Autenticao IPSec/OSPFv3 no Roteamento IPv6

Ol Pessoal.

No Lab05 do livro "Laboratrios de Tecnologias Cisco" explicado ao leitor o processo bsico

de configurao de roteamento em IPv6 atravs dos principais protocolos de roteamento
dinmico.Quando se comea a estudar o IPv6 conceitualmente, uma das primeiras lies ensinadas
aos alunos diz respeito s vantagens do IPv6 em relao ao IPv4 - que so vrias:

Espao quase "ilimitado" de endereos;

Possui cabealho simplificado e de tamanho fixo (40 bytes);
Processamento simplificado nos roteadores;
Existe uma poltica internacional de agregao de prefixos;
Possui segurana nativa com o IPSec;
Suporte a mobilidade com o MIPv6
Dispensa a adoo de NAT;

Quando fao essa apresentao em sala de aula, uma primeira confuso muito comum que observo
e tenho que corrigir est relacionada afirmao de que "IPv6 possui segurana nativa com
oIPSec". A maioria dos alunos pressupe equivocadamente que todo o trfego v6 sempre
criptografado automaticamente sem nenhum interveno ou configurao do administrador. Essa
idia ERRADA!

O fato do IPv6 possuir segurana nativa quer dizer que agora a soluo de segurana IPSec faz
parte da sute de protocolos da arquitetura TCP/IPv6. Ou seja, se uma "caixa" qualquer tem suporte
a IPv6, ento nativamente ela deve ter suporte ao IPSec. Dessa forma o IPSec uma soluo de
segurana embutida em dispositivos que suportam IPv6, diferente do que ocorre com dispositivos
IPv4 em que o profissional de redes tem que estar atento se existe suporte ao IPSec.

No entanto, o IPSec estar embutido nos dispositivos no quer dizer que a soluo de segurana
auto-configurada. As principais solues de segurana, a exemplo de autenticao e criptografia,
devero ser manualmente configuradas pelo administrador.

Uma vez que o IPSec agora nativo no IPv6, ento as solues independentes de segurana que
os protocolos de roteamento dinmico utilizavam com IPv4 foram removidas das suas estruturas
internas de funcionamento. Dessa forma os mtodos de autenticao que eram utilizados em v4
para viabilizar a vizinhana segura entre roteadores mudou bastante, j que agora devemos utilizar
o IPSec. Felizmente o processo de configurao do IPSec no OSPFv3 bem fcil e direto (requer
uma nica linha de comando), diferente da tradicional configurao do IPSec para outras
finalidades.

Para facilitar o entendimento desse conceito a prtica uma tima ferramenta. Por isso o objetivo
desse artigo mostrar as diferenas na configurao da autenticao da vizinhana entre os
protocolos de roteamento dinmico OSPFv2 (IPv4) e OSPFv3 (IPv6). Para exemplificar esse
processo vamos considerar o cenrio abaixo que muito simples, possuindo apenas dois
roteadores na rea 0 que iro estabelecer vizinhana OSPF atravs de um mecanismo de pilha-
dupla, ou seja, via IPv4 e IPv6 simultaneamente.
1) Autenticao de Vizinhana no OSPFv2 (IPv4)

R1(config)# router ospf 110

R1(config-router)# router-id 1.1.1.1
R1(config-router)# network 192.168.100.0 0.0.0.255 area 0
R1(config-router)# exit
R1(config)# int s0/0
R1(config-if)# ip ospf authentication message-digest
R1(config-if)# ip ospf authentication-key SENHA

R2(config)# router ospf 110

R2(config-router)# router-id 2.2.2.2
R2(config-router)# network 192.168.100.0 0.0.0.255 area 0
R2(config-router)# exit
R2(config)# int s0/0
R2(config-if)# ip ospf authentication message-digest
R2(config-if)# ip ospf authentication-key SENHA

2) Autenticao de Vizinhana no OSPFv3 (IPv6)

R1(config)# ipv6 router ospf 160

R1(config-router)# router-id 1.1.1.1
R1(config-router)# exit
R1(config)# int s0/1
R1(config-if)# ipv6 enable
R1(config-if)# ipv6 ospf 160 area 0
R1(config-if)# ipv6 ospf authentication ipsec spi 500 md5 1234560ABCD...EF

R2(config)# ipv6 router ospf 160

R2(config-router)# router-id 2.2.2.2
R2(config-router)# exit
R2(config)# int s0/1
R2(config-if)# ipv6 enable
R2(config-if)# ipv6 ospf 160 area 0
R2(config-if)# ipv6 ospf authentication ipsec spi 500 md5 1234560ABCD...EF

Na linha destacada na configurao do IPSec/OSPFv3 estamos informando que a autenticao

ser realizada via IPSec (AH) usando uma chave que deve conter 32 dgitos hexadecimais (observe
que no exemplo eu reduzi o tamanho real). Tambm poderamos optar por fazer a autenticao
(header AH) com criptografia (header ESP) atravs do comando "ipv6 ospf encryption
(...)".

Abrao.