Ejemplo de Configuración de las Mejoras OSPF de ASA Versión 9.2.1

Introducción

Este documento explica las nuevas funciones y comandos introducidos en Adaptive Security Appliance (ASA) Software Release 9.2.1 relacionados con el protocolo Open Shortest Path First (OSPF).

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información de este documento se basa en el firewall Cisco ASA serie 5500-X que ejecuta Cisco ASA Software versión 9.2.1 y posteriores.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Nota: Use la Command Lookup Tool (clientes registrados solamente) para obtener más información sobre los comandos usados en esta sección.

Diagrama de la red

Configuraciones

Soporte OSPF para Hellos Rápidos

Los paquetes hello OSPF son paquetes que un proceso OSPF envía a sus vecinos OSPF para mantener la conectividad con esos vecinos. Estos paquetes hello se envían en un intervalo configurable (en segundos). Los valores predeterminados son 10 segundos para un link Ethernet y 30 segundos para un link no broadcast. Los paquetes Hello incluyen una lista de todos los vecinos para los cuales se ha recibido un paquete hello dentro del intervalo muerto. El intervalo muerto también es un intervalo configurable (en segundos) y el valor predeterminado es cuatro veces el valor del intervalo hello. El valor de todos los intervalos hello debe ser el mismo dentro de una red. Del mismo modo, el valor de todos los intervalos muertos debe ser el mismo dentro de una red.

Los paquetes de saludo rápido OSPF hacen referencia a los paquetes hello que se envían a intervalos de menos de 1 segundo. Para habilitar los paquetes de saludo rápido OSPF, ingrese el comando ospf dead-interval. Para los saludos de menos de un segundo, el intervalo muerto se establece en 1 segundo o mínimo y el valor hello-multiplier se establece en el número de paquetes hello que desea enviar en ese 1 segundo. Por ejemplo, si el intervalo muerto se establece en 1 segundo y el multiplicador hello en 4, los saludos se enviarán cada 0,25 segundos.

Cuando se configuran paquetes de saludo rápido en la interfaz, el intervalo hello anunciado en los paquetes hello que se envían a esta interfaz se establece en 0. Se ignora el intervalo hello en los paquetes hello recibidos a través de esta interfaz. Es importante señalar que el intervalo muerto debe ser coherente en un segmento. Tanto si se establece en 1 segundo (para paquetes hello rápidos) como si se establece en cualquier otro valor, debe ser consistente entre los vecinos de ese segmento. El multiplicador hello no debe ser el mismo para todo el segmento siempre y cuando se envíe al menos un paquete hello dentro del intervalo muerto.

Para habilitar los saludos rápidos con un múltiplo de 4, ingrese el comando ospf dead-interval minimum hello-multiplier 4 bajo la configuración de interfaz apropiada.

 interface GigabitEthernet0/0
 nameif inside
 security-level 100
 ip address 198.51.100.1 255.255.255.0
 ospf dead-interval minimal hello-multiplier 4

router ospf 1
 network 198.51.100.0 255.255.255.0 area 0

Verifique con el comando show ospf interface.

asa(config)# show ospf interface

inside is up, line protocol is up
  Internet Address 198.51.100.1 mask 255.255.255.0, Area 0
  Process ID 928, Router ID 198.51.100.1, Network Type BROADCAST, Cost: 10
  Transmit Delay is 1 sec, State DR, Priority 1
  Designated Router (ID) 198.51.100.1, Interface address 198.51.100.1
  No backup designated router on this network
  Timer intervals configured, Hello 250 msec, Dead 1, Wait 1, Retransmit 5
    Hello due in 48 msec
  Index 1/1, flood queue length 0
  Next 0x0(0)/0x0(0)
  Last flood scan length is 0, maximum is 0
  Last flood scan time is 0 msec, maximum is 0 msec
  Neighbor Count is 0, Adjacent neighbor count is 0
  Suppress hello for 0 neighbor(s)

Nuevos Comandos de Temporizador OSPF para el Anuncio de Estado de Link y la Regulación SPF

Estos comandos se introdujeron en ASA versión 9.2.1 y posteriores: timers lsa entry, timers pacing, timers throttle lsa y timers throttle spf como parte de la configuración del router OSPF.

asa(config-router)# timers ?

router mode commands/options:
  lsa       OSPF LSA timers
  pacing    OSPF pacing timers
  throttle  OSPF throttle timers

Estos comandos se han eliminado: timers spf y timers lsa-groups-pacing.

