網(wǎng)絡(luò)安全OSPF培訓(xùn)2講課文檔

網(wǎng)絡(luò)安全OSPF培訓(xùn)文檔ppt現(xiàn)在一頁，總共四十九頁。課程內(nèi)容

第一章OSPF的基本概念第二章OSPF的數(shù)據(jù)結(jié)構(gòu)第三章OSPF的配置方法第四章OSPF常見問題分析現(xiàn)在二頁，總共四十九頁。第一章OSPF的基本概念概述HELLO協(xié)議報文ROUTERIDOSPF網(wǎng)絡(luò)類型OSPF鄰居和鄰接關(guān)系DR、BDRAREA、路由器類型LSA類型現(xiàn)在三頁，總共四十九頁。參考資料《RoutingTCPIPVolumeI》RFC2328現(xiàn)在四頁，總共四十九頁。OSPF概述（一）OSPF(OPENSHORTESTPATHFIRST)，即開放最短路徑優(yōu)先。是一種鏈路狀態(tài)協(xié)議，采用Dijkstra算法，也叫最短路徑算法（SPF)；OPEN代表OSPF是一個標(biāo)準(zhǔn)、開放的、與產(chǎn)商無關(guān)的標(biāo)準(zhǔn)路由協(xié)議；它由IETF制訂的，用來替代RIP的一個IGP路由協(xié)議。最新的RFC文檔為RFC2328，也叫OSPFV2。相對RIP，OSPF具有很多的優(yōu)點：

1：無路由自環(huán)

2：可適應(yīng)大規(guī)模網(wǎng)絡(luò)

3：路由變化收斂速度快

4：支持區(qū)域劃分

5：支持等值路由

6：支持驗證

7：支持路由分級管理

8：支持以組播地址發(fā)送協(xié)議報文現(xiàn)在五頁，總共四十九頁。OSPF概述（二）OSPF的運行過程：

1：每個運行OSPF的路由器發(fā)送HELLO報文到所有啟用OSPF的接口。如果在共享鏈路上兩個路由器發(fā)送的HELLO報文內(nèi)容一致，那么這兩個路由器將形成鄰居關(guān)系。

2：從這些鄰居關(guān)系中，部分路由器形成鄰接關(guān)系。鄰接關(guān)系的建立由OSPF路由器交換HELLO報文和網(wǎng)絡(luò)類型來決定。

3：形成鄰接關(guān)系的每個路由器都宣告自己的所有鏈路狀態(tài)。

4：每個路由器都接受鄰居發(fā)送過來的LSA，記錄在自己的鏈路數(shù)據(jù)庫中，并將鏈路數(shù)據(jù)庫的一份拷貝發(fā)送給其它的鄰居。

5：通過在一個區(qū)域中泛洪，使得給區(qū)域中的所有路由器同步自己數(shù)據(jù)庫。

6：當(dāng)數(shù)據(jù)庫同步之后，OSPF通過SPF算法，計算到目的地的最短路徑，并形成一個以自己為根的無自環(huán)的最短路徑樹

7：每個路由器根據(jù)這個最短路徑樹建立自己的路由轉(zhuǎn)發(fā)表。OSPF報文格式：

OSPF是個上層的協(xié)議，OSPF報文封裝在IP包頭中，協(xié)議號為：89。

OSPFHeaderProtocol#89OSPFPacket現(xiàn)在六頁，總共四十九頁。HELLO協(xié)議報文(一）HELLO協(xié)議報文的作用：

1：發(fā)現(xiàn)鄰居

2：宣告一些參數(shù)，這些參數(shù)必須相同才能建立鄰居關(guān)系

3：維護鄰居關(guān)系

4：在鄰居之間建立雙向的通信

5：在多路訪問網(wǎng)絡(luò)中選舉DR和BDR

現(xiàn)在七頁，總共四十九頁。HELLO協(xié)議報文（二）HELLO協(xié)議報文的內(nèi)容：

OSPFHEADER現(xiàn)在八頁，總共四十九頁。ROUTERIDROUTERID是個32位的無符號整數(shù)，是一臺路由器的唯一標(biāo)識，在整個OSPF域必須唯一。ROUTERID的選舉：

