OSPF-Routentyp über ein VPN: nicht immer extern

Ein Kundenpräfix durchquert die Cloud des Anbieters als BGP-VPN-Route und erreicht den entfernten Standort mit dem Aussehen einer externen OSPF-Route, was viele Ingenieure erwarten und nicht das einzig mögliche Ergebnis ist. Was das entfernte CE sieht, hängt von der OSPF-Domäne ab, aus der das Präfix stammt, und von seinem ursprünglichen Routentyp; beides reist mit der VPN-Route. Die Annahme, jedes redistribuierte Präfix werde zu Typ 5, führt zu Präferenzänderungen, die nicht funktionieren können. Vergleichen Sie zuerst die Domänenkennung, nicht den administrativen Abstand.

Das PE-CE-Modell trägt genug Kontext, damit das empfangende PE eine OSPF-Ankündigung rekonstruieren kann, statt sie zu erfinden.

Was mit der Route reist

RFC 4577 definiert die OSPF-Attribute, die eine VPN-Route begleiten: die Domänenkennung, die Metrik und den Routentyp des Ursprungsstandorts. Das empfangende PE nutzt sie, um zu entscheiden, wie ein geeignetes Präfix seinem lokalen OSPF-Prozess erscheinen soll. Ohne diese Attribute hätte das entfernte PE keine Grundlage für irgendetwas außer einer externen Redistribution. Deshalb kann eine Route als Inter-Area-LSA ankommen, obwohl BGP sie dazwischen transportiert hat.

Auch der Bereichstyp spielt eine Rolle. Ein Stub- oder NSSA-Bereich schränkt ein, welche LSAs eintreten dürfen, sodass dieselbe VPN-Route je nach Standort der empfangenden OSPF-Instanz unterschiedlich dargestellt werden kann. Eine konfigurierte Exportrichtlinie kann die Standarddarstellung ebenfalls überschreiben, was eine bewusste Entscheidung und kein Nebeneffekt ist.

Gleiche Domäne, andere Darstellung

Eine Intra-Area- oder Inter-Area-Route aus derselben Domäne erreicht den entfernten Standort normalerweise als Inter-Area-Route, eine LSA vom Typ 3. Ein Präfix aus einer anderen Domäne, ein Ursprung, der nie OSPF sprach, oder eine ursprünglich externe OSPF-Ankündigung folgt stattdessen den externen Regeln, und dort erscheinen Typ 5 und sein NSSA-Äquivalent. Beide Verhaltensweisen sind korrekt; die Eingabe unterscheidet sich. Vergleichen Sie Domänenkennungen und angekündigte Attribute, bevor Sie Präferenzwerte anfassen.

Der administrative Abstand wählt zwischen Quellen auf einem Router. Er schreibt keinen LSA-Typ um und erzeugt nicht die fehlende Domänenbeziehung.

Wann ein Sham-Link die richtige Antwort ist

Stellen Sie sich zwei Standorte im selben Bereich vor, die durch eine direkte Hintertürverbindung verbunden sind. OSPF behält diesen Intra-Area-Pfad statt des Inter-Area-Pfads, den der Anbieter bietet, selbst wenn konfigurierte Kosten den Anbieterpfad attraktiv machen würden. Ein Sham-Link stellt eine Intra-Area-Beziehung über das VPN dar, damit Kosten an der Entscheidung teilnehmen können. Er existiert für dieses spezielle Pfadauswahlproblem, nicht um jede Route derselben Domäne intern aussehen zu lassen.

Ein Sham-Link benötigt erreichbare Endpunkte und eine gegenseitige Konfiguration auf beiden PEs. Die Einrichtung nur auf einer Seite erzeugt eine Beziehung, die nie entsteht, und die Routingtabelle behält ihre alte Präferenz, was so aussieht, als hätte die Funktion nichts bewirkt.

Brechen Sie den Schleifenschutz nicht

Das PE-CE-Modell setzt das DN-Bit auf den Routen, die es verteilt, damit ein Präfix nicht über ein anderes CE zurückkehren und ein zweites Mal redistribuiert werden kann. Dieser Schutz verhindert, dass ein Präfix zwischen Standorten kreist, die sich eine OSPF-Domäne teilen. Ihn zu entfernen oder zu ignorieren, damit eine Route intern aussieht, kann genau die Schleife erzeugen, die er verhindern soll. Wenn ein Präfix falsch aussieht, behandeln Sie das DN-Bit als Information und nicht als Hindernis.

Dieselbe Vorsicht gilt für Redistributionsfilter und Routenkarten, die Communities entfernen. Jeder entfernt Kontext, den die Gegenseite benötigt, und die resultierende Ankündigung kann plausibel aussehen, während sie falsch ist. Ändern Sie jeweils ein Attribut und prüfen Sie, was das entfernte CE tatsächlich installiert.

Prüfen Sie dann vom entfernten Standort aus: den LSA-Typ, den ankündigenden Router und den gewählten Pfad. Diese Evidenz beantwortet die Frage, die das Ticket gestellt hat.