RFC2401

IPsec - это стандарт, включающий в себя набор протоколов, позволяющих организовать шифрование и туннелирование данных между сетевыми устройствами. Включает в себя следующие протоколы:

AH (Authentication header)

протокол, позволяющий обеспечить целостность пакетов и аутентификацию источника

ESP (Encapsulation Security Payload)

занимается непосредственно шифрование данных, может обеспечивать аутентификацию источника и целостность данных. Может работать в двух режимах - транспортном и туннельном.

IKE (Internet Key Exchange protocol)

используется для аутентификации узлов-участников VPN и защищенного согласование SA (Security Association)

IPsec оперирует следующими понятиями:

SA (Security Association)

набор параметров защищенного соединения (например протокол, ключ шифрования), у каждого соединения есть свой SA. SA определяется для соединения в одном направлении. Каждый SA идентифицируется SPI (Security Parameter Index), указанным в каждом пакете в заголовке IPsec.

SPD (Security Policy Database)

набор политик, определяющих какие данные будут шифроваться и какие SA при этом должны быть выбраны.

IPsec может функционировать в двух режимах: транспортном и туннельном

Транспортный режим

оставляет IP заголовок неизменным, шифрует содержимое пакета. Используется, как правило, для защиты данных между хостами. Может использоваться между шлюзами для защиты данных в тоннеле, организованным другими средствами, например GRE или L2TP.

Туннельный режим

в этом режиме исходный пакет шифруется полностью и инкапсулируется в новый пакет. Используется для организации Site-to-site VPN.

Дополнительные материалы

IPsec в Linux

• 1.0 Operation of IP Data Networks
  • 1.4 Describe the purpose and basic operation of the protocols in the OSI and TCP/IP models
  • 1.6 Identify the appropriate media, cables, ports and connectors to connect Cisco network devices to other network devices and hosts in a LAN
• 2.0 LAN Switching Technologies
  • 2.3 Configure and verify initial switch configuration including remote access management
  • 2.6 Configure and verify VLANs
  • 2.7 Configure and verify trunking on Cisco switches
  • 2.8 Identify enhanced switching technologies
• 3.0 IP Addressing (IPv4/IPv6)
  • 3.5 Describe IPv6 addresses
• 4.0 IP Routing Technologies
  • 4.1 Describe basic routing concepts
  • 4.7 Configure and verify OSPF
  • 4.8 Configure and verify interVLAN routing (Router on a stick)
  • 4.9 Configure SVI interfaces
  • 4.10 Manage Cisco IOS Files
  • 4.11 Configure and verify EIGRP (single AS)
• 5.0 IP Services
  • 5.1 Configure and verify DHCP (IOS Router)
  • 5.3 Configure and verify ACLs in a network enviroment
  • 5.4 Identify the basic operation of NAT
  • 5.6 Configure and verify NTP as a client
  • 5.7 Recognize High availibility
• 6.0 Network device security
  • 6.2 Configure and verify Switch Port Security
• 7.0 Troubleshooting
  • 7.2 Troubleshoot and resolve VLAN problems
  • 7.3 Troubleshoot and resolve trunking problems on Cisco switches
  • 7.4 Troubleshoot and resolve ACL issues
  • 7.5 Troubleshoot and resolve Layer 1 problems
  • 7.7 Troubleshoot and resolve spanning tree operation issues
  • 7.8 Troubleshoot and resolve routing issues
  • 7.9 Troubleshoot and resolve OSPF problems
  • 7.10 Troubleshoot and resolve EIGRP problems
  • 7.11 Troubleshoot and resolve interVLAN routing problems
  • 7.13 Monitor NetFlow statistics
  • 7.14 TS EtherChannel problems

1.0 Operation of IP Data Networks

1.4 Describe the purpose and basic operation of the protocols in the OSI and TCP/IP models

OSI

.

DoD

.

