IPv6路由报文怕被仿冒？给OSPFv3套上IPSec再上骨干
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
IPv6网络铺开后，路由协议安全这件事得重新盘一遍。很多团队的习惯是给OSPFv3配个认证就完事，可认证只能防“不知道密钥的人”，报文内容仍是明文：中间链路上抓个包，网络拓扑、前缀规划看得一清二楚；遇到会重放攻击的对手，伪造的合法报文照样能把邻居关系搅断。凡是骨干穿越第三方链路、或者等保要求高的环境，都建议直接上IPSec——认证加加密双层，报文被改一比特都会被丢弃，抓包也只剩密文。
官方案例的组网很简单：SwitchA和SwitchB隔着一段公共网络跑OSPFv3，要保护的是二者之间的OSPFv3协议报文。配置分五步。
基础配置与安全提议
第一步，VLAN和接口照常规配好，两台交换机各起OSPFv3进程，接口配IPv6地址并使能OSPFv3：
[SwitchA] ipv6
[SwitchA] interface vlanif 10
[SwitchA-Vlanif10] ipv6 enable
[SwitchA-Vlanif10] ipv6 address 2001:DB8:100::1 64
[SwitchA-Vlanif10] ospfv3 1 area 1
[SwitchA-Vlanif10] quit
第二步，创建安全提议。传输封装模式、ESP协议、SHA2-256认证算法，加密算法按需保留（本例为纯认证场景显式关掉加密）：
[SwitchA] ipsec proposal proposal1
[SwitchA-ipsec-proposal-proposal1] encapsulation-mode transport
[SwitchA-ipsec-proposal-proposal1] transform esp
[SwitchA-ipsec-proposal-proposal1] esp authentication-algorithm sha2-256
[SwitchA-ipsec-proposal-proposal1] undo esp encryption-algorithm
[SwitchA-ipsec-proposal-proposal1] quit
手工SA：两端参数必须咬合
第三步，创建安全联盟SA并引用提议，两头的安全参数索引和密钥必须完全一致（注意本例两端SPI同为12345，方向参数对称填写）：
[SwitchA] ipsec sa sa1
[SwitchA-ipsec-sa-sa1] proposal proposal1
[SwitchA-ipsec-sa-sa1] quit
[SwitchA] ipsec sa sa1
[SwitchA-ipsec-sa-sa1] sa spi inbound esp 12345
[SwitchA-ipsec-sa-sa1] sa spi outbound esp 12345
[SwitchA-ipsec-sa-sa1] sa string-key inbound esp YsHsjx_202206
[SwitchA-ipsec-sa-sa1] sa string-key outbound esp YsHsjx_202206
[SwitchA-ipsec-sa-sa1] quit
第四步，把SA挂到OSPFv3进程上——这一挂，整个进程收发的协议报文全部受保护：
[SwitchA] ospfv3 1
[SwitchA-ospfv3-1] ipsec sa sa1
[SwitchA-ospfv3-1] quit
验证与三个落地提醒
第五步，验证。display ipsec sa能看到SPI、算法和密钥的生效情况；再打开OSPFv3的报文统计，收发计数正常增长、邻居状态稳定在Full，就说明保护已生效且没有误伤。
三个落地提醒：一是手工方式配的SA没有自动协商，两端任何一处参数不一致邻居就起不来，改密钥时先配好一端再动另一端，注意衔接顺序；二是IPSec消耗转发芯片和CPU资源，路由进程挂SA的开销可控，但大规模邻居数量下要先做容量评估；三是这里示范的是进程级应用，实际也可以只挂到单个接口或单个对等体，粒度按需选择。
在政务、医疗行业的IPv6改造里，凡是骨干段要过第三方链路的，验收清单里都该有一条“路由协议报文加密”——平时看不出差别，等真有人隔路抓包时就值回票价。要给IPv6骨干的路由协议上这道锁，欢迎搜索关注贵州诚鑫致达科技，获取更多路由协议安全加固的实操经验。
企业存储选型参考｜贵州诚鑫致达
做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。
