Site icon bintorosoft.com

Routing Protocol Security: Keychain Rollover ohne Downtime (OSPF/IS-IS/BGP)

Red Snapper

Computer network

Routing-Protokoll-Security steht und fällt mit einem Detail, das im Betrieb oft unterschätzt wird: Key-Rollover. OSPF/IS-IS Authentifizierung und BGP MD5/TCP-AO (je nach Plattform) schützen zwar vor Spoofing und Session-Hijacking, aber nur solange Schlüssel aktuell sind. Der Härtungsgewinn verpufft, wenn Keys jahrelang unverändert bleiben – und ein schlecht geplanter Wechsel kann komplette IGP- oder BGP-Outages verursachen. Der saubere Weg ist ein „Overlap“-Rollover: alter und neuer Key sind zeitweise parallel gültig, Sende-/Empfangszeitfenster sind abgestimmt, und Monitoring erkennt früh, ob Nachbarn/Peers beide Keys akzeptieren. Dieser Artikel zeigt, wie du Keychain Rollover ohne Downtime planst und auf Cisco IOS/IOS XE praxisnah umsetzt.

Grundprinzip: Overlap statt Big-Bang

Downtime-freier Rollover funktioniert, wenn Sender und Empfänger den neuen Key bereits akzeptieren, bevor jemand ausschließlich mit dem neuen Key sendet. Das erreichst du über Keychains mit Zeitfenstern (send/accept) und eine definierte Umstellreihenfolge.

Rollover-Logik

Zero Downtime ⇔ Accept(New) → Send(New) → Remove(Old)

Voraussetzungen: Zeit, NTP und Betriebsdisziplin

Zeitbasierte Keychains sind nur so gut wie deine Zeitbasis. Ohne NTP riskierst du, dass Geräte unterschiedliche „aktive Keys“ sehen. Das ist die häufigste Root Cause für Rollover-Outages.

NTP Baseline (Pattern)

ntp server 10.99.0.10
ntp server 10.99.0.11

Keychain Design: Nummerierung, Algorithmus, Lifetime

Ein gutes Keychain-Design ist boring: klare Key-IDs (z. B. 1001/1002), starke Algorithmen (wo unterstützt), und klare Zeitfenster. Vermeide „zu kurze“ Fenster, damit verzögerte Changes nicht sofort brechen.

OSPF: Keychain Rollover (MD5/HMAC je Plattform) ohne Nachbarschaftsflap

OSPF Authentifizierung wird am Interface aktiviert. Der Rollover erfolgt über eine Keychain, die mehrere Keys enthält. In der Overlap-Phase akzeptieren Nachbarn beide Keys, aber senden schrittweise mit dem neuen.

Keychain (Pattern)

key chain KC_OSPF
 key 1001
  key-string 0 OldSecretKey
  accept-lifetime 00:00:00 Jan 01 2026 23:59:59 Apr 01 2026
  send-lifetime   00:00:00 Jan 01 2026 23:59:59 Feb 15 2026
 key 1002
  key-string 0 NewSecretKey
  accept-lifetime 00:00:00 Feb 01 2026 23:59:59 Jun 01 2026
  send-lifetime   00:00:00 Feb 15 2026 23:59:59 Jun 01 2026

OSPF Interface Auth (Pattern)

interface GigabitEthernet0/1
 ip ospf authentication key-chain KC_OSPF

OSPF Verifikation

show ip ospf neighbor
show ip ospf interface GigabitEthernet0/1

IS-IS: HMAC/Keychain Rollover sauber planen

IS-IS Authentifizierung wird meist im IS-IS Prozess und/oder per Interface gesetzt. Für Zero-Downtime gilt dasselbe Overlap-Prinzip: Keychain mit parallelen Accept- und Send-Fenstern.

Keychain (Pattern)

key chain KC_ISIS
 key 2001
  key-string 0 OldIsisKey
  accept-lifetime 00:00:00 Jan 01 2026 23:59:59 Apr 01 2026
  send-lifetime   00:00:00 Jan 01 2026 23:59:59 Feb 15 2026
 key 2002
  key-string 0 NewIsisKey
  accept-lifetime 00:00:00 Feb 01 2026 23:59:59 Jun 01 2026
  send-lifetime   00:00:00 Feb 15 2026 23:59:59 Jun 01 2026

IS-IS Auth binden (Pattern)

router isis CORE
 authentication mode md5
 authentication key-chain KC_ISIS level-2

interface GigabitEthernet0/2

ip router isis CORE

IS-IS Verifikation

show isis neighbors
show isis interface GigabitEthernet0/2

BGP: Session-Auth und Rollover ohne Session Reset

BGP ist der heikelste Fall: Klassische TCP MD5 Authentication ist in vielen Umgebungen verbreitet, aber ein Key-Wechsel führt oft zu Session Resets, wenn nicht sauber geplant. Downtime-freier Rollover ist am sichersten mit kontrollierter Sequenz: erst zweiten Peer (zweiter Session) aufbauen oder Maintenance-Strategie nutzen. Wo Plattform/Design es zulässt, ist „parallel session“ (dual peering) die robusteste Methode.

BGP MD5 (klassisches Pattern)

router bgp 65000
 neighbor 203.0.113.10 remote-as 65100
 neighbor 203.0.113.10 password 0 OldBgpKey

Rollover-Pattern mit parallelem Peering (konzeptionell)

router bgp 65000
 neighbor 203.0.113.10 remote-as 65100
 neighbor 203.0.113.10 password 0 OldBgpKey

neighbor 203.0.113.11 remote-as 65100

neighbor 203.0.113.11 password 0 NewBgpKey

!

BGP Verifikation

show ip bgp summary
show ip bgp neighbors 203.0.113.10
show ip bgp neighbors 203.0.113.11

Exception Handling: False Positives und unerwartete Flaps vermeiden

Rollover-Outages passieren oft durch „kleine“ Abweichungen: ein Interface fehlt, ein Nachbar hat NTP drift, oder ein Key ist auf einem Gerät falsch verteilt. Deshalb brauchst du Guardrails: Pre-Checks, staged rollout und klare Abort-Kriterien.

Operational Runbook: Rollover in 6 Schritten

Dieses Runbook ist unabhängig vom Protokoll und funktioniert als Standardprozess für OSPF/IS-IS/BGP.

Troubleshooting: Wenn Nachbarn/Peers nach Rollover nicht hochkommen

Die Diagnose ist meist deterministisch: Zeitfenster, falscher Key, falsche Zuordnung am Interface/Prozess oder NTP drift. Prüfe zuerst Logs und Interface-Auth-Status, dann die Keychain-Lifetimes.

OSPF/IS-IS Checks

show clock
show key chain
show ip ospf interface
show isis interface
show logging | include OSPF|ISIS|auth|key

BGP Checks

show ip bgp summary
show ip bgp neighbors
show logging | include BGP|MD5|auth

Best Practices: Langfristig wartbare Routing-Security

Rollover ohne Downtime ist weniger „Feature“ als Prozess. Diese Best Practices verhindern, dass dein Routing-Security-Setup in ein paar Monaten wieder veraltet.

Quick-Runbook: Keychain Rollover verifizieren

Diese Befehle liefern in Minuten die wichtigsten Signale für OSPF/IS-IS/BGP.

show clock
show key chain
show ip ospf neighbor
show isis neighbors
show ip bgp summary
show logging | include auth|key|OSPF|ISIS|BGP

Konfiguration speichern

Router# copy running-config startup-config

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version