1.6 Identify the appropriate media, cables, ports and connectors to connect Cisco network devices to other network devices and hosts in a LAN

Схемы распайки: TIA T568A, и EIA T568B

Однотипные устройства подключаются перекрещенным кабелем (crossover)

Cisco Console Rollover cable

2.0 LAN Switching Technologies

2.3 Configure and verify initial switch configuration including remote access management

1

hostname <HOSTNAME>

1
2
3

interface Vlan <NUM>
 no sh
 ip address <IP> <MASK>

1

ip default-gateway <GW>

1

username <USER> password <PASSWORD>

1
2
3

line vty 0 15
 login local
 transport input <PROTOCOL>

1

enable secret <PASSWORD>

1

service password-encryption

2.6 Configure and verify VLANs

1
2
3
4
5
6
7
8
9
10
11

vlan <NUM>
 name <NAME>

interface <INT>
 switchport access vlan <VLAN>

interface <INT>
 switchport trunk encapsulation dot1q
 switchport trunk allowed vlan <VLANS>
 switchport trunk native vlan <VLAN>
 switchport mode trunk

2.7 Configure and verify trunking on Cisco switches

2.8 Identify enhanced switching technologies

STP - 802.1d

1. Выбирается корневой мост. Корневым становится коммутатор с меньшим Bridge ID = Priority + MAC. Приоритет может быть изменен администратором с целью влияния на процесс выбора
2. Определение корневых и выделенных портов (root и designated ports). Корневой выбирается по наилучшему пути до корневого моста. Наименьший по Root Path Cost.
3. Перевод остальных портов в состояние Blocking

Роли портов:

1. Root port
2. Designated port
3. Non-designated port
4. Disabled port

Состояния портов:

1. Blocking
2. Listening
3. Learning
4. Forwarding

RSTP - 802.1w, ускоренная сходимость за счёт наличия альтернативных путей до корневого моста и меньшего количества состояний порта

Роли портов:

1. Root port
2. Designated port
3. Alternative port
4. Backup port

Состояния портов:

1. Discarding
2. Learning
3. Forwarding

PVST, PVST+ - проприетарные протоколы Cisco, для каждого VLAN строят отдельное дерево, могут использовать транки на ISL. Основаны на STP.

Rapid PVST, Rapid PVST+ - основаны на RSTP

Portfast

настраивается на access портах, сразу переводит порт в состояние Forwarding BPDU Guard

выключает порт при получении BPDU

MSTP - 802.1s

Etherchannel

Существует три варианта конфигурирования аггрегированного канала:

1. Статическая настройка
2. Настройка при помощи протокола LACP - IEEE 802.3ad
3. Настройка при помощи протокола PagP - проприетарный протокол

2 и 3 используются для автоматического создания аггрегированного канала

1
2

interface range fa0/10 - 13
 channel-group 3 mode on

Режимы (modes):

1. on - статическая настройка
2. active - включить LACP
3. passive - включить LACP при получении сообщения LACP
4. desirable - включить PagP
5. auto - включить PagP при получении сообщения PagP

1

show etherchannel summary

1

show etherchannel port-channel

Основная проблема - балансировка нагрузки. Вовсе не факт, что все каналы в аггрегированном канале будут загружены равномерно. Это определяется политикой балансировки по каналам. Она может быть:

1
2
3
4
5
6
7

sw1(config)# port-channel load-balance ?
  dst-ip       Dst IP Addr
  dst-mac      Dst Mac Addr
  src-dst-ip   Src XOR Dst IP Addr
  src-dst-mac  Src XOR Dst Mac Addr
  src-ip       Src IP Addr
  src-mac      Src Mac Addr

PVST configuration

1
2

spanning-tree mode rapid-pvst
spanning-tree vlan <VLANS>

Настройка Portfast

1
2

sw(config)#interface fa0/1
sw(config-if)# spanning-tree portfast

Настройка Bridge priority

1
2
3

spanning-tree vlan vlan-id root primary
spanning-tree vlan vlan-id root secondary
spanning-tree vlan <VLAN> priority <PRI>

