Geen OSPF-buren over een VPN? Controleer deze op volgorde

De tunnel staat, de interfaces zitten in hetzelfde subnet en OSPF toont nog steeds niets. Meestal is de tunnel in orde en is één OSPF-vereiste niet vervuld. Werk de vijf controles hieronder in volgorde af en stop bij de eerste die faalt.

Elke controle heeft een eigen symptoom, daarom is de volgorde belangrijker dan de lijst.

Controle 1: klopt het linkmodel

Een point-to-point-interface en een gedeeld multi-access-netwerk zijn verschillende OSPF-omgevingen. Een broadcast-LAN-configuratie naar een tunnel kopiëren is hier de meest voorkomende fout. Stel het netwerktype in dat de VPN-implementatie ondersteunt, meestal point-to-point voor een gerouteerde tunnel. Bevestig daarna dat het platform het ermee eens is, want sommige implementaties negeren of overschrijven de instelling.

Als het linkmodel verkeerd is, helpt niets verderop in de lijst.

Controle 2: worden de pakketten doorgelaten

OSPFv2 is IP-protocol 89, geen TCP- of UDP-poort, dus een firewallregel die voor poorten is geschreven, laat het stil vallen. Hello’s gaan ook naar multicastadressen, wat een beleid misschien niet toestaat. Sta protocol 89 toe tussen de tunneleinden en controleer dan of het platform expliciete buurverklaringen nodig heeft.

Een tunnel die alleen ping doorlaat, is een beleidsprobleem, geen routingprobleem.

Controle 3: komen de buurparameters overeen

Area-ID, hello- en dead-intervallen, authenticatie en stub-vlaggen moeten allemaal overeenkomen. Een afwijking laat de buur meestal in een zichtbare toestand hangen in plaats van stil te falen, wat handig is. Vergelijk de draaiende configuratie aan beide uiteinden, niet de bedoelde.

De MTU-afwijking is de subtiele. Die blokkeert de database-uitwisseling bij ExStart, waardoor de buur nooit Full bereikt.

Controle 4: wat zegt de status

De status benoemt de storing. Init betekent dat hello’s aankomen maar deze router er niet in staat, wat wijst op een eenrichtingspad of een multicastprobleem. Two-Way is normaal op een broadcastsegment met een buur die geen DR is en abnormaal op een point-to-point-link. Vastgelopen ExStart of Exchange betekent een MTU- of databasebeschrijvingsprobleem. Loading betekent dat link-state-verzoeken niet worden beantwoord.

Lees de status voordat je iets wijzigt, want die sluit het grootste deel van de lijst uit.

show ip ospf neighbor toont de status, het buuradres en de dead-timer. Vergelijk die timer met het hello-interval aan beide kanten: een dead-interval van vier keer de hello is normaal, al het andere is een afwijking. De statuskolom is de snelste lectuur op de hele pagina.

Controle 5: wat wordt er werkelijk aangekondigd

Een Full-adjacency is geen route. Controleer welke netwerken worden gecreëerd, welke worden geleerd en welke in de routingtabel worden geïnstalleerd. Een ontbrekende netwerkverklaring of een redistributiebeleid dat het siteprefix uitsluit, levert een gezonde buur en een lege tabel op.

Test daarna een applicatie op hostniveau en het retourpad, want een routingprotocol opent geen firewall.

Voor IPv6 heeft OSPFv3 eigen vereisten en is het geen adresfamilieschakelaar op elke OSPFv2-instelling. Gebruik het bijbehorende protocol en de platformdocumentatie. En als de verbinding één vaste link is, vergelijk dan statische routes voordat je een controlevlak toevoegt dat je moet beheren.