Configuration de routes alternatives sans boucle pour OSPF

LFA (Per-Prefix Loop Free Alternates) — Les alternatives libres de boucle (LFA) sont une technologie par laquelle un voisin peut être utilisé comme saut suivant de secours pour fournir un chemin de réparation local pour que le trafic puisse circuler temporairement en cas de défaillance dans le saut suivant principal (nœud ou liaison). Pour cela, l’exigence de base est que le voisin de sauvegarde sélectionné fournit un chemin sans boucle par rapport au saut principal suivant vers une destination, à l’origine d’un ensemble de préfixes IGP (Interior Gateway Protocol).

La topologie suivante explique le cas de déploiement où chaque fonctionnalité LFA de préfixe est applicable.

Figure 1 : scénario d’utilisation LFA par préfixe

ABR1 et ABR2 sont des routeurs de bordure de zone (ABR), doublement connectés à un réseau central IPv6, qui annonce la synthèse LSA pour le préfixe 10.0.1.0/24 avec une métrique de 10. De plus, du point de vue du routeur PE, ABR1 est le meilleur préfixe d’origine pour 10.0.1.0/24. Dans ce cas, P2 n’est pas une LFA valide pour ABR1 en raison du coût égal des chemins multiples (ECMP) {P2, PE, P1, ABR1} et {P2, ABR2, ABR1} qui entraînent une boucle de boucle d’une partie du trafic via le PE du routeur (pas de LFA valide). Toutefois, pour ABR2, qui est également un préfixe d’origine pour 10.0.1.0/24, P2 est une LFA valide car le seul chemin est {P2, ABR2}.

Un chemin sans boucle est un chemin qui ne fait pas remonter le trafic via l’équipement de routage pour atteindre une destination donnée. Autrement dit, un voisin dont le chemin le plus court d’abord vers la destination traverse l’équipement de routage qui n’est pas utilisé comme route de secours vers cette destination. Pour déterminer les chemins alternatifs sans boucle pour les routes OSPF, Junos OS effectue des calculs SPF (short-path-first) sur chaque voisin d’un saut. Vous pouvez activer la prise en charge d’autres routes sans boucle sur n’importe quelle interface OSPF. Comme il est courant d’activer le LDP sur une interface pour laquelle OSPF est déjà activé, cette fonctionnalité prend également en charge les chemins de commutation d’étiquettes LDP (LSP).

Le niveau de couverture de sauvegarde disponible via les routes OSPF dépend de la topologie du réseau réelle et est généralement inférieur à 100 % pour toutes les destinations sur un équipement de routage donné. Vous pouvez étendre la couverture de sauvegarde pour inclure des chemins LSP RSVP.

Junos OS fournit trois mécanismes de redondance de routage pour OSPF via d’autres routes sans boucle :

• Protection des liaisons : offre une protection du trafic par liaison. Utilisez la protection des liaisons lorsque vous supposez qu’une seule liaison peut devenir indisponible, mais que le nœud voisin du chemin principal serait toujours disponible via une autre interface.

• Protection des liaisons de nœud : établit un chemin alternatif via un autre équipement de routage. Utilisez la protection des liaisons de nœud lorsque vous supposez que l’accès à un nœud est perdu lorsqu’une liaison n’est plus disponible. En conséquence, Junos OS calcule un chemin de secours qui évite le périphérique de routage principal au saut suivant.

• Alternatives sans boucle par préfixe (LFA) : il s’agit d’une technologie par laquelle un voisin peut être utilisé comme saut suivant de secours pour fournir un chemin de réparation local pour que le trafic puisse circuler temporairement en cas de défaillance dans le saut suivant principal (nœud ou liaison). Pour cela, l’exigence de base est que le voisin de sauvegarde sélectionné fournit un chemin sans boucle par rapport à un saut suivant principal vers une destination, à l’origine d’un ensemble de préfixes IGP (Interior Gateway Protocol).

  Dans certaines topologies et scénarios d’utilisation, il peut être possible que plusieurs destinations proviennent du même préfixe et qu’il n’existe pas de LFA viable pour le meilleur préfixe d’origine, alors qu’un autre préfixe d’origine a une LFA viable. La LFA par préfixe est un mécanisme permettant d’utiliser la LFA à un autre facteur d’origine de préfixe non-meilleur, en lieu et place de la LFA au meilleur facteur d’origine de préfixe, afin d’assurer une réparation locale. Dans de tels cas, la LFA par préfixe peut être utilisée pour augmenter la couverture de réparation locale du protocole OSPF.