Настройка стоимости портов

1

sw(config-if)# spanning-tree cost <COST>

1
2

show spanning tree
show spanning tree detail

3.0 IP Addressing (IPv4/IPv6)

3.5 Describe IPv6 addresses

IPv6

• большее адресное пространство
• большая эффективность маршрутизации
• автоконфигурация
• IPsec
• нет броадкастов
• нет контрольных сумм заголовков
• в заголовок добавлен Flow Label

Формат представления: x:x:x:x:x:x:x:x, где x - шестнадцатеричное число

• нули слева записывать необязательно
• последовательность 0 может быть заменена :: (но только один раз)
• 48-bit global prefix, 16-bit subnet ID and 64-bit interface ID

Виды адресов:

• Unicast (one-to-one)
• global: 2000::/3
• link-local: FE80::/10
• unique local: FC00::/7
• loopback: ::1
• reserved
• Multicast (one-to-many): FF00::/8
• Anycast (one-to-nearest)

Global Unicast адреса:

• на каждый интерфейс может быть назначено несколько адресов любого типа
• каждый интерфейс имеет по меньшей мере один loopback и один link-local адрес

Назначение IPv6 адреса:

• статическое, указываем полный адрес
• статическое, указываем сеть, младшие 64 бита генерирует EUI-64 как функцию от MAC интерфейса
• автоконфигурация
• DHCPv6

EUI-64

Метод генерации младших 64 бит адреса, используется MAC адрес, между старшими и младшими 3 байтами которого вставляется последовательность FF FE. При этом нужно инвертировать 7 бит MAC адреса.

Переход от IPv4 к IPv6

• Dual stack
• 6to4 tunneling
• ISATAP
• Teredo

4.0 IP Routing Technologies

4.1 Describe basic routing concepts

Process Switching - решение о маршрутизации и проверка RIB осуществляется ЦП для каждого пакета в отдельности Fast Switching - ЦП задействуется для принятия решения о первом пакете в потоке, далее эта информация кешируется и остальные пакеты маршрутизируются на основе данных в кеше. CEF - строится FIB и Adjacency table, в которых хранятся заранее рассчитанные данные, необходимые для машрутизации (интерфейс, MAC адрес следующего узла, IP адрес и т.п.). Эти таблицы хранятся в быстрой памяти, поиск по которой занимает намного меньше времени и может быть реализован аппаратно.

4.7 Configure and verify OSPF

Перимущества OSPF с одной зоной: роутеры одной зоны имеют полную информацию о топологии этой зоны, используются наиболее оптимальные маршруты.

Недостатки: при кол-ве роутеров более 50 (в некоторых источниках более 25-30) требования к памяти и вычислительным ресурсам каждого маршрутизатора возрастают и рекомендуется использовать несколько зон. Кроме этого это позволит осуществлять автосуммирование на ABR.

Конфигурирование OSPFv2

1
2
3
4

router ospf <PID>
router-id <ROUTER ID>
network <A.B.C.D> <REVERSE MASK> area <AREA>
(-if) ip ospf <PID> area <AREA>

1
2
3
4
5

show ip protocol
show ip ospf
show ip ospf neighbor
show ip ospf interface
show ip ospf database

Конфигурирование OSPFv3

1
2
3

router ospfv3 <PID>
router-id <ROUTER ID>
(-if) ipv6 router ospfv3 <PID> area <AREA>

Passive interface - не рассылает OSPF пакеты, но этот интерфейс анонсируется в LSA

типы LSA

4.8 Configure and verify interVLAN routing (Router on a stick)

Настройка сабинтерфейса на 101 влане, на маршрутизаторе:

1
2
3

interface fa1/0.101
 encapsulation dot1Q 101
 ip address 192.168.101.1 255.255.255.0

