OSPF op Sophos Firewall configureren en controleren

OSPF wisselt automatisch IPv4-routes uit tussen routers. Dit is nuttig wanneer meerdere locaties, redundante paden of vaak wijzigende netwerken met statische routes alleen nog met veel moeite kunnen worden beheerd. Voor een klein of bestaand routingdomein met weinig routers kan RIPv2 eenvoudiger zijn; OSPF biedt daarentegen snellere convergentie en een beter schaalbaar padmodel.

In het volgende voorbeeld vormen twee Sophos Firewalls via een eigen transitnetwerk een OSPF-buurschap. Aan het einde staat de Neighbor op Full, kent Firewall A het LAN achter Firewall B en omgekeerd. Voor IPv6 wordt OSPFv3 apart geconfigureerd.

⚠️ OSPF-buurrelaties horen alleen op daarvoor bestemde, vertrouwde transit- of VPN-interfaces. In het voorbeeld wordt het LAN ook als OSPF Network ingevoerd, zodat SFOS het prefix aankondigt. SFOS activeert daardoor OSPF op de LAN-interface en kan uitgaande OSPF Hellos verzenden. Dynamic Routing blijft voor de LAN-zone uitgeschakeld, zodat inkomende OSPF-pakketten niet worden toegestaan; dit verhindert uitgaande Hellos niet. Activeer Redistribute connected pas wanneer duidelijk is welke direct verbonden netwerken worden aangekondigd.

Verloop in overzicht

Voor een eenvoudige OSPFv2-verbinding zijn de volgende stappen nodig:

Geef de transitinterfaces een adres en controleer de directe IP-bereikbaarheid.
Sta onder Administration > Device access Dynamic Routing toe voor een aparte transitzone of met een strikt beperkte Local Service ACL Exception.
Voer onder Routing > OSPF op elke firewall een unieke Router ID in.
Maak Area 0.0.0.0 aan als Normal.
Wijs het lokale transitnetwerk onder Networks toe aan Area 0.0.0.0.
Het betreffende LAN als tweede OSPF-netwerk invoeren of een afzonderlijk geteste herverdeling gebruiken.
Controleer onder Routing > Information > OSPF de Neighbor-status Full en de geleerde route.

Een OSPF-Network is niet het externe bestemmingsnetwerk. De invoer activeert OSPF op de lokale interfaces waarvan het IP-adres binnen dit netwerk valt. Het externe LAN verschijnt pas wanneer de andere zijde het via OSPF adverteert.

Wat OSPF op de firewall bepaalt

OSPF is een intern link-state-routingprotocol. Naburige routers wisselen informatie uit over hun bereikbare netwerken en paden, bouwen daarmee een Link-State Database op en berekenen de voordeligste route. Een lagere Cost krijgt de voorkeur boven een hogere.

OSPF vervult daarmee een andere taak dan firewallregels en SD-WAN:

OSPF leert en distribueert bestemmingsnetwerken binnen het eigen routingdomein.
Een firewallregel blijft bepalen of gebruikersverkeer tussen de betrokken zones en netwerken mag passeren.
NAT wijzigt zo nodig adressen, maar maakt geen deel uit van OSPF.
Een SD-WAN Route kan daarnaast beslissen op basis van bron, service, applicatie of verbindingskwaliteit.

OSPF-routes verschijnen samen met andere unicast-routes. Klassieke routing kiest eerst het langste overeenkomende prefix. Voor hetzelfde prefix vergelijkt SFOS de Administrative Distance van routingbronnen; tussen vergelijkbare OSPF-paden beslist daarna de OSPF-metriek. Los daarvan bepaalt globale Route Precedence of klassieke routing, SD-WAN Policy Routes of VPN-routes eerst worden geëvalueerd. Leg vóór een globale wijziging de volgorde vast met system route_precedence show.

OSPFv2 verwerkt IPv4. OSPFv3 vervult dezelfde taak voor IPv6, maar wordt op Sophos Firewall apart geconfigureerd.

De voorbeeldtopologie plannen

De voorbeeldwaarden vertegenwoordigen twee locaties:

Firewall A: Router ID 192.0.2.10, transit-IP 198.51.100.1/30, lokaal LAN 10.10.10.0/24
Firewall B: Router ID 192.0.2.20, transit-IP 198.51.100.2/30, lokaal LAN 10.20.20.0/24
Transitnetwerk: 198.51.100.0/30
OSPF Area: 0.0.0.0

De adressen 192.0.2.0/24 en 198.51.100.0/24 zijn documentatienetwerken. Vervang ze door de werkelijke waarden van de omgeving.

De Router ID ziet eruit als een IPv4-adres, maar hoeft niet aan een interface te zijn toegewezen. Belangrijk is dat deze binnen het OSPF-domein uniek is en permanent stabiel blijft. 0.0.0.0 is niet toegestaan. Zonder eigen waarde gebruikt SFOS het hoogste interfaceadres; een bewust gekozen Router ID voorkomt dat de identiteit onverwacht verschuift na een interfacewijziging.

Voor deze eenvoudige opbouw volstaat Backbone Area 0.0.0.0. Meerdere Areas zijn pas zinvol wanneer een groter routingdomein bewust moet worden ingedeeld en samengevat. Elke aanvullende Area heeft een verbinding met de Backbone Area nodig.

