IPv6路由报文怕被仿冒？给OSPFv3套上IPSec再上骨干

OSPFv3只配认证防不住仿冒和重放，拓扑与前缀仍是明文可抓。给OSPFv3进程挂上IPSec安全联盟，认证加密双层保护，报文改一比特就被丢弃，抓包只剩密文，骨干穿第三方链路也稳。

光有认证为什么不够？

IPv6网络铺开后，路由协议安全这件事得重新盘一遍。很多团队的习惯是给OSPFv3配个认证就完事，可认证只能防"不知道密钥的人"，报文内容仍是明文：中间链路上抓个包，网络拓扑、前缀规划看得一清二楚；遇到会重放攻击的对手，伪造的合法报文照样能把邻居关系搅断。凡是骨干穿越第三方链路、或者等保要求高的环境，建议直接上IPSec——认证加加密双层，报文被改一比特都会被丢弃，抓包也只剩密文。

官方案例的组网很简单：SwitchA和SwitchB隔着一段公共网络跑OSPFv3，要保护的是二者之间的OSPFv3协议报文。配置分五步。

基础OSPFv3怎么起？

第一步，VLAN和接口照常规配好，两台交换机各起OSPFv3进程，接口配IPv6地址并使能OSPFv3：

[SwitchA] ipv6
[SwitchA] interface vlanif 10
[SwitchA-Vlanif10] ipv6 enable
[SwitchA-Vlanif10] ipv6 address 2001:DB8:100::1 64
[SwitchA-Vlanif10] ospfv3 1 area 1
[SwitchA-Vlanif10] quit

IPSec提议和SA怎么建？

第二步，创建安全提议。传输封装模式、ESP协议、SHA2-256认证算法，加密算法按需保留（本例为纯认证场景显式关掉加密）：

[SwitchA] ipsec proposal proposal1
[SwitchA-ipsec-proposal-proposal1] encapsulation-mode transport
[SwitchA-ipsec-proposal-proposal1] transform esp
[SwitchA-ipsec-proposal-proposal1] esp authentication-algorithm sha2-256
[SwitchA-ipsec-proposal-proposal1] undo esp encryption-algorithm
[SwitchA-ipsec-proposal-proposal1] quit

第三步，创建安全联盟SA并引用提议，两头的安全参数索引和密钥必须完全一致（本例两端SPI同为12345，方向参数对称填写）：

[SwitchA] ipsec sa sa1
[SwitchA-ipsec-sa-sa1] proposal proposal1
[SwitchA-ipsec-sa-sa1] quit
[SwitchA] ipsec sa sa1
[SwitchA-ipsec-sa-sa1] sa spi inbound esp 12345
[SwitchA-ipsec-sa-sa1] sa spi outbound esp 12345
[SwitchA-ipsec-sa-sa1] sa string-key inbound esp YsHsjx_202206
[SwitchA-ipsec-sa-sa1] sa string-key outbound esp YsHsjx_202206
[SwitchA-ipsec-sa-sa1] quit

SA怎么挂到OSPFv3进程上？

第四步，把SA挂到OSPFv3进程上——这一挂，整个进程收发的协议报文全部受保护：

[SwitchA] ospfv3 1
[SwitchA-ospfv3-1] ipsec sa sa1
[SwitchA-ospfv3-1] quit

验证与落地要注意什么？

第五步，验证。display ipsec sa能看到SPI、算法和密钥的生效情况；再打开OSPFv3的报文统计，收发计数正常增长、邻居状态稳定在Full，就说明保护已生效且没有误伤。

三个落地提醒：一是手工方式配的SA没有自动协商，两端任何一处参数不一致邻居就起不来，改密钥时先配好一端再动另一端，注意衔接顺序；二是IPSec消耗转发芯片和CPU资源，路由进程挂SA的开销可控，但大规模邻居数量下要先做容量评估；三是这里示范的是进程级应用，实际也可以只挂到单个接口或单个对等体，粒度按需选择。

依据：华为官方典型配置案例（2026-11 版）。

贵州诚鑫致达科技提供网络搭建与运维服务，IPv6改造与骨干安全加固的设备选型与部署可电话沟通——平时看不出差别，真有人隔路抓包时就值回票价。