Vizinhos OSPF não se formam sobre uma VPN? Verifique estes pontos por ordem

O túnel está ativo, as interfaces estão na mesma sub-rede e o OSPF continua a não mostrar nada. Na maioria das vezes o túnel está bem e um requisito do OSPF não é cumprido. Execute as cinco verificações abaixo por ordem e pare na primeira que falhar.

Cada verificação tem um sintoma distinto, por isso a ordem importa mais do que a lista.

Verificação 1: o modelo de ligação está correto

Uma interface ponto a ponto e uma rede partilhada de acesso múltiplo são ambientes OSPF diferentes. Copiar uma configuração de LAN broadcast para um túnel é o erro mais comum aqui. Defina o tipo de rede suportado pela implementação de VPN, normalmente ponto a ponto para um túnel encaminhado. Depois confirme que a plataforma concorda, porque algumas implementações ignoram ou substituem a definição.

Se o modelo de ligação estiver errado, nada do resto da lista ajudará.

Verificação 2: os pacotes são autorizados a passar

O OSPFv2 é o protocolo IP 89, não uma porta TCP ou UDP, pelo que uma regra de firewall escrita para portas o descarta em silêncio. Os hello também vão para endereços multicast, que uma política pode não permitir. Permita o protocolo 89 entre as extremidades do túnel e depois verifique se a plataforma precisa de declarações de vizinho explícitas.

Um túnel que só deixa passar ping é um problema de política, não de encaminhamento.

Verificação 3: os parâmetros do vizinho coincidem

O ID de área, os intervalos hello e dead, a autenticação e os indicadores stub têm de coincidir. Uma discrepância costuma deixar o vizinho num estado visível em vez de falhar em silêncio, o que é útil. Compare a configuração em execução nas duas extremidades, não a prevista.

A discrepância de MTU é a subtil. Bloqueia a troca da base de dados em ExStart, pelo que o vizinho nunca chega a Full.

Verificação 4: o que diz o estado

O estado nomeia a falha. Init significa que chegam hello mas este router não está listado neles, o que aponta para um caminho unidirecional ou um problema de multicast. Two-Way é normal num segmento broadcast com um vizinho que não é DR e anómalo numa ligação ponto a ponto. Um ExStart ou Exchange bloqueado indica um problema de MTU ou de descrição da base de dados. Loading significa que os pedidos de estado de ligação não são respondidos.

Leia o estado antes de mudar qualquer coisa, porque elimina a maior parte da lista.

show ip ospf neighbor mostra o estado, o endereço do vizinho e o temporizador dead. Compare esse temporizador com o intervalo hello dos dois lados: um intervalo dead de quatro vezes o hello é normal, qualquer outra coisa é uma discrepância. A coluna de estado é a leitura mais rápida de toda a página.

Verificação 5: o que é realmente anunciado

Uma adjacência Full não é uma rota. Verifique que redes são originadas, quais são aprendidas e quais são instaladas na tabela de encaminhamento. Uma declaração de rede em falta ou uma política de redistribuição que exclui o prefixo do site produz um vizinho saudável e uma tabela vazia.

Depois teste uma aplicação ao nível do host e o caminho de retorno, porque um protocolo de encaminhamento não abre uma firewall.

Para IPv6, o OSPFv3 tem os seus próprios requisitos e não é um interruptor de família de endereços em cada definição do OSPFv2. Utilize o protocolo correspondente e a documentação da plataforma. E se a ligação for um único link fixo, compare as rotas estáticas antes de acrescentar um plano de controlo que terá de operar.