pepulis Nemůžu říct, že jsem v pozici že bych v tom mohl moc radit. Moje OSPF jede snad v nejjednoduší instalaci. Jen jsem upozorňoval na možná rizika. Taky jsem s tím dlouho zápasil. Jako backup ospf nikde nejedu, jenom si propaguju routy mezi routery v serverovně. Zbytek pak jede na VLANách a RSTP čímž mám backup vyřešený.
Ale ve zkratce jak to třeba může vypadat taková jednoduchá filtrace.
Tímhle říkám, že na vstupu příjmu defaultní routu a jakoukoliv routu z rozsahu 172.16.x.y. Co není povoleno je tedy zakázáno, takže kdyby mi náhodou nějakej router posílal třeba routu 192.168.1.0/24 tak se mi v routovací tabulce sice ukáže, ale bude červená se značkou "F" jakože je filtered. Tedy nebude platná.
/routing filter rule
add chain=OSPF-IN disabled=no rule="if ( dst==0.0.0.0/0 ) { accept }"
add chain=OSPF-IN disabled=no rule="if ( dst in 172.16.0.0/16 ) { accept }"
Tímhle říkám, že tento router bude posílat ven pouze routy z adresního rozsahu 10.0.0.0/8 a 172.16.0.0/16. Takže kdybych si tam pak přidal třeba někam 192.168.5.0/24 kvůli něčemu tak se to nebude distribuovat do zbytku sítě. V případě, že bych chtěl propagovat i defaultní routu tak musím přidat pravidlo s dst==0.0.0.0/0 a accept. Případně přidat další parametry co by byly potřeba, třeba set distance +1 a podobně.
/routing filter rule
add chain=OSPF-OUT disabled=no rule="if ( dst in 10.0.0.0/8 ) { accept }"
add chain=OSPF-OUT disabled=no rule="if ( dst in 172.16.0.0/16 ) { accept }"
Takže záleží co teda všechno potřebuješ povolit. Nevim proč ale nějak nejsem zvyklej povolovat všechno. Jenom radím lepší to zkoušet někde na stole nebo aspoň v safe modu 🙂 nebo v nějakym labu, třeba eve-ng
