Aide-mémoire OSPF

1. OSPF en bref

OSPFv2 (Open Shortest Path First) est un protocole de routage interne à état de liens. Les routeurs diffusent les informations d'état de liens au sein de leur zone, construisent une base de données d'état de liens (LSDB) et exécutent l'algorithme SPF (Dijkstra) pour sélectionner les routes. Il utilise le protocole IP n° 89, et non le port TCP/UDP n° 89. La distance administrative Cisco par défaut est de 110 ; l'adresse multicast 224.0.0.5 atteint tous les routeurs SPF et l'adresse 224.0.0.6 cible les routeurs désignés (DR) et les routeurs de secours (BDR) sur les réseaux de diffusion.

2. Comprendre le laboratoire d'entreprise à cinq routeurs

R1, R2 et R3 forment la zone dorsale 0. R1 connecte la zone 10 à R4 ; R3 connecte la zone 20 à R5. La liaison R1–R3 offre un chemin dorsal alternatif. Toutes les liaisons numérotées /30 sont point à point, sans élection de routeur désigné (DR) ni de routeur désigné de secours (BDR). Le VLAN 100 sur le segment de diffusion dorsal partagé illustre un cas où le DR/BDR s'applique si deux routeurs OSPF ou plus le partagent. R1 et R3 sont des routeurs de bordure de réseau (ABR). Les interfaces de bouclage garantissent des identifiants de routeur stables. Ce schéma est conceptuel : ajoutez un routeur compatible OSPF au VLAN 100 pour un environnement de test DR/BDR multi-routeurs.

3. Informations essentielles et minuteurs

Les temporisateurs hello/dead OSPFv2 typiques pour la diffusion Ethernet sont de 10/40 secondes, selon la plateforme et le type de réseau. Sur une liaison Ethernet point à point, utilisez ip ospf network point-to-point Pour éviter l'élection du routeur désigné (DR), les identifiants des routeurs doivent être uniques ; les zones géographiques doivent correspondre chez les voisins ; l'authentification et la compatibilité des intervalles Hello/Dead sont essentielles. Les différences de MTU IP entraînent souvent des problèmes d'adjacence lors des échanges de bases de données. Sur les réseaux multi-accès, une communication bidirectionnelle peut être normale entre deux routeurs DROTHER.

4. États voisins

Déconnexion → Initialisation → Communication bidirectionnelle → Démarrage → Échange → Chargement → Plein. Une tentative peut apparaître sur les voisins NBMA configurés manuellement. Le démarrage négocie la relation maître/esclave et l'ordre des blocs de données (DBD) ; l'échange partage les résumés DBD ; le chargement demande les LSA manquants. Sur les liaisons point à point, l'état stable attendu est FULL/-. En diffusion, l'état FULL/DR, FULL/BDR ou FULL/DROTHER dépend de l'élection ; la communication bidirectionnelle peut être normale entre les DROTHERs.

5. Les LSA que vous devez reconnaître

Routeur de type 1 : généré par chaque routeur et limité à sa zone. Réseau de type 2 : généré par le DR pour un réseau de transit de diffusion. Résumé de type 3 : l’ABR distribue les préfixes inter-zones. Résumé ASBR de type 4 : assure la connectivité à un ASBR en cas de besoin. Route externe AS de type 5 : routes externes, sauf là où elles sont interdites (par exemple, les zones stub). Route externe NSSA de type 7 : introduite au sein d’une NSSA, les routes éligibles étant traduites par l’ABR en type 5. OSPFv3 utilise des LSA et des champs d’en-tête différents ; les schémas de paquets OSPFv2 ne doivent pas être réutilisés pour OSPFv3.

6. Conception des zones et types d'itinéraires

La zone dorsale 0 interconnecte les autres zones. Les zones standard acceptent les routes externes normales. Les zones stub bloquent les LSA externes de type 5 et utilisent une route par défaut fournie par l'ABR ; les zones totalement stub sont une extension Cisco réduisant le nombre de LSA de synthèse. La NSSA autorise la redistribution externe via des LSA de type 7. Dans la table de routage : O = intra-zone, O IA = inter-zone, O E1/E2 = externe, O N1/N2 = externe NSSA. E1 combine le coût interne pour l'ASBR et la métrique externe ; E2 compare généralement la métrique externe en premier.