En estos documentos se puede encontrar más información sobre las ventajas de la regulación de los anuncios de estado de enlace (LSA) y la ruta más corta primero (SPF):

• Primera Regulación de la Trayectoria Más Corta OSPF
• Anuncio de estado de link (LSA) OSPF

Filtrado de Ruta OSPF con una ACL

Ahora se admite el filtrado de rutas con una lista de control de acceso (ACL). Esto se logra con el comando distribute-list para filtrar rutas.

Por ejemplo, para filtrar las rutas para 10.20.20.0/24, la configuración sería similar a la siguiente:

access-list ospf standard deny host 10.20.20.0
access-list ospf standard permit any4
!
router ospf 1
 network 198.51.100.0 255.255.255.0 area 0
 log-adj-changes
 distribute-list ospf in interface inside

Cuando se verifica la ACL asociada, indica que ha incrementado los recuentos de aciertos:

asa(config)# show access-list ospf
access-list ospf; 2 elements; name hash: 0xb5dd06eb
access-list ospf line 1 standard deny host 10.20.20.0 (hitcnt=1) 0xe29503b8
access-list ospf line 2 standard permit any4 (hitcnt=2) 0x51ff4e67

Además, se puede comprobar la base de información de routing (RIB) en el ASA para verificar más la funcionalidad. Ingrese el comando show ospf rib detail para informar de la base de datos de información de ruteo completa para el proceso del router OSPF. Los 'indicadores' asociados con cada ruta indican si se ha instalado o no en la RIB.

asa(config)# show ospf rib detail

            OSPF Router with ID (198.51.100.10) (Process ID 1)
OSPF local RIB
Codes: * - Best, > - Installed in global RIB

*>  172.18.124.0/32, Intra, cost 11, area 0
     SPF Instance 13, age 0:13:59
     Flags: RIB, HiPrio
      via 198.51.100.2, inside, flags: RIB 
       LSA: 1/198.51.100.2/198.51.100.2
*   10.20.20.0/32, Intra, cost 11, area 0
     SPF Instance 13, age 0:13:59
     Flags: HiPrio
      via 198.51.100.2, inside, flags: none 
       LSA: 1/198.51.100.2/198.51.100.2
*>  192.168.10.0/32, Intra, cost 11, area 0
     SPF Instance 13, age 0:13:59
     Flags: RIB, HiPrio
      via 198.51.100.2, inside, flags: RIB 
       LSA: 1/198.51.100.2/198.51.100.2
*   198.51.100.0/24, Intra, cost 10, area 0
     SPF Instance 13, age 0:52:52
     Flags: Connected
      via 198.51.100.10, inside, flags: Connected
       LSA: 2/198.51.100.2/192.151.100.10

En el resultado anterior, se han instalado los routers enumerados con los indicadores 'RIB', mientras que la ruta con los indicadores 'none' no se ha instalado. Esto debería reflejarse también en la tabla de ruteo global. Verifique con el comando show route. 

asa(config)# show route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route

Gateway of last resort is 10.106.44.1 to network 0.0.0.0

S*    0.0.0.0 0.0.0.0 [1/0] via 10.106.44.1, tftp
O        172.18.124.0 255.255.255.0 [110/11] via 198.51.100.2, 00:00:03, inside
O        192.168.10.0 255.255.255.0 [110/11] via 198.51.100.2, 00:00:03, inside
O        10.20.20.0 255.255.255.0 [110/11] via 198.51.100.2, 00:00:03, inside
S        10.76.76.160 255.255.255.255 [1/0] via 10.106.44.1, tftp
C        10.86.195.0 255.255.255.0 is directly connected, management
L        10.86.195.1 255.255.255.255 is directly connected, management

Mejoras de Monitoreo OSPF

Estos comandos se han introducido para ayudar a monitorear y observar el proceso del router OSPF. Los resultados de ejemplo de esos comandos se proporcionan como referencia.

show ospf interface brief

Ingrese el comando show ospf interface brief para obtener una instantánea rápida de las adyacencias presentes en este ASA.

asa(config)# show ospf interface brief

Interface    PID   Area            IP Address/Mask    Cost  State Nbrs F/C
inside          1     0               198.51.100.2/255.255.255.0    10    DR 1/1

show ospf statistics [Detail]

El comando show ospf statistics detail proporciona una breve descripción de cuándo se ejecutó SPF por última vez y cuántas veces se ejecutó. También indica cuántos LSA nuevos se agregan a la base de datos.