1：如果有環(huán)回接口地址，自動選舉最大的環(huán)回接口地址

2：如果沒有環(huán)回接口地址，自動選舉最大的接口地址

3：使用配置命令強制路由器的ROUTERID現(xiàn)在九頁，總共四十九頁。OSPF的網(wǎng)絡(luò)類型OSPF的網(wǎng)絡(luò)類型作用：

OSPF的網(wǎng)絡(luò)類型決定了鄰居鄰接關(guān)系的形成，以及對HELLO報文的處理，使得OSPF的適應(yīng)性和性能得到提高。OSPF的網(wǎng)絡(luò)類型：

1：廣播網(wǎng)絡(luò)類型

2：NBMA網(wǎng)絡(luò)類型

3：點到點網(wǎng)絡(luò)類型

4：點到多點網(wǎng)絡(luò)類型

5：虛鏈路網(wǎng)絡(luò)類型上述的五種網(wǎng)絡(luò)類型可以歸納為兩種網(wǎng)絡(luò)類型：1：STUB2：TRANSIT網(wǎng)絡(luò)類型目的地址間隔時間廣播網(wǎng)絡(luò)224.0.0.5/610SNBMA單播30S點到多點224.0.0.510S虛鏈路單播30S點到點224.0.0.510S現(xiàn)在十頁，總共四十九頁。鄰居和鄰接關(guān)系(一）鄰居關(guān)系的形成

ABABHELLO,我是AABA你好，我是 BABB你好！現(xiàn)在十一頁，總共四十九頁。鄰居和鄰接關(guān)系（二）OSPF鄰接關(guān)系的建立

OSPF的鄰接關(guān)系的建立一般需要四個步驟：

1：鄰居發(fā)現(xiàn)通過互相交換HELLO報文，當(dāng)同意HELLO報文中的內(nèi)容一致后，形成鄰居。

2：雙向通信（TWO-WAY)

當(dāng)發(fā)現(xiàn)鄰居的HELLO報文中有自己的ROUTERID之后，和鄰居建立雙向通信，鄰接關(guān)系開始建立。

3：數(shù)據(jù)庫同步通過使用DD、LSR、LSU報文的交互，來同步數(shù)據(jù)庫

4：FULL

建立鄰接關(guān)系。網(wǎng)絡(luò)類型鄰居關(guān)系鄰接關(guān)系廣播網(wǎng)絡(luò)所有與DR/BDR點到點/VLINK所有所有點到多點所有所有NBMA所有與DR/BDROSPF鄰居和鄰接關(guān)系的對比

現(xiàn)在十二頁，總共四十九頁。鄰居和鄰接關(guān)系（三）OSPF鄰接關(guān)系的建立過程現(xiàn)在十三頁，總共四十九頁。DR、BDRDR(DesignatedRouter)的作用

1：代表多路訪問網(wǎng)絡(luò)和其它的路由器

2：管理泛洪進程BDR（BackupDesignatedRouter)的作用作為DR的備份，防止DR失效，引起網(wǎng)絡(luò)中斷。DR的選舉在多路訪問網(wǎng)絡(luò)中，DR的選舉由路由器的優(yōu)先級（8bits)和ROUTERID來決定。

1:在廣播網(wǎng)絡(luò)中，DR的選舉是自動的。優(yōu)先級越大的，就會成為DR，如果優(yōu)先級相同，ROUTERID越大的，就是DR。在NBMA中，DR的選舉是手動的。

2：一旦DR和BDR選舉之后，即使有其它的路由器的優(yōu)先級或者是ROUTERID大于DR和BDR，也不會代替DR和BDR。

3：DR、BDR是基于接口的?，F(xiàn)在十四頁，總共四十九頁。AREA、路由器類型（一）AREA

AREA是個32位的AREAID，可以使用十進制和小數(shù)點來表示。AREA的作用

1：一臺路由器僅與本區(qū)域的其它路由器共享同一鏈路數(shù)據(jù)庫，不需要和整個網(wǎng)絡(luò)中的路由器。需要的內(nèi)存少。

2：較小的鏈路數(shù)據(jù)庫意味著較少的LSA，對路由器的CPU要求低。

3：大多數(shù)的泛洪限制在區(qū)域內(nèi)。

AREA的類型

1：骨干區(qū)域2：普通區(qū)域3：STUB區(qū)域4：TOTALLYSTUB（TotallyStubbyAreas）5：NSSA（Not-So-StubbyAreas）路由器的類型

