令 | 接口下 ospf authentication-mode md5 KeyID cipher 口令 |
| 思科命令 | 接口下 ip ospf authentication message-digest 加 ip ospf message-digest-key KeyID md5 口令 |
| 明文方式 | 华为与 H3C 用 simple，思科用 ip ospf authentication-key |
| 一致性要求 | 模式、密钥、Key ID 三项两端必须完全相同 |
认证配置位置与优先级
| 位置 | 作用范围 | 优先级 |
|---|---|---|
| 接口认证 | 仅该接口 | 高于区域认证 |
| 区域认证 | 该区域内所有接口 | 接口未单独配置认证时生效 |
| 虚链路认证 | 仅虚链路 | 单独配置，独立于物理接口 |
| 进程级配置 | 作为全局默认参考 | 生效与否按平台版本确认 |
认证不一致的表现
| 不一致项 | 邻居状态 | 处理 |
|---|---|---|
| 一端有认证、一端没有 | 卡在 Init | 两端补齐相同认证配置 |
| 模式不一致（明文与 MD5） | 卡在 Init | 统一为同一种认证模式 |
| 密钥不同 | 卡在 Init 或反复重建 | 核对并统一密钥 |
| Key ID 不同 | 协商失败，日志可见认证错误 | 统一 Key ID，注意滚动变更的顺序 |
典型使用场景
- 同区域内只有部分链路需要认证，避免影响其他邻居
- 跨厂商对接：逐链路使用不同厂商支持的认证模式与密钥
- 安全整改要求路由协议报文不可被伪造，逐接口开启认证
- 密钥滚动变更：新增 Key ID 后逐步切换，避免业务中断
- 排查邻居异常：先确认两端认证配置是否完全一致
华为 VRP 与 H3C Comware
华为 VRP 与 H3C Comware
interface GigabitEthernet0/0/1
ospf authentication-mode md5 1 cipher Huawei@123 # 华为
display ospf interface GigabitEthernet0/0/1 # 核对认证模式
interface GigabitEthernet1/0/1
ospf authentication-mode md5 1 cipher H3C@123 # H3C：语法一致思科 IOS
思科 IOS
interface GigabitEthernet0/1
ip ospf authentication message-digest # 先声明使用摘要认证
ip ospf message-digest-key 1 md5 Cisco@123 # Key ID 1 与密钥
show ip ospf interface GigabitEthernet0/1 # 查看认证类型
show ip ospf neighbor # 确认邻居状态排查口诀：一端有认证一端没有、或模式不一致，邻居卡在 Init；密钥或 Key ID 不一致时邻居可能反复重建。display ospf error 与日志里的认证失败计数能快速指向这一类问题。
在运行中的链路上切换认证方式会造成邻居重建与路由波动。稳妥做法是两端同时变更并放在维护窗口，改完立刻核对邻居状态与路由表，确认恢复后再收工。