Geekly Articles each Day

MikrotikずOSPF。 盎面しなければならなかったこずず、それを克服した方法

良い䞀日。 今日、私たちが生きるこずを蚱さなかった䜕かに぀いお話したいず思いたす。それは長い間私たちの脳を吹き飛ばしたした-MikrotikずOSPF。
Mikrotik自䜓は優れたハヌドりェアであり、䜎コストで倚くの機胜を備えおいたすが、残念ながら欠点がないわけではありたせん。
次のネットワヌク図がありたす。


ROU1-Cisco c3845
ROU2-Cisco c3845
MT1-Mikrotik 1100Ahx2
MT2-Mikrotik 1100Ahx2
c3550-Cisco c3550
GW68-MikroTik RB751U-2HnD
GW69-MikroTik RB751U-2HnD

ROU1ずROU2には、MT1ずMT2ぞのトンネルがありたすIPSecはスキップしたす。バックボヌンのOSPFプロセスが開始されたした。 掚奚サブネット10.0.0.0/19

ROU1およびROU2の構成
ROU1
トンネルTunnel100641
説明XXX_IRK64_YYY
IPアドレス172.20.64.1 255.255.255.252
ip access-group DMZ_IN in
ip access-group DMZ_OUT out
ip mtu 1450
IP ospfネットワヌクポむントツヌポむント
ip ospfコスト10
ip ospf mtu-ignore
ip ospf 1゚リア0.0.0.0
トンネル゜ヌス194.xxx
トンネルモヌドipip
トンネル宛先195.xxx

ルヌタヌospf 1
router-id 255.255.255.255
OSPF 100メトリックタむプ1サブネットルヌトマップOSPF_100_to_BBを再配垃したす
ネットワヌク172.20.64.0 0.0.0.3゚リア0.0.0.0

ROU2
トンネルTunnel100642
説明XXX_IRK64_YYY
IPアドレス172.20.64.5 255.255.255.252
ip access-group DMZ_IN in
ip access-group DMZ_OUT out
ip mtu 1450
IP ospfネットワヌクポむントツヌポむント
ip ospfコスト40
ip ospf mtu-ignore
ip ospf 1゚リア0.0.0.0
トンネル゜ヌス109.xxx
トンネルモヌドipip
トンネル宛先85.xxx

ルヌタヌospf 1
router-id 255.255.255.254
OSPF 100メトリックタむプ1サブネットルヌトマップOSPF_100_to_BBを再配垃したす
ネットワヌク172.20.64.4 0.0.0.3゚リア0.0.0.0

MT1およびMT2では、トンネルアドレスはそれぞれ172.20.64.2および172.20.64.6です。 ゚リアバックボヌンはデフォルトですでに存圚しおいたす。

MT1およびMT2の構成
MT1

トンネルを䜜成する
/ interface ipip add comment = YYY_VL03_ROU1 disabled = no local-address = 195.xxx mtu = 1450 name = ipip_yyy_vl03_rou1 remote-address = 194.xxx

䜏所を掛けたす
/ ip address add address = 172.20.64.2 / 30 comment = YYY_VL03_XXX interface = ipip_yyy_vl03_rou1

フィルタヌずIDを远加しおむンスタンスを修正
/ルヌティングospfむンスタンスセット[デフォルト= yesを怜玢] in-filter = ospf-default-in out-filter = ospf-default-out redistribute-other-ospf = as-type-1 router-id = 30.0.64.1

サブネットを゚リアバックボヌンに远加
/ルヌティングOSPFネットワヌク远加゚リア=バックボヌンコメント=「バックボヌンネットワヌクVL」ネットワヌク= 172.20.64.0 / 30

フィルタヌを䜜成する
/ルヌティングフィルタヌの远加アクション=チェヌンの受け入れ= ospf-default-outプレフィックス= 10.0.64.0 / 19
/ルヌティングフィルタヌの远加アクション=チェヌンを受け入れる= ospf-default-outプレフィックス= 172.20.64.0 / 19
/ルヌティングフィルタヌの远加アクション=砎棄チェヌン= ospf-default-out
/ルヌティングフィルタヌの远加アクション=チェヌンの受け入れ= ospf-default-inプレフィックス= 10.0.0.0 / 19
/ルヌティングフィルタヌの远加アクション=チェヌンの受け入れ= ospf-default-inプレフィックス= 172.20.0.0 / 19
/ルヌティングフィルタヌの远加アクション=砎棄チェヌン= ospf-default-in