1：InternalRouters2：BackboneRouters3：AreaBorderRouters(ABRs)4：AutonomousSystemBoundaryRouters(ASBRs)

現(xiàn)在十五頁，總共四十九頁。AREA、路由器類型（二）區(qū)域間的路由計算現(xiàn)在十六頁，總共四十九頁。LSA類型Router-LSA由每個路由器生成，描述了路由器的鏈路狀態(tài)和花費，傳遞到整個區(qū)域Network-LSA，由DR生成，描述了本網(wǎng)段的鏈路狀態(tài)，傳遞到整個區(qū)域Net-Summary-LSA，由ABR生成，描述了到區(qū)域內(nèi)某一網(wǎng)段的路由，傳遞到相關(guān)區(qū)域Asbr-Summary-LSA，由ABR生成，描述了到ASBR的路由，傳遞到相關(guān)區(qū)域AS-External-LSA，由ASBR生成，描述了到AS外部的路由，傳遞到整個AS（STUB區(qū)域除外）現(xiàn)在十七頁，總共四十九頁。問題1：ROUTERID修改之后，會立即生效？2：OSPF為什么是無自環(huán)的？3：為什么OSPF區(qū)域必須和骨干區(qū)域相連？4：在STUB區(qū)域、骨干區(qū)域、NSSA區(qū)域分別有哪些LSA?5：OSPF有哪些協(xié)議報文？現(xiàn)在十八頁，總共四十九頁。解答1:不會。必須重置OSPF進程或者重啟路由器。2：SPF計算最短路徑樹，以自己為根的、其它路由器為葉的單向樹。3：OSPF協(xié)議在生成LSA時，首先將自己的RouterID加入到LSA中，但是如果該路由信息傳遞超過兩個區(qū)域后就會喪失最初的生成者的信息。。4：骨干：LSA1/2/3/4/5STUB:LSA1/2/3/4NSSA:LSA1/2/3/75：HELLO/DD/LSR/LSU/LSAck現(xiàn)在十九頁，總共四十九頁。小結(jié)本小結(jié)講述了OSPF的基本概念現(xiàn)在二十頁，總共四十九頁。課程內(nèi)容

第一章OSPF的基本概念第二章OSPF的數(shù)據(jù)結(jié)構(gòu)第三章OSPF的配置方法第四章OSPF常見問題分析現(xiàn)在二十一頁，總共四十九頁。第二章OSPF的數(shù)據(jù)結(jié)構(gòu)OSPF的接口數(shù)據(jù)結(jié)構(gòu)OSPF的鄰居表

OSPF的鏈路數(shù)據(jù)表OSPF的路由表現(xiàn)在二十二頁，總共四十九頁。OSPF接口狀態(tài)數(shù)據(jù)結(jié)構(gòu)（一）OSPF接口數(shù)據(jù)結(jié)構(gòu)[NE40A]dispospfintLoopBack0

Cost:1562State:PToPType:PointToPointPriority:1Timers:Hello10,Dead40,Poll40,Retransmit5,TransmitDelay1[NE40A]dispospfintgi8/0/1

Cost:1State:DRType:BroadcastPriority:1Timers:Hello10,Dead40,Poll40,Retransmit5,TransmitDelay1

現(xiàn)在二十三頁，總共四十九頁。OSPF接口狀態(tài)數(shù)據(jù)結(jié)構(gòu)（二）接口狀態(tài)機現(xiàn)在二十四頁，總共四十九頁。OSPF的鄰居表（一）OSPF的鄰居數(shù)據(jù)表結(jié)構(gòu)

State:FullMode:NbrisMasterPriority:1Deadtimerexpiresin34sNeighborcomesupfor3d15h01m

State:FullMode:NbrisSlavePriority:1DR:NoneBDR:NoneDeadtimerexpiresin33sNeighborcomesupfor3d12h29m

現(xiàn)在二十五頁，總共四十九頁。OSPF鄰居表（二）OSPF的鄰居狀態(tài)機現(xiàn)在二十六頁，總共四十九頁。OSPF的鏈路數(shù)據(jù)表（一）OSPF的鏈路數(shù)據(jù)表結(jié)構(gòu)[NE40A]dispospflsdb