asa(config)# show ospf statistics detail


            OSPF Router with ID (198.51.100.10) (Process ID 1)

  Area 0: SPF algorithm executed 12 times

SPF 3 executed 00:32:56 ago, SPF type Full
  SPF calculation time (in msec):
  SPT    Intra  D-Intr Summ   D-Summ Ext7   D-Ext7 Total
        0      0      0      0      0      0      00
  LSIDs processed R:2 N:1 Stub:1 SN:0 SA:0 X7:0
  Change record 0x0
  LSIDs changed 1
  Changed LSAs. Recorded is LS ID and LS type:
  198.51.100.2(R)

SPF 4 executed 00:28:16 ago, SPF type Full
  SPF calculation time (in msec):
  SPT    Intra  D-Intr Summ   D-Summ Ext7   D-Ext7 Total
        0      0      0      0      0      0      00
  LSIDs processed R:1 N:1 Stub:0 SN:0 SA:0 X7:0
  Change record 0x0
  LSIDs changed 2
  Changed LSAs. Recorded is LS ID and LS type:
  198.51.100.2(R) 198.51.100.10(R)

SPF 5 executed 00:28:06 ago, SPF type Full
  SPF calculation time (in msec):
  SPT    Intra  D-Intr Summ   D-Summ Ext7   D-Ext7 Total
        0      0      0      0      0      0      00
  LSIDs processed R:2 N:1 Stub:1 SN:0 SA:0 X7:0
  Change record 0x0
  LSIDs changed 1
  Changed LSAs. Recorded is LS ID and LS type:
  198.51.100.2(R)

SPF 6 executed 00:26:40 ago, SPF type Full
  SPF calculation time (in msec):
  SPT    Intra  D-Intr Summ   D-Summ Ext7   D-Ext7 Total
        0      0      0      0      0      0      00
  LSIDs processed R:1 N:1 Stub:0 SN:0 SA:0 X7:0
  Change record 0x0
  LSIDs changed 2
  Changed LSAs. Recorded is LS ID and LS type:
  198.51.100.2(R) 198.51.100.10(R)

show ospf events neighbor

Este es un comando útil para verificar el estado de vecino OSPF, específicamente en el caso cuando OSPF está inestable. Proporciona una lista de eventos y transiciones de estado para cada vecino junto con la marca de hora de esos eventos. En este ejemplo, el vecino 10.10.40.1 transitó por los estados de INACTIVO a COMPLETO. 

asa(config)# show ospf events neighbor


            OSPF Router with ID (198.51.100.10) (Process ID 1)

 279 May 15 13:07:31.737: Neighbor 198.51.100.2, Interface inside state changes from
 LOADING to FULL
 280 May 15 13:07:31.737: Neighbor 198.51.100.2, Interface inside state changes from
 EXCHANGE to LOADING
 281 May 15 13:07:31.737: Neighbor 198.51.100.2, Interface inside state changes from
 EXSTART to EXCHANGE
 290 May 15 13:07:31.737: Neighbor 198.51.100.2, Interface inside state changes from
 2WAY to EXSTART
 296 May 15 13:07:31.738: Neighbor 198.51.100.2, Interface inside state changes from
 INIT to 2WAY
 297 May 15 13:07:31.728: Neighbor 198.51.100.2, Interface inside state changes from
 DOWN to INIT

show ospf events lsa

Este comando es útil para verificar cuáles LSA se han generado y recibido. Estos son útiles en caso de inestabilidad de link y inundación de LSA.

asa(config)# show ospf events lsa


            OSPF Router with ID (198.51.100.10) (Process ID 1)

 253 May 15 13:07:49.167: Rcv Changed Type-1 LSA, LSID 198.51.100.2,
 Adv-Rtr 198.51.100.2, Seq# 80000002, Age 1, Area 0
 271 May 15 13:07:32.237: Generate New Type-2 LSA, LSID 198.51.100.1,
 Seq# 80000001, Age 0, Area 0
 275 May 15 13:07:32.238: Generate Changed Type-1 LSA, LSID 198.51.100.10,
 Seq# 80000002, Age 0, Area 0
 276 May 15 13:07:32.228: Rcv New Type-1 LSA, LSID 198.51.100.2,
 Adv-Rtr 198.51.100.2, Seq# 80000001, Age 1, Area 0

show ospf events neighbor rib

Este comando proporciona información sobre las rutas agregadas en el RIB y el tipo de ruta instalada (Intra/Inter).

