S125+S6825+添加bgp/ospf密钥不中断

在Spine-Leaf架构上为已建立的OSPF和BGP EVPN邻居添加密钥认证，确实存在使邻居关系中断的风险。不过，H3C的设备（如S125、S6825系列）提供了成熟的“密钥滚动（Key Rollover）”机制，可以实现无缝、不中断业务的密钥添加。这是一个需要谨慎规划的割接操作。

以下是针对两种协议的具体操作步骤：

 OSPF 协议的无中断认证配置

为OSPF邻居添加认证，核心逻辑是先添加新密钥，待邻居稳定后，再删除旧的无认证状态或密钥。

1. 选择认证模式与密钥滚动机制
   H3C支持为整个区域（Area）或特定接口配置认证，接口级认证的优先级更高。推荐使用安全性更好的 MD5 或 HMAC-MD5 认证。OSPF的密钥滚动机制允许在同一个接口上同时存在多个密钥（key-id），路由器会使用所有已配置的密钥对发送的报文进行签名，并用其中任何一个有效的密钥来验证接收到的报文，从而保证在密钥切换过程中通信不会中断。

2. 详细配置步骤
   以下示例以Spine和Leaf之间接口配置MD5认证为例：

   • ① 在Spine交换机上添加新密钥
     在所有Spine交换机的相关接口下，添加新的MD5认证密钥。

     # 假设Spine与Leaf1相连的接口为Vlan-interface10

     interface Vlan-interface10 ospf authentication-mode md5 1 plain YourNewKey由于对端（Leaf）尚未配置，OSPF会触发密钥滚动，Spine会同时用新、旧方式发送报文，确保不被Leaf当成攻击或错误丢弃。

   • ② 在对应Leaf交换机上添加相同的密钥
     尽快在与该Spine相邻的所有Leaf交换机的对应接口上，也添加相同的新密钥。

     # Leaf1上

     interface Vlan-interface10 ospf authentication-mode md5 1 plain YourNewKey为确保稳定，建议先在一组Spine-Leaf上完成操作，观察邻居关系稳定后，再变更下一组，逐步推进，降低全网风险。

   • ③ 在所有邻居稳定后完成滚动
     当所有邻居都配置了新密钥后，OSPF会自动结束密钥滚动过程。此时，两边设备将只使用新密钥进行认证。

   • ④ 验证并保存

     # 查看OSPF邻居状态是否为FULL

     display ospf peer # 保存配置 save

3. 应对复杂场景：使用Keychain（可选）
   对于更复杂的密钥管理需求，H3C还支持Keychain（密钥链）认证方式。它允许为一组密钥定义不同的生效时间段，实现基于时间的、自动的、周期的密钥切换，管理更加灵活。

   • Keychain配置示例思路：

     # 1. 创建一个绝对时间模式的keychain

     keychain ospf_keychain_1 mode absolute # 2. 创建一个key (ID 1)，定义其算法、密钥字串和生效时间段 key 1 algorithm md5 key-string plain YourNewKey send-lifetime utc 00:00 06/01/2026 to 00:00 09/01/2026 accept-lifetime utc 00:00 05/31/2026 to 00:00 09/02/2026 # 3. 在OSPF接口下应用该keychain interface Vlan-interface10 ospf authentication-mode keychain ospf_keychain_1通过合理设置send-lifetime和accept-lifetime（通常accept-lifetime要略长一点作为冗余时间），可以实现无人值守的密钥平滑切换。

 BGP EVPN 邻居的无中断认证配置

为BGP（含EVPN）邻居添加认证，推荐使用 Keychain 方式。MD5方式也可行，但灵活性较差。

1. 推荐方式：Keychain认证
   Keychain是H3C官方为实现BGP不中断业务切换密钥与加密方式而推出的功能。配置思路与OSPF类似，但应用于BGP对等体上。

   • ① 创建Keychain：与OSPF的Keychain创建方式一致（参考上文）。

   • ② 在两端的Border和Leaf上，为BGP Peer配置Keychain认证：

     bgp 65001 # 进入BGP实例视图

     peer 10.1.1.1 keychain bgp_keychain_1

   • ③ 逐步推进并验证：

     # 查看BGP邻居状态（EVPN邻居在BGP内）

     display bgp peer

2. 备选方式：MD5认证
   如果只是简单添加一个静态密钥，MD5方式也可以。虽然配置更简单，但不支持自动切换，未来需变更密钥时必须重执行一次操作，MD5认证的交互依然适用，不会中断已建立的连接来直接新增认证。

   • 配置示例：

     bgp 65001

     peer 10.1.1.1 password simple YourNewKey

   此命令亦不会中断当前已建立的BGP TCP连接，仅对新建立的连接生效。若需让已存在的连接也应用新认证，BGP软复位可能造成中断，建议通过Keychain方式或重启连接来逐步实现。