OSPF**认证完整总结**
OSPF的认证有确切说是3种，OSPF头里其中认证字段0表示无认证， 1表示明文认证， 2表示MD5认证。明文认证发送密码进行认证，而MD5认证发送的是报文摘要。有关MD5的详细信息，可以参阅RFC1321.
?
OSPF的认证可以在链路上进行，也可以在整个区域内进行认证。另外虚链路同样也可以进行认证。
虚链路配置：两个ABR之间ospf进程下，指的是对方router-id 区域是中间穿越区域
area 1（中间穿越区域） virtual-link 3.3.3.3 （对方ABR router-id）
area 1（中间穿越区域） virtual-link 2.2.2.2 （对方ABR router-id）
注意：双方的RID不需要路由能通！
? 基于接口认证
1. 在**R1和R2的串行链路上进行OSPF**明文认证：
? (config-if)#ip ospf authentication**（启用认证）**
(config-if)#ip ospf authentication-key cisco**（配置密码）**
只有一端开启通过debug工具我们可以看到如下信息：
*Aug 15 22:51:54.275: OSPF: Rcv pkt from 10.1.1.2, Serial1/0 : Mismatch Authentication type. Input packet specified type 0**,** we use type 1
这里的type0是指对方没有启用认证，type1是明文认证。
2.**在R2和R3的串行链路上进行MD5认证的：**
(config-if)#ip ospf authentication message-digest**（定义认证类型为MD5） (config-if)#ip ospf message-digest-key 1 md5 cisco（定义key**和密码）
#show ip ospf int s1/0
Serial1/0 is up, line protocol is up
Internet Address 11.1.1.2/24, Area 1
Process ID 10, Router ID 3.3.3.3, Network Type POINT_TO_POINT, Cost: 64
Transmit Delay is 1 sec, State POINT_TO_POINT,
Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5
? oob-resync timeout 40
? Hello due in 00:00:05
Index 1/1, flood queue length 1
Next 0x648352C8(13)/0x0(0)
Last flood scan length is 1, maximum is 2
Last flood scan time is 0 msec, maximum is 0 msec
? Flood pacing timer due in 0 msec
Neighbor Count is 1, Adjacent neighbor count is 1
? Adjacent with neighbor 2.2.2.2
Suppress hello for 0 neighbor(s)
Message digest authentication enabled
Youngest key id is 1
所以要修改链路的MD5认证的密码时，可以先将新的密码配置到启用认证的路由器后在将原来的密码删除，这样的话可以保证在修改配置的时候邻居关系依然存在。
区域**认证方法**(私有技术）
接口定义密钥，区域启用
明文认证**：
Router(config-if)#ip ospf authentication-key cisco启用明文密钥
Router(config-router)#area 1 authentication声明明文认证**
密文认证
Router(config-if)#ip ospf message-digest-key 1 md5 cisco 启用密文密钥
Router(config-router)#area 0 authentication message-digest 声明密文认证
如果R2在区域0采用认证，且重启进程，对于虚链路而言：
R2#sho ip ospf virtual-links
Virtual Link OSPF_VL0 to router 3.3.3.3 is up
Run as demand circuit
DoNotAge LSA allowed.
Transit area 1, via interface Serial1/1, Cost of using 64
Transmit Delay is 1 sec, State POINT_TO_POINT,
Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5
? Hello due in 00:00:06
Simple password authentication enabled
R3#sho ip ospf virtual-links
Virtual Link OSPF_VL0 to router 2.2.2.2 is up
Run as demand circuit
DoNotAge LSA allowed.
Transit area 1, via interface Serial1/0, Cost of using 64
Transmit Delay is 1 sec, State POINT_TO_POINT,
Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5
Hello due in 00:00:04
因为virtual-link属于Area0，因此在R2配置完成Area0区域认证后，R3也需要相应的配置。
R3(config)#router ospf 10
R3(config-router)#area 0 authentication
R3(config-router)#
*Aug 15 23:32:57.175: %OSPF-5-ADJCHG: Process 10, Nbr 2.2.2.2 on OSPF_VL0 from LOADING to FULL, Loading Done
R2#sho ip ospf virtual-links
Virtual Link OSPF_VL0 to router 3.3.3.3 is up
Run as demand circuit
DoNotAge LSA allowed.
