华为路由器ospf的路由控制及安全
ospf的路由聚合
这个拓扑中AR1上3个loopback在area1中宣告，AR4上的2个loopback模拟lsa5（lsa7）重分布进ospf中，现在分别在ABR（AR2）和ASBR（AR4）上做内部路由聚合以及外部路由聚合，当area2区域被配置成NSSA时，那么在AR4上聚合的路由就是lsa7型，普通区域则聚合lsa5型。
ospf内部路由聚合配置实例如下，AR1上配置
ospf 1 router-id 1.1.1.1
area 0.0.0.1
abr-summary 1.1.1.0 255.255.255.0 聚合路由将3条32位主机路由聚合成一条24位网路路由（由AR2）发布出去，聚合那个区域的路由就进入那个区域进行配置
network 1.1.1.1 0.0.0.0
network 1.1.1.2 0.0.0.0
network 1.1.1.3 0.0.0.0
network 12.1.1.1 0.0.0.0
#
聚合后在AR4上查看lsdb和路由
<AR4>display ospf lsdb
OSPF Process 1 with Router ID 4.4.4.4
Link State Database
Area: 0.0.0.2
Type LinkState ID AdvRouter Age Len Sequence Metric
Router 4.4.4.4 4.4.4.4 1144 36 80000005 1
Router 3.3.3.3 3.3.3.3 1145 36 80000004 1
Network 34.1.1.4 4.4.4.4 1144 32 80000001 0
Sum-Net 12.1.1.0 3.3.3.3 1186 28 80000001 2
Sum-Net 23.1.1.0 3.3.3.3 1186 28 80000001 1
Sum-Net 1.1.1.0 3.3.3.3 665 28 80000001 2
AS External Database
Type LinkState ID AdvRouter Age Len Sequence Metric
External 4.4.4.4 4.4.4.4 1019 36 80000008 1
External 34.1.1.0 4.4.4.4 1019 36 80000008 1
<AR4>
<AR4>display ip routing-table protocol ospf
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Public routing table : OSPF
Destinations : 3 Routes : 3
OSPF routing table status : <Active>
Destinations : 3 Routes : 3
Destination/Mask Proto Pre Cost Flags NextHop Interface
1.1.1.0/24 OSPF 10 3 D 34.1.1.3 GigabitEthernet0/0/0
12.1.1.0/24 OSPF 10 3 D 34.1.1.3 GigabitEthernet0/0/0
23.1.1.0/24 OSPF 10 2 D 34.1.1.3 GigabitEthernet0/0/0
OSPF routing table status : <Inactive>
Destinations : 0 Routes : 0
<AR4>
ospf外部路由聚合配置实例如下，AR4上配置
ospf 1 router-id 4.4.4.4
asbr-summary 4.4.4.0 255.255.255.0
聚合lsa5类外部路由，这里不在ospf任何区域内不用进入区域中配置
import-route direct
area 0.0.0.2
network 34.1.1.4 0.0.0.0
#
在AR1上查看聚合的外部路由
[Huawei]display ospf 1 lsdb
OSPF Process 1 with Router ID 1.1.1.1
Link State Database
Area: 0.0.0.1
Type LinkState ID AdvRouter Age Len Sequence Metric
Router 2.2.2.2 2.2.2.2 1223 36 8000000D 1
Router 1.1.1.1 1.1.1.1 479 72 80000011 1
Network 12.1.1.1 1.1.1.1 1220 32 8000000B 0
Sum-Net 23.1.1.0 2.2.2.2 1217 28 8000000A 1
Sum-Net 34.1.1.0 2.2.2.2 1645 28 80000010 2
Sum-Asbr 4.4.4.4 2.2.2.2 158 28 80000001 2这条lsa3是告知r-id为4.4.4.4这个asbr怎么去的，从2.2.2.2这个abr走
AS External Database
Type LinkState ID AdvRouter Age Len Sequence Metric
External 4.4.4.0 4.4.4.4 160 36 80000001 2
External 34.1.1.0 4.4.4.4 160 36 80000001 1
[Huawei]
[Huawei]display ip routing-table protocol ospf
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Public routing table : OSPF
Destinations : 3 Routes : 3
OSPF routing table status : <Active>
Destinations : 3 Routes : 3
Destination/Mask Proto Pre Cost Flags NextHop Interface
4.4.4.0/24 O_ASE 150 2 D 12.1.1.2 GigabitEthernet0/0/0
23.1.1.0/24 OSPF 10 2 D 12.1.1.2 GigabitEthernet0/0/0
34.1.1.0/24 OSPF 10 3 D 12.1.1.2 GigabitEthernet0/0/0
OSPF routing table status : <Inactive>
Destinations : 0 Routes : 0
[Huawei]
ospf的负均衡和路由选择
ospf的路由选择是通过路由的cost来决定的，cost越小越优先。当目的路由的cost一样时，就会形成负载均衡。在ospf中cost是以接口带宽计算的100M=10、1G=1
1、普通配置让路由形成负载均衡
AR1
ospf 1 router-id 1.1.1.1
area 0.0.0.0
network 12.1.1.1 0.0.0.0
network 13.1.1.1 0.0.0.0
#
AR2
ospf 1 router-id 2.2.2.2
area 0.0.0.0
network 12.1.1.2 0.0.0.0
network 100.1.1.1 0.0.0.0
#
AR3