4.9 Configure SVI interfaces

1
2
3

interface vlan 101
 no shutdown
 ip address 192.168.101.254 255.255.255.0

4.10 Manage Cisco IOS Files

Типы памяти

• ROM - ПЗУ, хранит код bootstrap программы - ROMmon и POST
• Flash - перезаписываемая, в ней хранится образ IOS
• NVRAM - перезаписываемая, в ней хранятся конфиги
• ROM - оперативная память

Последовательность загрузки

• включается питание
• запускается bootstrap программа из ROM, которая запускает POST
• проверяется регистр confreg и определяется место, откуда будет загружаться образ IOS. По умолчанию (значение 2102), проверяется startup-config на наличие указаний откуда нужно грузить образ, если они отсутствуют, образ грузится из Flash памяти. Если образ отсутствует во Flash памяти, bootstrap пытается загрузить образ с TFTP сервера.
• образ загружается в RAM
• если startup-config отсутствует, запускается мастер конфигурации setup

Значения регистра:

0x2102 - поиск начальной конфигурации в NVRAM 0x2142 - игнорировать начальную конфигурацию в NVRAM

Установка/удаление лицензий

1
2
3
4

show license all
license install <URI>
license clear <URI>
license save <URI>

4.11 Configure and verify EIGRP (single AS)

Feasible Distance - Administrative distance + стоимость пути до маршрутизатора, анонсировавшего этот маршрут

Feasible Successors - резервные маршруты до сети назначения

Feasibility condition - условие, при котором маршрут становится FS, его AD должна быть меньше FD текцщего Successor’a

1
2

show eigrp topology
show eigrp topology all-links

Administrative distance - приоритет маршрутов, полученных от данного протокола маршрутизации, чем он меньше, тем лучшим считается маршрут.У EIGRP AD=90

1
2

router eigrp 65001
 distance eigrp 60 120

Metric composition - принцип расчёта метрики, по которым выбирается наилучший маршрут. Для расчёта метрики IEGRP использует 5 параметров, которые позволяют выбрать вес для следующих характеристик каналов: пропускная способность, задержка, надежность, загрузка канала. По умолчанию метрика пропорциональна сумме пропускной способности и задержки. Bandwith маршрута равна наименьшей bandwith составляющих его каналов.

1
2

router eigrp 65001
 metric weights 0 1 0 1 0 0

Router ID - уникальный в пределах AS идентификатор маршрутазатора

1
2

router eigrp 65001
 eigrp router-id 1.1.1.1

Auto summary - автосуммирование анонсированных маршрутов до классовых сетей

1
2

router eigrp 65001
 no auto-summary

Path selection - наилучшим считается маршрут с наименьшей композитной метрикой.

Load balancing - нагрузка балансируется для маршрутов с одинаковой метрикой. Возможна балансировка по маршрутам с разной метрикой между Successor и Fesible successor, если настроить variance, множителя, на который умножается FD лучшего маршрута для определения feasible маршрутов, по которым будет балансироваться нагрузка.

1
2
3

router eigrp 65001
 maximum-paths 6
 variance 2

5.0 IP Services

5.1 Configure and verify DHCP (IOS Router)

1
2
3
4
5
6
7
8

service dhcp
ip dhcp excluded-address
ip dhcp pool <POOL NAME>
 network <NETWORK> <MASK>
 domain-name <DOMAIN>
 dns-server <DNS>
 default-router <GW>
 lease <LEASE>

5.3 Configure and verify ACLs in a network enviroment

Именованый

1
2

R1(conf)# ip access-list standard <NAME>
R1(conf-std-nacl)# deny 10.0.0.0 0.0.0.255

Нумерованный

1

R1(conf)# access-list <1-99> deny 10.0.0.0 0.0.0.255

Применение ACL на интерфейсе

1

R1(conf-if)# ip access-group <1-99> <in | out>

Применение ACL на vty

1

R1(config-line)# access-class <1-99> <in | out>

5.4 Identify the basic operation of NAT

Static NAT

1
2
3
4

R1(config-if)# ip nat inside
...
R1(config-if)# ip nat outside
R1(config)# ip nat inside static 172.16.50.8 172.16.10.8