Transit area 1, via interface Serial1/1, Cost of using 64
Transmit Delay is 1 sec, State POINT_TO_POINT,
Timer intervals configured, Hello 10, Dead 40, Wait 40, Retransmit 5
? Hello due in 00:00:05
? Adjacency State FULL (Hello suppressed)
? Index 3/4, retransmission queue length 0, number of retransmission 1
? First 0x0(0)/0x0(0) Next 0x0(0)/0x0(0)
? Last retransmission scan length is 1, maximum is 1
? Last retransmission scan time is 0 msec, maximum is 0 msec
Simple password authentication enabled
虚链路在建立起来后是不老化LSA，所以如果没有重启OSPF进程的话，即使一端配置了认证，虚链路也是不会断开的。
虚链路**认证方法**
明文认证
(config-router)#area 2 virtual-link 3.3.3.3 authentication-key cisco 启用明文(config-router)#area 2 virtual-link 3.3.3.3 authentication声明明文认证
密文认证
(config-router)#area 2 virtual-link 3.3.3.3 message-digest-key 1 md5 cisco
(config-router)# area 2 virtual-link 3.3.3.3 authentication message-digest
只支持等价负载均衡
默认4条，最大16条
Router(config-router)#maximum-paths 16
接口下修改优先级和cost
r1(config-if)#ip ospf priority 2**------大好**
r1(config-if)#ip ospf cost 65535
通告默认路由
r3(config-router)#default-information originate metric 100
r3(config)#ip route 0.0.0.0 0.0.0.0 null 0
两个ABR连接两个ISP，提供热备冗余备份。经测试，在骨干区域ABR打入这个命令会向骨干和非骨干都会通告，但一般用在边界的两个ABR上面。全ospf通告泛洪
r1(config-router)#default-information originate metric 100--通告默认，但是这个默认必须提前在路由表中
r1(config-router)#default-information originate always metric 15---即使我路由表中没有默认，也会自动创建一个广播出去，且还有一个作用，减少默认路由抖动引起的数据库操作，保证数据库稳定。因为我R1就没有产生一个默认路由，就无从谈起默认路由抖动问题了。默认metric为1
r1(config-router)#default-information originate always metric 15 metric-type 1-----其他路由器收到，这个15的外部cost值加上自己去ASBR（谁通告默认谁是ASBR）的cost值。在有多条链路去往ASBR的环境中适用。默认是oe2
ACL匹配路由：
r1(config)#access-list 1 per 3.3.3.0 0.0.0.255
r1(config)#route-map aaa per 10
r1(config-route-map)#match ip add 1
r1(config-route-map)#exit
----------------------------------------------------------------
前缀列表匹配路由：
ip prefix-list aaa seq 1 permit 34.1.1.0/24
ip prefix-list aaa seq 2 permit 35.1.1.0/24!
!
route-map aaa permit 10
match ip address prefix-list aaa
exit
------------------------------------------------------------------------------------------
r1(config)#router ospf 100
r1(config-router)#default-information originate always route-map aaa
在我是ASBR，连接一个后面路由器，这个路由器连接互联网，我作为R1，只有路由表中有3.3.3.0的路由才会向自己的ospf区域通告一个默认路由
路由汇总
ABR区域汇总：
area area-id range ip-address mask not-advertise**（不通告，就是抑制他，过滤LSA-3。路由聚合只针对域内路由做聚合，不能针对区域间路由做聚合）**
ASBR外部路由汇总：
summary-address ip-address mask
地址汇总计算方法：
1、简单的 ，同一子网的汇总
192.168.1.0/24
192.168.2.0/24
192.168.3.0/24
192.168.4.0/24
192.168.5.0/24
192.168.6.0/24
