Autenticación de vecinos en OSPF, EIGRP y BGP

OSPFv2 define tres formas de autenticación: ninguna, una contraseña en texto simple y una criptográfica. La contraseña en texto simple viaja dentro del paquete tal como está: quien pueda ver el tráfico de ese enlace la lee, y quien la lea puede presentarse como vecino. Sirve contra un descuido, como conectar un router a otro segmento por error, pero no contra alguien que mire el cable.

La autenticación criptográfica no envía la clave: envía un resumen calculado con ella sobre el mensaje, de modo que ni se lee la clave ni se puede fabricar un mensaje válido sin conocerla. Hay variantes con distintos algoritmos, y las más modernas usan la familia SHA en lugar de MD5.

La tabla autenticacion lista las sesiones con su mecanismo. El valor «ninguna» significa que el router acepta mensajes de enrutamiento de quien le hable por esa interfaz, sin pedirle nada. En una sesión interna eso parece inofensivo porque «allí solo hay equipos nuestros», pero basta un puerto mal asignado o un equipo comprometido en ese segmento para que alguien inyecte rutas.

Entre «ninguna» y una autenticación criptográfica hay un escalón intermedio, que es el que más se deja puesto por inercia: la contraseña en texto simple. Al revisar un inventario conviene separar las tres categorías, porque el plan de corrección es distinto: a la primera hay que ponerle protección y a la segunda cambiarle el mecanismo.

Una clave compartida entre dos routers la conocen las personas que la configuraron, los respaldos donde quedó y a veces un documento de traspaso. Cuanto más tiempo pasa sin rotarse, más lugares y más personas la han visto, incluidas las que ya no trabajan allí. No hay un plazo universal: lo fija la política de la empresa, y lo que se revisa es que exista y se cumpla.

Consulta autenticacion: entre las sesiones que sí tienen clave, hay una cuya última rotación es la más antigua de todas.

Las sesiones BGP corren sobre TCP, y la protección clásica es la opción MD5 de TCP (RFC 2385). La opción de autenticación de TCP, TCP-AO (RFC 5925), la sustituye de manera formal: admite algoritmos más modernos y permite cambiar de clave durante la conexión, lo que facilita rotarlas sin tirar la sesión.

Eso no vuelve inútil lo que ya existe. Una sesión con MD5 de TCP sigue siendo mucho mejor que una sin nada, y el orden de corrección debe reflejarlo.