Dynamic NAT

1
2
3
4

...
access list 100 permit 10.0.0.0 0.0.0.255 any
ip nat pool MYPOOL 11.1.1.0 11.1.1.20 netmask 255.255.255.0
ip nat inside source  list 100 pool MYPOOL 

PAT (NAT overload)

1
2

...
ip nat inside source  list 100 pool MYPOOL overload

1

show ip nat translations

5.6 Configure and verify NTP as a client

1

ntp server 7.7.7.7

1
2

show clock detail
show ntp associations

5.7 Recognize High availibility

HSRP - проприетарный FHRP cisco, терминология:

• Active router
• Standby router
• Standby group
• Virtual IP & MAC

Virtual MAC - xxxx.xx07.acGG, xx - vendor ID, GG - stanby group number

Default values:

VRRP - IEEE standard (RFC2338)

6.0 Network device security

6.2 Configure and verify Switch Port Security

1

switch(config-if)# switchport port-security mac-address sticky

1

switch(config-if)# switchport port-security maximum 10

1

switch(config-if)# switchport port-security violation <protect | restrict | shutdown>

protect - отбрасывать небезопасные кадры, не увеличивая при этом счетчик security violation restrict - то же самое с увеличением счётчика shutdown - отключать порт, переходит в состояние err-disable

Автоматическое восстановление из состояния err-disable:

1

errdisable recovery interval <SECONDS>

7.0 Troubleshooting

7.2 Troubleshoot and resolve VLAN problems

1
2
3
4
5
6

show vlan
show mac-address-table
show interfaces switchport
show interface status
show interface description
show ip interface brief

7.3 Troubleshoot and resolve trunking problems on Cisco switches

1
2

show vlan
show interface trunk

7.4 Troubleshoot and resolve ACL issues

1
2
3

show ip interfaces
show access-lists
show ip access-lists

7.5 Troubleshoot and resolve Layer 1 problems

1

show interface

7.7 Troubleshoot and resolve spanning tree operation issues

1
2
3

show spanning-tree detail
show spanning-tree vlan <VLAN> detail
show spanning-tree interface <INT> detail

7.8 Troubleshoot and resolve routing issues

1

show ip route

7.9 Troubleshoot and resolve OSPF problems

1
2
3
4

show ip ospf neighbor
show ip ospf interface
show ip ospf statistics
show ip ospf database

7.10 Troubleshoot and resolve EIGRP problems

1
2
3

show ip protocols
show ip eigrp neighbors
show ip eigrp topology

7.11 Troubleshoot and resolve interVLAN routing problems

1
2
3

show vlan brief
show interface trunk
show ip interface brief

7.13 Monitor NetFlow statistics

1
2
3

show ip cache flow
show ip flow export
show ip flow interface

Настройка

1
2
3
4

SW(config-if)# ip flow ingress
SW(config-if)# ip flow egress
SW(config)# ip flow-export destination <IP> <PORT>
SW(config)# ip flow-export version <VERSION>

7.14 TS EtherChannel problems

Если не используется ни один из протоколов согласования параметров аггрегированного канала, нужно иметь ввиду, что на обоих концах канала следующие параметры портов должны совпадать:

• Speed settings
• Duplex settings
• STP settings
• VLAN membership (for access ports)
• Native VLAN (for trunk ports)
• Allowed VLANs (for trunk ports)
• Trunking Encapsulation (ISL or 802.1Q, for trunk ports)

1
2

show etherchannel <NUM> port-channel
show etherchannel summary

Двухточечный протокол канального уровня. Обеспечивает:

• аутентификацию (PAP и CHAP)
• автоматическую настройку интерфейсов на каждом конце по протоколу LCP
• обнаружение закольцованных связей (на физическом уровне)
• возможность работы нескольких протоколов 3 уровня на одном канале связи
• обнаружение ошибок
• многоканальную передачу, для передачи трафика через несколько физических каналов имея одно логическое соединение

