Сусіди OSPF не встановлюються через VPN? Перевірте це по порядку

Тунель піднято, інтерфейси в одній підмережі, а OSPF усе одно нічого не показує. Найчастіше тунель гаразд, а одна вимога OSPF не виконана. Пройдіть п’ять перевірок нижче по порядку і зупиніться на першій, яка не пройде.

Кожна перевірка має свій симптом, тому порядок важливіший за список.

Перевірка 1: чи правильна модель каналу

Інтерфейс «точка-точка» і спільна мережа з множинним доступом — це різні середовища OSPF. Копіювання конфігурації широкомовної LAN на тунель — найпоширеніша помилка тут. Задайте тип мережі, який підтримує реалізація VPN, зазвичай «точка-точка» для маршрутизованого тунелю. Потім переконайтеся, що платформа з цим згодна, бо деякі реалізації ігнорують або перевизначають налаштування.

Якщо модель каналу неправильна, решта списку не допоможе.

Перевірка 2: чи пропускаються пакети

OSPFv2 — це IP-протокол 89, а не порт TCP або UDP, тому правило міжмережевого екрана, написане для портів, мовчки відкидає його. Hello також ідуть на multicast-адреси, які політика може не дозволяти. Дозвольте протокол 89 між кінцями тунелю, потім перевірте, чи потрібні платформі явні оголошення сусіда.

Тунель, що пропускає лише ping, — це проблема політики, а не маршрутизації.

Перевірка 3: чи збігаються параметри сусіда

ID області, інтервали hello і dead, автентифікація та прапорці stub мають збігатися. Незбіг зазвичай залишає сусіда у видимому стані, а не призводить до тихої відмови, що корисно. Порівнюйте робочу конфігурацію на обох кінцях, а не заплановану.

Незбіг MTU — той самий тонкий випадок. Він блокує обмін базою даних на етапі ExStart, тому сусід ніколи не досягає Full.

Перевірка 4: що каже стан

Стан називає відмову. Init означає, що hello надходять, але цей маршрутизатор у них не вказаний, що вказує на односторонній шлях або проблему з multicast. Two-Way нормальний для широкомовного сегмента з сусідом, який не є DR, і ненормальний для каналу «точка-точка». Застряглі ExStart або Exchange означають проблему з MTU або описом бази даних. Loading означає, що на запити стану каналу не відповідають.

Прочитайте стан перед будь-якими змінами, бо це виключає більшу частину списку.

show ip ospf neighbor виводить стан, адресу сусіда та таймер dead. Порівняйте цей таймер з інтервалом hello на обох боках: інтервал dead у чотири рази більший за hello — норма, усе інше — незбіг. Стовпець стану — найшвидше читання на всій сторінці.

Перевірка 5: що насправді анонсується

Повна суміжність — це не маршрут. Перевірте, які мережі створюються, які вивчаються і які встановлюються в таблицю маршрутизації. Відсутнє оголошення мережі або політика перерозподілу, що виключає префікс майданчика, дають здорового сусіда та порожню таблицю.

Потім перевірте застосунок на рівні хоста та зворотний шлях, бо протокол маршрутизації не відкриває міжмережевий екран.

Для IPv6 у OSPFv3 свої вимоги, і це не перемикач родини адрес на кожному налаштуванні OSPFv2. Використовуйте відповідний протокол і документацію платформи. І якщо з’єднання — один фіксований канал, порівняйте статичні маршрути, перш ніж додавати площину керування, яку доведеться експлуатувати.