OSPF veilig voorbereiden

Voordat OSPF wordt geconfigureerd, moet aan de volgende voorwaarden zijn voldaan:

De firewall draait in Gateway Mode. OSPF is niet beschikbaar in Transparent Mode.
Beide transit-IP’s bevinden zich in hetzelfde netwerk en kunnen elkaar rechtstreeks bereiken, bijvoorbeeld met Ping.
Interface, subnetmasker, MTU en zone zijn gedocumenteerd.
Router ID, Area, Authentication, Hello interval en Dead interval zijn aan beide zijden afgestemd.
Er zijn een configuratieback-up en een onafhankelijke managementtoegang beschikbaar.
Voor beide LAN’s zijn passende firewallregels en retourpaden gepland.

Een apart transit-VLAN en een aparte transitzone vereenvoudigen de beveiliging. De basisprincipes worden uitgelegd in Zones en interfaces op Sophos Firewall configureren.

Dynamic Routing gericht vrijgeven

Onder Administration > Device access is Dynamic Routing standaard voor alle zones uitgeschakeld. Voor het voorbeeld wordt de service alleen geactiveerd in de eigen transitzone waaraan het netwerk 198.51.100.0/30 is gekoppeld.

Het selectievakje in Device Access geldt voor de hele zone. Een aparte transitzone is daarom het duidelijkst. Als de transitinterface de zone deelt, kan een Local service ACL exception rule toegang beperken op IP version, Source zone, Source networks and hosts, Destination host, service Dynamic Routing, Action en regelpositie. OSPFv2 gebruikt echter multicastbestemmingen 224.0.0.5 en 224.0.0.6; het lokale transitadres is daarom niet zonder meer een werkende Destination host. Bevestig multicastmatching op de geïnstalleerde SFOS-build. Zonder bevestiging blijft een aparte transitzone de veilige keuze.

Deze vrijgave betreft OSPF-pakketten naar de firewall zelf. Daarvoor is geen normale firewallregel nodig. Het eigenlijke dataverkeer tussen 10.10.10.0/24 en 10.20.20.0/24 heeft desondanks passende IPv4-firewallregels nodig. Het onderscheid tussen lokale services en doorgestuurd verkeer wordt uitgelegd in Device Access op Sophos Firewall beveiligen.

OSPFv2 configureren in WebAdmin

Voer de volgende stappen uit op beide firewalls. Alleen Router ID, transit-IP en lokaal LAN verschillen.

1. Globale instellingen configureren

⚠️ De voorbeeldwaarden zijn voor een eerste configuratie. Vervang de Router ID van een bestaande router niet zonder voorbereiding: de SFOS 23-help waarschuwt dat een wijziging alle OSPF-sessies reset. Dit betekent niet dat oudere versies hiervan zijn uitgezonderd. Maak vooraf een back-up, zorg voor onafhankelijke beheerstoegang, leg buren en routes vast en plan een onderhoudsvenster. Daarna moeten de verwachte buurrelaties weer Full zijn, gewenste prefixen aanwezig, ongewenste prefixen afwezig en echte verbindingen inclusief retourpaden werken.

Onder Routing > OSPF worden de globale waarden ingesteld:

Router ID: op Firewall A 192.0.2.10, op Firewall B 192.0.2.20
Default metric: op 20 laten staan, tenzij er een bewuste waarde voor geredistribueerde routes is vastgesteld
ABR type: voor een nieuwe standaardopbouw Standard
Auto-cost reference-bandwidth: op de standaardwaarde 100000 Mbps laten staan zolang de kostenplanning geen andere gemeenschappelijke referentiewaarde vereist
Default-information originate: Never zolang de firewall niet uitdrukkelijk een Default Route aan alle OSPF-buren moet distribueren
Redistribute connected, static, RIP en BGP: aanvankelijk uitgeschakeld laten

Pas daarna de globale configuratie toe met Apply.

Default metric is de terugvalwaarde voor geredistribueerde routes als voor hun routetype geen eigen metriek is ingesteld. Een Area Border Router (ABR) verbindt andere Areas met de backbone en houdt voor elke aangesloten Area een aparte topologiedatabase en routinginformatie bij. OSPFv2 biedt Standard, Cisco, IBM en Shortcut onder ABR type voor compatibiliteit met het bestaande routingdomein; de keuze moet bij het afgestemde ontwerp passen.

Bij migratie van een oudere versie naar SFOS 19.5 of nieuwer verandert de vroegere standaardwaarde van Reference Bandwidth, 100, in 100000 Mbps. Een eerder aangepaste waarde blijft ongewijzigd. Vergelijk na een upgrade de werkelijke referentiewaarde en berekende kosten met de kostenplanning.

Een Autonomous System Boundary Router (ASBR) brengt routes uit andere routingbronnen in OSPF. De onderstaande externe metrieken verwijzen naar deze router.

De standaardmetriek geldt voor routes die in OSPF worden geïmporteerd. Voor geredistribueerde routes en de aangekondigde Default Route kan Metric type worden gekozen. External type 1 telt de interne kost tot de ASBR en de externe kost op. Bij External type 2 wordt eerst de externe metriek vergeleken; bij gelijkheid dient het interne pad naar de ASBR als tie-breaker. De interfacekost bepaalt de padkeuze binnen OSPF. Een lagere kost krijgt de voorkeur.