LinkStateDatabase

TypeLinkStateIDAdvRouterAgeLenSequenceMetricWhere

ASExternalDatabase:TypeLinkStateIDAdvRouterAgeLenSequenceMetricWhere現(xiàn)在二十七頁，總共四十九頁。OSPF的鏈路數(shù)據(jù)表（二）ROUTERLSATYPEDESCRIPTIONLINKIDLINKDATA1P-TO-PNeighbor'srouterIDInterfaceIPaddress2TransitIPaddressoftheDRInterfaceIPaddress3StubIPnetworknumberSubnetmask4VirtuallinkNeighbor'srouterIDInterfaceIPaddress[NE40A]dispospflsdbrouter

LinkStateDataBase

Type:RouterLsage:1214Len:72Seq#:80001134Chksum:0x3032Options:(DC)ASBRLinkcount:4Type:Point-to-PointMetric:10Type:StubNetMetric:10Type:Point-to-PointMetric:10Type:StubNetMetric:10現(xiàn)在二十八頁，總共四十九頁。OSPF的鏈路數(shù)據(jù)表（三）NETWORK-LSA[NE40A]dispospflsdbnetwork

LinkStateDataBase

Type:NetLsage:1643Len:32Seq#:800000e1Chksum:0xc618Options:(DC)

NETWORK-SUM-LSA[NE40A]dispospflsdbsummary

LinkStateDataBase

Type:SumNetLsage:1571Len:28Seq#:800003ebChksum:0x77feOptions:(DC)Tos0metric:1現(xiàn)在二十九頁，總共四十九頁。OSPF的鏈路數(shù)據(jù)表（四）ASBR-SUM-LSA(LSA4)AS-EXTERNAL-LSA(LSA5)[NE40A]dispospflsdbasbr

LinkStateDataBase

Type:SumASBLsage:104Len:28Seq#:8000047aChksum:0xf16fOptions:(DC)Tos0metric:1[NE40A]dispospflsdbase

LinkStateDataBaseType:ASELsage:224Len:36Seq#:800018d2Chksum:0xe273Options:(NonDC)Tos0metric:10Etype:2Tag:1現(xiàn)在三十頁，總共四十九頁。OSPF的路由表OSPF的路由表數(shù)據(jù)結(jié)構(gòu)<SX_NJ_NE40A>dispiproproospfOSPFRoutingtables:Summarycount:46OSPFRoutingtablestatus:<active>:Summarycount:33Destination/MaskProtocolPreCostNexthopInterface

現(xiàn)在三十一頁，總共四十九頁。問題在OSPF域中有兩個相同的ROUTERID，會造成什么問題？OSPF的路由表查找順序是什么？OSPF中有哪些表？生成這些表的順序是什么？現(xiàn)在三十二頁，總共四十九頁。解答造成路由下一跳不穩(wěn)定。域內(nèi)、域間、外部類型1、外部類型2鄰居表、鏈路數(shù)據(jù)表、路由表現(xiàn)在三十三頁，總共四十九頁。小結(jié)本節(jié)主要講解的是OSPF的數(shù)據(jù)結(jié)構(gòu)，了解和掌握OSPF的數(shù)據(jù)表，對解決和分析OSPF的問題非常重要?，F(xiàn)在三十四頁，總共四十九頁。課程內(nèi)容

第一章OSPF的基本概念第二章OSFP的數(shù)據(jù)結(jié)構(gòu)第三章OSPF的配置方法第四章OSPF常見問題分析現(xiàn)在三十五頁，總共四十九頁。第三章OSPF的配置方法OSPF的基本配置OSPF的高級配置OSPF路由過慮現(xiàn)在三十六頁，總共四十九頁。OSPF的基本配置說明：以下所有命令均為VRP3.1版本的命令行格式啟動OSPF[QUIDWAY]OSPF配置區(qū)域，進入到OSPF視圖下：

[QUIDWAY-OSPF]AREAarea-id指定接口；在相應(yīng)的區(qū)域下，指定運行OSPF的接口：

指定OSPF的ROUTERID:

一般使用環(huán)回接口地址）現(xiàn)在三十七頁，總共四十九頁。OSPF的高級配置（一）COST值的配置,基于接口：

[QUIDWAY-POS1/0/0]OSPFCOSTvalue區(qū)域認(rèn)證配置,分兩步：

1:在相應(yīng)的區(qū)域配置認(rèn)證方式：

2：在相應(yīng)的接口下配置認(rèn)證密鑰：

[QUIDWAY-POS1/0/0]ospfauthentication-modesimplepassword或者ospfauthentication-modemd5key_idkey

現(xiàn)在三十八頁，總共四十九頁。OSPF的高級配置（二）區(qū)域特性配置

1：STUB區(qū)域

2:NSSA區(qū)域：

路由聚合配置

1:域間路由聚合配置：

2:外部路由聚合配置：

現(xiàn)在三十九頁，總共四十九頁。OSPF的路由過濾引入外部路由

[QUIDWAY-OSPF]import-routeprotocol[costvalue][typevalue][tagvalue][route-policyroute-policy-name]

引入缺省路由

[QUIDWAY-OSPF]default-route-advertise[always][costvalue][typevalue][route-policyroute-policy-name]對OSPF路由過濾

[QUIDWAY-OSPF]filter-policy[ip-prefixip-prefix-name]gatewayip-prefix-nameimport或者filter-policy{acl-number|ip-prefixip-prefix-name}export[routing-protocol]

現(xiàn)在四十頁，總共四十九頁。小結(jié)介紹OSPF一些常見的配置命令現(xiàn)在四十一頁，總共四十九頁。課程內(nèi)容

第一章OSPF的基本概念第二章OSFP的數(shù)據(jù)結(jié)構(gòu)第三章OSPF的配置方法第四章OSPF常見問題分析現(xiàn)在四十二頁，總共四十九頁。第四章OSPF常見問題分析現(xiàn)在四十三頁，總共四十九頁。OSPF常見問題分析（一）接口參數(shù)配置不一致導(dǎo)致鄰居不能建立起來，處于INIT狀態(tài)?！粳F(xiàn)象描述】Quidway路由器通過串口直接相連，初始時能夠正常建立鄰居關(guān)系，并達到Full狀態(tài)，但是當(dāng)改變雙方的接口網(wǎng)絡(luò)類型為Broadcast時，雙方不能正確發(fā)現(xiàn)鄰居?！締栴}分析】1、分別在兩臺路由器上查看鄰居狀態(tài)及鄰居列表，如下：<quidway>displayospfpeer2、分別在兩臺路由器上查看關(guān)鍵配置信息，如下：<quidway>displaycourrinterfaceSerial10/1/3!interfaceSerial10/1/3encapsulationhdlcipospfnetworkbroadcast!end<quidway>displaycourrinterfaceSerial10/1/4!interfaceSerial10/1/4ipospfnetworkbroadcastend3、從以上的Display信息及Debug信息可以發(fā)現(xiàn)，兩臺路由器直接相連的接口Netmask不一致，一個是，一個是。4、OSPF從發(fā)HELLO報文發(fā)現(xiàn)鄰居開始，會檢查一些參數(shù)，而Netmask是其中一個，當(dāng)雙方的Netmask不一致時，收到對方發(fā)來的HELLO報文不會接受，直接丟棄，從而導(dǎo)致不能正確建立鄰居關(guān)系，那為什麼初始時能夠建立正確的鄰居關(guān)系并達到FULL呢？是因為：如果網(wǎng)絡(luò)類型是POINT-TO-POINT，QUIDWAY路由器不會對Netmask進行檢查，而此案例中用到的串口封裝的協(xié)議是HDLC，缺省的OSPF網(wǎng)絡(luò)類型為POINT-TO-POINT。現(xiàn)在四十四頁，總共四十九頁。OSPF常見問題分析（二）大包不通導(dǎo)致OSPF鄰居不能正常建立【處理方法】當(dāng)一臺路由器從鄰居收到HELLO包時，它會檢查其中一些參數(shù)的值是否和接收接口的相匹配，這些參數(shù)包括：AREAID、AUTHENTICATION、NETMASK、HELLOINTERVAL、DEADINTERVAL以及OPTIONS。如果這些參數(shù)不匹配，該HELLO報文會被丟棄，不能建立起鄰接關(guān)系。所以在進行OSPF配置時，互連的兩個接口的這些參數(shù)一定要配置成相同，即使是在不檢查Netmask的POINT-TO-POINT網(wǎng)絡(luò)類型的接口上，也建議使用相同的掩碼，避免不必要的麻煩?！粳F(xiàn)象描述】:某用戶反映我司的NE16路由器與某廠商路由器的OSPF互通時，長時間不能學(xué)到相應(yīng)的路由?！驹蚍治觥?(1)