ospf 1 router-id 3.3.3.3
area 0.0.0.0
network 13.1.1.3 0.0.0.0
network 100.1.1.1 0.0.0.0
#
在AR1上查看负载均衡路由
[AR1]display ip routing-table protocol ospf
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Public routing table : OSPF
Destinations : 1 Routes : 2
OSPF routing table status : <Active>
Destinations : 1 Routes : 2
Destination/Mask Proto Pre Cost Flags NextHop Interface
100.1.1.1/32 OSPF 10 1 D 12.1.1.2 GigabitEthernet0/0/0
OSPF 10 1 D 13.1.1.3 GigabitEthernet0/0/1
OSPF routing table status : <Inactive>
Destinations : 0 Routes : 0
[AR1]
查看路由选择，选择了从AR2去往100.1.1.1/32
[AR1]tracert 100.1.1.1
traceroute to 100.1.1.1(100.1.1.1), max hops: 30 ,packet length: 40,press CTRL
_C to break
1 12.1.1.2 20 ms 13.1.1.3 10 ms 20 ms
[AR1]
如果想让数据包从AR3去往100.1.1.1/32只需要修改负载分担的优先级就可以，让AR3到100.1.1.1/32的权重大于AR2就可以了（值越小越优先）
[AR1]ospf 1
[AR1-ospf-1]nexthop 13.1.1.3 weight 100 修改负载分担路由AR3的权重为100（默认254），优于AR2即可
[AR1-ospf-1]quit
[AR1]
[AR1]tracert 100.1.1.1
traceroute to 100.1.1.1(100.1.1.1), max hops: 30 ,packet length: 40,press CTRL
_C to break
1 13.1.1.3 20 ms 20 ms 20 ms
[AR1]
2、修改ospf接口的cost值进行路由选路，让流量重新走AR2
[AR1]interface g0/0/1
[AR1-GigabitEthernet0/0/1]ospf cost 2 1G接口cost默认为1最高优先，所以只需将g/0/1的cost改的比g/0/0的cost大那么ospf就会选择cost小的路由走
[AR1-GigabitEthernet0/0/1]quit
[AR1]
[AR1]display ip routing-table protocol ospf
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Public routing table : OSPF
Destinations : 1 Routes : 1
OSPF routing table status : <Active>
Destinations : 1 Routes : 1
Destination/Mask Proto Pre Cost Flags NextHop Interface
100.1.1.1/32 OSPF 10 1 D 12.1.1.2 GigabitEthernet0/0/0 将cost更优的路由放入路由表中
OSPF routing table status : <Inactive>
Destinations : 0 Routes : 0
[AR1]
[AR1]tracert 100.1.1.1
traceroute to 100.1.1.1(100.1.1.1), max hops: 30 ,packet length: 40,press CTRL
_C to break
1 12.1.1.2 30 ms 30 ms 10 ms 从cost小的路由走
[AR1]
3、外部重分布等价路由的优先级，type1＞type2
type1：会有一个真实的cost，路由的优先级与其他路由一样cost内外之和，小的优先。当100.1.1.1/32路由以type1类型重分布进ospf中时，路由的metric计算的是
AR1---AR2/AR3---100.1.1.1/32的cost的总和，也就是内部cost和外部重分布的cost总和。
type2：没有真实的cost固定为1，路由的优先级只受内部cost的影响，小的优先。当100.1.1.1/32路由以type2类型重分布进ospf中时，路由的metric只计算AR-AR2/AR3的ccost，而不计算外部cost（固定为1，修改无效）
修改cost方法：内部在AR1接口上ospf cost 10，外部在重分布的时候可以跟cost 10参数对type1类型的路由cost修改，type2类型无效。
ospf的路由过滤
1、抑制ospf的报文，禁止接收和发送ospf报文
[AR1]ospf 1
[AR1-ospf-1]silent-interface g0/0/0 在接口g/0/0/0抑制ospf报文
[AR1-ospf-1]quit
[AR1]
2、ospf接收和发布路由的过滤
[AR1]ospf 1
[AR1-ospf-1] filter-policy 2999 import 过滤acl2999中定义的进入的路由
[AR1-ospf-1] quit
[AR1]
acl number 2999
rule 1 deny source 100.1.1.1 0
rule 2 permit
[AR1]ospf 1
[AR1-ospf-1] filter-policy 2999 import 过滤acl2999中定义的发送出的路由
[AR1-ospf-1] quit
[AR1]
3、ospf过滤发送lsa
[AR1-GigabitEthernet0/0/0]ospf filter-lsa-out all
在出接口过滤lsa，可选lsa3、5、7和all
ospf的认证
1、ospf区域认证，区域内每个路由器都需要配置
[AR1]ospf 1
[AR1-ospf-1]area 0
[AR1-ospf-1-area-0.0.0.0]authentication-mode md5 1 cipher 123 启用认证加密为MD5方式id=1，密码123以密文方式存
[AR1-ospf-1-area-0.0.0.0]quit
2、ospf接口认证，只需要在两端接口配置，优先级大于区域认证
[AR1]interface g0/0/1
[AR1-GigabitEthernet0/0/1]ospf authentication-mode md5 1 cipher 123
[AR1-GigabitEthernet0/0/1]quit
4、ospf的虚链路认证
[AR1]ospf 1
[AR1-ospf-1]area 1
[AR1-ospf-1-area-0.0.0.1]vlink-peer 12.12.1.2 md5 1 cipher 123
[AR1-ospf-1-area-0.0.0.1]quit