Default-information originate: Always mag niet als snelle schakelaar voor internetfailover worden gebruikt. De firewall zou daarmee ook een Default Route adverteren wanneer deze zelf geen Default Route heeft. Regular adverteert deze alleen wanneer er een Default Route in de routingtabel staat.

2. Backbone Area aanmaken

Klik onder Areas op Add en stel de volgende waarden in:

Area: 0.0.0.0
Type: Normal

Area cost kan alleen worden ingesteld voor andere Area-typen dan Normal; het veld is niet beschikbaar voor de backbone-Area van dit voorbeeld. Voor een Normal Area kan via Virtual links > Add een virtuele verbinding worden toegevoegd om een Area zonder fysieke backboneverbinding aan de backbone te koppelen. Dit is een geplande wijziging voor meerdere Areas, geen vervanging voor controle van de fysieke topologie.

Kies bij de Area als Authentication Type Text of MD5. Als de peer MD5 ondersteunt, heeft dit de voorkeur boven de variant met platte tekst. De bijbehorende Key ID en sleutel worden later op de transitinterface ingevoerd. MD5 authenticeert de OSPF-pakketten, maar versleutelt de uitgewisselde routinginformatie niet.

Sla de Area vervolgens op met Save.

Voor deze eenvoudige opbouw blijft Area 0.0.0.0 van het type Normal. Een Stub Area ontvangt geen externe AS-routes, terwijl Stub no-summary daarnaast gewone summary-routes onderdrukt, met uitzondering van de default route. Een NSSA kan eigen externe routes als type 7-LSA’s in het OSPF-domein introduceren; NSSA no-summary combineert dit met de strengere summary-beperking. Een Virtual Link is alleen beschikbaar voor een Normal Area. Wijzig het Area-type niet als snelle troubleshootingmaatregel, want beide kanten en het volledige Area-ontwerp moeten ermee overeenkomen.

3. Transitnetwerk toevoegen

Klik onder Networks op Add:

IPv4/Netmask: 198.51.100.0/30
Area: 0.0.0.0

Op Firewall A valt het adres 198.51.100.1 binnen dit Network, op Firewall B 198.51.100.2. Daardoor draait OSPF op de betreffende transitinterfaces en kunnen de twee firewalls een buurrelatie vormen.

Sla de Network-invoer op met Save.

Een OSPF-netwerk verwijst altijd naar een lokaal netwerk: SFOS activeert OSPF op elk interface waarvan het adres overeenkomt met de invoer en kondigt het prefix aan. Voor het LAN gebruikt dit voorbeeld in stap 5 ook een netwerkvermelding, omdat hiermee in de WebAdmin precies het gewenste prefix kan worden geselecteerd en weer verwijderd. Het nadeel is dat het LAN-interface daardoor ook deel wordt van OSPF. Een gefilterde herdistributie voorkomt dit, maar vereist onder SFOS 22 een afzonderlijk gecontroleerde CLI-configuratie inclusief terugbouw.

4. Interfacewaarden alleen bewust overschrijven

Onder Override interface configuration kan de transitinterface worden geselecteerd. De standaardwaarden zijn geschikt voor veel Ethernet-verbindingen:

Hello interval: 10 seconden
Dead interval: 40 seconden
Retransmit interval: 5 seconden
Transmit delay: 1 seconde
Interface cost: Auto
Router priority: 1

Hello interval bepaalt het interval tussen Hello-pakketten waarmee buren worden ontdekt. Dead interval bepaalt hoe lang zonder Hello wordt gewacht voordat een buur als niet beschikbaar geldt. SFOS stelt Dead automatisch in op viermaal Hello; controleer na een Hello-wijziging of de berekende waarde binnen het toegestane bereik ligt en overeenkomt met die van de buren. Dead kan ook handmatig worden overschreven. Retransmit interval regelt het opnieuw verzenden van Link-State Advertisements (LSA’s); Transmit delay houdt rekening met transmissie- en propagatievertraging van een link-state-update.

DR betekent Designated Router, BDR Backup Designated Router. Bij de verkiezing heeft een hogere Router Priority de voorkeur; bij gelijke prioriteit wint de hoogste Router ID.

Hello en Dead moeten op alle routers in het segment identiek zijn. Retransmit Interval en Transmit Delay worden lokaal ingesteld. Cost en Router Priority mogen bewust verschillen: de Cost bepaalt het voorkeursdatapad, terwijl de Priority in broadcastnetwerken de selectie van DR en BDR beïnvloedt. Een Priority van 0 sluit de interface van deze selectie uit.

Bij een gelijke Priority beslist de Router ID, maar een lopende DR-selectie is niet-preëmptief. Een handmatig ingestelde Cost is zinvol wanneer bij meerdere paden één pad de voorkeur moet krijgen. Bij Auto berekent SFOS de Cost uit de globale Reference Bandwidth en de geconfigureerde interfacesnelheid. Wanneer de linksnelheid onder Network > Interfaces wordt gewijzigd, gebruikt OSPF de nieuwe Auto-Cost pas nadat de firewall opnieuw is opgestart.

Bij MD5-authenticatie wordt in de Area Authentication Type MD5 geselecteerd. Vervolgens worden op de transitinterface aan beide zijden dezelfde Key ID van 0 tot 255 en dezelfde sleutel ingevoerd.

