华为数通笔记-OSPF路由过滤原理与实验

最新推荐文章于 2024-10-02 14:09:08 发布

renkie人可毅

最新推荐文章于 2024-10-02 14:09:08 发布

阅读量4.3k

点赞数 2

文章标签：网络协议网络华为

本文链接：https://blog.csdn.net/qq_45959697/article/details/123744627

版权

1.filter-policy import (在ospf进程中配置)

此命令只能抑制生成路由条目。但不能阻止LSA泛洪（对于3类、5类、7类可以阻止，1类和2类LSA无法阻止）。

2.filter-policy export (在ospf进程中配置)

该命令用来在ASBR上过滤ASE/NSSA，其实是抑制LSA的生成，LSA一旦生成，这条命令就没有用了，另外这条命令只能在ASBR上配置，在其它路由上配置没有用，因为LSA已经生成。

3.asbr-summary not-advertise (在ospf进程中配置)

该命令用来在ASBR 上可以对自身产生的ASE/NSSA做过滤，其实也是抑制LSA生成，在本地LSDB中没有相关LSA.聚合外部路由后，不发布。

4.abr-summary not-advertise (区域中配置)

该命令用在ABR上对三类LSA做过滤，不过只能对自己产生的三类LSA做过滤，不能对从其它设备收到的三类做过滤。(原因是：这条命令是聚合命令，目前VRP和IOS的聚合命令的实现是只对本区域的路由做聚合而不对区域间路由做聚合，所以说abr-summary not-advertise这条命令实际只是对本区域的区域内路由起过滤作用。)

5.filter import/export (区域中配置)

该命令用在ABR上对三类LSA做过滤，不论这个三类LSA是自己产生的还是从别的路由器收到的都可以过滤。对五类LSA无效。

6.ospf filter-lsa-out （接口上配置)

可以过滤任3、5、7类LSA，配置完需要清一下ospf进程。

注意点：

此命令不能过滤1类和2类LSA，原因是如果同一区域设备的1类和2类LSA不同步，会产生环路。

在某接口配置OSPF filter-LSA-out 命令后，该接口的 OSPF 邻居关系会自动重建。

过滤实验

1.filter-policy import

将R2的loopback0：2.2.2.2，宣告进ospf当中，在R3运用filter-policy import过滤2.2.2.2。

R3未配置过滤时的路由表

在R3上配置策略

ip ip-prefix ww index 10 deny 2.2.2.2 32
ip ip-prefix ww index 20 permit 0.0.0.0 0 less-equal 32
ospf 1
filter-policy ip-prefix ww import

此时R3的路由表没有了2.2.2.2的路由，但是filter-policy xx import不能过滤LSA，故R1仍有2.2.2.2的路由。

2. filter-policy export

将引入的静态路由过滤，未过滤时，R4有到6.6.6.6的五类LSA

在R5上执行 filter-policy export,此时R4上没有了五类LSA,过滤成功

ip ip-prefix ww deny 6.6.6.6 32
ospf 1
filter-policy ip-prefix ww export

3.asbr-summary not-advertise (在ospf进程中配置)

将10.10.1.1、10.10.2.1、10.10.3.1通过asbr-summary not-advertise聚合后，R3上有10.10.0.0 16的路由，在通过asbr-summary not-advertise，不通告聚合路由，R3上将没有10.10.0.0的路由。

4.abr-summary not-advertise (区域中配置)

在R2上将 10.10.1.1、10.10.2.1、10.10.3.1宣告进ospf网络中，在R1上执行abr-summary not-advertise，R4将不会收到10.10.0.0 /16的路由。

5.filter import/export (区域中配置)

在区域1中使用filter export过滤2.2.2.2 或在区域0中使用filter import过滤2.2.2.2,在R4上关于2.2.2.2的三类LSA就被过滤了。

ip ip-prefix ww index 10 deny 2.2.2.2 32
ip ip-prefix ww index 20 permit 0.0.0.0 0 less-equal 32
ospf 1
area 1
filter ip-prefix ww export

6.ospf filter-lsa-out （接口上配置)

可以过滤ase、nssa、summary，其中一个或所有，但是不能过滤1类和2类LSA。

OSPF与默认路由

OSPF中默认路由的种类有三种: LSA3的默认路由、LSA5及LSA7的默认路由。

由区域边界路由器(ABR) 产生LSA3默认路由，用来指导区域内设备进行区域之间报文的转发。

这是自动产生的默认路由，由特定的区域设置而触发产生。Stub/totally Stub及Totally NSSA类型区域内都会存在由ABR产生的LSA3的默认路由，默认Cost=1。

