Kampüs Ağında OSPF Tasarımı: Alan Yapısı ve Yakınsama Ayarları

Bina arası fiber ayakta, port yeşil, ama karşıdaki çekirdek cevap vermiyor; statik rota ise trafiği hâlâ o yola basıyor. Kampüs ağı tek çekirdek switch ve tek firewall’dan oluştuğu sürece birkaç statik rota yeter. L3 sınırı dağıtım katmanına indiğinde, ikinci bina veya ikinci firewall eklendiğinde statik rotalar hem yönetim yükü hem arıza riski olur. Aşağıda kampüs içinde OSPF’e geçiş kararını, alan tasarımını, Cisco IOS yapılandırma örneklerini, yakınsama ayarlarını ve komşuluk sorunlarının teşhis sırasını ele alıyoruz.

Statik routing ne zaman yetersiz kalır?

Statik rota yanlış değildir; küçük ve değişmeyen topolojide en öngörülebilir çözümdür. Şu durumlardan biri varsa dinamik yönlendirmeyi düşünün:

• Birden fazla yol var: İki çekirdek veya bina arası iki fiber güzergâhı olduğunda statik rota, bağlantı ayakta ama karşı cihaz erişilemezken bile o yolu kullanmaya devam edebilir.
• L3 cihaz sayısı artıyor: Her yeni VLAN için bütün L3 cihazlara elle rota eklemek hata ihtimalini büyütür.
• Yedek yola otomatik geçiş gerekiyor: Floating statik rota ve IP SLA ile yapılabilir, ama her hedef için ayrı izleme kurmak ölçeklenmez.
• Firewall ile çekirdek arasında rota bilgisi değişken: Firewall arkasındaki segmentler değiştiğinde rotaların kendiliğinden dağıtılması istenir.

OSPF açık standarttır (OSPFv2 için RFC 2328), kurumsal switch, router ve firewall’ların çoğu destekler ve kampüs içi (IGP) yönlendirmede en yaygın seçimdir. Uçtaki VLAN yönlendirmesinin nasıl kurulduğu inter-VLAN routing yazısında; burada bu cihazlar arasındaki rota dağıtımına odaklanıyoruz.

OSPF temel kavramları: alan, LSA, DR/BDR

OSPF bağlantı durumu (link-state) protokolüdür: her router komşularıyla bağlantılarını LSA (Link State Advertisement) olarak yayar, aynı alandaki bütün router’lar aynı veritabanını kurar ve en kısa yolu SPF algoritmasıyla kendisi hesaplar.

DR/BDR seçimi, aynı Ethernet segmentinde çok sayıda router olduğunda LSA trafiğini azaltmak için tasarlandı. Kampüste iki L3 switch arasındaki uplink’in ise yalnız iki ucu vardır; burada DR seçimi komşuluğun kurulmasını geciktirir ve gereksiz bir network LSA üretir. L3 uplink’lerde ağ tipini point-to-point yapın.

Kampüste tek alan mı, çok alan mı?

OSPF’te en çok aşırı mühendislik yapılan konu alan tasarımıdır. Pratik yaklaşım:

• Tek alan (yalnız area 0): Tek binalı veya birkaç binalı, L3 cihaz sayısı sınırlı kampüste ilk tercih. Yapılandırma basit, özet rotaya ihtiyaç yok, sorun giderme kolay.
• Çok alan: Her bina veya bölgenin dağıtım katmanı ABR olur; çekirdek ile dağıtım arası area 0’da, bina içi L3 erişim bağlantıları bina alanında kalır. Bina adres bloğu ABR’de tek prefiks olarak ilan edilir; bir binadaki bağlantı değişikliği diğer binalarda SPF hesabı tetiklemez.

Çok alanın ön koşulu adres planıdır: her binaya sınırları hizalı tek bir blok verilmiş olmalı (örneğin bina A için 10.1.0.0/16, bina B için 10.2.0.0/16). Bina VLAN’ları adres alanına dağınık yayılmışsa ABR’de tek prefiks ilan edilemez ve alanları bölmek beklenen faydayı vermez. Adres planı yoksa alan tasarımı da yoktur. Adresleme ve L3 sınırının yeri, çekirdek–dağıtım–erişim mimarisi yazısında anlatılan katman kararına bağlıdır.