Als voor OSPFv2 in plaats daarvan Text wordt gekozen, moet op de interface een authenticatiewachtwoord worden ingevoerd en met de peer worden afgestemd. Dit geldt niet voor OSPFv3, dat geen authenticatie ondersteunt.

Sla gewijzigde interfacewaarden op met Save.

5. Alleen de benodigde LAN’s adverteren

Voor het voorbeeld moet Firewall A 10.10.10.0/24 en Firewall B 10.20.20.0/24 adverteren. Daarvoor bestaan twee fundamenteel verschillende methoden:

Een OSPF Network neemt de passende lokale interface in OSPF op en kondigt zijn prefix aan.
Redistribution neemt routes over van een andere routeringsbron in OSPF.

Klik op Routing > OSPF > Networks op Add en wijs het betreffende LAN toe aan Area 0.0.0.0: op Firewall A 10.10.10.0/24, op Firewall B 10.20.20.0/24. Sla de invoer op met Save. Dynamic Routing blijft uitgeschakeld voor de LAN-zone; de dienst is alleen toegestaan voor de transit-zone of de beperkte Local Service ACL Exception. Daarna moet de tegenpartij precies dit LAN leren. Een ongewenst lokaal netwerk dient als negatieve controle en mag niet in de OSPF-routingtabel van de tegenpartij verschijnen.

Deze variant is geschikt, zolang de LAN-interfaces bewust deel mogen uitmaken van OSPF. Als OSPF daar in principe niet geactiveerd mag worden of de te distribueren prefixen afkomstig zijn van Static, RIP of BGP, is Redistributie de meer geschikte methode. De optie Redistribute connected in WebAdmin neemt echter alle direct verbonden netwerken over. Op een productieve firewall kunnen daar ook WAN-, management-, DMZ-, VPN- en andere VLAN-netwerken bij horen. Daarom mag het selectievakje niet zomaar worden geactiveerd.

Bij Remote Access SSL VPN neemt Redistribute connected alleen het dynamische clientsubnet over. Een statisch toegewezen SSL VPN-subnet wordt niet automatisch geïnjecteerd en moet, als dit echt nodig is, als afzonderlijk OSPF Network worden geconfigureerd en apart worden getest.

WebAdmin kan Connected Routes niet filteren op afzonderlijke prefixen. De SFOS-22-commandoregelhulp toont daar weliswaar een ACL met Route Map, maar documenteert slechts een uitsluitingsvoorbeeld en geen volledige afbouw van een productieve Allowlist. Zonder een voor de gebruikte SFOS-versie geteste terugweg, is daaruit geen veilige copy-and-paste-oplossing af te leiden. Wie selectieve Redistribution nodig heeft, plant daarom de ACL en Route Map als een eigen routeringswijziging, laat syntaxis en afbouw bevestigen voor de geïnstalleerde build en controleert aan de tegenpartij zowel het gewenste prefix als ten minste één netwerk dat uitdrukkelijk niet mag worden aangekondigd.

De globale WebAdmin-optie Redistribute connected blijft uitgeschakeld bij een CLI-gefilterde variant. Na latere wijzigingen in de globale OSPF-configuratie moet show running-config opnieuw worden gecontroleerd, omdat WebAdmin tegenstrijdige uitgebreide CLI-instellingen en wijzigingen aan log-adjacency-changes kan verwijderen. Ook Redistribute static wordt pas na een volledige inventarisatie van de aanwezige statische routes geactiveerd.

OSPF configureren en terugdraaien in de CLI

Vanaf SFOS 23.0: namen van Access Lists, Prefix Lists en Route Maps moeten uniek zijn over alle dynamische routingprotocollen heen, omdat ze een geïntegreerde configuratie delen. Bij een upgrade van een eerdere versie naar SFOS 23.0 of nieuwer voegt Sophos Firewall bij een naamconflict automatisch protocolprefixen toe aan de namen van Route Maps, Prefix Lists en Access Lists en werkt het alle verwijzingen naar de hernoemde configuraties bij. Vergelijk vóór selectieve Redistribution of terugdraaien de vóór de upgrade vastgelegde objectnamen en verwijzingen met de huidige configuratie; neem niet aan dat een oude naam nog steeds de huidige koppeling aanduidt. Controleer na de wijziging of het terugdraaien op de peer dat gewenste prefixen aanwezig zijn en expliciet verboden prefixen ontbreken. Inventariseer namen en verwijzingen over alle protocollen voordat namen worden gekozen of een terugweg wordt gepland. Verwijder alleen verwijzingen van deze wijziging; verwijder gedeelde objecten niet zonder onderscheid. Andere protocollen moeten hun verwachte buren en routes behouden. Zonder bevestigde syntaxis en terugweg blijft een uitvoerbaar filterrecept achterwege.

SFOS 22, alleen OSPFv2/IPv4: de OSPF-CLI staat onder 3. Route Configuration > 1. Configure Unicast Routing > 2. Configure OSPF. De minimale configuratie hieronder voor Firewall A volgt het transitnetwerk en de LAN-aankondiging van het WebAdmin-voorbeeld. De gedocumenteerde SFOS 22-volgorde met exit en write in de globale ospf(config)#-context blijft behouden.

