OSPF邻居随便建路由就被改？华为防火墙认证加GTSM双闸守边界

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

内网跑OSPF的团队常有个错觉：协议报文只在自治域里转，外人碰不到。可只要接入层有一台设备被人接手——测试机私接、二手设备带病入网——伪造报文就能进域：把LSA老化时间拉满让全网洪泛、把序列号顶格发布假路由、篡改Hello报文里的邻居列表，路由表一乱，业务走向全被牵着走。

头一道闸：认证定住邻居身份

华为防火墙给OSPF/OSPFv3准备了两道闸。头一道是认证：只有通过验证的报文才收，否则邻居根本建不起来。区域验证要求整区的验证模式和口令一致，接口验证优先级更高，适合给个别邻居单独加锁。算法选择上官方明确建议弃用simple、MD5和HMAC-MD5，优先HMAC-SHA256，口令用cipher密文方式保存并定期更换；安全要求更高的场景可以上Keychain，按时间段轮换密钥。区域视图下的命令是：

authentication-mode { md5 | hmac-md5 | hmac-sha256 } [ KeyID { plain SPlainText | [ cipher ] SCipherText } ]

接口视图下对应ospf authentication-mode，参数写法一致，按邻居粒度选用。

另一道闸：GTSM收控制面的门

另一道是GTSM，通用TTL安全保护机制。合法邻居的报文跳数固定，TTL自然有数；配置ospf valid-ttl-hops设定检测的跳数后，只有TTL落在有效范围内的报文才上送控制面，圈外的报文连CPU的边都摸不到。再用gtsm default-action决定未命中策略报文的默认动作，pass求稳，drop更严——选drop要把所有合法连接都纳入GTSM策略，易用性换安全，规划时把邻居清单列全。

落地顺序与排障思路

落地顺序有讲究：先配认证把邻居身份定住，再上GTSM收控制面的门，两步分开变更、分开验证。邻居关系起不来时，先核对两端认证模式和口令是否一致，再看TTL跳数是否覆盖实际路径，日志里都有线索，按顺序排查不乱阵脚。

两道闸叠加后，伪造报文既过不了认证，也够不着控制面，路由域里“谁是谁”清清楚楚。动态路由协议的加固经常被排在改造清单末尾，出事时却总是它先倒，值得提前补课。企业内网的路由域安全评估、口令轮换机制搭建，欢迎搜索关注贵州诚鑫致达科技，获取更多网络边界加固的实操经验。

企业存储选型参考｜贵州诚鑫致达

小团队起步上手 NAS，群晖机型参考：DS425+ · DS224+ · DS124。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。