Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
SUR CETTE PAGE
 

Configuration de la détection des erreurs OSPF à l’aide de BFD

Comprendre BFD pour OSPF

Le protocole BFD (Bidirectional Forwarding Detection) est un simple mécanisme hello qui détecte les défaillances dans un réseau. BFD fonctionne avec une grande variété d’environnements et de topologies réseau. Deux périphériques de routage échangent des paquets BFD. Les paquets Hello sont envoyés à intervalles réguliers et spécifiés. Une défaillance de voisinage est détectée lorsque le périphérique de routage cesse de recevoir une réponse après un intervalle spécifié. Les temporisateurs de détection des défaillances BFD ont des limites de temps plus courtes que les mécanismes de détection des défaillances OSPF, ce qui leur permet une détection plus rapide.

Les minuteries de détection des défaillances BFD sont adaptatives et peuvent être ajustées pour être plus rapides ou plus lentes. Plus la valeur du minuteur de détection de défaillance BFD est faible, plus la détection de défaillance est rapide et vice versa. Par exemple, les temporisateurs peuvent s’adapter à une valeur plus élevée si la contiguïté échoue (c’est-à-dire que le minuteur détecte les échecs plus lentement). Ou un voisin peut négocier une valeur de minuterie supérieure à la valeur configurée. Les temporisateurs s’adaptent à une valeur plus élevée lorsqu’un battement de session BFD se produit plus de trois fois en l’espace de 15 secondes. Un algorithme d’interruption augmente l’intervalle de réception (Rx) de deux si l’instance BFD locale est à l’origine de l’interruption de session. L’intervalle de transmission (Tx) est augmenté de deux si l’instance BFD distante est à l’origine de l’interruption de session. Vous pouvez utiliser la clear bfd adaptation commande pour renvoyer les temporisateurs d’intervalle BFD à leurs valeurs configurées. La clear bfd adaptation commande est sans impact, ce qui signifie qu’elle n’affecte pas le flux de trafic sur le périphérique de routage.

Note:

Les commutateurs EX4600 et QFX5000 Series exécutant Junos OS ou Junos OS Evolved ne prennent pas en charge les valeurs d’intervalle minimum inférieures à 1 seconde en mode centralisé et distribué.
Note:

BFD est pris en charge pour OSPFv3 dans Junos OS version 9.3 et ultérieure.
Note:

Pour les pare-feu SRX Series de filiale, nous recommandons un intervalle de temps de rétention minimal de 1000 ms pour les paquets BFD.
Note:

Pour vSRX 3.0, l’intervalle de temps minimum de rétention est de 300 ms pour les paquets BFD.

Vous pouvez configurer les paramètres de protocole BFD suivants :

  • detection-time threshold—Seuil d’adaptation du temps de détection. Lorsque le temps de détection de la session BFD s’adapte à une valeur égale ou supérieure au seuil configuré, une seule interruption et un seul message de journal système sont envoyés.

  • full-neighbors-only: possibilité d’établir des sessions BFD uniquement pour les voisins OSPF avec une contiguïté de voisinage complet. Le comportement par défaut est d’établir des sessions BFD pour tous les voisins OSPF. Ce paramètre est disponible à partir de la version 9.5 de Junos OS.

  • minimum-interval: intervalle minimal d’émission et de réception pour la détection des défaillances. Ce paramètre configure à la fois l’intervalle minimal après lequel le périphérique de routage local transmet les paquets hello et l’intervalle minimum après lequel le périphérique de routage s’attend à recevoir une réponse du voisin avec lequel il a établi une session BFD. Les deux intervalles sont exprimés en millisecondes. Vous pouvez également spécifier les intervalles d’émission et de réception minimaux séparément à l’aide des transmit-interval minimum-interval instructions and minimum-receive-interval .

    Note:

    BFD est un protocole intensif qui consomme des ressources système. La spécification d’un intervalle minimum pour BFD inférieur à 100 ms pour les sessions basées sur le moteur de routage et de 10 ms pour les sessions BFD distribuées peut entraîner des instabilités BFD indésirables.