⚠️ Voer vóór ospf router-id op een bestaande router dezelfde voorcontrole uit als in WebAdmin: volgens de SFOS 23-help reset een wijziging van de bestaande Router ID alle OSPF-sessies. Vervang de ID niet door de voorbeeldwaarde. Zorg voor back-up en onafhankelijke beheerstoegang, leg buren en routes vast en gebruik een onderhoudsvenster; controleer daarna Full-buurrelaties, gewenste/ongewenste prefixen en echt verkeer.

enable
configure terminal
router ospf
ospf router-id 192.0.2.10
network 198.51.100.0/30 area 0
network 10.10.10.0/24 area 0
log-adjacency-changes
exit
write
show running-config
end

SFOS 23, alleen OSPFv2/IPv4: 3. Route Configuration > 1. Configure Unicast Routing opent de gedeelde routingconsole bij router# (EXEC). configure terminal gaat naar router(config)# (globale configuratie), router ospf naar router(config-ospf)#. Voer vanaf router# deze opdrachten in zonder de getoonde prompts:

router# configure terminal
router(config)# router ospf
router(config-ospf)# ospf router-id 192.0.2.10
router(config-ospf)# network 198.51.100.0/30 area 0
router(config-ospf)# network 10.10.10.0/24 area 0
router(config-ospf)# log-adjacency-changes
router(config-ospf)# end
router# show running-config
router# write

end keert rechtstreeks terug naar EXEC. De SFOS 23-configuratiehelp toont daar show running-config en write, terwijl de opmerking algemeen do write vereist. Het filtervoorbeeld toont specifiek router(config)# do write na exit vanuit OSPF. Deze spanning in de documentatie bewijst niet dat EXEC write niet opslaat: hier wordt het configuratievoorbeeld met expliciete modi gevolgd, niet een kaal write in SFOS 23-configuratiemodus.

show running-config toont de actieve toestand, geen bewijs van opslag. Controleer na write in SFOS 23 de opslagbevestiging voor het geïntegreerde /conf/routing/frr.conf; het SFOS 22-filtervoorbeeld noemt nog /conf/routing/ospfd.conf. Bewerk het bestand niet handmatig. Volgens Sophos moeten CLI-wijzigingen worden opgeslagen om in WebAdmin te verschijnen en een firewall- of daemonherstart te overleven. Controleer de bevestiging en verwachte WebAdmin-waarden; een herstart is hier geen verplichte test en is voor dit artikel niet uitgevoerd. Ontbreekt de bevestiging, overleg dan met Sophos vóór verdere wijzigingen. Controleer daarna buren, routes en verkeer.

Op firewall B worden in plaats daarvan de router-ID 192.0.2.20 en het LAN-netwerk 10.20.20.0/24 gebruikt.

De router-ID moet uniek zijn, mag niet 0.0.0.0 zijn en hoeft geen daadwerkelijk toegewezen IP-adres te zijn. Zonder handmatige opgave gebruikt SFOS het hoogste interface-IP. De Area-ID mag worden ingevoerd als een getal van 0 tot 4294967295 of in IPv4-notatie. SFOS slaat het netwerk overeenkomstig het masker genormaliseerd op; van 198.51.100.1/30 wordt daarom 198.51.100.0/30. Precies deze opgeslagen waarde is later doorslaggevend voor controle en verwijdering. log-adjacency-changes registreert buurwisselingen zonder debugmodus en wordt standaard ingesteld bij een WebAdmin-configuratie.

Network, OSPF-proces en Default Route onderscheiden

SFOS 22, OSPFv2/IPv4: om alleen één Network te verwijderen, pas no toe op de genormaliseerde regel uit show running-config onder router ospf. Zorg vóór verwijdering van het transitnetwerk voor alternatieve routes, een back-up en onafhankelijke beheerstoegang en plan een onderhoudsvenster: de buurrelatie op dit segment valt weg.

enable
configure terminal
router ospf
no network 198.51.100.0/30 area 0
exit
write
show running-config
end

Daardoor eindigt OSPF op de bijbehorende interfaces en verdwijnen de getroffen aankondigingen. no router ospf verwijdert daarentegen de OSPFv2-routingconfiguratie. Voor deze destructieve stap worden de volledige actieve configuratie, een back-up en alternatieve routes veiliggesteld; het commando hoort in een onderhoudsvenster en is geen tijdelijke aan/uit-schakelaar.

SFOS 23, OSPFv2/IPv4: begin dezelfde Network-verwijdering bij router# in de gedeelde console. Het SFOS 23-overzicht documenteert no network bij router(config-ospf)#; daarna volgt dezelfde EXEC-controle en opslag als hierboven:

router# configure terminal
router(config)# router ospf
router(config-ospf)# no network 198.51.100.0/30 area 0
router(config-ospf)# end
router# show running-config
router# write

Na verwijdering moeten precies het bedoelde Network en zijn aankondiging ontbreken; resterende buren, alternatieve routes, beheerstoegang en verkeer moeten werken zoals gepland. Controleer ook de opslagbevestiging. Draai deze specifieke wijziging terug door de vooraf vastgelegde network … area …-regel in de versiegebonden OSPF-context te herstellen, op te slaan en opnieuw te controleren.

