Sąsiedzi OSPF nie tworzą się przez VPN? Sprawdź te punkty po kolei

Tunel działa, interfejsy są w tej samej podsieci, a OSPF nadal nic nie pokazuje. Najczęściej tunel jest w porządku, a jeden wymóg OSPF nie jest spełniony. Wykonaj pięć kontroli poniżej po kolei i zatrzymaj się na pierwszej, która zawiedzie.

Każda kontrola ma inny objaw, dlatego kolejność jest ważniejsza niż lista.

Kontrola 1: czy model łącza jest właściwy

Interfejs punkt-punkt i współdzielona sieć z wielodostępem to różne środowiska OSPF. Kopiowanie konfiguracji sieci LAN rozgłaszania na tunel to najczęstszy błąd. Ustaw typ sieci obsługiwany przez implementację VPN, zwykle punkt-punkt dla tunelu routowanego. Następnie potwierdź, że platforma się zgadza, ponieważ niektóre implementacje ignorują to ustawienie lub je nadpisują.

Jeśli model łącza jest błędny, nic dalej na liście nie pomoże.

Kontrola 2: czy pakiety są przepuszczane

OSPFv2 to protokół IP 89, a nie port TCP lub UDP, więc reguła zapory napisana dla portów po cichu go odrzuca. Hello trafiają też na adresy multicast, których polityka może nie pozwalać. Zezwól na protokół 89 między końcami tunelu, a następnie sprawdź, czy platforma wymaga jawnych deklaracji sąsiada.

Tunel, który przepuszcza tylko ping, to problem polityki, a nie routingu.

Kontrola 3: czy parametry sąsiada się zgadzają

Identyfikator obszaru, interwały hello i dead, uwierzytelnianie i flagi stub muszą się zgadzać. Niezgodność zwykle pozostawia sąsiada w widocznym stanie zamiast cichej awarii, co jest przydatne. Porównaj działającą konfigurację na obu końcach, a nie zamierzoną.

Niezgodność MTU jest tą subtelną. Blokuje wymianę bazy danych na etapie ExStart, więc sąsiad nigdy nie osiąga Full.

Kontrola 4: co mówi stan

Stan nazywa awarię. Init oznacza, że hello docierają, ale ten router nie jest w nich wymieniony, co wskazuje na ścieżkę jednokierunkową lub problem z multicastem. Two-Way jest normalny w segmencie rozgłaszania z sąsiadem, który nie jest DR, a nienormalny na łączu punkt-punkt. Zablokowany ExStart lub Exchange oznacza problem z MTU lub opisem bazy danych. Loading oznacza, że żądania stanu łącza nie są odpowiadane.

Przeczytaj stan, zanim cokolwiek zmienisz, ponieważ eliminuje to większość listy.

show ip ospf neighbor wypisuje stan, adres sąsiada i timer dead. Porównaj ten timer z interwałem hello po obu stronach: interwał dead czterokrotnie większy od hello jest normalny, wszystko inne to niezgodność. Kolumna stanu to najszybsza lektura na całej stronie.

Kontrola 5: co jest faktycznie ogłaszane

Pełne sąsiedztwo nie jest trasą. Sprawdź, które sieci są tworzone, które są poznawane i które są instalowane w tablicy routingu. Brak deklaracji sieci lub polityka redystrybucji wykluczająca prefiks lokalizacji daje zdrowego sąsiada i pustą tablicę.

Następnie przetestuj aplikację na poziomie hosta i ścieżkę powrotną, ponieważ protokół routingu nie otwiera zapory.

W przypadku IPv6 OSPFv3 ma własne wymagania i nie jest przełącznikiem rodziny adresów na każdym ustawieniu OSPFv2. Użyj odpowiedniego protokołu i dokumentacji platformy. A jeśli połączenie to jedno stałe łącze, porównaj trasy statyczne, zanim dodasz płaszczyznę sterowania, którą będziesz musiał obsługiwać.