判断第几位发生变化，转换成二进制
192.168.00000 001.0/24
192.168.00000 010.0/24
192.168.00000 011.0/24
192.168.00000 100.0/24
192.168.00000 101.0/24
192.168.00000 110.0/24
将不变的位保留下来作为子网掩码的位数= 16+5=21
你也可以算变化的位 24-3=21
变化的位全部值0 那么这个时候的网络地址就是汇总后的地址
192.168.00000000.0/21=192.168.0.0/21
255.255.248.0
复杂一丁点的，不同子网的汇总
202.12.133.1/25 = 202.12.0.0/16
202.78.56.8/26 = 202.78.0.0/16
202.65.145.56/27 = 202.65.0.0/16
202.23.123.156/28 = 202.23.0.0/16
首先判断是第几段的地址位发生变化，后面的可以忽略
汇总成这个段的地址的主网络号
其次使用上面简单的处理方法
202.0 0001100.0.0/16
202.0 1001110.0.0/16
202.0 1000001.0.0/16
202.0 0010111.0.0/16
汇总后 子网为8+1=9 或者16-7=9
202.00000000.0.0/9
转发地址不可达情况
(config-router)#area 15 nssa translate type7 suppress-fa
ABR的路由器只有存在转发地址的OSPF路由时候，才会进行7转5. 如果我的转发地址不可达，可在NSSA区ABR处把转发地址设置成0.0.0.0，默认是NSSA区域的ASBR的router-id。如果是0.0.0.0就是代表直接去找7转5的ABR，不用去找转发地址了
其他路由器收到这个external的lsa后，还要检查是否有到达转发地址的路由，这个去往转发地址的路由必须是通过OSPF学习到的！如果没有，不会参与计算
可用静态路由测试！！！！！！！！！！！
--------------------------------------------------------------------------------------
过滤LSA-3：
该命令用来在ABR上作summary lsa过滤，如果是骨干区域(非骨干区域)，就防止从其他非骨干区域(骨干区域)转换到该区域符合特定条件的summary lsa生成，过滤彻底。对应IOS命令为:
ip prefix-list bbb seq 1 deny 67.1.1.0/24
ip prefix-list bbb seq 2 permit 0.0.0.0/0 le 32
ABR(config-router)# area area-id filter-list prefix bbb in
如果是骨干区域(非骨干区域)，就阻止从该区域转换到其他非骨干区域(骨干区域)符合特定条件的summary lsa生成，过滤彻底。对应IOS命令为:
Router(config-router)# area area-id filter-list prefix AAA out
T**unnel下启用ospf：只是通告tunnel接口IP地址，分析两层IP头部**
：tunnel源是自己物理接口，目的是对方物理IP地址，用于封装外层IP头部，在使用一条默认只想对方物理IP地址，tunnel接口才能使用，再在tunnel接口运行动态路由协议
r1(config-if)#ip ospf hello-interval 10----hello发送时间
r1(config-if)#ip ospf dead-interval 40----hello死亡时间
r1(config-if)#ip ospf retransmit-interval 5-----LSU重传时间
r1(config-if)#ip ospf transmit-delay 1-------age每次加一秒
r1(config-if)#ip ospf flood-reduction-----抑制hello和30分钟刷新时间（有问题点，测试不成功）
r1(config-router)#timers pacing lsa-group 240-----30分钟刷新时间后延时240秒，等待更多的LSA延时，以便组成一个组更新，这样更加节省CPU资源，数据库大，这个时间可以相对应设置小一点
Timers spf delay interval ---- 用于修改SPF计算的延迟和间隔，默认时间为 5s/10s
(config-if)#ip ospf dead-interval minimal hello-multiplier 3----hello是333毫秒，1秒除以3得到的
修改接口网络类型！！！点对点
管理距离
r1(config-router)#distance 110-------全部都改
? OR
r1(config-router)#distance ospf intra-area 10 inter-area 10 external 150
r1(config-router)#distance 110 1.1.1.1 0.0.0.0---从1.1.1.1的router-id学到的路由修改AD值（如指向直连邻居，且直连不是ABR，ABR在这个直连后面。对于这个直连的直连接口网段不起作用，但对于对方换回接口可以，指向后面的ABR更完美）如果修改的是区域间路由，后面IP地址设置为ABR的RID，如果修改的是域内路由指向ABR的RID不会生效，因为域内路由不是ABR给我的，反之，如果修改遇见路由把IP地址设置为我域内一台路由器的RID也不会生效，因为区域间路由不是域内路由器通告给我的，而是ABR通告被我的！
r1(config)#access-list 99 per 3.3.3.0 0.0.0.255