Voor volledige procesverwijdering noemt SFOS 22 ospf(config)# no router ospf, terwijl het SFOS 23-overzicht router(config-ospf)# no router ospf geeft. Dit is een gedocumenteerde promptwijziging, geen bewezen opdrachtfout. Deze SFOS 23-context is hier niet op een apparaat bevestigd. Daarom wordt geen uitvoerbare SFOS 23-procesverwijdering aangeboden totdat Sophos de context en herstelweg voor de geïnstalleerde build bevestigt; raad geen andere modus. Verwijder gedeelde ACLs, Prefix Lists of Route Maps niet zonder onderscheid.

ospf push-default-route-to-kernel heeft een derde, afzonderlijke functie: een via OSPF geleerde standaardroute wordt in de kernel-routingtabel opgenomen. Het commando kondigt geen standaardroute aan bij de buren en is daarom niet hetzelfde als Default-information originate. Documenteer vooraf bestaande standaardroutes, Route Precedence, het retourpad voor beheer en het resultaat van Route Lookup. De officieel gedocumenteerde manier om de wijziging terug te draaien is no ospf push-default-route-to-kernel bij de OSPF-prompt; controleer daarna opnieuw de routingtabel, Route Lookup, beheerstoegang en het werkelijke verkeer.

Globale wijzigingen in WebAdmin kunnen conflicterende CLI-instellingen verwijderen. Controleer na elke dergelijke wijziging opnieuw show running-config, Neighbors, geleerde routes en de opgeslagen configuratie.

OSPF controleren en valideren

Een buurrelatie alleen bewijst nog niet dat het gewenste LAN bereikbaar is. De validatie loopt daarom van de OSPF-laag tot aan de werkelijke pakketstroom.

Onder Routing > Information > OSPF > Neighbors moet de peer met zijn Router ID verschijnen. Full geeft aan dat de relevante Link-State-informatie volledig is uitgewisseld.
Onder Routes moet Firewall A 10.20.20.0/24 via 198.51.100.2 zien. Firewall B verwacht 10.10.10.0/24 via 198.51.100.1. Een niet vrijgegeven testprefix mag daarentegen niet verschijnen.
Onder Interface worden Area, Router ID, Cost, timers, Network Type en MTU gecontroleerd. Database toont de Link-State-database; Border routers helpt bij ontwerpen met meerdere Areas, ABR- en ASBR-invoeringen te controleren.
Onder Diagnostics > Tools > Route lookup wordt een concrete bestemming gecontroleerd, bijvoorbeeld 10.20.20.10 op Firewall A.
Test daarna een echte verbinding tussen een host uit elk LAN. Log Viewer en Packet Capture moeten de verwachte firewallregel, de transitinterface en het retourverkeer tonen.

Bij de laatste twee stappen helpt Een Sophos Firewall-regel testen met Log Viewer en Packet Capture.

Voor een aanvullende SSH-controle gebruikt SFOS 22 3. Route Configuration > 1. Configure Unicast Routing > 2. Configure OSPF; SFOS 23 gebruikt 3. Route Configuration > 1. Configure Unicast Routing voor de gedeelde console. Keer in SFOS 23 met end terug naar router# en voer daar show running-config uit. Dit toont de actieve configuratie, geen bewijs van opslag; de aparte opslagbevestiging is hierboven uitgelegd. Neighbor, Database, Interfaces en berekende routes worden in SFOS 22 betrouwbaar gecontroleerd onder Routing > Information > OSPF; daarom noemt dit artikel geen niet-gedocumenteerde routing-daemon-show-opdrachten.

In de Advanced Shell bieden de OSPF- en kernellogs aanvullende context. De toegang verloopt via 5. Device Management > 3. Advanced Shell:

cd /log
tail -f ospfd.log

Stop de live-uitvoer met Ctrl+C. Daarna kan de tweede log worden gecontroleerd:

tail -f zebra.log

ospfd.log toont OSPF-gebeurtenissen. zebra.log helpt te controleren of een dynamisch geleerde route in de kernel is opgenomen. Wie niet live wil meelezen, gebruikt bijvoorbeeld less /log/ospfd.log. Sophos Firewall-service- en logbestanden koppelt meer bestanden aan de verantwoordelijke services.

Fouten systematisch afbakenen

Er verschijnt geen Neighbor

Controleer eerst de directe bereikbaarheid van de transit-IP’s. Daarna moeten de transitinterface up zijn, het OSPF Network overeenkomen met het lokale interface-IP en Dynamic Routing in de juiste zone zijn geactiveerd. Area, subnetmasker, Authentication Type, Key ID, sleutel, Hello en Dead moeten aan beide zijden overeenkomen. Dubbele Router ID’s verhinderen eveneens een correcte opbouw.

Neighbor blijft op Init of 2-Way

Init betekent dat Hello-pakketten aankomen, maar dat de communicatie nog niet in beide richtingen is bevestigd. Device Access, asymmetrische filters, interfacetoewijzing en retourpad zijn dan de eerste controlepunten.

2-Way is in een broadcastnetwerk normaal tussen twee routers wanneer beide noch DR noch BDR zijn. In het voorbeeld met precies twee OSPF-routers en Priority 1 worden beide deelnemers DR en BDR; hun buurrelatie moet daarom Full bereiken. Als deze op 2-Way blijft, controleer dan Router Priority, Network Type en de peer.

Neighbor blijft op ExStart, Exchange of Loading

In deze toestanden is de synchronisatie van de Link-State Database begonnen, maar wordt deze niet voltooid. Veelvoorkomende oorzaken zijn verschillende MTU-waarden, niet-overeenkomende Network Types, dubbele Router ID’s of instabiele verbindingen. Onder Routing > Information > OSPF > Interface staan MTU, MTU Mismatch Detection, Network Type en Timer klaar voor vergelijking.