    En fonction de votre environnement réseau, les conditions suivantes peuvent s’appliquer :

    • Pour les déploiements réseau à grande échelle avec un grand nombre de sessions BFD, spécifiez un intervalle minimum d’au moins 500 ms. Un intervalle de 1000 ms est recommandé pour éviter tout problème d’instabilité.

    • Pour que les sessions BFD restent actives lors d’un événement de basculement du moteur de routage lorsque le routage actif ininterrompu (NSR) est configuré, spécifiez un intervalle minimum de 2 500 ms pour les sessions basées sur le moteur de routage. Sans NSR, les sessions basées sur le moteur de routage peuvent avoir un intervalle minimum de 100 ms.

    • Pour les sessions BFD distribuées pour lesquelles NSR est configuré, les recommandations relatives à l’intervalle minimal restent inchangées et dépendent uniquement du déploiement de votre réseau.

    • Junos OS 21.2R1 et versions ultérieures prennent en charge les sessions OSPFv3 et ISIS BFD distribuées avec des adresses locales de liaison IPv6 sur les routeurs MX Series exécutant les MPC 1 à 9 (cette option n’est pas prise en charge sur MPC 10 ou MPC 11). La valeur par défaut pour le BFD local de liaison IPv6 est le mode en ligne.

    • BFD n’est pas distribué avant Junos 21.2 (car pour OSPFv3, BFD est basé sur le moteur de routage).

    • Sur un seul commutateur QFX5100, lorsque vous ajoutez un module d’extension QFX-EM-4Q, spécifiez un intervalle minimum supérieur à 1000 ms.

  • minimum-receive-interval: intervalle de réception minimal pour la détection des défaillances. Ce paramètre configure l’intervalle de réception minimum, en millisecondes, après lequel le périphérique de routage s’attend à recevoir un paquet hello d’un voisin avec lequel il a établi une session BFD. Vous pouvez également spécifier l’intervalle de réception minimal à l’aide de l’instruction minimum-interval .

  • multiplier—Multiplicateur pour les paquets hello. Ce paramètre configure le nombre de paquets hello qui ne sont pas reçus par un voisin, ce qui entraîne la déclaration inactive de l’interface d’origine. Par défaut, trois paquets hello manqués entraînent la déclaration d’arrêt de l’interface d’origine.

  • no-adaptation: désactive l’adaptation BFD. Ce paramètre empêche les sessions BFD de s’adapter à l’évolution des conditions du réseau. Ce paramètre est disponible à partir de la version 9.0 de Junos OS.

    Note:

    Nous vous recommandons de ne pas désactiver l’adaptation BFD, sauf s’il est préférable de ne pas l’avoir dans votre réseau.

  • transmit-interval minimum-interval: intervalle de transmission minimal pour la détection des défaillances. Ce paramètre configure l’intervalle de transmission minimum, en millisecondes, auquel le périphérique de routage local transmet les paquets hello au voisin avec lequel il a établi une session BFD. Vous pouvez également spécifier l’intervalle de transmission minimal à l’aide de l’instruction minimum-interval .

  • transmit-interval threshold: seuil d’adaptation de l’intervalle d’émission de session BFD. Lorsque l’intervalle de transmission s’adapte à une valeur supérieure au seuil, une seule interruption et un seul message de journal système sont envoyés. La valeur seuil doit être supérieure à l’intervalle d’émission minimum. Si vous tentez de valider une configuration avec une valeur seuil inférieure à l’intervalle de transmission minimum, le périphérique de routage affiche une erreur et n’accepte pas la configuration.

  • version—Version BFD. Ce paramètre configure la version BFD utilisée pour la détection. Vous pouvez configurer explicitement la version BFD 1, ou le périphérique de routage peut détecter automatiquement la version BFD. Par défaut, le périphérique de routage détecte automatiquement la version BFD, qui est soit 0, soit 1.

Vous pouvez également suivre les opérations BFD à des fins de dépannage.

Exemple : Configuration de BFD pour OSPF

Cet exemple montre comment configurer le protocole BFD (Bidirectional Forwarding Detection) pour OSPF.