r1(config-router)#distance 130 1.1.1.1 0.0.0.0 99---从router-id为1.1.1.1收到的3.3.3.0修改它的AD值130
r1(config-router)#distance ospf inter-area 10（区间） intra-area 20 （区域内）external 30----修改域内，区域间，及外部路由AD值
改变外部路由的metric值
r1(config-router)#default-metric 20
但是如果在重分发时候手工已经指定metric，手工指定的优先
注意：充分发直连接口进来不会生效！！！
修改参考带宽值
r1(config-router)#auto-cost reference-bandwidth 1000
一个路由器，有个G借口，有个F接口，但算出来的cost值都是1，不公平！全局生效。单位是M
这个1000M实际是替代10的8次方
1G==1 000 000 000
100M==1 000 000 00
Distribute-list过滤
r1(config)#access-list 1 deny 3.3.3.0 0.0.0.255
r1(config)#access-list 1 deny 4.4.4.0 0.0.0.255
r1(config)#access-list 1 permit any
r1(config)#router ospf 100
r1(config-router)#distribute-list 1 in
过滤acl匹配的路由进入我的路由表，但数据库中仍在，也会更新给别人
利用前缀列表来匹配路由条目：
ip prefix-list aaa seq 1 deny 192.168.100.0/24
ip prefix-list aaa seq 2 permit 0.0.0.0/0 le 32
router ospf 100
distribute-list prefix aaa in
exit
r1(config)#access-list 1 deny 3.3.3.0 0.0.0.255
r1(config)#access-list 1 deny 4.4.4.0 0.0.0.255
r1(config)#access-list 1 permit any
r1(config)#router ospf 100
rr1(config-router)#distribute-list 1 in f0/0
从f0/0接口进来的3.3.3.0和4.4.4.0的LSA计算路由的时候忽略；不能进入我的路由表，但要防止他能从其他接口进来
r1(config-router)#distribute-list 1 out
r1(config-router)#distribute-list 1 out f0/0
不会把自己的路由条目通告出去，但是ospf是通告lsa，所以这两条命令对于ospf无效
r1(config)#access-list 1 permit 4.4.4.0 0.0.0.255
r1(config)#router ospf 100
r1(config-router)#distribute-list 1 out rip
只允许RIP路由4.4.4.0能进入我的数据库，用于控制重分布进来的路由进入我的数据库(ASBR处配置）
ip prefix-list aaa seq 1 deny 34.1.1.0/24
ip prefix-list aaa seq 2 permit 0.0.0.0/0 le 32
r1(config)#router ospf 100
r1(config-router)#distribute-list prefix aaa in
从我的邻居收到ospf路由，能进我的数据库，但是34.1.1.0不能进入我的路由表
防止**LSA**向这个接口泛
仅支持**NBMA和多点接口下应用，相应接口下面必须配置(config-if)#ip os network point-to-multipoint**
(config-router)#nei 1.1.1.1 database-filter all out------基于邻居的
r1(config-if)#ip ospf database-filter all out------------基于接口的
在**NBMA接口定义邻居死亡后hello**的查询间隔
r1(config-router)#nei 1.1.1.1 poll-interval 90------NBMA下邻居死亡后仍然向这个接口发hello！！！点对多点接口不能使用这个
修改优先级
r1(config-router)#nei 1.1.1.1 priority 10----------对于1.1.1.1来说，我的优先级是10
r1(config-if)#ip ospf priority 10-------我这个接口优先级是10
最大router-id为DR
被动接口
(config-router)#passive-interface s0/1
这个接口不发送**ospf**报文
r1(config-router)#passive-interface default
r1(config-router)#no passive-interface s0/1
所有接口置为**passive，除了S0/1以外。R1连接100个分支，且只和R2建立ospf邻居情况，这100个分支又包含在network**语句中
重分发
重分发**BGP默认cost==1，其他协议====2**
重点讲解**route-map与重分发的配合问题，能match什么，set**什么？？
不能把默认静态充分发进OSPF
按需链路（收费链路）禁止**hello和30**分钟更新（需支持按虚链路，DC置位）但是需要在特定接口网络类型中：point-to-point