Lorsque vous activez la protection des liaisons ou la protection des liaisons de nœud sur une interface OSPF, Junos OS crée un chemin alternatif vers le saut suivant principal pour toutes les routes de destination qui traversent une interface protégée.

Cet exemple illustre l’utilisation de la protection des liaisons pour les interfaces sur utilisant OSPF.

Lorsque vous activez la protection des liaisons, Junos OS crée un chemin alternatif vers le saut suivant principal pour tous les routes de destination qui traversent une interface protégée. Utilisez la protection des liaisons lorsque vous supposez qu’une seule liaison peut devenir indisponible, mais que le nœud voisin serait toujours disponible via une autre interface.

Pour calculer le chemin de sauvegarde LFA distant, le protocole OSPF détermine le nœud LFA distant de la manière suivante :

1. Calcule d’abord le chemin inverse le plus court à partir du routeur adjacent sur la liaison protégée d’un PLR. Le chemin inverse le plus court utilise d’abord la métrique de liaison entrante au lieu de la métrique de liaison sortante pour atteindre un nœud voisin.

   Le résultat est un ensemble de liaisons et de nœuds, qui est le chemin le plus court entre chaque nœud de branche et le nœud racine.

2. Calcule le chemin d’abord le plus court (SPF) sur les routeurs adjacents restants pour trouver la liste des nœuds qui peuvent être atteints sans traverser la liaison protégée.

   Le résultat est un autre ensemble de liaisons et de nœuds sur le chemin le plus court du nœud racine à tous les nœuds de branche.

3. Détermine les nœuds communs à partir des résultats ci-dessus. Ces nœuds sont les LFAs distants.

OSPF écoute les labels annoncés pour les routes LDP. Pour chaque route LDP annoncée, OSPF vérifie s’il contient un saut suivant LDP fourni. Si le routage OSPF correspondant dispose d’un saut suivant de sauvegarde, alors OSPF exécute la stratégie de sauvegarde et ajoute un routage de suivi supplémentaire avec le saut suivant du chemin de commutation d’étiquetteS LDP correspondant comme saut suivant de sauvegarde. S’il n’y a pas de sauts suivants de sauvegarde, le LDP construit un tunnel LDP dynamique vers le LFA distant, et le LDP établit une adjacence ciblée entre le nœud LFA distant et le nœud PLR. Ce routage de sauvegarde est doté de deux étiquettes LDP. Le label supérieur est le routage OSPF, qui désigne le chemin de secours du PLR au routage LFA distant. Le label inférieur est le chemin de commutation d’étiquette MPLS LDP qui désigne le chemin permettant d’atteindre la destination ultime à partir de la LFA distante. Lorsqu’une session LDP tombe en panne et qu’un tunnel distant n’est plus disponible, OSPF modifie tous les routes qui ont utilisé ce tunnel LDP de secours.

Le LDP peut être vulnérable par une adjacence ciblée automatiquement, et ces menaces peuvent être atténuées à l’aide de tout ou partie des mécanismes suivants :

• Les LFAs distants à plusieurs sauts utilisent des messages de bonjour étendus pour indiquer la volonté d’établir une session LDP ciblée. Une LFA distante peut réduire la menace des messages d’bonjour étendus usurpés en les filtrant et en n’acceptant que ceux provenant de sources autorisées par une liste d’accès ou de filtre.

• Il est nécessaire d’authentifier avec TCP-MD5 toutes les sessions LDP ciblées automatiquement dans le domaine IGP/LDP donné à l’aide de groupes d’application ou d’authentification LDP de niveau global.

• Par mesure de sécurité supplémentaire, les routeurs de points de terminaison de tunnel distants ou de réparation doivent être assignés à partir d’un ensemble d’adresses inaccessibles depuis l’extérieur du domaine de routage.

Dans un réseau OSPF, une alternative sans boucle (LFA) est un voisin directement connecté qui fournit des chemins de secours précomputés vers les destinations accessibles via la liaison protégée sur le point de réparation locale (PLR). Un LFA distant n’est pas directement connecté au PLR et fournit des chemins de sauvegarde précomputés à l’aide de tunnels LDP créés dynamiquement vers le nœud LFA distant. Le PLR utilise ce chemin de sauvegarde LFA distant en cas de défaillance de la liaison principale. L’objectif principal de la LFA distante est d’augmenter la couverture de secours des réseaux OSPF et de protéger les réseaux urbains de couche 1. Cet exemple montre comment configurer un LFA distant pour les tunnels LDP d’un réseau OSPF pour étendre la protection de sauvegarde.