ITCore Tech

Cele:

• Skonfiguruj OSPF według schematu sieci.
• Włącz filtrowanie tras OSPF na R4. W jego tablicy routingu powinny być tylko trasy do 172.0.12.0/24 i 1.1.2.1/32. Użyj distribute-list wraz z listą kontroli dostępu (access-list).
• R3 – wyłącz interfejs FastEthernet 0/0. Czy ma on wciąż pełną łączność z sieciami w obszarze zerowym?
• R3 – zablokuj trasy 1.1.0.1 i 1.1.1.1 przy pomocy prefix-list.
• R3 – zablokuj trasy 1.1.2.1 i 1.1.3.1 przy pomocy route-map.
• R3 – zablokuj trasę do 4.4.4.4 zmieniając odległość administracyjną.

Adresy IP routerów:

R1

Interfejs	IP
FastEthernet 0/0	172.0.12.1/24
Loopback 0	1.1.0.1/32
Loopback 1	1.1.1.1/32
Loopback 2	1.1.2.1/32
Loopback 3	1.1.3.1/32

R2

Interfejs	IP
FastEthernet 0/0	172.0.12.2/24
FastEthernet 1/0	172.234.23.2/24
FastEthernet 2/0	172.234.24.2/24
Loopback 0	2.2.2.2/32

R3

Interfejs	IP
FastEthernet 0/0	172.234.23.3/24
FastEthernet 1/0	172.234.34.3/24
Loopback 0	3.3.3.3/32

R4

Interfejs	IP
FastEthernet 0/0	172.234.24.4/24
FastEthernet 1/0	172.234.34.4/24
Loopback 0	4.4.4.4/32

Schemat sieci:

Router: 3640
IOS: c3640-jk9o3s-mz.124-16a.bin

Rozwiązanie

Skonfiguruj OSPF według schematu sieci.

Krok pierwszy to standardowa konfiguracja OSPF. Mamy 4 routery i 2 różne obszary. Router R2 pełni rolę routera ABR łącząc ze sobą obszary 0 i 234.

Interfejs Loopback od R2 przypisaliśmy do obszaru zerowego. Po chwili nawiązana zostanie relacja sąsiedztwa a w tablicach routingu powinny pojawić się nowe trasy:

Wszystko wygląda dobrze.

---

Włącz filtrowanie tras OSPF na R4. W jego tablicy routingu powinny być tylko trasy do 172.0.12.0/24 i 1.1.2.1/32. Użyj distribute-list wraz z listą kontroli dostępu (access-list).

Każdy router w OSPF należący do danego obszaru przechowuje tzw. bazę topologii (topology database). Następnie na podstawie informacji zawartych w tej bazie router przelicza i wybiera najbardziej optymalną ścieżkę do danej sieci, czego rezultat widzimy już w tablicy routingu. Wszystkie routery w tym samym obszarze muszą mieć taką samą bazę, w przeciwnym razie algorytm Dijkstry (najkrótszej ścieżki – Shortest Path First) mógłby wygenerować trasy zawierające pętle routingu lub czarne dziury routingu (routing black holes). Bazę topologii wyświetlamy poleceniem show ip ospf database:

Naszym celem jest teraz odrzucenie wszystkich tras oprócz 172.0.12.0/24 i 1.1.2.1/32 na routerze R4. Do tego celu stworzymy listę kontroli dostępu i połączymy ją następnie z listą dystrybucji. Pytanie, czy po tej operacji zmieni się tablica topologii routera R4?
Zanim zaczniemy zobaczmy jeszcze raz tablice routingu na R4:

Tworzymy standardową listę dostępu, później distribute-list w trybie konfiguracji OSPF:

Czas na tablice routingu:

Wygląda dobrze, tylko 2 trasy OSPF w tablicy routingu, reszta została odrzucona. A jak wygląda baza topologii?

Bez zmian, czyli prawidłowo. Lista dystrybucyjna ma wpływ tylko na trasy w tablicy routingu, nie filtruje niczego w bazie topologi.

---

R3 – wyłącz interfejs FastEthernet 0/0. Czy ma on wciąż pełną łączność z sieciami w obszarze zerowym?