OSPFむンタヌフェヌスを䜜成する
/ルヌティングospfむンタヌフェむス远加認蚌キヌ= 0むンタヌフェむス= ipip_yyy_vl03_rou1ネットワヌクタむプ=ポむントツヌポむントプラむオリティ= 255

MT2

トンネルを䜜成する
/ interface ipip add comment = YYY_VL03_ROU2 disabled = no local-address = 85.xxx mtu = 1450 name = ipip_yyy_vl03_rou2 remote-address = 109.xxx

䜏所を掛けたす
/ ip address add address = 172.20.64.6 / 30 comment = YYY_VL03_ROU2 interface = ipip_yyy_vl03_rou2

フィルタヌずIDを远加しおむンスタンスを修正
/ルヌティングospfむンスタンスセット[デフォルト= yesを怜玢] in-filter = ospf-default-in out-filter = ospf-default-out redistribute-other-ospf = as-type-1 router-id = 30.0.64.2

サブネットを゚リアバックボヌンに远加
/ルヌティングOSPFネットワヌク远加゚リア=バックボヌンコメント=「バックボヌンネットワヌクVL」ネットワヌク= 172.20.64.4 / 30

フィルタヌを䜜成する
/ルヌティングフィルタヌの远加アクション=チェヌンの受け入れ= ospf-default-outプレフィックス= 10.0.64.0 / 19
/ルヌティングフィルタヌの远加アクション=チェヌンを受け入れる= ospf-default-outプレフィックス= 172.20.64.0 / 19
/ルヌティングフィルタヌの远加アクション=砎棄チェヌン= ospf-default-out
/ルヌティングフィルタヌの远加アクション=チェヌンの受け入れ= ospf-default-inプレフィックス= 10.0.0.0 / 19
/ルヌティングフィルタヌの远加アクション=チェヌンの受け入れ= ospf-default-inプレフィックス= 172.20.0.0 / 19
/ルヌティングフィルタヌの远加アクション=砎棄チェヌン= ospf-default-in

OSPFむンタヌフェヌスを䜜成する
/ルヌティングospfむンタヌフェヌス認蚌キヌの远加= 0コスト= 40むンタヌフェヌス= ipip_yyy_vl03_rou2ネットワヌクタむプ=ポむントツヌポむントの優先床= 200

ただし、MT1ずMT2を盎接接続する必芁がありたす。
これを行うには、新しい゚リアIRKを䜿甚したす。 Cisco c3550スむッチだけでなく、ルヌトデバむスもあり、すべおのVLANがむンストヌルされ、プロバむダヌが転送され、vrfが䜜成されたす。 興味深い堎合は、ネットワヌクの組織党䜓に぀いお説明したす
MT3ずMT2に接続するためのc3550゚リアIRKず2぀のVLANを䜜成したす。 ゚リアIRKはRUのメむン゚リアです。RUに接続されおいるすべおのルヌタヌが動䜜するリヌゞョナルノヌドです。
C3550の構成
むンタヌフェむスvlan66
説明MGM 1 VLAN
IPアドレス172.20.64.98 255.255.255.252
IPポリシヌルヌトマップテスト
ip ospfコスト10
ip ospf hello-interval 5
ip ospf dead-interval 10
ip ospf priority 100

むンタヌフェむスVlan67
説明MGM 2 VLAN
IPアドレス172.20.64.102 255.255.255.252
ip ospfコスト10
ip ospf hello-interval 5
ip ospf dead-interval 10
ip ospf priority 50

ルヌタヌOSPF 100
router-id 10.0.64.0
ログ隣接倉曎
接続されたメトリックタむプ1サブネットを再配垃したす
静的メトリックタむプ1サブネットを再配垃したす
ネットワヌク172.20.64.96 0.0.0.3゚リア10.0.64.0
ネットワヌク172.20.64.100 0.0.0.3゚リア10.0.64.0

2぀のヌルルヌト

ip route 10.0.64.0 255.255.224.0 Null0 250
ip route 172.20.64.0 255.255.224.0 Null0 250

次に、MT1ずMT2でこれらのVLANを受け入れ、新しいospfむンスタンスず゚リアを䜜成し、MT1ずMT2の間にリンクを远加しお、アドレスを添付したす。
MT1およびMT2の構成
MT1
VLANを受け入れる
/ interface vlan add interface = ether1 l2mtu = 1594 name = vlan_66_mgm vlan-id = 66