Cisco IOS yapılandırma örneği: router-id, passive-interface, p2p

Aşağıdaki switch kurulumu örneğinde bir dağıtım switch’i çekirdeğe iki routed uplink ile bağlanıyor, kullanıcı VLAN’ları bu switch’te SVI olarak sonlanıyor:

interface Loopback0
 ip address 10.255.255.11 255.255.255.255
 ip ospf 1 area 0
!
interface TenGigabitEthernet1/1/1
 description CORE-SW1
 no switchport
 ip address 10.255.1.1 255.255.255.252
 ip ospf network point-to-point
 ip ospf 1 area 0
!
interface TenGigabitEthernet1/1/2
 description CORE-SW2
 no switchport
 ip address 10.255.1.5 255.255.255.252
 ip ospf network point-to-point
 ip ospf 1 area 0
!
interface Vlan10
 ip address 10.1.10.1 255.255.255.0
 ip ospf 1 area 0
!
router ospf 1
 router-id 10.255.255.11
 auto-cost reference-bandwidth 100000
 passive-interface default
 no passive-interface TenGigabitEthernet1/1/1
 no passive-interface TenGigabitEthernet1/1/2

Satır satır dikkat edilecekler:

• router-id açıkça yazılır. Yazılmazsa cihaz en yüksek loopback veya arayüz IP’sini seçer; sonradan eklenen bir arayüz, yeniden başlatmadan sonra router-id’yi değiştirebilir. Aynı router-id’ye sahip iki cihaz sürekli yeniden hesaplamaya ve tutarsız rota tablolarına yol açar. Sahada, kopyala-yapıştır ile çoğaltılmış konfigürasyonlarda bunu sık görürüz.
• passive-interface default kullanıcı VLAN’larında hello gönderilmesini engeller; ağ yine ilan edilir ama son kullanıcı segmentinde komşuluk kurulamaz. Güvenlik ve kaynak açısından doğru varsayılan budur.
• auto-cost reference-bandwidth: Varsayılan referans 100 Mbps olduğu için 1G, 10G ve 40G bağlantıların maliyeti aynı (1) hesaplanır; OSPF hızlı yolu yavaştan ayıramaz. Değer Mbps cinsindendir; örnekte 100 Gbps’e ayarlanmıştır. Bütün OSPF router’larında aynı olmalıdır.
• Varsayılan rota: İnternet çıkışındaki cihazda default-information originate ile yayılır. Komut, cihazın kendi rota tablosunda varsayılan rota varsa çalışır; always parametresi bu koşulu kaldırır ama çıkış yolu yokken trafiği kendine çekme riski taşır.

Yakınsama: zamanlayıcılar ve BFD

OSPF’in arızaya tepki süresi iki parçadır: arızanın algılanması ve yeni yolun hesaplanması.

Algılama

Doğrudan bağlı fiber koptuğunda arayüz down olur ve OSPF komşuluğu hemen düşürür. Sorun, bağlantının fiziksel olarak ayakta kalıp trafiğin geçmediği durumlardır (arada medya dönüştürücü, taşıyıcı hattı veya L2 switch). Bu durumda OSPF dead interval dolana kadar bekler; broadcast ve point-to-point ağ tiplerinde varsayılanlar hello 10 saniye, dead 40 saniyedir. Kırk saniye, uzun bir süredir. Hello/dead değerlerini düşürmek mümkün; daha ölçeklenebilir çözüm BFD’dir (RFC 5880): hafif ve hızlı bir canlılık protokolü olarak milisaniyeler düzeyinde algılama yapar ve OSPF’e bildirir.

interface TenGigabitEthernet1/1/1
 bfd interval 300 min_rx 300 multiplier 3
 ip ospf bfd

Örnek hesap: 300 ms aralık ve 3 çarpanı ile algılama süresi yaklaşık 900 ms’dir. Daha agresif değerlere inmeden önce platformun BFD’yi donanımda mı yazılımda mı işlediğine bakın; yazılımda işlenen BFD, CPU yoğunken yanlış arıza bildirimi üretebilir.

Hesaplama

SPF throttle zamanlayıcıları ilk değişiklikte ne kadar hızlı hesaplama yapılacağını ve art arda gelen değişikliklerde ne kadar bekleneceğini belirler (timers throttle spf). Varsayılanlar platform ve sürüme göre değiştiği için önce show ip ospf çıktısındaki mevcut değerleri görün, sonra bütün kampüste tutarlı bir profil belirleyin. LSA throttle komutlarının sözdizimi IOS ve IOS XE sürümleri arasında farklıdır.

