Redistribution OSPF entre différents processus OSPF
Contenu
Introduction
Ce document fournit des instructions pour la redistribution de l'Open Shortest Path First (OSPF) entre différents processus. La redistribution entre différents processus est difficile, et des mesures spéciales sont nécessaires pour le bon fonctionnement du réseau. Ce document met en valeur également quelques changements apportés dans le logiciel Cisco IOS®.
Pourquoi redistribuer entre deux processus OSPF ?
Il peut y avoir plusieurs raisons de redistribution entre plusieurs processus. Voici quelques exemples :
-
Filtrer une route OSPF à partir d’une partie du domaine
-
Séparer différents domaines OSPF
-
Migrer entre des domaines distincts
Bien que la redistribution entre différents processus puisse être nécessaire dans certains cas, une autre solution de conception (si possible) est un choix plus approprié, comme nous le verrons dans les sous-sections de cette section.
Filtrer la route OSPF
Routes intra-zone
Dans le protocole OSPF, les préfixes IP d’une zone ne sont pas échangés directement entre les routeurs. Ils font partie de la LSA (Link State Advertisement) qui annonce également la topologie du réseau ; par conséquent, il n'y a aucun moyen de filtrer les routes dans une zone.
Une solution consisterait à utiliser un processus différent et à filtrer les routes désirées sur les routeurs de redistribution ; cependant, cela sépare la zone en deux domaines. Une meilleure conception consisterait à séparer la zone en différentes zones et à utiliser la fonction de filtrage de type 3 de Cisco IOS, qui est expliquée plus loin.
Routes inter-zones
Dans le protocole OSPF, tous les routeurs d’une zone ont exactement la même topologie. Une zone ne connaît pas la topologie d'une autre zone ; par conséquent, il s’appuie sur les informations annoncées par les routeurs ABR (Area Border Router) connectés.
Les informations annoncées à l'intérieur d'une zone par un ABR (comme LSA de type 3) sont en fait les préfixes IP qui sont appris à partir de zones distantes ou qui sont calculés pour d'autres zones attachées.
Un routeur ABR crée ces routes :
-
Routes intra-zone non de backbone dans le backbone
-
Routes intra-zone et inter-zone de backbone vers une zone non-backbone
Par conséquent, entre les zones, il existe un comportement à vecteur de distance qui peut être exploité pour filtrer les routes entre les zones.
La plate-forme logicielle Cisco IOS a mis en oeuvre une fonctionnalité de filtrage interzone. Pour plus d'informations sur cette fonctionnalité, référez-vous à Filtrage LSA OSPF ABR de type 3.
Filtrage de route externe
Étant donné que les routes externes sont annoncées en tant que LSA de type 5 et sont diffusées à l’échelle du domaine, sauf dans les zones d’extrémité et les zones de non-extrémité (NSSA), il n’existe actuellement aucun moyen de filtrer une LSA de type 5. Une solution consiste à avoir un processus différent et à filtrer entre les processus tout en redistribuant.
Garder les différents domaines OSPF séparés
Il est considéré comme une pratique courante d'utiliser différents processus OSPF afin de séparer différents domaines de routage IP, soit à des fins administratives, soit pour segmenter le domaine de routage et pour contrôler les informations de routage dans le point de redistribution.
Il convient toutefois de noter que l'instabilité dans un domaine peut affecter l'autre. Par exemple, s’il y a un changement dans le réseau OSPF (de type 1 et 2) où un routeur ASBR (Autonomsystem Border Router) réside entre les deux domaines, toutes les LSA de type 5 seront relancées et diffusées sur l’ensemble du domaine distant. Ainsi, si un réseau est instable en permanence, cela peut conduire à une injection et à un retrait constants de LSA de type 5 dans l’autre domaine.
Un meilleur choix de conception consiste à utiliser le protocole BGP (Border Gateway Protocol) entre différents domaines. Dans ce cas, l'échange OSPF entre différents domaines passe par BGP ; et, parce que BGP a une capacité d'atténuation, l'instabilité dans un domaine sera moins visible dans l'autre domaine.