(config-if)#ip ospf demand-circuit
? donotage**标记**
(config-if)#ip ospf flood-reduction---**--发送带有donotage标记的LSA给邻居，让邻居age时间一直不变，相当于我这端每30分钟泛洪功能没有了，主要应用与大网中网络环境很稳定，每30**分钟发送更新没有必要的情况下
MTU**不匹配**
邻居起不来！！！！一直停留在**exstart状态，因为交换DBD数据库描述包，DBD描述包里有个MTU值，如果不匹配，我发的描述包对方不给确认，我会一直重发DBD描述包给对方，且状态一直停留在exstart**状态
r1(config-if)#ip ospf mtu-ignore------**忽略MTU检查（小的一方）**
或者修改接口下面的**MTU，但以太接口不能修改MTU**
? 记录ospf邻居状态
Router ospf 100
Log-adjacency-chenge [detail]-----------在控制台显示
Logging bufferad 4096 debugging-----------把ospf邻居变化存放到内存
Show logging------------------------------------查看日志
? 两个ABR选路问题**一个区域两个ABR，且COST相同，是走负载吗？不是，选择router-id大的转发**
OSPF与BGP协议联动
在存在备份链路的情况下，BGP在链路回切时，由于路由收敛速度滞后于OSPF路由收敛速度，从而造成流量丢失。
如图1所示，四台设备RouterA、RouterB、RouterC、RouterD之间运行OSPF协议，并建立IBGP连接。RouterC为RouterB的备份设备。当网络环境稳定时，BGP与OSPF在设备上是完全收敛的。
正常情况下，从RouterA到10.3.1.0/30的流量会途经RouterB。当RouterB发生故障后，流量切换到RouterC。RouterB故障恢复以后，流量回切到RouterB，此时会有流量丢失。
这是因为，在流量回切到RouterB的过程中，IGP收敛速度比BGP快，因此OSPF先收敛，BGP还没有完成收敛，导致RouterB不知如何到达10.3.1.0/30。
这样，当从RouterA去往10.3.1.0/30的流量被发送给RouterB时，由于没有必要的路由选择信息，这些流量就会被丢弃。
图1 OSPF与BGP联动 
R**outer OSPF**
M**ax-metric router-lsa on-starup 5分钟**
? OR
M**ax-metric router-lsa wait-for-bgp**
? 帧中继
1，Ospf neighbor 1.1.1.1与ip ospf network broadcast
三个点，在同一个网段，全互联PVC
由于帧中继的NBMA环境不支持广播，可使用neighbor命令指定发送hello报文或者直接把NBMA配置成广播环境也行，二选其一
全互联情况下，C选DR和路由器B选成BDR，其实在全互联情况下选DR和BDR没有什么用处，但是如果非全互联环境就不一样了
但是全互联有一个致命缺点：费用太昂贵
{(n)(N-2)}/2 就是5台设备需要10个PVC，10台设备需要45个PVC，11台设备在额外增加11个PVC，可以采用hub-and-spoke联网技术
? hub-and-spoke联网技术
路由器C被选成DR，因为他的router-id最大，所有路由器与DR邻接，B和C之间没有直连，所以B不能成为DR的邻接邻居！！解决：路由器A始终成为DR，B和C优先级设为0就可以了
修改完成，三台设备路由表互相收敛完成，测试：
A ping 2.2.2.2 !!!!!
Ping 3.3.3.3 !!!!!
B ping 1.1.1.1 !!!!
Ping 3.3.3.3 ..........
C ping 1.1.1.1 !!!!!
Ping 2.2.2.2 ........
原因：B和C认为他们有直连关系，因为他们在同一个子网，而且网络类型为广播，在B的路由表中：去往3.3.3.3下一条直接是C的S0接口，但是他们实际没有直连PVC，肯定不通，必须让A作为中转才能通，解决方案：增加一个MAP映射
Frame-relay map ip 10.1.1.3 110 broadcast-----------------B
Frame-relay map ip 10.1.1.2 120 broadcast-----------------C
ip ospf network point-to-multipoint
ip ospf network point-to-multipoint------点对多点网络，我一个接口连接多个点对点
HUB可以配置成point-to-multipoint,两个分支可以配置成point-TO-POINT网络类型，但是邻居关系出不来，因为hello时间不匹配，因为多点网络hello是30s，点对点式10s
Ip ospf hello-interval 30----B和C
? IP OSPF POINT-TO-POINT
所有路由器没有打ip ospf network point-to-point, A只能和C形成邻居关系，因为子接口是point-TO-point情况下网络类型也是point-TO-point，匹配的，但是B使用的物理接口，接口ospf网络类型任然是NO-BROADCAST非广播类型，A和B肯定无法建立邻居关系，解决：B处手工指定邻居或者在B接口使用ip ospf network point-to-point解决！！！！！
帧中继下子接口反向ARP自动失效！！！！！！！！！
原文地址：http://blog.51cto.com/14067977/2348835