Соседи OSPF не устанавливаются через VPN? Проверьте это по порядку

Туннель поднят, интерфейсы в одной подсети, а OSPF всё равно ничего не показывает. Чаще всего туннель в порядке, а одно требование OSPF не выполнено. Пройдите пять проверок ниже по порядку и остановитесь на первой, которая не пройдёт.

У каждой проверки свой симптом, поэтому порядок важнее списка.

Проверка 1: правильна ли модель канала

Интерфейс «точка-точка» и общая сеть с множественным доступом — это разные среды OSPF. Копирование конфигурации широковещательной LAN на туннель — самая частая ошибка здесь. Задайте тип сети, который поддерживает реализация VPN, обычно «точка-точка» для маршрутизируемого туннеля. Затем убедитесь, что платформа с этим согласна, потому что некоторые реализации игнорируют или переопределяют настройку.

Если модель канала неверна, остальное в списке не поможет.

Проверка 2: пропускаются ли пакеты

OSPFv2 — это IP-протокол 89, а не порт TCP или UDP, поэтому правило межсетевого экрана, написанное для портов, молча отбрасывает его. Hello также уходят на multicast-адреса, которые политика может не разрешать. Разрешите протокол 89 между концами туннеля, затем проверьте, нужны ли платформе явные объявления соседа.

Туннель, пропускающий только ping, — это проблема политики, а не маршрутизации.

Проверка 3: совпадают ли параметры соседа

ID области, интервалы hello и dead, аутентификация и флаги stub должны совпадать. Несовпадение обычно оставляет соседа в видимом состоянии, а не приводит к тихому отказу, что полезно. Сравнивайте работающую конфигурацию на обоих концах, а не предполагаемую.

Несовпадение MTU — то самое тонкое. Оно блокирует обмен базой данных на этапе ExStart, поэтому сосед никогда не достигает Full.

Проверка 4: что говорит состояние

Состояние называет отказ. Init означает, что hello приходят, но этот маршрутизатор в них не указан, что указывает на односторонний путь или проблему с multicast. Two-Way нормально для широковещательного сегмента с соседом, который не является DR, и ненормально для канала «точка-точка». Застрявшие ExStart или Exchange означают проблему с MTU или описанием базы данных. Loading означает, что на запросы состояния канала не отвечают.

Прочитайте состояние до любых изменений, потому что это исключает большую часть списка.

show ip ospf neighbor выводит состояние, адрес соседа и таймер dead. Сравните этот таймер с интервалом hello на обеих сторонах: интервал dead в четыре раза больше hello — норма, всё остальное — несовпадение. Столбец состояния — самое быстрое чтение на всей странице.

Проверка 5: что реально анонсируется

Полная смежность — это не маршрут. Проверьте, какие сети создаются, какие изучаются и какие устанавливаются в таблицу маршрутизации. Отсутствующее объявление сети или политика перераспределения, исключающая префикс площадки, дают здорового соседа и пустую таблицу.

Затем проверьте приложение на уровне хоста и обратный путь, потому что протокол маршрутизации не открывает межсетевой экран.

Для IPv6 у OSPFv3 свои требования, и это не переключатель семейства адресов на каждой настройке OSPFv2. Используйте соответствующий протокол и документацию платформы. И если соединение — один фиксированный канал, сравните статические маршруты, прежде чем добавлять плоскость управления, которую придётся эксплуатировать.