OSPF

Настройка OSPF для обмена информацией о состоянии каналов.

Название службы раздела OSPF: frr; ideco-routing-backend. Список служб для других разделов доступен по ссылке.

Ideco NGFW поддерживает OSPF (Open Shortest Path First) — протокол динамической маршрутизации, который определяет оптимальные пути передачи данных на основе состояния каналов (интерфейсов маршрутизаторов или сетевых сегментов).

Рекомендуем использовать модуль в сетях, где применяется балансировка нагрузки на сеть и резервирование каналов.

Пример топологии с использованием OSPF представлен на схеме ниже:

Принцип работы маршрутизации по состоянию канала

1. Установление отношений смежности с соседними устройствами

Маршрутизатор, использующий OSPF, отправляет hello-пакеты на мультикастовый адрес 224.0.0.5 со всех интерфейсов, где запущен OSPF. При наличии соседнего устройства маршрутизатор пытается установить с ним отношения смежности.

2. Обмен объявлениями о состоянии каналов

После установления смежности устройства выполняют обмен LSA. Пакеты LSA содержат информацию о состоянии и стоимости каждого канала с прямым подключением.

3. Создание базы данных состояния связи

На основе объявления LSA маршрутизаторы собирают базу данных, в которой содержатся данные о топологии сети в области.

4. Исполнение алгоритма SPF

На устройствах выполняется алгоритм SPF, результатом которого является создание дерева кратчайших путей.

5. Выбор лучшего маршрута

На основании данных дерева SPF обновляются данные в таблице IP-маршрутизации. Маршрут добавляется в таблицу маршрутизации, если отсутствует источник маршрута к той же сети с меньшим административным расстоянием, например, статический маршрут. Решения по маршрутизации пакетов принимаются на основе записей в таблице маршрутизации.

Настройка OSPF

Для настройки OSPF в Ideco NGFW перейдите в раздел Сервисы –> OSPF и выполните действия на вкладках:

Основные

Router ID - IP-адрес маршрутизатора. Присваивается автоматически в виде наибольшего IP-адреса локальной сети, заданной в разделе Сетевые интерфейсы.

1. Нажмите кнопку Добавить и заполните поля:

• Интерфейс - локальный или Loopback-интерфейс Ideco NGFW, IP-адрес которого будет использован для обмена маршрутами.
• Название зоны - номер зоны (значение area, для небольших сетей введите 0). Можно ввести в виде числа или IP-адреса, нажав .
• Вес - стоимость маршрута.

2. Нажмите Добавить.

Добавьте в таблицу OSPF Loopback-интерфейс, если на вкладке Дополнительно отключена опция Redistribute connected (по умолчанию включена), чтобы сети Loopback-интерфейсов анонсировались.

Пример готовой таблицы:

При наличии большого количества настроек OSPF в таблице воспользуйтесь кнопкой Фильтры.

Дополнительные

Включите настройки (по умолчанию включены). Будут анонсироваться:

• Redistribute default - маршруты по умолчанию. Устройство, принявшее эту информацию, будет отправлять на NGFW весь трафик.

• Redistribute static - статические маршруты, указанные на вкладке на вкладке Локальных сетей в разделе Сервисы -> Маршрутизация.

• Redistribute connected - маршруты подсетей, подключенных напрямую, в том числе и Loopback-интерфейсов.

Если Redistribute connected отключить, сети Loopback-интерфейсов будут анонсироваться при добавлении в таблицу OSPF Loopback-интерфейса.

Подробнее о значении поля Метрика - в статье.

Для передачи маршрутов до VPN-сети через OSPF необходимо в разделе OSPF -> Дополнительные включить чек-бокс Redistribute static (передача статических маршрутов).

Настройка MikroTik

1. Авторизуйтесь на MikroTik и выполните команду:

routing ospf area add area-id=х.х.х.х default-cost=1 disabled=no inject-summary-lsa=no name=area1 type=default

• х.х.х.х - название зоны, которое указали при настройке Ideco NGFW. ID должен быть уникален для каждого роутера.

2. Для передачи любых других сетей соседним устройствам по динамической маршрутизации введите команду:

routing ospf network add network=(другая подсеть)/24 area=area1

3. Повторите команду из п. 1 для добавления каждой подсети.

4. Для вывода таблицы маршрутизации введите команду ip route print.

Настройка Cisco

1. Запустите на Cisco процесс OSPF:

enable
conf t
router ospf 1

2. По умолчанию отключите отправку hello-пакетов на всех интерфейсах и включите на нужных интерфейсах:

passive-interface default
no passive-interface GigabitEthernet0/0

• GigabitEthernet0/0 - название интерфейса.

3. Укажите сети, маршруты до которых хотите анонсировать:

network <IP-адрес подсети> <wildcart-маска подсети> area <номер зоны, указанный при настройке Ideco NGFW>

Пример команды:

network 192.168.100.0 0.0.255.255 area 0

4. Если Cisco получил уведомление вида *Dec 18 10:02:03.628: %OSPF-5-ADJCHG: Process 1, Nbr 192.168.122.73 on GigabitEthernet0/0 from LOADING to FULL, Loading Done, соседские отношения установлены.

5. Для просмотра списка соседей воспользуйтесь командой show ip ospf neighbor:

6. Для вывода таблицы маршрутизации введите команду show ip route (в таблице должны появиться маршруты до сетей NGFW):

Особенности работы OSPF в Ideco NGFW

• Ideco NGFW всегда будет являться шлюзом по умолчанию для других устройств. Считать другие устройства шлюзом по умолчанию NGFW не сможет.

• OSPF работает только на локальных интерфейсах: Локальные Ethernet-интерфейсы, Туннельные интерфейсы GRE, GRE over IPsec и ГОСТ VPN.
• Значение Типа сети (Network Type) в Ideco NGFW устанавливается автоматически в зависимости от типа интерфейса, используемого для OSPF:

  • GRE-интерфейсы - значение p2p.

  • Ethernet-интерфейсы - значение broadcast.

Примеры использования

Объединение филиальной сети с резервированием и/или балансировкой

• Между NGFW-1 в Филиале 1 и NGFW-2 в Филиале 2 настраивается GRE-over-IPsec и OSPF.

• Каждый NGFW подключен к двум провайдерам (Провайдер-1 и Провайдер-2).

Преимущества настройки:

• Трафик будет автоматически балансироваться между Провайдером-1 и Провайдером-2.

• При неисправности одного из провайдеров трафик автоматически смаршрутизируется через другое соединение.

• Отсутствует необходимость вручную настраивать маршруты до локальных сетей филиалов.

Схема с балансировкой доступа из локальной сети в интернет или другую сеть

• И NGFW-1, и NGFW-2 используются в качестве шлюза по умолчанию.

• Между балансировщиком и каждым из NGFW настроена OSPF.

Преимущества настройки:

• Трафик балансируется между NGFW-1 и NGFW-2: часть пользователей из Локальной сети выходят в интернет через NGFW-1, часть - через NGFW-2.

• При неисправности одного из NGFW трафик автоматически смаршрутизируется через другое соединение.

• Отсутствует необходимость вручную настраивать маршруты для хостов в Локальной сети.

Полезные ссылки

• Сетевые интерфейсы
• Внешние и локальные интерфейсы
• Подключение между двумя Ideco NGFW в транспортном режиме работы