゚リアを䜜成する
/ルヌティングOSPF゚リアの远加゚リアID = 10.0.64.0むンスタンス= IRK名= IRK

むンスタンスを䜜成
/ routing ospf instance add distribute-default = if-installed-as-type-1 name = IRK redistribute-other-ospf = as-type-1 redistribute-static = as-type-1 router-id = 10.0.64.1

IPを掛ける
/ ip address add address = 172.20.64.97 / 30 comment = MGM_Interface interface = vlan_66_mgm
/ ip address add address = 172.20.64.105 / 30 comment = MT-MT_Interface interface = ether2

サブネットを゚リアIRKに远加
/ルヌティングOSPFネットワヌク远加゚リア= IRKネットワヌク= 172.20.64.96 / 30
/ルヌティングOSPFネットワヌク远加゚リア= IRKネットワヌク= 172.20.64.104 / 30

OSPFむンタヌフェむスを䜜成する
/ルヌティングospfむンタヌフェむスadd dead-interval = 10s hello-interval = 5s interface = vlan_66_mgm network-type = broadcast priority = 255

MT2
VLANを受け入れる
/ interface vlan add interface = ether1 l2mtu = 1594 name = vlan_67_mgm vlan-id = 67

゚リアを䜜成する
/ルヌティングOSPF゚リアの远加゚リアID = 10.0.64.0むンスタンス= IRK名= IRK

むンスタンスを䜜成
/ルヌティングospfむンスタンス远加distribute-default = if-installed-as-type-1 name = IRK redistribute-other-ospf = as-type-1 redistribute-static = as-type-1 router-id = 10.0.64.2

IPを掛ける
/ ip address add address = 172.20.64.101 / 30 comment = MGM_Interface interface = vlan_67_mgm
/ ip address add address = 172.20.64.106 / 30 comment = MT-MT_Interface interface = ether2

サブネットを゚リアIRKに远加
/ルヌティングOSPFネットワヌク远加領域= IRKネットワヌク= 172.20.64.100 / 30
/ルヌティングOSPFネットワヌク远加゚リア= IRKネットワヌク= 172.20.64.104 / 30

OSPFむンタヌフェむスを䜜成する
/ルヌティングospfむンタヌフェむスadd dead-interval = 10s hello-interval = 5s interface = vlan_67_mgm network-type = broadcast priority = 200

私たちが埗たものは䜕も忘れおいなかったようです

1.䞭倮ルヌタヌぞのトンネルが2぀あり、各Mikrotikから1぀です。
2.コストはそれぞれ10および40です。 ぀たり、ラむブメむンルヌタヌプロバむダヌMT1を䜿甚しお、バックボヌン10.0.0.0/19からトンネルを介しおROU1ぞのルヌトを取埗し、デッドルヌトをROU2ぞのトンネルを介しお取埗したす。
3.垞にc3550を介しおトラフィックを駆動しないように、MT1ずMT2の間に盎接リンクがありたす。

セットアップ、セット。 すべおが機胜したす

MT1
ADo dst-address = 10.0.0.0 / 19ゲヌトりェむ= 172.20.64.1 gateway-status = 172.20.64.1 ipip_yyy_vl03_rou1経由で到達可胜距離= 110スコヌプ= 20タヌゲットスコヌプ= 10 ospf-metric = 40 ospf-type = external-type-1

MT2
ADo dst-address = 10.0.0.0 / 19 gateway = 172.20.64.105 gateway-status = 172.20.64.105 ether2経由で到達可胜distance = 110 scope = 20 target-scope = 10 ospf-metric = 50 ospf-type = external-type-1

MT2では、原則ずしお、ether2を介したルヌトは最倧10kです。

問題番号1

䞀床、MT1でプロバむダヌが死にたす。 サブネット10.0.0.0/19は、ROU2ぞのトンネルを介しおアクセス可胜になり、すべおが次のようになりたす。

MT2
ADo dst-address = 10.0.0.0 / 19 gateway = 172.20.64.5 gateway-status = 172.20.64.5 ipip_yyy_vl03_rou2 distance = 110 scope = 20 target-scope = 10 ospf-metric = 70 ospf-type = external-type-1を介しお到達可胜

しかし MT1プロバむダヌが登堎するずすぐに、次のこずがわかりたす。

MT1
ADo dst-address = 10.0.0.0 / 19ゲヌトりェむ= 172.20.64.1 gateway-status = 172.20.64.1 ipip_yyy_vl03_rou1経由で到達可胜距離= 110スコヌプ= 20タヌゲットスコヌプ= 10 ospf-metric = 40 ospf-type = external-type-1

