Cisco ASA [Chapter 4.5] Dynamic Routing protocols

• Down: chưa ai nói chuyện
• Init: Khi router gửi gói tin Helo ra thì Router sẽ lên trạng thái Init
• 2-way: Router lên 2-way khi Router nhận được gói tin helo trả lời nhưng trong đó phải có Router-ID của nó thì mới lên được 2-way.
• Ví dụ:
  • Khi router 1 gửi gói tin helo (224.0.0.5 với router-id: 1.1.1.1 mục đich là để giởi thiệu với mọi người tôi là Router có tên 1.1.1.1).
  • Tương tự như vậy Router 2 cũng gửi gói tin helo ra với địa chỉ 224.0.0.5, Router-ID 2.2.2.2. Vậy khi R1 nhận được gói helo của R2 thì có lên được trạng thái 2-way ko?
  • Trả lời: không. Vì trong gói helo của R2 ko có Router-ID của R1 (R1 phải nhận lời chào từ R2 mà trong đó phải có tên của R1 mới lên 2-way được).
  • Để lên 2-way thì R1 phải nhận được gói từ R2 có địa chỉ 224.0.0.5 và nội dung xin chào R1(Router-ID 1.1.1.1) tôi là R2(Router-ID: 2.2.2.2)
• Establish: Đang trong quá trình bầu chọn DR, BDR. Việc bầu chọn dựa trên thông số:
  • Priority
  • Router ID: Router ID ko được bằng nhau. Nếu bằng nhau => thiết kế mạng sai.
  • Exchange: Các Router đang trang đổi gói DBD(database description).
  • OSPF hoạt động dựa theo cơ chế link-state nghĩa 1 Router phải tái hiện lại được bản đồ trong khu vực của nó. Nghĩa là bản đồ(database topology) 2 Router trong cùng 1 khu vực phải giống nhau. Để bản đồ 2 bên giống nhau thì 2 Router phải đưa bản đồ của chúng ra so sánh với nhau để đưa ra 1 bản đồ chung.
  • Gói tin DBD là 1 bản đồ tổng quản dùng để trao đổi bản đồ giữa các Router.
  • Ví dụ:
    • R1 có sanh sách lớp học A có các học viên a1,a2,a3… R2 có danh sách lớp học B có các học viên b1,b2,b3…
    • R1 gửi DBD có chứa bản đồ tổng quan qua cho R2. Nó là bản danh sách tổng quan của của lớp học A.
    • Khi R2 nhìn vào danh sách tổng quan thấy trong danh sách của nó ko có a1. Thì nói mới thực hiện gửi gói:
    • LSR(link state request): Để xin thông tin chi tiết a1 là ai…
    • LSU(link state update): Lúc này R1 sẽ trả lời lại thông tin chi tiết a1 là ai chi R2 thì gói tin trả lời này gọi là LSU. Trong LSU có chứa các gói
    • LSA(Link state Acknowledgement) để mô tả chi tiết các lớp mạng
    • Load: Đang trong giai đoạn xin và cho. LSR và LSU
    • Full: Khi cả bên đều nhận được nhưng gì mình muốn và cho những gì người ta muốn . Nếu bên nào nhận được thì sẽ gửi về gói ACK. Lúc này cả 2 Router lên trạng thái FULL.
      • Khi lên full thì bản đồ 2 Router phải giống nhau, 2 Router lên được trạng thái FULL thì người ta gọi đó là adjacency.
      • Còn nếu chỉ lên được 2-way thì người ta gọi là neighber.

• Khi có DR, BDR. Tất cả Router chỉ cần giống DR, còn những other Router bên giữa là các neighber của nhau.

​

• Khi R1(là Router DR) nói chuyện với R2 và R3 bằng trạng thái Full thì lúc này chúng lên adjacency.
• Riêng với R2 và R3 chỉ dừng lại ở trạng thái 2-way(Neighber) vì bản đồ của 2 Router này đều được trao đổi (so sanh chung) với R1 nên đương nhiên R2 và R3 sẽ có cùng bản đồ giống nhau. Vì vầy mà OSPF đã lược bỏ việc trao đổi bản đồ giữa R2 và R3 nên chúng chỉ dừng lại ở mức 2-way ( chỉ trao đổi gói helo với nhau)