7. Coût du trajet, DR/BDR et redondance

Le coût OSPF est configurable via ip ospf cost VALUE, ou calculée à partir d'une bande passante de référence divisée par la bande passante de l'interface (entier minimum 1). Définir la même auto-cost reference-bandwidth Sur tous les routeurs, par exemple 100 000 Mbits/s pour les liaisons 100 Gbit/s. Sur un segment de diffusion, la priorité de l'interface OSPF éligible la plus élevée devient DR, puis BDR, l'ID du routeur servant à départager les égalités. La priorité 0 n'est pas éligible. Les élections DR/BDR existantes ne sont pas préemptives. Aucun DR n'est désigné sur les liaisons point à point.

8. Conception de la sécurité et de la défense

Limiter la formation de voisins OSPF aux liens routés de confiance ; utiliser passive-interface default et n'activer que les interfaces de transit. Authentifier chaque adjacence. Lorsque la plateforme le prend en charge, utiliser l'authentification cryptographique par chaîne de clés avec HMAC-SHA-256 (exemple ci-dessous) ; MD5 (ip ospf message-digest-keyCe protocole est conservé uniquement pour assurer la compatibilité avec les anciens nœuds. Filtrez les protocoles OSPF non autorisés (protocole 89) aux limites non fiables ; évitez la redistribution indiscriminée ; définissez et synthétisez les routes, surveillez les fluctuations d’adjacence et les modifications de la base de données LSDB. L’authentification OSPF ne doit pas être considérée comme une garantie de confidentialité ou une autorisation de routage.

! Same key chain on both neighbors (e.g. R1 and R2)
key chain OSPF-KEYS
 key 1
  key-string REPLACE-WITH-STRONG-SECRET
  cryptographic-algorithm hmac-sha-256
!
interface GigabitEthernet0/0/0
 ip ospf authentication key-chain OSPF-KEYS

Remplacez le secret de démonstration, ne le stockez pas dans des dépôts partagés, vérifiez la compatibilité avec votre version exacte d'iOS XE et générez les clés simultanément des deux côtés. Vérifiez avec show ip ospf interface GigabitEthernet0/0/0, qui indique l'authentification utilisée.

9. Flux de travail de dépannage

1) Vérifier l'état physique et L3 (show ip interface brief). 2) Vérifier la participation à OSPF (show ip ospf interface brief3) Vérifiez la zone, le type de réseau, les temporisateurs, le sous-réseau, la MTU, l'authentification et les ID du routeur (show ip ospf interface, show ip ospf neighbor detail). 4) Inspecter la base de données (show ip ospf database), puis les décisions de routage (show ip route ospf). 5) Inspectez les journaux avant d'utiliser les outils de débogage ; debug ip ospf adj Peut être bruyant, à utiliser uniquement dans le cadre d'une maintenance contrôlée.

10. Pannes courantes et solutions

BLOQUÉ À L'INITIALISATION : Problème de connectivité unidirectionnelle ou de filtrage multicast/ACL ; vérifiez les messages Hello bidirectionnels. BLOQUÉ À L'EXSTART/L'ÉCHANGE : examinez les incompatibilités de MTU et l'échange DBD ; ne pas utiliser ip ospf mtu-ignore En première intention : VOISIN MANQUANT : type de zone/réseau incorrect, interface passive, authentification incorrecte, protocole 89 bloqué. ROUTE COMPLÈTE MAIS SANS ROUTE : vérifier les LSA, le type de zone, le regroupement, la meilleure route à distance administrative et la visibilité du préfixe. ROUTE DE RECHANGE INSTABLE : les modifications de priorité seules ne remplacent pas la route de renouvellement existante.

11. Meilleures pratiques opérationnelles

Utilisez des descriptions d'interface claires, des boucles de routage avec ID de routeur, une bande passante de référence constante, des réseaux OSPF point à point sur des liaisons routées dédiées, des limites de zone définies, des ABR stables, une surveillance des routes et des adjacences, ainsi qu'un plan de retour en arrière éprouvé. Évitez les liaisons virtuelles comme architecture dorsale à long terme ; utilisez-les comme mécanismes de transition exceptionnels.