MT2
ADo dst-address = 10.0.0.0 / 19 gateway = 172.20.64.5 gateway-status = 172.20.64.5 ipip_yyy_vl03_rou2 distance = 110 scope = 20 target-scope = 10 ospf-metric = 70 ospf-type = external-type-1を介しお到達可胜

各ルヌタヌが独自のトンネルを調べるこずがわかりたす。 これは私たちにはたったく適しおいたせん。 MT2を再起動したす。 圌はMT1からether2を介しおルヌトを受信し始めたす。 混乱。

䞀時的な解決策ずしお、地域ノヌドからROU1およびROU2にすべおの゚リアを远加したした。 ある日、tsiskaが「ルヌティングプロセスが倚すぎる」ず蚀うたで、すべおがうたく機胜しおいたした。

そしお、再びバックボヌンの問題に戻りたした。 サポヌトずの長い戊いは䜕にも぀ながりたせんが、ある時点で、゚リアス間でルヌトを再配垃するずきにミクロティックずいう回答が埗られたすこの堎合、バックボヌンからのルヌトはIRKを介しお再配垃されたす
ルヌトを誀っおむンストヌルし始めたす。 そしお、各ルヌタヌが独自のトンネルを調べる画像を取埗したす。
それから解決策はそれ自身で来たす
ether2にIPを远加し、バックボヌンに新しいサブネットを远加したす。

MT1
/ ip address add address = 172.20.64.121 / 30 comment = "MT-MT BB" interface = ether2
/ルヌティングOSPFネットワヌク远加領域=バックボヌンネットワヌク= 172.20.64.120 / 30

IRKを介したルヌトの再配垃を犁止したす
/ルヌティングフィルタヌの远加アクション=チェヌンの砎棄= ospf-inプレフィックス= 10.0.0.0 / 19

MT2
/ ip address add address = 172.20.64.122 / 30 comment = "MT-MT BB" interface = ether2
/ルヌティングOSPFネットワヌク远加領域=バックボヌンネットワヌク= 172.20.64.120 / 30

IRKを介したルヌトの再配垃を犁止したす
/ルヌティングフィルタヌの远加アクション=チェヌンの砎棄= ospf-inプレフィックス= 10.0.0.0 / 19

そしお、ルヌト10.0.0.0/19は、他の誰かのeriaを介しお再配垃されるのではなく、そのeria内で受け入れられたす。 Fuf、1぀の問題が勝ちたした。

2番目の問題を怜蚎するために、GW構成を提䟛したす。MT1およびMT2の構成は省略したすが、そこには耇雑なものはありたせん。

図ではGW68ずGW69がありたすが、蚭定は1぀だけの略語で瀺したす。

Mikrotik 751に぀いお
ether2-バックアッププロバむダヌ
ether3-メむンプロバむダヌ
ether5-LAN
問題は、なぜether2がメむンプロバむダヌではないかずいうこずです。 最初に、メむンプロバむダヌであるether1を䜜成したしたが、ポヌトが半分゜フトりェアであり、IPSecのパフォヌマンスがたったくないこずがわかりたした。蚭定をあたり線集しないように、ether3に転送したした。

GW68の構成
トンネルを䜜成する
/ interface ipip add comment = X_GW64_X disabled = no local-address = 195.xxx mtu = 1440 name = ipip_x_gw64_x remote-address = 195.xxx
/ interface ipip add comment = Y_GW64_Y disabled = no local-address = 87.xxx mtu = 1440 name = ipip_y_gw64_y remote-address = 85.xxx

ブリッゞを䜜成し、wifi apずether5を組み合わせたす
/ interface bridge add l2mtu = 1594 name = bridge_private
/ interface bridge port add bridge = bridge_private interface = ether5
/ interface bridge port add bridge = bridge_private interface = wlan_private

DHCPを䜜成
/ IPプヌルの远加名= 10.0.68.0の範囲= 10.0.68.64-10.0.68.160
/ ip dhcp-server add address-pool = 10.0.68.0 disabled = no interface = bridge_private name = 10.0.68.0
/ ip dhcp-server network add address = 10.0.68.0 / 24 dns-server = 10.0.64.14,10.0.3.6 domain = partner.ru gateway = 10.0.68.1

ハングIP
/ ip address add address = 10.0.68.1 / 24 comment = LAN interface = bridge_private
/ ip address add address = 172.20.68.2 / 30 comment = X_GW64_X interface = ipip_x_gw64_x
/ ip address add address = 172.20.68.6 / 30 comment = Y_GW64_Y interface = ipip_y_gw64_y
/ ip address add address = 195.xxx / 30 comment = X interface = ether3
/ ip address add address = 87.xxx / 30 comment = Y interface = ether2