(config)# key-chain abc

(config-keychain)#key 1

(config-keychain-key)#key-string 123456

(config-if)# ip authentication mode eigrp 1 md5

(config-if)# ip authentication key-chain eigrp 1 abc

• Nguyên liệu đầu vào của thuật toán Hash là số thứ tự key và key string.
• Key và key string giữa 2 Router phải giống nhau mới lên Neighber được.
• Nếu trong thùng có nhiều key mà ko định thời hạn sử dụng thì sẽ sử dụng key có số thứ tự nhỏ nhất.
• Tùy từng thời điểm mà sử dụng từng key khác nhau
• Khi lộ password muốn đổi password nhưng ko làm ảnh hưởng neighber.
  • 5/10/2014 passwold: 123. Bạn muốn thay đổi thành 1234, khi thay đổi password thì neighber sẽ bị down vì bạn sẽ ko kịp chỉnh password của cả 2 Router cùng 1 lúc.
  • Để giải quyết vấn đề trên bạn vào Router khai báo thêm 1 password mới 1234 và định thời gian cho nó là 6/10/2014 là được sử dụng. Tương tự bạn làm cho Router bên kia, khi đến thời điểm đó thì cả 2 Router sẽ tráo key 2 lên để sử dụng vì key 1 đã hết thời hạn.
  • Nhưng để làm được điều này các bạn đồng bộ thời gian bằng cách sử dụng NTP.

• Kích hoạt thực chứng năng kích hoạt bằng md5
  
  Mã:

  (config-if)#ip ospf authentication message-digest
  (config-if)#ip ospf authentication message-digest –key 1 md5 123

• 1: số thứ tự key
• 123: password key

• Bằng cách gõ thêm câu lệnh
  
  Mã:

  R1(config-if)#ip ospf authentication message-digest –key 1 md5 123456

• Lúc này trên Router nó sẽ thực hiện Hash 2 key cùng 1 lúc, nếu 1 trong 2 key trùng thì nó sẽ dùng
• Bây giờ các bạn qua Router bên kia các bạn gõ thêm câu lệnh như trên:
  
  Mã:

  R2(config-if)#ip ospf authentication message-digest –key 1 md5 123456

• Thì lúc này bên R1 sẽ Hash đồng thời 2 key và gửi qua cho R2. Thằng R2 so sánh thấy trùng cả 2 key thì nó sẽ loại bỏ key cũ đi (key:123).
• Cách xóa cũ lấy key mới trên được gọi là “youngest key” trong OSPF

1. [Chapter 4.1] Cơ chế hoạt động của DHCP Server
2. [Chapter 4.2] Static route in ASA Firewall
3. [Chapter 4.3] Dynamic Routing in Firewall ASA
4. [Chapter 4.4] Dynamic Routing Protocols
5. [Chapter 4.5] Dynamic Routing protocols

1. [Lab 4.1] Configure PPPoE on ASA 5525
2. [Lab 4.2] Configure redistribute on Cisco ASA

• Tổng hợp các bài lý thuyết Cisco ASA
• Tổng hợp các bài lab Config Cisco ASA

• Tổng hợp Lab AAA - Authentication Authorization Accounting

3. STUB EIGRP

• Successor: Nếu có 2 đường đi mà đường nào có giá trị FD(hay là metric) tốt hơn thì gọi là đường Successor
• Khi đường Successor chết. Trong giao thức dynamic routing thì khi có sự thay đổi về mạng thì các Router phải nói chuyện lại với nhau.
• Nhưng EIGRP cho rằng việc này gây mất thời gian, với EIGRP nếu successor chết thì dữ liệu lập tức đổ qua đường Feasible successor(đường phụ) đi liền. Để tăng tốc độ hội tụ.

• Đường 1: Đi từ R1 - > R2 - > R3 - > R6 có FD1= 3.
• Đường 2: Đi từ R1 - > R4 - > R5 - > R6 có FD2= 10.
• Vì FD1 có bandwith min nên đường 1 là successor. Giả sử đường 2 là Feasible Successor.
  • Giả sử R2 đứt thì dữ liệu sẽ tự động đổ xuống đường 2(đường dự bị). Dữ liệu lúc này sẽ từ R1 sẽ đi xuống R4.
  • Lúc này R4 sẽ làm gì? Nó sẽ gửi ngược về cho R1 vì từ R5 đến R6 sẽ đi qua R1 vì FD=4, còn qua R5 sẽ có FD=10.