LCP - Link Control Protocol, для установление соединения и согласования параметров соединения

NCP - Network Control Protocol, инициирует соединение и настройку различных протоколов сетевого уровня. Для IP - IPCP

Аутентификация

PAP - пароль передаётся в открытом тексте CHAP - challenge-response аутентификация, основанная на MD5

Конфигурация на маршрутизаторах Cisco:

1
2
3
4
5
6

hostname R1
username R2 password mypass
!
interface serial 0/1
 encapsulation ppp
 ppp authentication chap

Терминология EIGRP

• DUAL - Diffusing Update ALgorithm, алгоритм, который используется для вычисления новых маршрутов.
  • AD - Advertised Distance, стоимость расстояния между соседом и целевой подсетью
  • FD - Feasible Distance, AD + стоимость расстояния между локальным маршрутизатором и соседом
  • Successor - маршрут до целевой подсети с наименьшей стоимостью
  • Feasible - резервный маршрут, такой, у которого FD меньше чем AD successor’a

Типы пакетов

• Hello - для обнаружения соседей, единственный пакет, который не подтверждается
• Update - для обмена маршрутной информацией, основная работа
• Query - запрос маршрутной информацией к соседям
• Reply - ответ на запрос
• Ack - подтверждение

Стадии установления соседства

1. R1 и R2 отправляют Hello мультикастом
2. Получив Hello маршрутизатор вносит отправителя в список своих соседей
3. После установления соседства, роутер с большим IP первым отправляет Update, следом за ним второй, все они подтверждаются.

Формула расчёта метрики

bandwith(i) - минимальное значение bandwith на всём маршруте, в килобитах delay(i) - суммарная задержка на маршруте, измеряется в десятках микросекунд Load - худшая загрузка на маршруте, измеряется от 1 до 255 Reliability - худшее значение надежности на всём маршруте

По умолчанию: $\begin{align} \mbox{} K_1=K_3=1, K_2=K_4=K5=0 \end{align}$ При таких параметрах формула превращается в такую:

Балансировка нагрузки

Возможна балансировка по маршрутам с различной метрикой, настраивается параметром variance. Маршруты до подсети считаются эквивалентыми, если FD лучшего маршрута * variance < FD другого маршрута. Маршруты, у которых AD > чем FD лучшего маршрута не участвуют в определении эквивалентных маршрутов - такой механизм нужен для защиты от петель.

1. Базовая настройка

• Удалить старый конфиг
• Настроить hostname, dns lookup zone
• Отключить DNS запросы при ошибках в консоли
• Настроить консольный терминал
• Настроить NTP и таймзону
• Настроить удалённый доступ в MNGMT vlan

1

erase startup-config

1
2

hostname <hostname>
ip domain name <domain>

1

no ip domain lookup

1
2
3
4
5
6

line con 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
 login
 password <PASS>

1
2

ntp peer <IP>
clock timezone MSK +3

1
2
3
4
5
6
7
8
9

interface Vlan 2
 no shutdown
 ip address x.x.x.x x.x.x.x
enable secret <PASS>
line vty 0 15
 transport input ssh/telnet
 login local
 exec-timeout 0 0
ip default-gateway <IP>

2. Безопасность

• Запретить хранить пароли в конфигах в plaintext
• Интерфейсы к машинам перевести в режим access, к другим коммутаторам - в trunk
• Неиспользуемые интерфейсы отключить
• Для транковых интерфейсов настроить native vlan отличный от 1-го
• (опционально) Настроить на access интерфейсах port-security
• (опционально) Указать разрешенные vlan для транка

1

service password-encryption

1
2
3
4
5

interface range Gi0/1 - 6
 switchport mode access
 switchport access vlan <VLAN>
interface Gi0/24
 switchport mode trunk

