Nous l’avons vu au cours d’un billet dédié aux mécanismes de redondance de passerelle, le protocole HSRP permet de mettre en place de la haute disponibilité au niveau de routeurs Cisco. Ce billet décrit rapidement les quelques précautions à prendre pour la mise en place de ce protocole, notamment au niveau de la sécurisation. Ce milieu de la sécurité parait parfois abstrait et lointain, mais il y a tout de même certaines pratiques à prendre en compte afin de limiter les failles potentielles.

Le protocole HSRP offre de base un mécanisme d’authentification basée sur un mot de passe échangé en clair. Cette protection permet déjà de s’affranchir d’un routeur rogue qui aurait pour but d’acaparer le rôle de master HSRP à des fins malhonnêtes. En effet, en configurant ce rogue avec l’adresse de standby adéquate et la priorité associée celui-ci pourrait donc éventuellement récupérer l’intégralité du trafic devant être initialement routé par le routeur en place.

Vous l’aurez sûrement relevé, mais un mot de passe échangé en clair, bien que ce soit mieux que le néant, n’est pas aussi sécurisant qu’on pourrait le souhaiter. Cisco propose donc d’utiliser l’algorithme de hachage MD5 afin de chiffrer ce mot de passe. La commande est la suivante :

Je pense qu’il n’est pas nécessaire d’expliciter les paramètres passés dans la commande, ceux-ci étant relativement parlants d’eux-mêmes.

Enfin, pour des contextes nécessitant un environnement encore plus sécurisé, il peut être intéressant de mettre en place des ACLs de filtrage, pour que seuls les routeurs du groupe HSRP identifiés en tant que tel soient autorisés à s’échanger des messages qui transitent sur le port UDP/1985.

Ces quelques précautions sont probablement relativement basiques, mais leur combinaison permet déjà de limiter les risques d’attaques par ce protocole qui s’avère relativement répandu dans des environnements Cisco.