Neighbor is Full, maar het externe LAN ontbreekt

Dan werkt de buurrelatie, maar het LAN wordt niet aangekondigd. Bij de in dit voorbeeld gebruikte netwerkmethode moet op de verzendende firewall de verbonden route aanwezig zijn en onder router ospf moet de bijbehorende network … area …-vermelding verschijnen. show running-config toont de genormaliseerde waarde in de actieve configuratie, niet de opslagstatus.

Wordt in plaats daarvan Redistributie gebruikt, moeten de gekozen routeringsbron en eventueel ACL, Route Map en redistribute … route-map bij het gewenste prefix passen. Bij Redistribute connected moet bovendien de volledige lijst van alle aangekondigde Connected Routes gecontroleerd worden.

Ontbreekt na een upgrade naar SFOS 22 juist een netwerk achter een policy-based IPsec-tunnel, dan kan een afhankelijkheid van redistribute kernel de oorzaak zijn. De tunnel en de OSPF-neighbor kunnen daarbij gezond blijven; SFOS 22: IPsec-routes en redistribute kernel legt de controle en het route-based XFRM-doelontwerp uit.

De route bestaat, maar het verkeer werkt niet

OSPF heeft zijn taak vervuld wanneer de route met de juiste Next Hop aanwezig is. Fouten bevinden zich daarna meestal in de firewallregel, NAT, Route Precedence, het retourpad of het doelsysteem. Bij normaal gerouteerde locatienetwerken is doorgaans geen SNAT nodig, omdat beide firewalls de LAN’s via OSPF moeten kennen.

OSPF via route-based IPsec

OSPF kan ook via een XFRM-interface van een route-based Site-to-Site IPsec-tunnel lopen. Hiervoor moeten lokale en externe subnetten aan beide zijden Any zijn, zodat SFOS de XFRM-interfaces kan aanmaken. De instelling IPv4, IPv6 of Dual bepaalt vervolgens welke IP-versies worden gebruikt; bij Dual moeten aparte IPv4- en IPv6-firewallregels handmatig worden aangemaakt. Met specifieke Traffic Selectors ontstaat er geen adresseerbare XFRM-interface waaraan IP-adressen of routes kunnen worden toegewezen.

Voor deze variant geldt bovendien:

Dynamic Routing wordt onder Administration > Device access toegestaan voor de VPN-zone.
Het XFRM-transitnetwerk wordt ingevoerd als OSPF Network.
Voor het gebruikersverkeer zijn passende IPv4- respectievelijk IPv6-firewallregels voor de VPN-zone nodig.
Hello, Dead, Authentication en MTU moeten bij de peer passen.
Het weergegeven OSPF-netwerktype wordt aan beide zijden vergeleken. Een afwijking kan het tot stand brengen van de naburigheid voorkomen en moet in het ontwerp van beide eindpunten worden verduidelijkt.

Een groene IPsec-tunnel en een OSPF Neighbor op Full zijn afzonderlijke controlepunten. Pas de geleerde route en een werkelijke pakketstroom bevestigen de volledige opbouw.

De officiële HA-hulp garandeert geen overname van de OSPF-adjacency-status. In een HA-cluster behoort daarom een geplande failover tot de acceptatietest van de concrete topologie. Daarna wordt op de actieve node gecontroleerd of Neighbor, routes evenals ospfd.log en zebra.log weer de verwachte toestand tonen.

OSPFv3 voor IPv6

Grens van de SFOS 23-CLI-help: de configuratiehelp voegt router ospf6 toe en zegt dat dezelfde stappen voor OSPFv3 gelden, maar vervolgt met IPv4-OSPF Router ID- en Network-opdrachten. De filterhelp voegt IPv6-ACLs toe, maar behoudt daarna match ip address en router ospf. Dit onderbouwt geen volledige, betrouwbare IPv6-procedure voor matching, redistribution en terugbouw. De CLI-voorbeelden hierboven gelden alleen voor OSPFv2/IPv4. Voor IPv6 blijft de interfacegebaseerde WebAdmin-procedure hieronder behouden; gebruik een IPv6-CLI-procedure pas nadat Sophos die voor de geïnstalleerde build bevestigt. Vervang geen tokens in IPv4-opdrachten en beschouw upstream-FRR-opdrachten niet als bewijs van Sophos-ondersteuning.

Onder Routing > OSPFv3 wordt IPv6-routing onafhankelijk van OSPFv2 geconfigureerd. De router-ID blijft daarbij een unieke waarde in IPv4-notatie. SFOS toont voor Default metric weliswaar 0, maar gebruikt de niet-aanpasbare waarde 20; ABR type is vastgezet op Standard. De Auto-cost reference-bandwidth staat standaard op 100000 Mbps. Voor Default-information originate zijn er net als bij OSPFv2 Never, Regular en Always; in WebAdmin kunnen connected- en BGP-IPv6-routes worden herverdeeld.

In tegenstelling tot OSPFv2 wordt er niet eerst een netwerk ingevoerd. Onder Interfaces kiest men de IPv6-compatibele interface en wijst deze toe aan een area. Voor een eenvoudige opzet wordt hier ook Area 0.0.0.0 gebruikt. Hello en Dead moeten overeenkomen op het segment; Cost, Retransmit, Transmit Delay en Router Priority worden passend bij de eigen topologie ingesteld. SFOS ondersteunt per interface slechts één OSPFv3-instantie. De Instance ID is configureerbaar; de standaardwaarde is 0.