1
2

interface range Gi0/7 - 23
 shutdown

1
2

interface Gi0/24
 switchport trunk native vlan 2

1
2
3
4

interface range Gi0/1 -6
 switchport port-security
 switchport port-security maximum <NUM>
 switchport port-security violation protect

1
2

interface Gi0/24
 switchport trunk allowed vlan <VLANS>

3. STP

• включить RPVST+
• выставить приоритет для всех вланов в соответствии с планом
• Portfast на всех access интерфейсах

1

spanning-tree mode rapid-pvst

1

spanning tree vlan <VLAN> priority <PRI>

1
2

interface range Gi0/1 - 6
 spanning-tree portfast

4. EtherChannel

• настроить интерфейсы так, чтобы их настройки совпадали с настройками аггрегированного интерфейса
• выключить интерфейсы, настроить аггрегированны линк статически, при помощи LACP и PaGP, включить интерфейсы
• выбрать подходящий режим балансировки

1
2

interface range Gi0/23 - 24
 switchport mode trunk

1
2
3
4

interface range Gi0/23 - 24
 shutdown
 channel-group 1 mode on
 no shutdown

1

port-channel load-balance <MODE>

5. Дополнительно

• перевести VTP в transparent mode

1

vtp mode transparent

Блокировать после нескольких неудачных попыток залогиниться

1

login block-for <timeout> attemts <num> within <timeot>

Логирование доступа

1
2

login on-success log
login on-failure log every 2

1
2
3
4
5
6

hostname <hostname>
ip domain name <domain name>
crypto key generate rsa general-keys modulus 1024
ip ssh time-out 90
ip ssh maxstartups 2 
ip ssh authentication-retries 2 

Настроить SSH на нестандартный порт

1
2
3

ip ssh port <port> rotary <group>
line vty 0 4
 rotary <group>

Терминология OSPF

• Router id - уникальный в пределах домена OSPF идентификатор маршрутизатора
• Area - совокупность маршрутизаторов, имеющих единую базу состояния каналов (LSDB). Существуют различные типы зон, вот некоторые из них:
  • Backbone area - зона с идентификатором 0.0.0.0, не может быть тупиковой.
  • Stub area - зона, в которой запрещено распространение External LSA, вместо этого распространяется Summary LSA с маршрутом по умолчанию.
  • Totally stub area - Stub зона, в которой кроме того запрещено распространение Summary LSA, вместо этого распространяется единственный Summary LSA с маршрутом по умолчанию.
  • NSSArea - Stub зона, в которой разрешено распространение Type 7 External LSA, которые предназначены для анонса внешних по отношению к автономной системе маршрутов.
• LSDB - база данных, содержащая информацию о состоянии всех каналов, формируется путём обмена сообщениями LSA.
• LSA - сообщение, описывающее состояние канала или сети. Существуют LSA разных типов, вот некоторые из них:
  • Router LSA (Type 1) - объявление о состоянии каналов маршрутизатора, распространяется внутри зоны, отправляется всеми роутерами.
  • Network LSA (Type 2) - объявление о состоянии каналов сети, распространяется внутри зоны, отправляется DR.
  • Network Summary LSA (Type 3) - суммарное объявление о состоянии каналов в сети, не содержит информации о топологии сети, содержит маршруты и метрики к сетям вне зоны, распространяется ABR.
  • ASBR Summary LSA (Type 4) - суммарное объявление о состоянии каналов пограничного маршрутизатора автономной системы, распространяется ABR, то же что LSA 3, только распространяется информация о состоянии каналов ASBR.
  • AS External LSA (Type 5) - объявление о состоянии внешних каналов автономной системы, рапространяется в пределах всей автономной системы, отправялется ASBR.
  • AS External LSA for NSSA (Type 7) - объявление о состоянии внешних каналов автономной системы в NSSA зоне, аналогично LSA Type 5, рапространяется только в пределах NSSA зоны, отправялется ASBR.