ASBR能引入外部路由，ASBR同样也能产生默认路由，类型为LSA5或LSA7。

普通或骨干区域产生LSA5外部默认路由，而NSSA区域产生LSA7外部默认NSSA路由，用来指导自治系统(AS)内设备进行自治系统外报文的转发。

OSPF默认路由的发布原则如下：

●OSPF路由器只具有对区域外的出口时，才能够发布默认路由LSA。

●如果OSPF路由器已经发布了默认路由LSA，那么不再学习其他路由器发布的相同类型默认路由。即路由计算时不再计算其他路由器发布的相同类型的默认路由LSA，但数据库中存有对应的LSA。（目的，防止环路。当默认路由护指的情况下，在精确的内部路由基础上，边界路由器通告一条默认路由，使所有访问未知目的地的数据报文都送至边界路由器。但如果流量流至边界路由器后，又从边界路由器通过默认路由流回内部路由器，则环路出现。）

●外部默认路由的发布如果要依赖于其他路由，那么被依赖的路由不能是本OSPF路由域内的路由，即不是本进程OSPF学习到的路由。因为外部默认路由的作用是用于指导报文的域外转发，而本OSPF路由域的路由的下一跳都指向了域内，不能满足指导报文域外转发的要求。

●如果一台路由器同时收到多种类型默认路由，则根据选路规则，Type3 默认路由的优先级高于Type5或Type7路由。

骨干及普通区域中的默认路由。

缺省情况下，在普通OSPF区域内的OSPF路由器是不会产生默认路由的，即使它有默认路由。当网络中默认路由通过其他路由进程产生时，必须能够将默认路由通告到整个OSPF域中。这个时候要想产生默认路由必须在ASBR上手动通过命令进行配置。使用了该命令后会产生一个Link State ID为0.0.0.0、网络掩码为0.0.0.0的LSA5，并且通告到整个OSPF域中。

使用场景

import-route (OSPF)命令不能引入外部路由的缺省路由。当需要引入其他协议产生的缺省路由时，必须在ASBR上配置default-route-advertise命令，发布缺省路由到整个普通OSPF区域。

ASBR已经有缺省路由，执行default-route-advertise命令，将在整个OSPF区域中通告缺省路由0.0.0.0。

ASBR没有缺省路由，执行default-route-advertise命令时按照以下需求选择是否配置always参数。

如果配置always参数，无论ASBR是否有缺省路由都将在整个OSPF区域中通告缺省路由0.0.0.0，并且不再计算来自其他设备的缺省路由。
如果没有配置always参数，ASBR的路由表中必须有激活的非OSPF（BGP除外）缺省路由时才生成缺省路由的LSA。

NSSA 区域中的默认路由。

NSSA命令用来配置OSPF区域为NSSA区域。NSSA default-route avertise用来在ASBR上配置产生LSA7默认路由到NSSA区域。华为实现会在NSSA及Totally NSSA边界路由器ABR上自动产生LSA7默认路由。ABR既然能产生LSA7默认路由，所以NSSA区域的ABR同时也是ASBR。

●在ABR上无论路由表中是否存在默认路由0.0.0.0/0,都会产生LSA7默认路由。

●在ASBR上只有当路由表中存在默认路由0.0.0.0/0，才会产生Type7 LSA默认路由。

如果希望到达自治系统外部网络是通过本区域的ASBR出去，而访问其他外部网络则是通过骨干区域出去。此时，可在ABR上产生一条LSA7的默认路由，通告到NSSA区域内。这样，访问明细路由所对应的外部网络通过NSSA ASBR，而其他路由都可通过NSSA的ABR产生LSA7类型默认路由到达其他区域的ASBR出去。

如果希望访问所有的外部网络只通过本区域ASBR出去，则必须在ASBR上手动配置，使ASBR产生一条LSA7类型默认路由并通告到整NSSA区域。这样，所有的外部路由就只能通过本区域NSSA的ASBR到达。NSSA区域产生默认路由，因为LSA7默认路由只在NSSA区域内泛洪，并没有泛洪到整个OSPF域中，所以本NSSA区域内的路由器在找不到明细路由之后可以按默认路由离开本区域。LSA7 默认路由不会在ABR上转换成LSA5默认路由。