Redistribution entre différents processus OSPF
Comme mentionné précédemment, il peut y avoir une solution alternative à la redistribution entre plusieurs processus. La section montre comment la redistribution entre différents processus doit être planifiée avec soin, en fonction du nombre de points de redistribution.
Règle de préférence de route OSPF
La règle de sélection de route OSPF est que les routes intra-zone sont préférées aux routes inter-zones, qui sont préférées aux routes externes. Cependant, cette règle doit s’appliquer aux routes apprises via le même processus. En d'autres termes, il n'existe aucune préférence entre les routes externes d'un processus par rapport aux routes internes d'un autre processus.
La règle de préférence entre un processus OSPF donné et tout autre processus (qu’il s’agisse d’OSPF ou d’un autre protocole de routage) doit suivre la règle de distance administrative. Cependant, étant donné que les différents processus OSPF ont la même distance administrative par défaut, la distance OSPF doit être configurée explicitement pour différents processus OSPF afin d'obtenir le comportement souhaité.
Point de redistribution unique
Lorsqu'il y a un point de redistribution unique, tous les échanges entre les domaines se produisent à un point unique et il n'y a aucun moyen qu'une boucle de redistribution puisse se former. Voici un exemple de configuration :
Figure 1
| Configuration du routeur A |
|---|
router ospf 1 redistribute ospf 2 subnet router ospf 2 redistribute ospf 1 subnet |
Deux points de redistribution
C'est plus compliqué quand il y a deux points de redistribution. Si la redistribution est effectuée dans les deux points d'un réseau sans aucun soin particulier, il peut y avoir des résultats inattendus.
Considérez la topologie suivante, dans laquelle les routeurs A et B se redistribuent mutuellement entre les deux domaines. Cette configuration ne fonctionne pas, comme nous le verrons plus loin dans cette section.
Figure 2
| Configuration des routeurs A et B |
|---|
router ospf 1 redistribute ospf 2 subnet router ospf 2 redistribute ospf 1 subnet |
Avec un réseau N dans le domaine 1, les routeurs A et B apprennent le réseau N comme route interne dans le domaine 1. Comme ils redistribuent le processus 1 dans le processus 2, le même réseau N est appris dans le domaine 2 comme route externe.
Maintenant, dans chaque routeur, le réseau interne appris via un processus est en concurrence avec le réseau externe d’un autre processus. Comme indiqué précédemment, il n'existe pas de règle de préférence entre les différents processus ; par conséquent, le résultat serait indéterministe, étant donné que les deux processus ont la même distance administrative.
Avant l'ID de bogue Cisco CSCdw10987 (clients enregistrés uniquement) (intégré dans le logiciel Cisco IOS Versions 12.2(07.04)S, 12.2(07.04)T et ultérieures), le dernier processus de création d'un algorithme SPF (Shortest Path First Algorithm) aurait remporté, et les processus remplacent d’autres routes dans la table de routage. Maintenant, si une route est installée via un processus, elle n'est pas écrasée par un autre processus OSPF avec le même domaine administratif (AD), sauf si la route est d'abord supprimée de la table de routage par le processus qui a initialement installé la route dans la table de routage.
Distance administrative
Lorsque vous utilisez la redistribution entre plusieurs processus, vous pouvez utiliser la distance administrative afin de préférer un processus à un autre, parce que les préférences de route OSPF s'appliquent uniquement dans le même processus. Cependant, cela ne suffit pas pour fonctionner correctement dans le réseau, comme expliqué plus loin dans cette section.
Figure 3
| Configuration des routeurs A et B |
|---|
router ospf 1 redistribute ospf 2 subnet distance ospf external 200 router ospf 2 redistribute ospf 1 subnet distance ospf external 200 |
Fonctionnement du réseau sans défaillance du réseau
Considérez un réseau N dans le domaine 1, où N sera appelé route interne dans le domaine 1 et sera redistribué par le routeur A et par le routeur B. Comme la distance administrative des routes externes a été augmentée, les routeurs A et B choisiront le processus OSPF 1 pour atteindre le réseau N.
D’une manière plus générale, tous les réseaux internes au domaine 1 sont accessibles via le domaine 1 et tous les réseaux internes au domaine 2 sont accessibles via le domaine 2, par le routeur A et le routeur B. Les autres routeurs de chaque domaine récupèrent le routeur ASBR le plus proche (si la métrique de type 2 est utilisée) ou le chemin le plus court via l'un des routeurs ASBR (si la métrique de type 1 est utilisée).