Типы маршрутизаторов OSPF

• Backbone router - один из интерфейсов относится к магистральной зоне
• Internal router - все интерфейсы маршрутизатора находятся в одной зоне
• Area Border Router - соединяет одно или больше зон с магистральной зоной, для каждой зоны имеет отдельную базу состояний каналов
• AS Boundary Router - пограничный маршрутизатор автономной системы, один из интерфейсов связан с другой автономной системой или доменом маршрутизации другого протокола

Типы пакетов OSPF

• Database Description - описание всех LSA, хранящихся в LSDB маршрутизатора
• Link State Request - запрос с описанием тех LSA, которых не хватает в LSDB
• Link State Update - сообщение, в котором передаются полные LSA
• Link State Acknowledgment - подтверждение о получении конкретных LSA с их описанием

Стадии обмена маршрутной информацией

1. Установление отношений смежности
2. Обмен информацией о состоянии каналов
3. Вычисление кратчайших путей по алгоритму SPF до всех подсетей

Установление отношений смежности

Есть отношения соседства и отношения смежности. LSA передаются только между маршрутизаторами установившими отношения смежности. Отношения смежности устанавливаются путём передачи Hello пакетов, которые также выполняют роль keepalive пакетов. Для установления смежности необходимо, чтобы на обоих маршрутизаторах совпадали следующие параметры:

• Hello interval
• Router Dead Interval = 4 * Hello interval
• Area ID
• Authentication
• Stub area flag
• сеть и маска сети на интерфейсах

1
2
3
4
5

interface type number
ip ospf hello-interval seconds
ip ospf dead-interval seconds
ip ospf authentication-key key # plaintext
ip ospf message-digest-key key-id md5 key # md5

В point-to-point соединениях сразу устанавливаются отношения смежности. В сетях с широковещанием происходят выборы DR и BDR, остальные маршрутизаторы устанавливают с ними отношения смежности, а друг с другом - отношения соседства.

Отношения соседства происходят следующим образом:

1. Маршрутизатор R1 отправляет Hello сообщение на мультикастовый адрес 224.0.0.5.Маршрутизатор R2 принимает его, и если соответствующие параметры совпадают вносит его в список соседей.
2. R2 юникастом отправляет также Hello сообщение, в котором в списке соседей уже указан R1, т.е. он его уже считает своим соседом. R1 принимает сообщение, находит себя в списке соседей, также вносит R2 в список соседей, между ними устанавливаются отношения смежности. R1 и R2 переходят в состояние TWO WAY
3. Далее происходит обмен информацией о состоянии каналов.

Обмен информацией о состоянии каналов

1. Маршрутизаторы обмениваются DBD сообщениями с описанием LSDB. Первым DBD отправляет маршрутизатор с большим Router ID.
2. Подтвердив получение DBD сообщениями LSAck, R1 и R2 посылают друг другу LSR с указанием тех LSA, которые им незвестны, переходя в состояние LOADING
3. Получив LSR, маршрутизатор отправляет LSU, которые содержат в себе LSA с детальной информацией о подсетях.

Состояния узлов OSPF

• Down - процесс OSPF запущен, но ни одно Hello сообщение не отправлялось. Например в случае когда мы запустили OSPF, но все интерфейсы в состоянии passive
• Init - процесс OSPF отправил Hello сообщение и ждет ответа.
• Two way - отношение соседства установлено, т.е. совпали все параметры Hello сообщений и маршрутизатор увидел себя в списке соседей пришедшего Hello сообщения. Такое состояние принимают DROTHER маршрутизаторы между собой в широковещательной сети.
• Exstart - определяется Master и Slave в паре, на основании Router ID, у кого больше, тот становится Master
• Exchange - обмен DBD сообщениями
• Loading - во время обмена LSA, в случае если в DBD соседа есть сети, которых нет у маршрутизатора.
• Full - когда LSDB на двух маршрутизаторах синхронизирована.