Exigences

Avant de commencer :

Aperçu

La configuration BFD peut également consister à ajuster les paramètres OSPF hello interval et dead interval pour augmenter la convergence de route. Le protocole BFD est un simple mécanisme hello qui détecte les défaillances dans un réseau. Les temporisateurs de détection des défaillances BFD ont des limites de temporisation plus courtes que les mécanismes de détection des défaillances OSPF, ce qui permet une détection plus rapide.

BFD est utile sur les interfaces qui ne sont pas en mesure de détecter rapidement les défaillances, telles que les interfaces Ethernet. D’autres interfaces, telles que les interfaces SONET, disposent déjà d’une détection de défaillance intégrée. Il n’est pas nécessaire de configurer BFD sur ces interfaces.

Vous configurez BFD sur une paire d’interfaces OSPF voisines. Contrairement aux paramètres OSPF hello interval et dead interval, vous n’avez pas besoin d’activer BFD sur toutes les interfaces d’une zone OSPF.

Dans cet exemple, vous activez la détection des défaillances en incluant l’instruction sur l’interface OSPF voisine fe-0/1/0 dans la bfd-liveness-detection zone 0.0.0.0 et configurez l’intervalle d’échange de paquets BFD sur 300 millisecondes, configurez 4 comme le nombre de paquets hello manqués qui entraîne la déclaration d’arrêt de l’interface d’origine et configurez les sessions BFD uniquement pour les voisins OSPF avec une contiguïté de voisinage complète en incluant les paramètres suivants :

  • full-neighbors-only : dans Junos OS version 9.5 et ultérieure, configure le protocole BFD afin d’établir des sessions BFD uniquement pour les voisins OSPF avec une contiguïté de voisinage complet. Le comportement par défaut est d’établir des sessions BFD pour tous les voisins OSPF.

  • minimum-interval : configure l’intervalle minimum, en millisecondes, après lequel le périphérique de routage local transmet les paquets hello, ainsi que l’intervalle minimum après lequel le périphérique de routage s’attend à recevoir une réponse du voisin avec lequel il a établi une session BFD. Vous pouvez configurer un nombre compris entre 1 et 255 000 millisecondes. Vous pouvez également spécifier les intervalles minimum d’émission et de réception séparément à l’aide des instructions transmit-interval minimum-interval et minimum-receive-interval .

    Note:

    BFD est un protocole intensif qui consomme des ressources système. La spécification d’un intervalle minimum pour BFD inférieur à 100 ms pour les sessions basées sur le moteur de routage et de 10 ms pour les sessions BFD distribuées peut entraîner des instabilités BFD indésirables.

    En fonction de votre environnement réseau, les recommandations supplémentaires suivantes peuvent s’appliquer :

    • Pour les déploiements réseau à grande échelle avec un grand nombre de sessions BFD, spécifiez un intervalle minimum d’au moins 500 ms. Un intervalle de 1000 ms est recommandé pour éviter tout problème d’instabilité.

      Note:

      • Pour le processus bfdd, l’intervalle de temps de détection défini est inférieur à 300 ms. Si un processus hautement prioritaire tel que ppmd est en cours d’exécution sur le système, le processeur peut passer du temps sur le processus ppmd plutôt que sur le processus bfdd.

      • Pour les pare-feu SRX Series de filiale, nous recommandons un intervalle de temps de rétention minimal de 1000 ms pour les paquets BFD.

      • Pour vSRX 3.0, l’intervalle de temps minimum de rétention est de 300 ms pour les paquets BFD.

    • Pour les déploiements réseau à très grande échelle avec un grand nombre de sessions BFD, contactez le support client Juniper Networks pour plus d’informations.

    • Pour que les sessions BFD restent actives lors d’un événement de basculement du moteur de routage lorsque le routage actif ininterrompu (NSR) est configuré, spécifiez un intervalle minimum de 2 500 ms pour les sessions basées sur le moteur de routage. Pour les sessions BFD distribuées pour lesquelles NSR est configuré, les recommandations relatives à l’intervalle minimal restent inchangées et dépendent uniquement du déploiement de votre réseau.