Si des préfixes sont externes aux deux domaines (qui proviennent d'autres points de redistribution), le même problème se produira toujours car la distance administrative de ces routes externes est la même dans les deux processus. Si vous différenciez la distance administrative des processus externes, le problème ne sera pas résolu. Voici un exemple :
Figure 4
Le routeur C (ASBR) annonce le N externe dans le domaine 1. Ce préfixe est redistribué par les routeurs A et B dans le domaine 2 et atteint chacun des routeurs ; par conséquent, N sera externe dans les deux domaines. Pour que les opérations soient correctes, la distance administrative des routes externes doit être différente pour les deux processus, de sorte qu'un domaine soit préféré à l'autre. Supposons que la distance administrative pour le domaine 1 est définie en dessous du domaine 2.
Maintenant, si le routeur D (ASBR) annonce le M externe dans le domaine 2, ce préfixe est redistribué par le routeur A et le routeur B dans le domaine 1 et il atteindra chacun des routeurs. Par conséquent, M sera externe dans les deux domaines et, comme la distance administrative est inférieure pour le domaine 1, M sera accessible via le domaine 1. Cette séquence d'événements peut se produire :
-
Le routeur A (routeur B) redistribue M dans le domaine 1, et le routeur M externe atteint le routeur B (routeur A).
-
Comme la distance administrative du domaine 1 est inférieure à celle du domaine 2, le routeur A (routeur B) installera M via le domaine 1 et sera configuré de manière à maxiser sa LSA d'origine précédente (événement 1) dans le domaine 1.
-
Comme M a été défini sur maxage dans le domaine 2, le routeur A (routeur B) installera M via le domaine 2 et, par conséquent, redistribuera M dans le domaine 2.
-
Identique à l'événement 1.
Ce cycle se poursuit, et la façon de le réparer est d'avoir le préfixe de domaine 2 accessible via le domaine 2. Cependant, si la distance administrative est définie plus bas pour le domaine 2, le même problème se produira pour le domaine 1 et pour le préfixe N.
La solution consiste à définir la distance administrative en fonction du préfixe. Pour plus d'informations, reportez-vous aux sections Filtrage basé sur les préfixes et Filtrage basé sur les préfixes et Distance administrative basée sur les préfixes.
Fonctionnement Du Réseau En Cas De Panne Du Réseau
Vous voulez qu'un domaine sauvegarde l'autre domaine, au cas où un domaine est inaccessible.
Par exemple, considérez le cas où le routeur A a perdu la connectivité au réseau N via le domaine 1. Une fois que le routeur A perd sa connectivité via le domaine 1, il purge sa LSA précédemment générée en annonçant le réseau N dans le domaine 2 et installe le chemin vers le réseau N via le domaine 2 via le réseau externe reçu de B. Puisque le processus 2 est redistribué dans le processus 1, le routeur A injectera également un réseau externe N dans le domaine 1.
Figure 5
À présent, tous les routeurs du domaine 2 utilisent le routeur B pour atteindre le réseau N ; et le routeur A (ou la partie du domaine 1 qui a perdu la connectivité au réseau N via le domaine 1) utilisera le domaine 2 pour la connectivité au réseau N. Ce scénario reste valide si le routeur B a perdu la connectivité au réseau N au lieu du routeur A.
Si les routeurs A et B perdent tous deux la connectivité au réseau N (par exemple, si le routeur C tombe en panne), cette séquence d’événements peut se produire :
-
Avant que le réseau N ne devienne inaccessible, les routeurs A et B ont appris le réseau N via le processus 1 et l’ont redistribué en processus 2 comme externe.
-
Les routeurs A et B détectent (presque en même temps) que le réseau N est inaccessible via le domaine 1 ; par conséquent, ils vident leur N précédemment externe dans le domaine 2.
-
Avant que le routeur A (routeur B) ne reçoive la LSA vidée du routeur B (routeur A), il installe le N externe via le domaine 2 (distance administrative supérieure) comme route de secours.
