华为路由器ospf的路由控制及安全

session 1 ospf的路由控制

一、ospf的路由聚合

       这个拓扑中AR1上3个loopback在area1中宣告，AR4上的2个loopback模拟lsa5（lsa7）重分布进ospf中，现在分别在ABR（AR2）和ASBR（AR4）上做内部路由聚合以及外部路由聚合，当area2区域被配置成NSSA时，那么在AR4上聚合的路由就是lsa7型，普通区域则聚合lsa5型。

ospf内部路由聚合配置实例如下，AR1上配置

ospf 1 router-id 1.1.1.1 
 area 0.0.0.1 
  abr-summary 1.1.1.0 255.255.255.0 聚合路由将3条32位主机路由聚合成一条24位网路路由（由AR2）发布出去，聚合那个区域的路由就进入那个区域进行配置
  network 1.1.1.1 0.0.0.0 
  network 1.1.1.2 0.0.0.0 
  network 1.1.1.3 0.0.0.0 
  network 12.1.1.1 0.0.0.0 
#

聚合后在AR4上查看lsdb和路由

display ospf lsdb 
OSPF Process 1 with Router ID 4.4.4.4
Link State Database 
        Area: 0.0.0.2
 Type      LinkState ID    AdvRouter          Age  Len   Sequence   Metric
 Router    4.4.4.4         4.4.4.4           1144  36    80000005       1
 Router    3.3.3.3         3.3.3.3           1145  36    80000004       1
 Network   34.1.1.4        4.4.4.4           1144  32    80000001       0
 Sum-Net   12.1.1.0        3.3.3.3           1186  28    80000001       2
 Sum-Net   23.1.1.0        3.3.3.3           1186  28    80000001       1
 Sum-Net   1.1.1.0         3.3.3.3            665  28    80000001       2
AS External Database
 Type      LinkState ID    AdvRouter          Age  Len   Sequence   Metric
 External  4.4.4.4         4.4.4.4           1019  36    80000008       1
 External  34.1.1.0        4.4.4.4           1019  36    80000008       1

display ip routing-table protocol ospf 
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Public routing table : OSPF
         Destinations : 3        Routes : 3        
OSPF routing table status :
         Destinations : 3        Routes : 3
Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface
        1.1.1.0/24  OSPF    10   3           D   34.1.1.3        GigabitEthernet0/0/0
       12.1.1.0/24  OSPF    10   3           D   34.1.1.3        GigabitEthernet0/0/0
       23.1.1.0/24  OSPF    10   2           D   34.1.1.3        GigabitEthernet0/0/0
OSPF routing table status :
         Destinations : 0        Routes : 0

ospf外部路由聚合配置实例如下，AR4上配置

ospf 1 router-id 4.4.4.4 
 asbr-summary 4.4.4.0 255.255.255.0               聚合lsa5类外部路由，这里不在ospf任何区域内不用进入区域中配置
 import-route direct
 area 0.0.0.2 
  network 34.1.1.4 0.0.0.0 
#

在AR1上查看聚合的外部路由

[Huawei]display ospf 1 lsdb
OSPF Process 1 with Router ID 1.1.1.1
Link State Database 
        Area: 0.0.0.1
 Type      LinkState ID    AdvRouter          Age  Len   Sequence   Metric
 Router    2.2.2.2         2.2.2.2           1223  36    8000000D       1
 Router    1.1.1.1         1.1.1.1            479  72    80000011       1
 Network   12.1.1.1        1.1.1.1           1220  32    8000000B       0
 Sum-Net   23.1.1.0        2.2.2.2           1217  28    8000000A       1
 Sum-Net   34.1.1.0        2.2.2.2           1645  28    80000010       2
 Sum-Asbr  4.4.4.4         2.2.2.2            158  28    80000001       2这条lsa3是告知r-id为4.4.4.4这个asbr怎么去的，吓一跳从2.2.2.2这个abr走
AS External Database
 Type      LinkState ID    AdvRouter          Age  Len   Sequence   Metric
 External  4.4.4.0         4.4.4.4            160  36    80000001       2
 External  34.1.1.0        4.4.4.4            160  36    80000001       1
[Huawei]

[Huawei]display ip routing-table protocol ospf 
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Public routing table : OSPF
         Destinations : 3        Routes : 3        
OSPF routing table status :
         Destinations : 3        Routes : 3
Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface
        4.4.4.0/24  O_ASE   150  2           D   12.1.1.2        GigabitEthernet0/0/0
       23.1.1.0/24  OSPF    10   2           D   12.1.1.2        GigabitEthernet0/0/0
       34.1.1.0/24  OSPF    10   3           D   12.1.1.2        GigabitEthernet0/0/0
OSPF routing table status :
         Destinations : 0        Routes : 0
[Huawei]

二、ospf的负均衡和路由选择

       ospf的路由选择是通过路由的cost来决定的，cost越小越优先。当目的路由的cost一样时，就会形成负载均衡。在ospf中cost是以接口带宽计算的100M=10、1G=1

1、普通配置让路由形成负载均衡

AR1

ospf 1 router-id 1.1.1.1 
 area 0.0.0.0 
  network 12.1.1.1 0.0.0.0 
  network 13.1.1.1 0.0.0.0 
#

AR2

ospf 1 router-id 2.2.2.2 
 area 0.0.0.0 
  network 12.1.1.2 0.0.0.0 
  network 100.1.1.1 0.0.0.0 
#