  • multiplier : configure le nombre de paquets hello non reçus par un voisin qui entraîne la déclaration d’arrêt de l’interface d’origine. Par défaut, trois paquets hello manqués entraînent la déclaration d’arrêt de l’interface d’origine. Vous pouvez configurer une valeur comprise entre 1 et 255.

Topologie

Configuration

Procédure

Configuration rapide de la CLI

Pour configurer rapidement le protocole BFD pour OSPF, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, copiez et collez les commandes dans l’interface de ligne de commande au niveau de la hiérarchie [modifier], puis passez commit en mode de configuration.

Procédure étape par étape

Pour configurer le protocole BFD pour OSPF sur une interface voisine :

  1. Créez une zone OSPF.

    Note:

    Pour spécifier OSPFv3, incluez l’instruction ospf3 au niveau de la [edit protocols] hiérarchie.

  2. Spécifiez l’interface.

  3. Spécifiez les intervalles d’émission et de réception minimaux.

  4. Configurez le nombre de paquets hello manqués qui entraînent la déclaration d’arrêt de l’interface d’origine.

  5. Configurez les sessions BFD uniquement pour les voisins OSPF avec une contiguïté de voisinage complet.

  6. Si vous avez terminé de configurer l’appareil, validez la configuration.

    Note:

    Répétez toute cette configuration sur l’autre interface voisine.

Résultats

Confirmez votre configuration en entrant la show protocols ospf commande. Si la sortie n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.

Pour confirmer votre configuration OSPFv3, entrez la show protocols ospf3 commande.

Vérification

Vérifiez que la configuration fonctionne correctement.

Vérification des sessions BFD

But

Vérifiez que les interfaces OSPF ont des sessions BFD actives et que les composants de session ont été configurés correctement.

Action

À partir du mode opérationnel, entrez la show bfd session detail commande.

Signification

La sortie affiche des informations sur les sessions BFD.

  • Le champ Adresse affiche l’adresse IP du voisin.

  • Le champ Interface affiche l’interface que vous avez configurée pour BFD.

  • Le champ État affiche l’état du voisin et doit afficher Complet pour refléter la contiguïté complète du voisin que vous avez configurée.

  • Le champ Intervalle de transmission affiche l’intervalle de temps que vous avez configuré pour envoyer des paquets BFD.

  • Le champ Multiplicateur affiche le multiplicateur que vous avez configuré.

Comprendre l’authentification BFD pour OSPF

La détection de transfert bidirectionnel (BFD) permet de détecter rapidement les défaillances de communication entre des systèmes adjacents. Par défaut, l’authentification des sessions BFD est désactivée. Cependant, lorsque vous exécutez BFD sur des protocoles de couche réseau, le risque d’attaques de service peut être important. Nous vous recommandons vivement d’utiliser l’authentification si vous exécutez BFD sur plusieurs sauts ou via des tunnels non sécurisés. À partir de la version 9.6 de Junos OS, Junos OS prend en charge l’authentification pour les sessions BFD s’exécutant sur OSPFv2. L’authentification BFD n’est pas prise en charge sur les sessions MPLS OAM. L’authentification BFD n’est prise en charge que dans les versions Canada et États-Unis de l’image Junos OS et n’est pas disponible dans la version d’exportation.

Vous authentifiez les sessions BFD en spécifiant un algorithme d’authentification et un trousseau de clés, puis en associant ces informations de configuration à un trousseau d’authentification de sécurité à l’aide du nom du trousseau.

Les sections suivantes décrivent les algorithmes d’authentification pris en charge, les trousseaux de sécurité et le niveau d’authentification pouvant être configuré :

Algorithmes d’authentification BFD

Junos OS prend en charge les algorithmes suivants pour l’authentification BFD :

  • simple-password : mot de passe en texte brut. Un à 16 octets de texte brut sont utilisés pour authentifier la session BFD. Un ou plusieurs mots de passe peuvent être configurés. Cette méthode est la moins sûre et ne doit être utilisée que lorsque les sessions BFD ne sont pas sujettes à l’interception de paquets.

  • keyed-md5 : algorithme de hachage Keyed Message Digest 5 pour les sessions dont les intervalles d’émission et de réception sont supérieurs à 100 ms. Pour authentifier la session BFD, MD5 avec clé utilise une ou plusieurs clés secrètes (générées par l’algorithme) et un numéro de séquence mis à jour régulièrement. Avec cette méthode, les paquets sont acceptés à la fin de la session de réception si l’une des clés correspond et si le numéro de séquence est supérieur ou égal au dernier numéro de séquence reçu. Bien que plus sûre qu’un simple mot de passe, cette méthode est vulnérable aux attaques par rejeu. L’augmentation de la vitesse de mise à jour du numéro de séquence peut réduire ce risque.

  • meticulous-keyed-md5 : algorithme de hachage Message Digest 5 à clé méticuleuse. Cette méthode fonctionne de la même manière que MD5 avec clé, mais le numéro de séquence est mis à jour à chaque paquet. Bien que plus sûre que MD5 à clé et les mots de passe simples, cette méthode peut prendre plus de temps pour authentifier la session.

  • keyed-sha-1 : algorithme de hachage sécurisé I à clé pour les sessions dont les intervalles d’émission et de réception sont supérieurs à 100 ms. Pour authentifier la session BFD, le SHA à clé utilise une ou plusieurs clés secrètes (générées par l’algorithme) et un numéro de séquence mis à jour périodiquement. La clé n’est pas transportée dans les paquets. Avec cette méthode, les paquets sont acceptés à l’extrémité réceptrice de la session si l’une des clés correspond et si le numéro de séquence est supérieur au dernier numéro de séquence reçu.

  • meticulous-keyed-sha-1 : algorithme de hachage sécurisé à clé méticuleuse I. Cette méthode fonctionne de la même manière que le SHA à clé, mais le numéro de séquence est mis à jour à chaque paquet. Bien qu’elle soit plus sûre que les SHA à clé et les mots de passe simples, cette méthode peut prendre plus de temps pour authentifier la session.

Note:

Le routage actif ininterrompu (NSR) n’est pas pris en charge avec les algorithmes d’authentification méticuleuse-clé-md5 et méticuleuse-cléclé-sha-1. Les sessions BFD utilisant ces algorithmes peuvent tomber en panne après un basculement.
Note:

Les commutateurs QFX5000 Series et EX4600 ne prennent pas en charge les valeurs d’intervalle minimum inférieures à 1 seconde.

Porte-clés d’authentification de sécurité

Le trousseau d’authentification de sécurité définit les attributs d’authentification utilisés pour les mises à jour de clé d’authentification. Lorsque le trousseau d’authentification de sécurité est configuré et associé à un protocole via son nom de trousseau, les mises à jour de la clé d’authentification peuvent avoir lieu sans interrompre les protocoles de routage et de signalisation.

Le trousseau d’authentification contient un ou plusieurs trousseaux de clés. Chaque trousseau contient une ou plusieurs clés. Chaque clé contient les données secrètes et l’heure à laquelle la clé devient valide. L’algorithme et le trousseau doivent être configurés aux deux extrémités de la session BFD et doivent correspondre. Toute incompatibilité de configuration empêche la création de la session BFD.

BFD autorise plusieurs clients par session, et chaque client peut avoir son propre trousseau et son propre algorithme définis. Pour éviter toute confusion, nous vous recommandons de ne spécifier qu’un seul trousseau d’authentification de sécurité.

Authentification stricte et authentification lâche

Par défaut, l’authentification stricte est activée et l’authentification est vérifiée aux deux extrémités de chaque session BFD. Si vous le souhaitez, pour faciliter la migration des sessions non authentifiées vers les sessions authentifiées, vous pouvez configurer la vérification libre. Lorsque le contrôle lâche est configuré, les paquets sont acceptés sans vérification de l’authentification à chaque extrémité de la session. Cette fonctionnalité n’est destinée qu’aux périodes de transition.