-
Puisque le routeur A (routeur B) a installé N au cours du processus 2, il générera un N externe dans le domaine 1.
-
Le routeur A (routeur B) reçoit la LSA vidée (événement 1) du routeur B (routeur A). Il supprimera le N réseau via le processus 2 et, par conséquent, videra le N externe dans le domaine 1. Le réseau N a été appris via le domaine 2 et redistribué dans le domaine 1.
-
Avant que le routeur A (routeur B) ne reçoive la LSA vidée du routeur B (routeur A), il installera le réseau externe N via le domaine 1, car N a été vidé via le domaine 2.
-
Puisque le routeur A (routeur B) a installé le réseau N au cours du processus 1, il générera un N externe dans le domaine 2.
Vous pouvez voir qu'il existe une condition de course qui peut apparaître d'un domaine à l'autre. Dans les événements 1, 4 et 7, le routeur A génère un réseau N externe dans le domaine 2 ; et dans les événements 2 et 5, le routeur A retire le préfixe. Le problème se produit parce que les routes apprises via un domaine sont redistribuées au même domaine.
Solution proposée
Cette section montre comment empêcher une route qui appartient à un domaine de redistribuer vers le même domaine afin d'éviter les boucles de routage.
Utiliser la commande distance 255
La section précédente montre comment une boucle de routage est créée si les préfixes acquis d'un domaine sont redistribués au même domaine. Comme la redistribution se produit à partir d'une table de routage, vous pouvez empêcher l'installation d'une route appartenant au domaine 1 et apprise du routeur distant sur le domaine 2 dans la table de routage. Par conséquent, le routeur ne redistribuera pas ces routes au domaine 1.
Pour ce faire, entrez la commande distance 255 router_ID inverse_mask access-list. Cette commande indique au routeur de refuser tous les préfixes reçus par un routeur distant avec l’ID de routeur spécifié et qui correspondent à la liste de contrôle d’accès (ACL) de la table de routage.
Dans la Figure 6, le routeur A utilise la commande access-list 1 afin de faire correspondre toutes les routes du domaine 1 et utilise la commande distance 255 dans le processus 1 afin de refuser les routes reçues du routeur B qui correspondent aux préfixes appartenant au domaine 1.
Lorsque vous utilisez la commande distance 255, elle refuse toute route reçue du routeur B qui appartient au domaine 1. Étant donné que le routeur B redistribue toutes les routes du domaine 1 dans le domaine 2, le routeur A n’installera pas ces routes et, par conséquent, ne redistribuera pas dans le domaine 1.
Figure 6
| Configuration du routeur A | Configuration du routeur B |
|---|---|
router ospf 1 redistribute ospf 2 subnet distance 255 <Router B> 0.0.0.0 2 ! access-list 1 !--- Matches the router in Domain 2. router ospf 2 redistribute ospf 1 subnet distance 255 <Router B> 0.0.0.0 1 ! access-list 2 !--- Matches the route in Domain 1. |
router ospf 1 redistribute ospf 2 subnet distance 255 <Router A> 0.0.0.0 2 ! access-list 1 !--- Matches the router in Domain 2. router ospf 2 redistribute ospf 1 subnet distance 255 <Router A> 0.0.0.0 1 ! access-list 2 !--- Matches the route in Domain 1. |
La commande précédente distance ospf external 200 n'est plus nécessaire car les routes apprises à partir du routeur distant via l'un des processus ne sont pas installées.
Cette configuration fonctionne correctement dans les cas où les deux routeurs perdent la connectivité au réseau (comme décrit dans Fonctionnement du réseau sans défaillance du réseau et Fonctionnement du réseau avec défaillance du réseau). Cependant, comme les préfixes sont refusés de la table de routage, les domaines ne peuvent pas se sauvegarder.
Filtrer les routes en fonction des balises
Il existe une nouvelle fonctionnalité dans le logiciel Cisco IOS (à partir de l'ID de bogue Cisco CSCdt43016 (clients enregistrés uniquement) ) qui vous permet de filtrer les routes en fonction de la balise. Pour empêcher la redistribution des routes d'un domaine vers le même domaine, un routeur peut marquer une route qui appartient à un domaine lors de sa redistribution, et vous pouvez filtrer ces routes sur le routeur distant en fonction de la même balise. Comme les routes ne seront pas installées dans la table de routage, elles ne seront pas redistribuées dans le même domaine.