asa(config)# show ospf events neighbor rib

 255 May 15 13:07:54.168: RIB Update, dest 172.18.124.0, mask 255.255.255.255,
  gw 198.51.100.2, via inside, source 198.51.100.2, type Intra
 287 May 15 13:07:31.738: Neighbor 198.51.100.2, Interface inside state changes from
  LOADING to FULL
 288 May 15 13:07:31.738: Neighbor 198.51.100.2, Interface inside state changes from
  EXCHANGE to LOADING
 289 May 15 13:07:31.738: Neighbor 198.51.100.2, Interface inside state changes from
  EXSTART to EXCHANGE
 298 May 15 13:07:31.738: Neighbor 198.51.100.2, Interface inside state changes from
  2WAY to EXSTART
 304 May 15 13:07:31.738: Neighbor 198.51.100.2, Interface inside state changes from
  INIT to 2WAY
 305 May 15 13:07:31.728: Neighbor 198.51.100.2, Interface inside state changes from
  DOWN to INIT

show ospf events spf

A medida que se ejecuta el cálculo de SPF, los tiempos de ejecución y las posibilidades de LSA resultantes se registran en la lista de eventos SPF.

 asa(config)# show ospf events spf 
 235 May 15 13:07:54.167: End of SPF, SPF time 0ms, next wait-interval 10000ms
 240 May 15 13:07:54.167: Starting External processing in area 0
 241 May 15 13:07:54.167: Starting External processing
 244 May 15 13:07:54.167: Starting summary processing, Area 0
 250 May 15 13:07:54.167: Starting Intra-Area SPF, Area 0, spf_type Full
 251 May 15 13:07:54.167: Starting SPF, wait-interval 5000ms
 254 May 15 13:07:49.167: Schedule SPF, Area 0, spf-type Full, Change in LSA
 Type RLSID 198.51.100.2, Adv-Rtr 198.51.100.2
 255 May 15 13:07:37.227: End of SPF, SPF time 0ms, next wait-interval 10000ms
 260 May 15 13:07:37.228: Starting External processing in area 0
 261 May 15 13:07:37.228: Starting External processing
 264 May 15 13:07:37.228: Starting summary processing, Area 0
 268 May 15 13:07:37.228: Starting Intra-Area SPF, Area 0, spf_type Full
 269 May 15 13:07:37.228: Starting SPF, wait-interval 5000ms
 272 May 15 13:07:32.238: Schedule SPF, Area 0, spf-type Full, Change in LSA
 Type NLSID 198.51.100.1, Adv-Rtr 198.51.100.10
 274 May 15 13:07:32.238: Schedule SPF, Area 0, spf-type Full, Change in LSA
 Type RLSID 198.51.100.10, Adv-Rtr 198.51.100.10
 277 May 15 13:07:32.228: Schedule SPF, Area 0, spf-type Full, Change in LSA
 Type RLSID 198.51.100.2, Adv-Rtr 198.51.100.2

show ospf events generic

Esta salida contiene eventos genéricos de todo el proceso, como la elección del router designado (DR) y los cambios de adyacencia. 

asa(config)# show ospf events generic
 236 May 15 13:07:54.167: Generic:  ospf_external_route_sync0x0
 237 May 15 13:07:54.167: Generic:  ospf_external_route_sync0x0
 238 May 15 13:07:54.167: Generic:  ospf_external_route_sync0x0
 239 May 15 13:07:54.168: Generic:  ospf_external_route_sync0x0
 242 May 15 13:07:54.168: Generic:  ospf_inter_route_sync0x0
 243 May 15 13:07:54.168: Generic:  ospf_inter_route_sync0x0
 245 May 15 13:07:54.168: Generic:  post_spf_intra0x0
 246 May 15 13:07:54.168: Generic:  ospf_intra_route_sync0x0
 248 May 15 13:07:54.168: Generic:  ospf_intra_route_sync0x0
 249 May 15 13:07:54.168: DB add:  172.18.124.00x987668 204
 252 May 15 13:07:51.668: Timer Exp:  if_ack_delayed0xcb97dfe0
 256 May 15 13:07:37.228: Generic:  ospf_external_route_sync0x0
 257 May 15 13:07:37.228: Generic:  ospf_external_route_sync0x0
 258 May 15 13:07:37.228: Generic:  ospf_external_route_sync0x0
 259 May 15 13:07:37.228: Generic:  ospf_external_route_sync0x0
 262 May 15 13:07:37.228: Generic:  ospf_inter_route_sync0x0
 263 May 15 13:07:37.228: Generic:  ospf_inter_route_sync0x0
 265 May 15 13:07:37.228: Generic:  post_spf_intra0x0
 266 May 15 13:07:37.228: Generic:  ospf_intra_route_sync0x0
 267 May 15 13:07:37.228: Generic:  ospf_intra_route_sync0x0
 270 May 15 13:07:34.728: Timer Exp:  if_ack_delayed0xcb97dfe0
 273 May 15 13:07:32.238: DB add:  198.51.100.100x987848 206
 278 May 15 13:07:32.228: DB add:  198.51.100.20x987938 205
 283 May 15 13:07:31.738: Elect DR:  inside198.51.100.10
 284 May 15 13:07:31.738: Elect BDR:  inside198.51.100.2
 285 May 15 13:07:31.736: i/f state nbr chg:  inside0x5
 287 May 15 13:07:31.736: Elect DR:  inside198.51.100.10
 288 May 15 13:07:31.736: Elect BDR:  inside198.51.100.2
 289 May 15 13:07:31.736: i/f state nbr chg:  inside0x5
 291 May 15 13:07:31.736: nbr state adjok:  198.51.100.20x3
 293 May 15 13:07:31.736: Elect DR:  inside198.51.100.10
 294 May 15 13:07:31.736: Elect BDR:  inside198.51.100.2
 295 May 15 13:07:31.736: i/f state nbr chg:  inside0x5