Configuration de l’authentification BFD pour OSPF

À partir de la version 9.6 de Junos OS, vous pouvez configurer l’authentification pour les sessions BFD s’exécutant sur OSPFv2. Les instances de routage sont également prises en charge.

Les sections suivantes fournissent des instructions pour configurer et afficher l’authentification BFD sur OSPF :

Configuration des paramètres d’authentification BFD

Seules trois étapes sont nécessaires pour configurer l’authentification sur une session BFD :

  1. Spécifiez l’algorithme d’authentification BFD pour le protocole OSPFv2.

  2. Associez le trousseau d’authentification au protocole OSPFv2.

  3. Configurez le trousseau d’authentification de sécurité associé.

Pour configurer l’authentification BFD :

  1. Spécifiez l’algorithme (keyed-md5, keyed-sha-1, meticulous-keyed-md5, meticulous-keyed-sha-1 ou simple-password) à utiliser pour l’authentification BFD sur une route OSPF ou une instance de routage.
    Note:

    Le routage actif ininterrompu (NSR) n’est pas pris en charge par les algorithmes d’authentification méticuleusement clé-md5 et méticuleuse-cléclé-sha-1. Les sessions BFD utilisant ces algorithmes peuvent tomber en panne après un basculement.
  2. Spécifiez le trousseau à utiliser pour associer les sessions BFD sur la route OSPF ou l’instance de routage spécifiée avec les attributs uniques de trousseau d’authentification de sécurité.

    Ce trousseau doit correspondre au nom de trousseau configuré au niveau de la [edit security authentication key-chains] hiérarchie.

    Note:

    L’algorithme et le trousseau doivent être configurés aux deux extrémités de la session BFD et doivent correspondre. Toute incompatibilité de configuration empêche la création de la session BFD.
  3. Spécifiez les informations d’authentification de sécurité uniques pour les sessions BFD :

    • Nom du trousseau correspondant comme spécifié à l’étape 2.

    • Au moins une clé, un entier unique compris entre 0 et 63. La création de plusieurs clés permet à plusieurs clients d’utiliser la session BFD.

    • Données secrètes utilisées pour autoriser l’accès à la session.

    • Heure à laquelle la clé d’authentification devient active, au format yyyy-mm-dd.hh:mm:ss.

  4. (Facultatif) Spécifiez l’authentification libre pour vérifier si vous passez de sessions non authentifiées à des sessions authentifiées.
  5. (Facultatif) Affichez votre configuration à l’aide de la show bfd session detail commande ou show bfd session extensive .
  6. Répétez les étapes de cette procédure pour configurer l’autre extrémité de la session BFD.
Note:

L’authentification BFD n’est prise en charge que dans les versions Canada et États-Unis de l’image Junos OS et n’est pas disponible dans la version d’exportation.

Affichage des informations d’authentification pour les sessions BFD

Vous pouvez afficher la configuration d’authentification BFD existante à l’aide des show bfd session detail commandes and show bfd session extensive .

L’exemple suivant illustre l’authentification BFD configurée pour le groupe BGP if2-ospf . Il spécifie l’algorithme d’authentification SHA-1 à clé et un nom de trousseau de bfd-ospf. Le trousseau d’authentification est configuré avec deux clés. La clé 1 contient les données secrètes « $ABC 123$ABC123 » et une heure de début du 1er juin 2009 à 9 h 46 min 02 s PST. La clé 2 contient les données secrètes « $ABC 123$ABC123 » et une heure de début du 1er juin 2009 à 15:29:20 PST.

Si vous validez ces mises à jour dans votre configuration, vous obtenez un résultat similaire à ce qui suit. Dans la sortie de la show bfd session detail commande, Authenticate (Authentifier ) s’affiche pour indiquer que l’authentification BFD est configurée.

Afficher les détails de la session BFD

Pour plus d’informations sur la configuration, utilisez la show bfd session extensive commande. La sortie de cette commande fournit le nom du trousseau, l’algorithme et le mode d’authentification pour chaque client de la session, ainsi que l’état global de configuration de l’authentification BFD, le nom du trousseau, ainsi que l’algorithme et le mode d’authentification.

Afficher la session BFD étendue

Documentation connexe