No właśnie, a co się stanie jeśli usuniemy link pomiędzy R2 i R3? Czy router R3 będzie w stanie nawiązać łączność z interfejsami Loopback od routera R1? Cały ruch będzie kierowany przez R4, a w jego tablicy routingu nie mamy wszystkich wpisów. Przekonajmy się:

Tablica routingu R3:

Tablica routingu wygląda „dobrze”. Trasy prowadzą teraz przez router R4. Spróbujmy pingować adres 1.1.1.1:

No i mamy problem. Adres jest nieosiągalny, mamy czarną dziurę w routingu. Przypomnijmy, że filtrując trasy na R4 nie zmieniła się baza topologii w obszarze 234. Pozostałe routery (R2 i R3) nic nie wiedzą o tych zmianach, dlatego zakładają że R4 ma pełną łączność z R1.
Na koniec uruchomimy ponownie link pomiędzy R2 i R3:

---

R3 – zablokuj trasy 1.1.0.1 i 1.1.1.1 przy pomocy prefix-list.

W tym przykładzie użyjemy listy dystrybucyjnej w połączeniu z listą prefiksową. Musimy zablokować tylko 2 trasy na routerze R3. Zaczniemy od prefix-list:

Utworzyliśmy listę o nazwie DENY_L0. Następnie blokujemy wszystkie adresy, które mieszczą się w zakresie 1.1.0.0/23 (czyli od 1.1.0.0 do 1.1.1.255). Do tego maska podsieci musi być mniejsza lub równa 32 (pamiętajmy, że R1 rozgłasza interfejsy Loopback z maską 32). W drugiej linii dopuszczamy wszystkie możliwe sieci. Teraz w trybie konfiguracji OSPF:

Zobaczmy teraz tablice routingu od R3:

Mamy wszystkie trasy OSPF oprócz 1.1.0.1/32 i 1.1.1.1/32.

---

R3 – zablokuj trasy 1.1.2.1 i 1.1.3.1 przy pomocy route-map.

Route-map to kolejna opcja przy pomocy której możemy wpłynąć na tablice routingu. Zablokujemy 2 kolejne sieci rozgłaszane przez R1. Ponownie utworzymy listę prefiksów, następnie route-map i połączymy wszystko w jedną całość przy pomocy distribute-list.

Lista podobna do poprzedniej. Zmieniliśmy nazwę na DENY_L0_v2 i blokujemy zaczynając od 1.1.2.0. Teraz utworzymy route-map. Dają one większe pole do popisu, ponieważ możemy dopasować pakiety na podstawie kilku opcji:

• match interface
• match ip address
• match ip next-hop
• match ip route-source
• match ipv6 address
• match ipv6 next-hop
• match ipv6 route-source
• match metric
• match route-type
• match source-protocol
• match tag

My wybieramy opcję match ip address, która możemy połączyć z access-list lub prefix-list

Zanim utworzymy distribute-list musimy usunąć poprzednią (distribute-list prefix DENY_L0 in):

Teraz tablica routingu:

Wpisy 1.1.0.1 i 1.1.1.1 są znów widocznie, natomiast 1.1.2.1 i 1.1.3.1 zostały zablokowane. Tak więc route-map spełniła swoje zadanie. A jak wygląda baza OSPF na R3?

Tak jak poprzednio bez zmian. Użycie distribute-list w połączeniu z route-map nie ma wpływu na wpisy w bazie topologii.

---

R3 – zablokuj trasę do 4.4.4.4 zmieniając odległość administracyjną.

Trasy w tablicy routingu można też filtrować poprzez zmianę odległości administracyjnej (AD). Domyślna wartość AD dla protokołu OSPF to 110. Kiedy ustawimy ją na 255 dla wybranej trasy, wtedy zostanie ona usunięta z tablicy routingu, ponieważ wartość ta oznacza że trasa jest nieważna.
Na R3 tworzymy standardową listę, która złapie tylko adres 4.4.4.4:

W trybie konfiguracji OSPF wpisujemy:

Dla jakiejkolwiek sieci, która pasuje do naszej listy dostępu (numer 15) dystans administracyjny zostanie ustawiony na wartość 255 (a więc zostanie ona odrzucona). Zobaczmy wpisy w tablicy routingu:

Zgadza się, brakuje wpisu 4.4.4.4/32. Zmiany te podobnie jak poprzednio, nie mają wpływu na bazę topologii: