Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
НА ЭТОЙ СТРАНИЦЕ
 

Настройка системы обнаружения неисправностей OSPF с помощью BFD

Понимание BFD для OSPF

Двухнаправленный протокол обнаружения переадресации (BFD) — это простой механизм привет, который обнаруживает сбои в сети. BFD работает с широким спектром сетевых сред и топологий. Пара устройств маршрутизации обменивается пакетами BFD. Привет пакеты отправляется с заданным, регулярным интервалом. Сбой соседа обнаруживается, когда устройство маршрутизации прекращает получать ответ после определенного интервала. Таймеры обнаружения отказов BFD имеют более короткие сроки, чем механизмы обнаружения отказов OSPF, поэтому они обеспечивают более быстрое обнаружение.

Таймеры обнаружения отказов BFD адаптивны и могут быть адаптированы быстрее или медленнее. Чем меньше значение таймер обнаружения отказов BFD, тем быстрее обнаружение сбоев и наоборот. Например, таймеры могут адаптироваться к более высокой стоимости в случае сбоя смятия (т. е. таймер обнаруживает сбои медленнее). Или сосед может вести переговоры о более высокой стоимости для таймер, чем настроенные значения. Таймеры адаптируются к более высокой стоимости, когда лоскут сеанса BFD происходит более трех раз за 15 секунд. Алгоритм обратного подключения увеличивает интервал получения (Rx) на два, если причиной этого является локальный экземпляр BFD. Интервал передачи (Tx) увеличивается на два, если причиной этого является удаленный экземпляр BFD. Вы можете использовать clear bfd adaptation команду, чтобы вернуть таймеры интервалов BFD к настроенным значениям. Команда clear bfd adaptation не работает без проблем, что означает, что команда не влияет на поток трафика на устройстве маршрутизации.

Примечание:

Коммутаторы EX4600 не поддерживают минимальные значения интервала менее 1 с.

Примечание:

BFD поддерживаетСЯ ДЛЯ OSPFv3 в версии ОС Junos 9.3 и более поздней версии.
Примечание:

Для устройств филиальной серии SRX мы рекомендуем 1000 мс в качестве минимального интервала времени сохранения пакетов BFD.

Вы можете настроить следующие настройки протокола BFD:

  • detection-time threshold- Пороговое значение для адаптации времени обнаружения. Когда время обнаружения сеансов BFD адаптируется к значению, равному или большему, чем настроенный порог, отправляется одна ловушка и сообщение журнала одной системы.

  • full-neighbors-only- Возможность устанавливать сеансы BFD только для соседей OSPF с соседом смежностью. Поведение по умолчанию заключается в создании сеансов BFD для всех соседей OSPF. Эта настройка доступна в ВЕРСИи ОС Junos 9.5 и более поздней версии.

  • minimum-interval- Минимальная передача и получение интервала для обнаружения сбоев. Эта настройка настраивает как минимальный интервал, после которого локальное устройство маршрутизации передает привет пакеты, так и минимальный интервал, после которого устройство маршрутизации ожидает получить ответ от соседа, с помощью которого оно установило сеанс BFD. Оба интервала составляют миллисекунды. Вы также можете указать минимальную передачу и получать интервалы отдельно, используя transmit-interval minimum-interval и minimum-receive-interval констатируете.

    Примечание:

    BFD — это интенсивный протокол, который потребляет системные ресурсы. Указание минимального интервала для BFD менее 100 мс для сеансов на основе модуля маршрутизации и 10 мс для распределенных сеансов BFD может вызвать нежелательные хлопания BFD.

    В зависимости от сетевой среды, могут применяться следующие вопросы:

    • Для крупномасштабного развертывания сети с большим количеством сеансов BFD укажите минимальный интервал не менее 500 мс. Для предотвращения проблем с нестабильностью рекомендуется интервал в 1000 мс.

    • Чтобы сеансы BFD оставались в процессе коммутации модуля маршрутизации при настройке бесперебойной активной маршрутизации (NSR), укажите минимальный интервал в 2500 мс для сеансов на основе модуля маршрутизации. Без NSR сеансы на основе модуля маршрутизации могут иметь минимальный интервал в 100 мс.

    • Для распределенных сеансов BFD с настройкой NSR рекомендации по минимальному интервалу остаются неизменными и зависят только от развертывания сети.

    • ОС Junos 21.2R1 и более поздние поддерживают распределенные сеансы OSPFv3 и ISIS BFD с локальными адресами канала IPv6 на маршрутизаторах серии MX, работающих с 1 по 9 пакетов передачи информации (они не поддерживаются на MPC 10 или MPC 11). По умолчанию локальный BFD-канал IPv6 является встроенным режимом.