AR3

ospf 1 router-id 3.3.3.3 
 area 0.0.0.0 
  network 13.1.1.3 0.0.0.0 
  network 100.1.1.1 0.0.0.0 
#

在AR1上查看负载均衡路由

[AR1]display ip routing-table protocol ospf 
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Public routing table : OSPF
         Destinations : 1        Routes : 2        
OSPF routing table status :
         Destinations : 1        Routes : 2
Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface
      100.1.1.1/32  OSPF    10   1           D   12.1.1.2        GigabitEthernet0/0/0
                          OSPF    10   1           D   13.1.1.3        GigabitEthernet0/0/1
OSPF routing table status :
         Destinations : 0        Routes : 0
[AR1]

查看路由选择，选择了从AR2去往100.1.1.1/32

[AR1]tracert 100.1.1.1
 traceroute to  100.1.1.1(100.1.1.1), max hops: 30 ,packet length: 40,press CTRL
_C to break 
 1 12.1.1.2 20 ms 13.1.1.3 10 ms  20 ms 
[AR1]

如果想让数据包从AR3去往100.1.1.1/32只需要修改负载分担的优先级就可以，让AR3到100.1.1.1/32的权重大于AR2就可以了（值越小越优先）

[AR1]ospf 1
[AR1-ospf-1]nexthop 13.1.1.3 weight 100               修改负载分担路由AR3的权重为100（默认254），优于AR2即可

[AR1-ospf-1]quit
[AR1]

[AR1]tracert 100.1.1.1
 traceroute to  100.1.1.1(100.1.1.1), max hops: 30 ,packet length: 40,press CTRL
_C to break 
 1 13.1.1.3 20 ms  20 ms  20 ms 
[AR1]

2、修改ospf接口的cost值进行路由选路，让流量重新走AR2

[AR1]interface g0/0/1
[AR1-GigabitEthernet0/0/1]ospf cost 2              1G接口cost默认为1最高优先，所以只需将g/0/1的cost改的比g/0/0的cost大那么ospf就会选择cost小的路由走
[AR1-GigabitEthernet0/0/1]quit
[AR1]

[AR1]display ip routing-table protocol ospf 
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Public routing table : OSPF
         Destinations : 1        Routes : 1        
OSPF routing table status :
         Destinations : 1        Routes : 1
Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface
      100.1.1.1/32  OSPF    10   1           D   12.1.1.2        GigabitEthernet0/0/0               将cost更优的路由放入路由表中
OSPF routing table status :
         Destinations : 0        Routes : 0
[AR1]

[AR1]tracert 100.1.1.1
 traceroute to  100.1.1.1(100.1.1.1), max hops: 30 ,packet length: 40,press CTRL
_C to break 
 1 12.1.1.2 30 ms  30 ms  10 ms     从cost小的路由走
[AR1]

3、外部重分布等价路由的优先级，type1＞type2

type1：会有一个真实的cost，路由的优先级与其他路由一样cost内外之和，小的优先。当100.1.1.1/32路由以type1类型重分布进ospf中时，路由的metric计算的是

AR1---AR2/AR3---100.1.1.1/32的cost的总和，也就是内部cost和外部重分布的cost总和。

type2：没有真实的cost固定为1，路由的优先级只受内部cost的影响，小的优先。当100.1.1.1/32路由以type2类型重分布进ospf中时，路由的metric只计算AR-AR2/AR3的ccost，而不计算外部cost（固定为1，修改无效）

修改cost方法：内部在AR1接口上ospf cost 10，外部在重分布的时候可以跟cost 10参数对type1类型的路由cost修改，type2类型无效。

三、ospf的路由过滤

1、抑制ospf的报文，禁止接收和发送ospf报文

[AR1]ospf 1
[AR1-ospf-1]silent-interface g0/0/0             在接口g/0/0/0抑制ospf报文
[AR1-ospf-1]quit
[AR1]

2、ospf接收和发布路由的过滤

[AR1]ospf 1
[AR1-ospf-1] filter-policy 2999 import               过滤acl2999中定义的进入的路由 
[AR1-ospf-1] quit
[AR1]

acl number 2999  
 rule 1 deny source 100.1.1.1 0 
 rule 2 permit

[AR1]ospf 1
[AR1-ospf-1] filter-policy 2999 import               过滤acl2999中定义的发送出的路由 
[AR1-ospf-1] quit
[AR1]

3、ospf过滤发送lsa

[AR1-GigabitEthernet0/0/0]ospf filter-lsa-out all        在出接口过滤lsa，可选lsa3、5、7和all

session 2 ospf的安全认证

ospf的认证

1、ospf区域认证，区域内每个路由器都需要配置一直

[AR1]ospf 1

[AR1-ospf-1]area 0

[AR1-ospf-1-area-0.0.0.0]authentication-mode md5 1 cipher 123     启用认证加密为MD5方式id=1，密码123以密文方式存

[AR1-ospf-1-area-0.0.0.0]quit

2、ospf接口认证，只需要在两端接口配置，优先级大于区域认证

[AR1]interface g0/0/1

[AR1-GigabitEthernet0/0/1]ospf authentication-mode  md5 1 cipher 123    

[AR1-GigabitEthernet0/0/1]quit

3、ospf的虚链路认证

[AR1]ospf 1

[AR1-ospf-1]area 1

[AR1-ospf-1-area-0.0.0.1]vlink-peer 12.12.1.2 md5 1 cipher 123

[AR1-ospf-1-area-0.0.0.1]quit