• Muốn trở thành đường Feasible successor phải thỏa điều kiện:

• AD chính là FD của Neighber = 10, FD(successor)=3. Mà 10 < 3 vô lý nên đường 2 ko thể là đường Feasible Successor

• khi ko có đường Feasible Successor và nhờ vào gói tin Query và Reply để tìm ra được đường đi tới mạng A.

• Bỏ R4,R5,R6 vào vùng Stub để khi Core 2 ko query đến R4,R5,R6.
• Stub trong EIGRP là giới hạn nhận gói tin Query.

• Trong thực tế thì người ta cho đứt luôn nghĩa là R4 sẽ cho vào vùng Stub vì dữ liệu từ tầng Core mà đổ về R4 thì nó sẽ chịu ko nổi mà đường Core 2 – R4 là đường WAN nữa.

• Do Router sinh ra
• Dùng để vẽ topology trong area của mình
• Không đi xuyên qua ABR (Router 1 mặt nhìn về area 0, một mặt nhìn về area # 0). Nếu LSA type 1 mà xuyên qua ABR thì nó sẽ vẽ được hết toàn bộ các area, nên người ta mới ko cho nó đi xuyên qua ABR.

• Tương tự như LSA type 1, nhưng nó do router DR sinh ra.
• Chứa IP của DR.

• Do ABR sinh ra
• Phân phối lớp mạng qua lại giữa 2 area.
  • R1 ping được tới Lo 0 vì R2 đã phân phối lớp mạng qua lại. Nhưng R1 không biết lớp mạng Lo 0 Là của ai mà nó chỉ biết muốn ping tới Lo 0 thì phải gửi đến R2
  • R1 chỉ vẽ bản đồ trong khu vực của nó. Router trong cùng 1 khu vực thì nó mới vẽ bản đồ và nó biết chính xác lớp mạng đó của ai, có bao nhiêu Router để đến đó...
  • Còn khác khu vực thì nó phải thông qua LSA type 3(chỉ là 1 lớp mạng thuần túy) do ABR sinh ra
• Làm việc theo cơ chế Regenerate
  • R2 có lớp mạng A là do LSA type 1. R2 muốn tới lớp mạng A thì đi tìm Router-ID 1.1.1.1. R2 đủ sức biết Router-ID 1.1.1.1 nằm ở đâu có bao nhiêu lớp mạng… vì nó chung 1 vùng
  • R3 có thông lớp mạng A do LSA type 3 do Router-ID 2.2.2.2 sinh ra. R3 muốn tới lớp mạng A thì thông qua Router-ID 2.2.2.2
  • R4 cũng có thông tin lớp mạng A do LSA type 3 do Router 3.3.3.3 sinh ra. R4 muốn đi đến lớp mạng A thì đi tìm Router-ID 3.3.3.3

• Do ASBR (autonomous system boder Router: là Router có 1 mặt nhìn về OSPF, 1 mặt nhìn về phía định tuyến khác) sinh ra
• Làm theo cơ chế Flood
• Thay vì Regenerate thì ta Redistribute lớp A vào R2 luôn. Thì việc Redistribute là do LSA type 5 do ASBR sinh ra
  • R2 có lớp mạng A nhờ LSA type 5 do R1 sinh ra vì nó Redistribute từ ngoài vào.
  • R3 có lớp mạng A nhờ R2 chuyển tiếp LSA type 5 do R1 sinh ra. R3 muốn đi đến lớp mạng A thì phải đi tìm Router-ID 1.1.1.1. R4 có lớp mạng A nhờ R3 chuyển tiếp LSA type 5 do R1 sinh ra. R3 muốn đi đến lớp mạng A thì phải đi tìm Router-ID 1.1.1.1

• R2 đủ sức biết Router-ID 1.1.1.1 là ai vì chung area
• R3 có đủ sức biết Router-ID 1.1.1.1 là ai ko? Không, khi R3 tra trong database thì ko thấy tên Router-ID 1.1.1.1 là ai (theo cách làm việc OSPF thì nó sẽ tìm tên trước rồi từ tên mới tra ra IP phù hợp để gửi ra). Nên nó ko gửi ra được.