Figure 7
| Configuration des routeurs A et B |
|---|
router ospf 1 redistribute ospf 2 subnet tag 1 distribute-list 1 route-map filter_domain2 in ! route-map filter_domain2 deny 10 match tag 2 route-map filter_domain2 permit 20 router ospf 2 redistribute ospf 1 subnet tag 2 distribute-list 1 route-map filter_domain1 in ! route-map filter_domain1 deny 10 match tag 1 route-map filter_domain1 permit 20 |
Lorsque vous redistribuez à partir du domaine 1, les routes sont marquées avec la balise 1 et filtrées sur le routeur distant en fonction de la même balise. Lorsque vous redistribuez à partir du domaine 2, les routes sont marquées avec la balise 2 et filtrées sur le routeur distant en fonction de la même balise.
Cette configuration fonctionne correctement dans les cas où les deux routeurs perdent la connectivité au réseau (comme décrit dans Fonctionnement du réseau sans défaillance du réseau et Fonctionnement du réseau avec défaillance du réseau). Cependant, comme les préfixes sont refusés de la table de routage, les domaines ne peuvent pas se sauvegarder.
Utiliser le mot clé interne correspondant lors de la redistribution
Lorsque vous redistribuez à partir d'un domaine, vous pouvez utiliser le mot clé match internal pour redistribuer uniquement les routes internes qui appartiennent à un domaine dans un autre domaine. Cela empêche la redistribution des préfixes déjà externes dans le même domaine.
Figure 8
| Configuration des routeurs A et B |
|---|
router ospf 1 redistribute ospf 2 subnet match internal distance ospf external 200 ! router ospf 2 redistribute ospf 1 subnet match internal distance ospf external 200 ! |
Cette configuration fonctionne correctement dans les cas où les deux routeurs perdent la connectivité au réseau (comme décrit dans Fonctionnement du réseau sans défaillance du réseau et Fonctionnement du réseau avec défaillance du réseau). Un domaine peut sauvegarder l'autre domaine.
S'il existe déjà des préfixes externes dans l'un ou l'autre des domaines (tels que les préfixes externes qui ont été redistribués via un autre protocole), ces préfixes ne seront pas redistribués vers d'autres domaines, car seuls les préfixes internes sont redistribués. En outre, il n'y a aucun contrôle sur les préfixes externes et tous les préfixes externes seront bloqués.
Filtrage basé sur les préfixes
Lorsque vous redistribuez à partir d'un domaine, les préfixes peuvent être comparés à une liste de contrôle d'accès pour éviter la redistribution des préfixes qui appartiennent à un domaine dans le même domaine.
Figure 9
| Configuration des routeurs A et B |
|---|
router ospf 1 redistribute ospf 2 subnet route-map filter_domain2 distance ospf external 200 ! route-map filter_domain2 permit 10 match ip address 1 ! access-list 1 !--- Matches the prefix in Domain 1. router ospf 2 redistribute ospf 1 subnet route-map filter_domain1 distance ospf external 200 ! route-map filter_domain1 permit 20 match ip address 2 ! access-list 2 !--- Matches the prefix in Domain 2. |
Cette configuration fonctionne correctement dans les cas où les deux routeurs perdent la connectivité au réseau (comme décrit dans Fonctionnement du réseau sans défaillance du réseau et Fonctionnement du réseau avec défaillance du réseau). Un domaine peut sauvegarder l'autre domaine.
Figure 10
| Configuration des routeurs A et B |
|---|
router ospf 1 redistribute ospf 2 subnet tag 1 route-map filter_domain2 distance ospf 2 external 200 ! route-map filter_domain2 deny 10 match tag 2 route-map filter_domain2 permit 20 router ospf 2 redistribute ospf 1 subnet tag 2 route-map filter_domain1 distance ospf 1 external 200 ! route-map filter_domain1 deny 10 match tag 1 route-map filter_domain1 permit 20 |
Filtrage basé sur les préfixes et distance administrative basée sur les préfixes
Comme indiqué dans la section Distance administrative, il est nécessaire d'établir une distance administrative basée sur un préfixe où il existe des préfixes externes provenant d'autres ASBR dans chaque domaine. Dans l'exemple de topologie suivant, ASBR1 et ASBR2 redistribuent respectivement les réseaux X et Y dans le domaine 1 et le domaine 2.