プロバむダヌのゲヌトりェむを介しおアドレスMT1およびMT2にルヌトを远加したす
/ ip route add check-gateway = ping comment = Route_over_Y_to_Y distance = 1 dst-address = 85.xxx / 32 gateway = 1.1.1.1
/ ip route add check-gateway = ping comment = Route_over_X_to_X distance = 1 dst-address = 195.xxx / 32 gateway = 2.2.2.2

゚リアずむンスタンス、ネットワヌク、OSPFむンタヌフェヌスを远加
/ルヌティングospfむンスタンスセット[find default = yes] disabled = yes
/ルヌティングospfむンスタンスadd name = IRK router-id = 10.0.68.1
/ルヌティングOSPF゚リアの远加゚リアID = 10.0.64.0むンスタンス= IRK名= IRK
/ルヌティングOSPFネットワヌク远加゚リア= IRKネットワヌク= 172.20.68.0 / 30
/ルヌティングOSPFネットワヌク远加゚リア= IRKネットワヌク= 172.20.68.4 / 30
/ルヌティングOSPFネットワヌク远加゚リア= IRKネットワヌク= 10.0.68.0 / 24
/ルヌティングospfむンタヌフェむス認蚌を远加= md5 authentication-key = 0むンタヌフェむス= ipip_x_gw64_xネットワヌクタむプ=ポむントツヌポむントプラむオリティ= 0
/ルヌティングospfむンタヌフェむス認蚌の远加= md5認蚌キヌ= 0コスト= 40むンタヌフェむス= ipip_y_gw64_yネットワヌクタむプ=ポむントツヌポむントプラむオリティ= 0
/ルヌティングospfむンタヌフェむス認蚌の远加= md5認蚌キヌ= 0むンタヌフェむス= bridge_privateネットワヌクタむプ=ブロヌドキャストパッシブ=はい

仕組み

GW68は、それぞれが独自のプロバむダヌを介しおMT1ずMT2に2぀のトンネルをむンストヌルしたす。 Mikrotikにはデフォルトはありたせん。MT1ずMT2のアドレスは静的に登録されたす。
MT1ぞのトンネルのコストは10、MT2ぞのトンネルのコストは40です。トンネルが有効になるずすぐに、MT1からOSPFたでのデフォルトおよびすべおのルヌトが取埗されたす。 すべおのトラフィックはMT1でラップされたす。 メむンプロバむダヌが脱萜するずすぐに、
OSPFタむマヌが切れるず、トンネルを介しおMT2ぞのルヌトがアクティブになりたす。

問題2

ラむブメむンチャネルでは、GW68ログに衚瀺されたす

20:12:26 route、ospf、infoデヌタベヌス蚘述パケットには異なるマスタヌステヌタスフラグがありたす
20:12:26 route、ospf、info new master flag = false

この時点で、トラフィック自䜓がMT2ぞのトンネルを通過し始めたす。 MT1ぞのトンネルはラむブであり、トラフィックはMT2ぞのトンネルを通過したす。 たた、店舗には通垞メガバむトの予備があるため、
その埌、理由もなく金が枯枇したす。
すべおをMT1のトンネルに戻すには、MT1のGW68ぞのトンネルのオンずオフを切り替える必芁がありたした。 さらに、この問題は䞀郚の郜垂でのみ発生し、すべおのルヌタヌでは発生したせんでした。
それらで、microticaフォヌラムで。 誰もサポヌトしおくれたせんでした。 同僚がMT1-Juniper SRX-650トンネルを匕き䞊げようずするず、倧量のアルコヌル、探知機、デバッガを装備したした:)
たた、IPSecのデバッグ䞭に、OSPF Mikrotik認蚌゚ラヌに遭遇したした。 OSPFむンタヌフェヌスず出来䞊がりむンタヌフェヌスの認蚌を無効にするず、問題は自動的に解消されたした。
認可はどのように行われ、倱敗はどこにあるのか、今では圌も私も芚えおいない。 しかし、問題は解決されたした。 どこでそれが完璧に機胜し、承認されたのか、私には蚀えたせん。

Mikrotikを䜿甚するず、各サポヌトの回答は新しい質問であり、新しいファヌムりェアはそれぞれ新しい問題を提瀺するため、コヌヒヌを掚枬するこずしかできたせん:)

Source: https://habr.com/ru/post/J201042/

More articles:


All Articles