• Do ABR sinh ra
• Dùng để chỉ cách đi tìm ASBR.
  • R2 biết Router-ID 1.1.1.1 nằm ở đâu nên ko cần hướng dẫn
  • Trong lúc forward LSA type 5 cho R3 thì nó kèm thêm LSA type 4 để hướng dẫn R3 rằng: muốn đi tìm Router-ID 1.1.1.1 thì đi tìm Router-ID 2.2.2.
  • Tương tự, R3 đẩy tiếp LSA type 5 vào cho R4 và nó kèm them LSA type 4 để hướng dẫn: muốn đi tìm Router-ID 1.1.1.1 thì đi tìm Router-ID 3.3.3.3

• Muốn tìm lớp mạng A thì đi tìm Router-ID 1.1.1.1. Đầu tiên nó sẽ lookup LSA type 5.
• Mà muốn tìm Router-ID 1.1.1.1 thì phải để tìm Router-ID 2.2.2.2 là LSA type 4.
• Mà muốn gặp Router-ID 2.2.2.2 là phải gặp IP 10.0.0.2 là LSA type 1 vì chung area nên có next-hop.

• Stub: ko nhận type 5
• Totally stubby: ko nhận type 5&3
• NSSA: ko nhận type 5
• NSSA totally: ko nhận 5&3

• Stub là giới hạn thông tin LSA mà vùng đó muốn nhận.
• Stub áp trên area nên để cấu hình bạn phải cấu hình trên tất cả các Router thuộc vùng đó.

• Router-Client redistribute vào R3 sử dụng LSA type5, lúc này R3 đóng vai trò làm ABR.
• Mà R3 nằm trong vùng stub ko nhận LSA type 5.
• Lúc này, các bạn mới sử dụng đến NSSA. Lúc này R3 Redistribute sẽ sử dụng LSA 7 thay vì là LSA type 5 nên nó đi qua được vùng Stub
• Sau này R1 mới thực hiện convert LSA type 7 thành type 5.
  • Khác biệt giữa NSSA và stub thường là khi Redistribute thì NSSA sử dụng type 7 còn Stub dùng type 5.
  • Khi cấu hình nên chọn NSSA để dự phòng cho sau này.
• Các loại Stub 1,2,4 thì default-route tự động sẽ được thêm vào, riêng loại stub 3 bạn cần thêm câu lệnh “default-route information originate”.

• Area rang suppess : type 3
• Summary address suppess: type 5

• Xác định lớp mạng mà nó sở hữu. Bạn muốn phân phối lớp mạng A vào EIGRP mà bản thân Router ko có lớp mạng A(do filter,acl…) thì làm sao phân phối được.
• Kéo về nghĩa là kèo lớp mạng A vào trong EIGRP thì bạn phải đứng ở mode Router-EIGRP

• Khi Redistribute thì Metric phải ở lại vì quan điểm tính Metric của 2 giao thức khác nhau. Như kéo EIGRP có Metric=64 mà kéo vào trong RIP thì lỗi. Vì Rip Metric max=16
• Nên phải có Metric mới
  Bất kỳ ----- > RIP & EIGRP: default = Infinity
  Bất kỳ ----- > OSPF: default = 20

(config)#router ospf 1
(config-route)#redistribute eigrp 10 subnet

• Subnet: Nếu ko có subnet thì nó chỉ kéo các major-network.
• Nên có từ khóa subnet

Redistribute từ EIGRP sang RIP

(config)#router rip
(config-route)#redistribute eigrp 10 metric 5

• Phải có Metric vì bất kỳ --> Rip thì infinity

(config)#router eigrp 1
(config-route)#redistribute ospf 1 metric 100000 100 255 1 1500

• 100000: bandwith
• 100: delay
• 255: release
• 1: load
• 1500: MTU

5. AD(Administrative distance)

​

(config)#router eigrp 1(config-route)# distance eigrp X Y

• X: internal (default =90)
• Y: External ( default AD =170)

(config)#router ospf 1
(config-route)# distance ospf X Y Z

• X: intra area (default = 110)
• Y: inter area (default = 110)
• Z: External (default = 110)

• O: lớp mạng này học từ LSA type 1
• OIA: lớp mạng này học từ LSA type 3
• OE (External): lớp mạng này học từ LSA type 5
• ON (NSSA): lớp mạng này học từ LSA type 7

(config)#router eigrp 1
(config-route)# distance X Y Z

• X: số AD muốn chỉnh
• Y: địa chỉ next-hop của lớp mạng muốn chỉnh
• Z: là số ACL mô tả lớp mạng muốn chỉnh

(config)#router ospf 1
(config-route)# distance X t Z

• X, Z như EIGRP
• t: là Router-ID của Router sở hữu lớp mạng đó.

cuongpm nói:

Bài nãy cũng mất ảnh nhé Admin

Nhấn để mở rộng...