OSPF 问题,P2P (MPLS) 和防火墙之间的冗余

网络工程 思科 路由 防火墙 ospf 冗余
2021-07-08 03:17:00

我画了一张网络图,以便于理解我的网络问题。

在此处输入图片说明

  1. 站点 B、C 和 D 通过 MPLS 进行通信,在发生故障切换时,它们通过 VPN 隧道进行通信。
  2. 站点 X 仅通过 MPLS 与站点 B、C 和 D 通信。
  3. 站点 A 是一个新站点,它具有防火墙和到站点 B 的 P2P -EPL。

我对站点 A 进行了配置,以便到站点 B、C、D 和 X 的流量通过 P2P,并且在发生故障转移时会进入防火墙。

案例1:(流量通过P2P)

在(站点 A)中启用了 OSPF(L3 交换机),因此(站点 A)的所有网络都将被通告并通过 MPLS 查看所有其他站点。>>>> 没有问题,效果很好!

案例 2:(故障转移到防火墙)

如果 P2P 关闭,OSPF 不会生效,从站点 A 到站点 B、C 和 D 的流量将通过防火墙,站点 X 对站点 A 将不可见。

解决方案:由于在具有重新分配子网的站点 B、C 和 D 中启用了 OSPF,因此我在三个站点中的每个站点中为站点 A 添加了一个静态路由,并将其指向每个站点的防火墙。现在站点 X 可以看到站点 A。太棒了!!!

案例3:(退回到P2P)

这是我的问题,当 P2P 上升时,站点 A 中的 OSPF 将再次生效,并且我在所有其他站点中为站点 A 添加的所有静态路由都将生效并将流量指向 FW。

解决方案1:手动删除静态路由(没有意义)

解决方案 2:保留静态路由,但为每条路由添加高于 OSPF AD 的 AD,假设为 200。

在这种情况下,如果 P2P up OSPF (110) < 200,OSPF 将获胜

如果 P2P 关闭 Static 1<200 ,Static 将获胜并且流量将通过防火墙。

出于某种原因,解决方案 2 仅适用于站点 B,而不适用于站点 C 或 D!!!

查了B、C、D站点的配置,发现C、D站点有这个额外的命令,是之前的网络工程师加的

redistribute static route-map STATIC>OSPF

为什么您认为解决方案 2 在站点 C 或 D 上不起作用?

非常感谢您的帮助和建议。

2个回答

问题是您将静态路由重新分配到 OSPF 中,它们在那里获得 OSPF AD。此时,OSPF 成本决定了流量的路由位置。ASBR 的 OSPF 成本小于跨 MPLS 云和点对点链路的累积成本。查看其中一个无法工作的站点的路由表中列出的内容。

您确实需要小心删除重新分发,因为它可能用于其他用途。您还可以更改路由图以排除将静态网络重新分配到站点 A。您应该调查重新分配,因为重新分配是一个丑陋的解决方案,您可能能够完全消除它。


或者,我认为更清晰的是,您应该能够跨 VPN 运行 OSPF,但为这些链接分配比跨 MPLS 云的 OSPF 更高的成本。这将使 OSPF 动态地将路由更改为启动的最低成本路径。

我们通过防火墙进行了类似的设置 mpls 和站点到站点 vpns。当我们的 mpls 出现故障时,我们使用 Cisco IOS IP SLA 功能自动添加/删除所需的路由语句。