Cet exemple utilise une liste de contrôle d'accès afin de faire correspondre tous les préfixes (internes et externes) qui appartiennent à un domaine et utilise la commande distance afin d'augmenter la distance administrative des préfixes qui n'appartiennent pas initialement au domaine correspondant.
Figure 11
| Configuration des routeurs A et B |
|---|
router ospf 1 redistribute ospf 2 subnet route-map filter_domain2 distance 200 0.0.0.0 255.255.255.255 2 ! route-map filter_domain2 permit 10 match ip address 2 ! access-list 1 !--- Matches the prefixes in Domain 1. access-list 2 !--- Matches the prefixes in Domain 2. router ospf 2 redistribute ospf 1 subnet route-map filter_domain1 distance 200 0.0.0.0 255.255.255.255 1 ! route-map filter_domain1 permit 10 match ip address 1 ! access-list 1 !--- Matches the prefixes in Domain 1. access-list 2 !--- Matches the prefixes in Domain 2. |
La commande distance 200 0.0.0.0 255.255.255.255 2 en cours du processus 1 définit la distance administrative de tous les préfixes appartenant au domaine 2 à 200 ; par conséquent, les routeurs A et B utilisent le domaine 1 pour atteindre les préfixes qui appartiennent au domaine 1.
Résumé
Lorsqu'il existe plusieurs points de redistribution entre des domaines OSPF, des boucles de routage peuvent facilement se produire. Afin d'empêcher les boucles de routage, les préfixes qui appartiennent à un domaine ne doivent pas être redistribués au même domaine. En outre, les distances administratives des processus OSPF doivent être définies correctement. Ces cinq méthodes ont été proposées dans ce document :
-
Utilisez la commande distance 255.
-
Filtrer en fonction des balises.
-
Utilisez le mot clé match internal lors de la redistribution.
-
Utilisez le filtrage basé sur les préfixes lors de la redistribution.
-
Utilisez le filtrage basé sur les préfixes et la distance administrative basée sur les préfixes.
Les deux premières solutions empêchent l'installation des routes appartenant à un domaine dans la table de routage, ce qui empêche leur redistribution vers le même domaine.
Vous pouvez utiliser les trois dernières solutions pour sauvegarder un domaine avec un autre domaine, si nécessaire. Cependant, notez ces mises en garde :
-
La solution de correspondance interne ne vous permet pas de contrôler les préfixes, et tous les préfixes externes seront bloqués de la redistribution. En d'autres termes, s'il y a des préfixes externes d'autres ASBR, alors ces LSA ne seront pas redistribuées d'un domaine à l'autre.
-
Le “ utilise le filtrage basé sur les préfixes lors de la solution de redistribution ” permet à un domaine de sauvegarder un autre domaine. Cependant, la sauvegarde ne fonctionne correctement que s'il n'y a pas de routes externes de l'autre ASBR.
-
La solution “ utilise le filtrage basé sur les préfixes et la ” de distance administrative basée sur les préfixes est la seule solution qui permet à un domaine de sauvegarder un autre domaine en présence de routes externes provenant d'autres ASBR.
Ce document fait référence à plusieurs reprises à l'utilisation d'un domaine pour sauvegarder un autre domaine. Il est à noter que “ ” de sauvegarde signifie que, si le routeur A perd sa connexion à une partie du domaine via un domaine donné (par exemple le domaine 1), il peut utiliser l'autre domaine (domaine 2) afin de router correctement vers les destinations qui ne peuvent pas être atteintes via le domaine 1.
Cependant, si un domaine est partitionné parce que les préfixes ne sont pas redistribués au domaine d'origine, alors l'autre domaine ne peut pas sauvegarder le domaine partitionné à moins que les préfixes ne soient redistribués au domaine d'origine. Cependant, comme indiqué dans les sections Distance administrative et Fonctionnement du réseau avec défaillance du réseau, cela créera d'autres problèmes.
Commentaires