    • BFD не распространяется до Junos 21.2 (поскольку для OSPFv3 BFD базируется в модуля маршрутизации).

    • На одном коммутаторе QFX5100 при добавлении модуля расширения QFX-EM-4Q укажите минимальный интервал выше 1000 мс.

  • minimum-receive-interval- Минимальный интервал получения для обнаружения сбоев. Эта настройка настраивает минимальный интервал получения в тысячные коммутаторы, после чего устройство маршрутизации рассчитывает получить пакет привет от соседа, с которым он установил сеанс BFD. Вы также можете указать минимальный интервал получения с помощью minimum-interval заявления.

  • multiplier- Умножьте на привет пакеты. Эта настройка настраивает количество пакетов hello, которые не получены соседом, что приводит к тому, что исходящий интерфейс объявляется вниз. По умолчанию три пропущенных пакета hello приводят к тому, что интерфейс, исходящий из этого, будет объявлен вниз.

  • no-adaptation- Отключение адаптации к BFD. Эта настройка отключит сеансы BFD от адаптации к меняющимся условиям сети. Эта настройка доступна в ОС Junos версии 9.0 и более поздней версии.

    Примечание:

    Мы рекомендуем вам не отключить адаптацию к BFD, если не предпочтительнее не иметь адаптацию к BFD в вашей сети.

  • transmit-interval minimum-interval- Минимальный интервал передачи данных для обнаружения сбоев. Эта настройка настраивает минимальный интервал передачи в миллисекундах, когда локальное устройство маршрутизации передает привет пакеты соседу, с помощью которого оно установило сеанс BFD. Вы также можете указать минимальный интервал передачи minimum-interval с помощью заявления.

  • transmit-interval threshold- Пороговое значение для адаптации интервала передачи сеанса BFD. Когда интервал передачи адаптируется к значению, превысаеме порогового значения, отправляется одна ловушка и сообщение с одним системным журналом. Пороговое значение должно быть больше минимального интервала передачи. Если вы пытаетесь совершить конфигурацию с пороговым значением меньше минимального интервала передачи, устройство маршрутизации отображает ошибку и не принимает конфигурацию.

  • version— версия BFD. Эта настройка настраивает версию BFD, используемую для обнаружения. Вы можете прямо настроить версию BFD 1 или устройство маршрутизации может автоматически обнаруживать версию BFD. По умолчанию устройство маршрутизации автоматически обнаруживает версию BFD, которая составляет 0 или 1.

Вы также можете отслеживать операции BFD для устранения неполадок.

Пример: настройка BFD для OSPF

В этом примере показано, как настроить протокол «Двунаправленное обнаружение переадресации» (BFD) для OSPF.

Требования

Прежде чем начать:

Обзор

Альтернативой корректировке интервала hello OSPF и настроек мертвого интервала для повышения конвергенции маршрутов является настройка BFD. Протокол BFD — это простой механизм привет, который обнаруживает сбои в сети. Таймеры обнаружения отказов BFD имеют более короткие сроки, чем механизмы обнаружения отказов OSPF, что обеспечивает более быстрое обнаружение.

BFD полезна на интерфейсах, которые не могут быстро обнаруживать сбои, такие как интерфейсы Ethernet. Другие интерфейсы, такие как интерфейсы SONET, уже имеют встроенное обнаружение сбоев. Настройка BFD на этих интерфейсах не требуется.

Вы настраиваете BFD на пару соседних интерфейсов OSPF. В отличие от интервала привет OSPF и настроек мертвого интервала, вам не нужно включить BFD на всех интерфейсах в области OSPF.

В этом примере вы позволяете выявлять сбои, включив bfd-liveness-detection заявление о соседом интерфейсе OSPF fe-0/1/0 в область 0.0.0.0 и настраивайте интервал обмена пакетами BFD до 300 миллисекунд, настраивайте 4 по мере того, как количество пропущенных пакетов привет, из-за которого возникает интерфейс, будет объявлен вниз, и настраивайте сеансы BFD только для соседей OSPF с полным соседским смежностью, включив следующие настройки:

  • только для соседей: в ОС Junos версии 9.5 и более поздней версии настраивает протокол BFD для настройки сеансов BFD только для соседей OSPF с соседским смежностью. Поведение по умолчанию заключается в создании сеансов BFD для всех соседей OSPF.

  • минимальный интервал: настраивает минимальный интервал за миллисекунды, после чего локальное устройство маршрутизации передает привет пакеты, а также минимальный интервал, после которого устройство маршрутизации ожидает получить ответ от соседа, с помощью которого оно установило сеанс BFD. Вы можете настроить число в диапазоне от 1 до 255 000 миллисекунд. Вы также можете указать минимальную передачу и получать интервалы отдельно с помощью минимального интервала передачи и minimum-receive-interval утверждений.

    Примечание:

    BFD — это интенсивный протокол, который потребляет системные ресурсы. Указание минимального интервала для BFD менее 100 мс для сеансов на основе модуля маршрутизации и 10 мс для распределенных сеансов BFD может вызвать нежелательные хлопания BFD.

    В зависимости от сетевой среды, могут применяться следующие дополнительные рекомендации:

    • Для крупномасштабного развертывания сети с большим количеством сеансов BFD укажите минимальный интервал не менее 500 мс. Для предотвращения проблем с нестабильностью рекомендуется интервал в 1000 мс.

      Примечание:

      • Для процесса bfdd интервал обнаружения меньше 300 мс. Если в системе используется высокоприоритетный процесс, такой как ppmd, процессор может тратить время на процесс ppmd, а не на процесс bfdd.

      • Для устройств филиальной серии SRX мы рекомендуем 1000 мс в качестве минимального интервала времени сохранения пакетов BFD.

    • Для крупномасштабного развертывания сети с большим количеством сеансов BFD для получения дополнительной информации обращайтесь в службу поддержки клиентов Juniper Networks.

    • Чтобы сеансы BFD оставались в процессе коммутации модуля маршрутизации при настройке бесперебойной активной маршрутизации (NSR), укажите минимальный интервал в 2500 мс для сеансов на основе модуля маршрутизации. Для распределенных сеансов BFD с настройкой NSR рекомендации по минимальному интервалу остаются неизменными и зависят только от развертывания сети.

  • множитель— настраивает количество пакетов привет не получено соседом, что приводит к возникновению интерфейса быть объявлены вниз. По умолчанию три пропущенных пакета hello приводят к тому, что интерфейс, исходящий из этого, будет объявлен вниз. Вы можете настроить значение в диапазоне от 1 до 255.

Топологии

Конфигурации

Процедуры

Быстрая настройка командной строки

Чтобы быстро настроить протокол BFD для OSPF, копируйте следующие команды, вставьте их в текстовый файл, удаляйте любые перерывы в строке, изменяйте любые детали, необходимые для соответствия конфигурации сети, копируйте и вставьте команды в командную строку на уровне иерархии [edit], а затем введите commit из режима конфигурации.

Пошаговая процедура

Для настройки протокола BFD для OSPF на одном соседнем интерфейсе:

  1. Создайте зону OSPF.

    Примечание:

    Чтобы указать OSPFv3, включите ospf3 заявление на уровне иерархии [edit protocols] .

  2. Укажите интерфейс.

  3. Укажите минимальную передачу и получение интервалов.

  4. Настройте количество пропущенных пакетов привет, которые приводят к тому, что возникающий интерфейс будет объявлен вниз.

  5. Настраивайте сеансы BFD только для соседей OSPF с соседом смежностью.

  6. Если настройка устройства завершена, зафиксировать конфигурацию.

    Примечание:

    Повторяйте всю эту конфигурацию на другом соседнем интерфейсе.

Результаты

Подтвердите конфигурацию, введя show protocols ospf команду. Если выходной продукт не отображает предполагаемую конфигурацию, повторяйте инструкции в этом примере, чтобы исправить конфигурацию.

Чтобы подтвердить конфигурацию OSPFv3, введите show protocols ospf3 команду.

Проверки

Подтвердите, что конфигурация работает правильно.

Проверка сеансов BFD

Цель

Убедитесь, что интерфейсы OSPF имеют активные сеансы BFD и правильно настроены компоненты сеанса.

Действий

Из эксплуатационного режима введите show bfd session detail команду.

Смысл

На выходе отображается информация о сеансах BFD.

  • В поле адреса отображается IP-адрес соседа.

  • Поле интерфейса отображает настроенный интерфейс для BFD.

  • В поле состояния отображается состояние соседа и должно отображаться полное соответствие с параметрами соседа, которые вы настроили.

  • Поле «Интервал передачи» отображает настроенный вами временный интервал для отправки пакетов BFD.

  • Поле Мультипликатора отображает настроенный мультипликатор.

Понимание аутентификации BFD для OSPF

Двунаправленное обнаружение переадресации (BFD) позволяет быстро обнаруживать сбои связи между соседними системами. По умолчанию аутентификация для сеансов BFD отключена. Однако при запуске BFD по протоколам сетевого уровня риск атак сервисов может быть значительным. Мы настоятельно рекомендуем использовать аутентификацию, если вы используете BFD в нескольких переходах или через небезопасные туннели. Начиная с версии ОС Junos 9.6, ОС Junos поддерживает аутентификацию для сеансов BFD, выполняемых по OSPFv2. Аутентификация BFD не поддерживается на сеансах MPLS OAM. Аутентификация BFD поддерживается только в канадской и американской версиях изображения ОС Junos и не доступна в экспортной версии.

Вы проверяете сеансы BFD, указывая алгоритм аутентификации и брелок, а затем связывая эту информацию о конфигурации с брелоком аутентификации безопасности с использованием названия ключей.

В следующих разделах описываются поддерживаемые алгоритмы аутентификации, ключевые функции безопасности и уровень аутентификации, которые можно настроить:

Алгоритмы аутентификации BFD

ОС Junos поддерживает следующие алгоритмы аутентификации BFD:

  • простой пароль — простой текстового пароля. Для проверки подлинности сеанса BFD используется от одного до 16 байт простого текста. Можно настроить один или несколько паролей. Этот метод является наименее безопасным и должен использоваться только тогда, когда сеансы BFD не подлежат перехвату пакетов.

  • keyed-md5 — алгоритм хэш-трафика Keyed Message Digest 5 для сеансов с передачей и получением интервалов более 100 мс. Для проверки подлинности сеанса BFD в keyed MD5 используется один или несколько секретных ключей (порожденных алгоритмом) и номер последовательности, который периодически обновляется. Благодаря этому методу пакеты принимаются в конце приемной сессии, если один из ключей совпадает, а номер последовательности превышает или равен последнему полученному номеру последовательности. Несмотря на то, что этот метод является более безопасным, чем простой пароль, он уязвим для воспроизведения атак. Увеличение скорости обновления числа последовательности может снизить этот риск.

  • скрепулезно-ключ-md5 — дотошный алгоритм хэш-сигнала Message Digest 5. Этот метод работает так же, как ключом MD5, но номер последовательности обновляется с каждым пакетом. Несмотря на более безопасную, чем ключом MD5 и простые пароли, этот метод может занять дополнительное время для проверки подлинности сеанса.

  • keyed-sha-1 — keyed Secure Hash Алгоритм I для сеансов с передачей и получением интервалов более 100 мс. Для проверки подлинности сеанса BFD keyed SHA использует один или несколько секретных ключей (порожденных алгоритмом) и номер последовательности, который периодически обновляется. Ключ не переносится в пакеты. При этом методе пакеты принимаются в приемном конце сеанса, если один из ключей совпадает, а номер последовательности превышает полученный номер последней последовательности.

  • скрупулезно-ключ-ша-1 — дотошный защищенный алгоритм Хаша I. Этот метод работает так же, как ключом SHA, но номер последовательности обновляется с каждым пакетом. Этот метод может занять дополнительное время, чтобы проверить подлинность сеанса, несмотря на более безопасную, чем ключевая система SHA и простые пароли.

Примечание:

Бесконечная активная маршрутизация (NSR) не поддерживается с помощью скрепулезных алгоритмов аутентификации с тщательной ключом-ша-1. Сеансы BFD с использованием этих алгоритмов могут сократиться после коммутации.
Примечание:

Коммутаторы серии QFX5000 и коммутаторы EX4600 не поддерживают минимальные значения интервала менее 1 с.

Ключевые функции аутентификации системы безопасности

Брелок аутентификации безопасности определяет атрибуты аутентификации, используемые для обновлений ключей аутентификации. При настройке ключей аутентификации безопасности и ассоциации с протоколом с помощью названия клавиатуры ключевые обновления аутентификации могут происходить без прерывания маршрутизации и протоколов сигнализации.

Брелок аутентификации содержит один или несколько ключей. Каждый ключ содержит один или несколько ключей. Каждый ключ содержит секретные данные и время, когда ключ становится действительным. Алгоритм и keychain должны быть настроены на обоих концах сеанса BFD, и они должны соответствовать. Любое несоответствие конфигурации предотвращает создание сеанса BFD.

BFD позволяет нескольким клиентам за сеанс, и каждый клиент может иметь свой собственный ключ и алгоритм определяется. Чтобы избежать путаницы, мы рекомендуем указать только один ключ аутентификации безопасности.

Строгая и свободная аутентификация

По умолчанию включена строгая аутентификация, а проверка аутентификации на обоих концах каждого сеанса BFD. По желанию, чтобы сгладить переход от несанкционированных сеансов к аутентификационным сеансам, можно настроить свободную проверку. При настройке свободной проверки пакеты принимаются без проверки аутентификации в каждом конце сеанса. Эта функция предназначена только для переходных периодов.

Настройка аутентификации BFD для OSPF

Начиная с версии 9.6 ОС Junos, вы можете настроить аутентификацию для сеансов BFD, выполняемых по OSPFv2. Также поддерживаются экземпляры маршрутизации.

В следующих разделах указаны инструкции по настройке и просмотру аутентификации BFD в OSPF:

Настройка параметров аутентификации BFD

Для настройки аутентификации на сеансе BFD требуется всего три шага:

  1. Укажите алгоритм аутентификации BFD для протокола OSPFv2.

  2. Ассоциируйте брелок аутентификации с протоколом OSPFv2.

  3. Настройка ключей аутентификации системы безопасности.

Для настройки аутентификации BFD:

  1. Укажите алгоритм (keyed-md5, keyed-sha-1, скрепко-keyed-md5, тщательно ключом-ша-1, или простой пароль) для использования для аутентификации BFD на маршруте OSPF или экземпляре маршрутизации.
    Примечание:

    Беспрестанно активная маршрутизация (NSR) не поддерживается тщательно ключом-md5 и тщательно ключом-ша-1 алгоритмы аутентификации. Сеансы BFD с использованием этих алгоритмов могут сократиться после коммутации.
  2. Укажите набор ключей, который будет использоваться для ассоциации сеансов BFD в указанном экземпляре маршрутизации OSPF или экземпляре маршрутизации, с уникальными атрибутами ключей аутентификации безопасности.

    Этот ключ-чат должен соответствовать названию ключей, настроенным на уровне иерархии [edit security authentication key-chains] .

    Примечание:

    Алгоритм и keychain должны быть настроены на обоих концах сеанса BFD, и они должны соответствовать. Любое несоответствие конфигурации предотвращает создание сеанса BFD.
  3. Укажите уникальную информацию о проверке безопасности для сеансов BFD:

    • Соответствующее название ключа, как указано в этапе 2.

    • По крайней мере, один ключ, уникальный журнал между 0 и 63. Создание нескольких ключей позволяет нескольким клиентам использовать сеанс BFD.

    • Секретные данные, используемые для доступа к сеансу.

    • Время, когда ключ аутентификации становится активным, в формате yyyy-mm-dd.hh:mm:ss.

  4. (Необязательно) Укажите свободную проверку аутентификации, если вы переходите от несанкционированных сеансов к аутентификации сеансов.
  5. (Необязательно) Просмотр конфигурации с show bfd session detail помощью или show bfd session extensive команды.
  6. Повторяйте этапы этой процедуры, чтобы настроить другой конец сеанса BFD.
Примечание:

Аутентификация BFD поддерживается только в канадской и американской версиях изображения ОС Junos и не доступна в экспортной версии.

Просмотр информации о аутентификации для сеансов BFD

Вы можете просматривать существующую конфигурацию аутентификации BFD с помощью show bfd session detail и show bfd session extensive команд.

На следующем примере показана аутентификация BFD, настроенная для группы if2-ospf BGP. В нем указан ключизированный алгоритм аутентификации SHA-1 и брелок bfd-ospf. Ключ-ключ аутентификации настроен с двумя ключами. Ключ 1 содержит секретные данные "$ABC 123$ABC123" и время начала 1 июня 2009 года, в 9:46:02 am PST. Ключ 2 содержит секретные данные "$ABC 123$ABC123" и время начала 1 июня 2009 года, в 15:29:20 PST.

При внесении этих обновлений в конфигурацию вы видите выходной продукт, аналогичный следующему. В выходной версии show bfd session detail для команды отображается Аутентификация , которая указывает на настройку аутентификации BFD.

подробное описание сеанса bfd

Для получения дополнительной информации о конфигурации используйте show bfd session extensive команду. Выходной продукт для этой команды обеспечивает название ключей, алгоритм аутентификации и режим для каждого клиента в сеансе, а также общий статус конфигурации аутентификации BFD, имя ключа, а также алгоритм аутентификации и режим.

показать bfd сессии обширные

Соответствующая документация