Kimlik doğrulama ve özet rotalar

Kimlik doğrulama, yanlışlıkla veya kötü niyetle eklenen bir cihazın OSPF alanına rota enjekte etmesini engeller. İlk savunma passive-interface default’tur; omurga bağlantılarında kimlik doğrulamayı da açın. MD5 eski ama yaygın desteklenen yöntemdir; destekleyen sürümlerde HMAC-SHA (RFC 5709) tercih edin:

key chain OSPF-KC
 key 1
  key-string <GUCLU-ANAHTAR>
  cryptographic-algorithm hmac-sha-256
!
interface TenGigabitEthernet1/1/1
 ip ospf authentication key-chain OSPF-KC

! Yalnız MD5 destekleyen eski sürümlerde:
! interface TenGigabitEthernet1/1/1
!  ip ospf authentication message-digest
!  ip ospf message-digest-key 1 md5 <GUCLU-ANAHTAR>

Özet rota yalnız iki noktada üretilebilir: ABR’de alanlar arası rotalar için area 10 range 10.10.0.0 255.255.0.0, ASBR’de dış rotalar için summary-address. Alan içinde özet yapılamaz. Tek alanlı tasarımda özet rota ihtiyacı doğuyorsa bu, çok alanı değerlendirme zamanının geldiğine işarettir.

Komşuluk sorunlarının teşhisi

Komşuluk durumları Down, Init, 2-Way, ExStart, Exchange, Loading ve Full sırasıyla ilerler. Noktadan noktaya bağlantıda hedef her zaman Full’dür; çoklu erişimli segmentte DR olmayan router’lar arasında 2-Way normaldir. Komşuluğun takıldığı durum, arızanın nerede olduğunu çoğu zaman doğrudan söyler:

Konsolda bakılacak sıra:

show ip ospf neighbor
show ip ospf interface brief
show ip ospf interface TenGigabitEthernet1/1/1
show ip ospf database
show ip route ospf
show bfd neighbors
show logging | include OSPF

show ip ospf interface çıktısı ağ tipini, maliyeti, hello/dead değerlerini ve kimlik doğrulama durumunu tek ekranda verir. İki uçtaki çıktıyı yan yana koyun; uyumsuzlukların çoğu ilk bakışta görünür. Logda tekrarlayan %OSPF-5-ADJCHG mesajları kararsız bir komşuluğa işaret eder; bu durumda arayüz hata sayaçlarına ve BFD oturumuna da bakın. Debug komutlarını canlı çekirdekte yalnız filtrelenmiş ve kısa süreli kullanın.

Statik rotalardan OSPF’e geçişi bir değişiklik penceresinde yapın: önce OSPF’i paralel kurun, rotaların idari mesafesini doğrulayın, sonra statik rotaları kaldırın. Adım planı için ağ değişiklik penceresi yazısına bakabilirsiniz. Kampüs yönlendirme tasarımında destek için VLAN, routing ve ağ segmentasyonu hizmet sayfamıza göz atın.

Sık sorulan sorular

Kampüste OSPF yerine EIGRP kullanılabilir mi?

Bütün L3 cihazlar Cisco ise EIGRP de işlevsel bir seçenektir. Firewall’lar ve farklı üreticilerin switch’leri yönlendirme alanına katılacaksa, açık standart olduğu ve neredeyse tüm kurumsal cihazlarda desteklendiği için OSPF daha esnek seçimdir.

Komşuluk ExStart durumunda takılı kalıyor, neden?

En sık sebep iki arayüz arasındaki MTU uyumsuzluğudur. OSPF veritabanı açıklaması paketlerinde arayüz MTU’sunu karşılaştırır, farklıysa takas tamamlanmaz. İki taraftaki IP MTU değerini eşitleyin; ip ospf mtu-ignore yalnız geçici bir çözümdür.

BFD her bağlantıda açılmalı mı?

Doğrudan bağlı fiber uplink’lerde arıza zaten bağlantı kopması olarak hızlı algılanır. BFD asıl faydasını arada medya dönüştürücü, taşıyıcı hattı veya L2 cihaz bulunan, bağlantının fiziksel olarak ayakta kalıp trafiğin kesilebildiği yollarda sağlar. Agresif zamanlayıcılar CPU yükü ve yanlış alarm riski taşır; platform önerilerini esas alın.

Kampüs için kaç OSPF alanı gerekir?

Çoğu kampüs tek alanla, yani yalnız area 0 ile sorunsuz çalışır. Çok alan; bina veya bölge bazında özet rota ilan etmek, topoloji değişikliklerinin etkisini sınırlamak ya da çok sayıda L3 cihazı yönetmek gerektiğinde değerlendirilir.