Klik eerst onder Routing > OSPFv3 > Interfaces and areas > Areas op Add, voer Area in IPv4-notatie in, kies Type volgens het ontwerp en sla op met Save. Voor het eenvoudige voorbeeld is de Area 0.0.0.0. Klik daarna onder Routing > OSPFv3 > Interfaces and areas > Interfaces op Add, selecteer Interface en voer dezelfde Area in, eveneens in IPv4-notatie.

De OSPFv3-standaardwaarden zijn Hello 10, Dead 40, Retransmit 5 en Transmit delay 1 seconde, met Router priority 1. De veldfuncties, automatische Dead-berekening en controle van het toegestane bereik gelden zoals uitgelegd in de OSPFv2-interfacestap. Ook de DR/BDR-verkiezing geeft hogere prioriteit voorrang en bij gelijkheid de hoogste Router ID; 0 sluit de interface uit van de verkiezing. Interface cost kan op Auto blijven of handmatig worden ingesteld door het selectievakje uit te schakelen; lagere waarden krijgen de voorkeur. Auto gebruikt Reference Bandwidth en de geconfigureerde interfacesnelheid. Na een wijziging van de geconfigureerde linksnelheid geldt de nieuwe Auto-Cost ook hier pas na een herstart van de firewall. Sla tot slot de interfaceconfiguratie op met Save.

Extra OSPFv3-Areas kunnen als Stub, Stub no-summary, NSSA of NSSA no-summary worden aangemaakt. De varianten verschillen in welke externe en summary-LSA’s ze vervoeren; een NSSA kan daarnaast type 7-LSA’s uit de eigen redistribution aan de ABR doorgeven. Deze Area-typen horen bij een afgestemd multi-area-ontwerp en niet bij een geïmproviseerde herstelpoging.

Stub draagt geen type 4- of type 5-LSA’s en staat geen virtuele verbindingen toe. Stub no-summary onderdrukt ook type 3-LSA’s behalve de default summary route en staat evenmin virtuele verbindingen toe. NSSA ontvangt geen externe type 5-LSA’s uit andere Areas; eigen type 7-LSA’s worden binnen de NSSA verspreid en door de ABR omgezet in type 5-LSA’s voor de backbone. NSSA no-summary onderdrukt type 4 en 5 en type 3 behalve de default summary route, maar behoudt type 7 en de omzetting daarvan bij de ABR. Deze eigenschappen betekenen niet dat SFOS RIP- of statische redistribution in OSPFv3-WebAdmin aanbiedt.

Kies voor de globale OSPFv3-configuratie alleen de benodigde aankondigingen en stel de bijbehorende metriek en Metric type in. De betekenis van E1/E2 en de effecten van Never, Regular en Always zijn uitgelegd in de globale OSPFv2-stap; de waarschuwing voor Always geldt ook hier. Pas toe met Apply. Dit kan eigen wijzigingen aan log-adjacency-changes verwijderen; controleer daarna opnieuw de actieve en opgeslagen configuratie, buren, gewenste en ongewenste IPv6-prefixen onder Routing > Information > OSPFv3 en het werkelijke IPv6-verkeer.

Sophos Firewall ondersteunt voor OSPFv3 momenteel geen Authentication. De uitwisseling mag daarom alleen via vertrouwde of al beveiligde links plaatsvinden. Een bestaande OSPFv2-configuratie adverteert geen IPv6-netwerken en voor IPv6-gebruikersverkeer zijn aparte IPv6-firewallregels nodig.

Redistribute connected registreert bij OSPFv3 ook alle direct verbonden IPv6-netwerken en mag daarom niet zomaar worden geactiveerd. Volgens Sophos wordt bij Remote Access SSL VPN alleen het dynamische subnet geïnjecteerd, niet het statische. De SFOS-22-handleiding noemt voor het statische subnet een “OSPF-netwerk”, ook al wordt OSPFv3 in WebAdmin via interfaces in plaats van via een lijst met netwerken geconfigureerd. Uit deze tegenstrijdigheid kan geen betrouwbare procedure worden afgeleid; de aankondiging van een statisch IPv6-SSL-VPN-prefix moet voor de geïnstalleerde build met Sophos worden verduidelijkt.

De validatie vindt plaats onder Routing > Information > OSPFv3; bij fouten biedt ospf6d.log protocolspecifieke context.

De wijziging veilig terugdraaien

Voordat OSPF wordt verwijderd, moet er voor elk geleerd doelnetwerk een alternatieve route of een gepland onderhoudsvenster beschikbaar zijn. In het voorbeeld wordt eerst de LAN-netwerkvermelding verwijderd, daarna het transitnetwerk en ten slotte Dynamic Routing voor de transitzone gedeactiveerd. Als het LAN in plaats daarvan wordt geredistribueerd, wordt deze herverdeling eerst teruggedraaid. Vervolgens worden route-lookup, routingtabel en managementtoegang opnieuw gecontroleerd.

Als alleen een onjuiste Cost, Timer of filter wordt teruggedraaid, wijzig dan altijd slechts deze ene instelling. Zo blijft duidelijk of de OSPF-buurschap, de routeadvertentie of pas het gebruikersverkeer werd beïnvloed.