查看鄰居狀態(tài)，STATE處于exstart狀態(tài)。打開NE路由器的debugging開關(guān)查看相應(yīng)的報文信息。發(fā)現(xiàn)相互都可以收到HELLO報文。但NE發(fā)送DD報文之后，卻一直沒有收到對方回應(yīng)的DD報文。

(2)

打開該廠商路由器的debugging

ospfpacket開關(guān)，發(fā)現(xiàn)對方收到NE的DD報文后，已發(fā)送了相應(yīng)的DD報文予以回應(yīng)。但是NE卻沒有收到。

(3)既然可以接收到HELLO報文，說明鏈路是通暢的。而且多播報文的收發(fā)也沒有問題。

(4)有可能是對方發(fā)送的DD報文有錯誤，導(dǎo)致NE拒收。但查看相應(yīng)的信息，NE并沒有報告接收到過錯誤的DD報文。

(5)可以初步斷定：NE并沒有接收到這個報文，但是對方確實發(fā)出來了。

(6)仔細查看該廠商路由器的調(diào)試信息，發(fā)現(xiàn)這個DD報文很大，有2000多字節(jié)。

(7)很可能是因為雙方的MTU不一致，導(dǎo)致大包不通所致。查看配置，發(fā)現(xiàn)該廠商路由器的MTU是4000多，而NE16為1500。

現(xiàn)在四十五頁，總共四十九頁。OSPF常見問題分析（三）ROUTERID沖突導(dǎo)致下一跳不穩(wěn)定【組網(wǎng)拓撲】：

8850―――NE80(1)――――NE80(2)―――――S6506【問題現(xiàn)象】：在6506中引入一條靜態(tài)路由：到OSPF中，在NE80(2)中發(fā)現(xiàn)這條路由的下一跳一會是，一會是Destination/MaskProtocolPreCostNexthopInterface0.2Destination/MaskProtocolPreCostNexthopInterface2.10.2【原因解釋】:

產(chǎn)生這種現(xiàn)象的原因是因為routerid有沖突，造成ospf計算混亂，引起下一跳不穩(wěn)定。routerid在ospf協(xié)議報文的頭部，表示標(biāo)示路由器本身，代表是誰產(chǎn)生的報文。在路由器產(chǎn)生lsa更新的時候，都會帶routerid代表這條lsa是誰宣告的；當(dāng)有兩個路由器有相同的routerid的時候，在鏈路數(shù)據(jù)庫中就會產(chǎn)生同一個routerid宣告不同的routerlsa，有不同的linkid和linkdata。（對與linkid和linkdata在不同的lsa中代表了不同地址。在routerlsa中如果鏈路類型是transit類型，那么linkid代表的是DR的ipaddress，linkdata代表的是路由器本身的接口地址。）。ospf中的路由表是根據(jù)鏈路數(shù)據(jù)庫通過spf的計算得到的最短路徑，由于在鏈路數(shù)據(jù)庫，兩個相同的routerid有不同的linkdata，那么在路由表中就表示有不同的下一跳，因此會使得下一跳不穩(wěn)定?，F(xiàn)在四十六頁，總共四十九頁。OSPF常見問題分析（四）ne40的ospf路由沒有走cost小的反而走了cost大的路由網(wǎng)段【現(xiàn)象描述】:

8016---ne40(1)--ne40(2)

.|.................5200...............|

在8016和ne40（2）上分別配置了一條目的為5200的下行某相同網(wǎng)段，下一跳為各自下帶5200接口ip的靜態(tài)路由，并同時將此條靜態(tài)路由引入ospf，在ne40（1）上查看路由表發(fā)現(xiàn)ne40（1）選擇了cost為501的從ne40（2）學(xué)習(xí)到的這條靜態(tài)路由，而沒有選擇cost為1的從8016上學(xué)習(xí)到的此條路由。

【原因分析】:

在此案例中，需要注意到ospf的路由選路優(yōu)先原則為（從高到低)：

1、區(qū)域內(nèi)路由

2、區(qū)域間路