show ospf rib detail

Este comando, mencionado anteriormente, permite a un administrador ver qué rutas se han aprendido de los peers y si esas rutas se han instalado o no en el RIB. Es posible que las rutas no se instalen en la RIB debido al filtrado de rutas (anteriormente enumerado).

asa(config)# show ospf rib detail

            OSPF Router with ID (198.51.100.1) (Process ID 1)
OSPF local RIB
Codes: * - Best, > - Installed in global RIB

*>  172.18.124.0/32, Intra, cost 11, area 0
     SPF Instance 13, age 0:13:59
     Flags: RIB, HiPrio
      via 198.51.100.2, inside, flags: RIB 
       LSA: 1/198.51.100.2/198.51.100.2
*   10.20.20.0/32, Intra, cost 11, area 0
     SPF Instance 13, age 0:13:59
     Flags: HiPrio
      via 198.51.100.2, inside, flags: none 
       LSA: 1/198.51.100.2/198.51.100.2
*>  192.168.10.0/32, Intra, cost 11, area 0
     SPF Instance 13, age 0:13:59
     Flags: RIB, HiPrio
      via 198.51.100.2, inside, flags: RIB 
       LSA: 1/198.51.100.2/198.51.100.2
*   198.51.100.0/24, Intra, cost 10, area 0
     SPF Instance 13, age 0:52:52
     Flags: Connected
      via 198.51.100.10, inside, flags: Connected
       LSA: 2/198.51.100.2/192.151.100.10

show ospf neighbor detail

El comando show ospf neighbor detail le permite detallar el estado de la adyacencia OSPF.

 asa(config)# show ospf neighbor detail

 Neighbor 198.51.100.2, interface address 198.51.100.2
    In the area 0 via interface ISP
    Neighbor priority is 1, State is FULL, 6 state changes
    DR is 198.51.100.10 BDR is 198.51.100.2
    Options is 0x12 in Hello (E-bit, L-bit)
    Options is 0x52 in DBD (E-bit, L-bit, O-bit)
    Dead timer due in 0:00:16
    Neighbor is up for 00:02:45
    Index 1/1, retransmission queue length 0, number of retransmission 0
    First 0x0(0)/0x0(0) Next 0x0(0)/0x0(0)
    Last retransmission scan length is 0, maximum is 0
    Last retransmission scan time is 0 msec, maximum is 0 msec

OSPF Redistribute BGP

Para admitir la redistribución BGP (Border Gateway Protocol) dentro y fuera de otros protocolos de ruteo, el comando redistribute bgp se ha introducido en la configuración del router OSPF. Ingrese este comando para redistribuir el ruteado aprendido a través de BGP en el proceso OSPF en ejecución.

asa(config)# router ospf 1
asa(config-router)# redistribute bgp ?
  router mode commands/options:
  100  Autonomous system number
ASA-1(config-router)# redistribute bgp 100

Verificación

Actualmente, no hay un procedimiento de verificación disponible para esta configuración.

Troubleshoot

Actualmente, no hay información específica de troubleshooting disponible para esta configuración.