OSPF : configurer le routage dynamique

OSPF (Open Shortest Path First) est un protocole de routage dynamique : les routeurs d'un même réseau se découvrent, s'échangent la description de leurs liens et calculent chacun, avec l'algorithme de Dijkstra, le chemin le moins coûteux vers chaque réseau. Quand un lien tombe, ils le détectent et recalculent en quelques secondes. Ce chapitre situe OSPF parmi les protocoles de routage (RIP n'y apparaît que comme repère historique), explique ses mécanismes (voisins, base de données, coût, aires, DR), puis le configure en aire unique entre les trois sites de Sorbier.

Pourquoi un protocole de routage

Le chapitre 7 a montré les limites des routes statiques : chaque réseau ajouté se déclare à la main sur chaque équipement, et une panne chez l'opérateur ne fait pas basculer les routes de secours. Un protocole de routage dynamique automatise les deux :

• chaque routeur annonce les réseaux qu'il connaît ; les autres les apprennent ;
• les routeurs voisins s'envoient régulièrement des messages ; quand un voisin se tait, ses routes sont retirées et un autre chemin est calculé.

On distingue les protocoles intérieurs (IGP), utilisés à l'intérieur d'une organisation (OSPF, IS-IS, EIGRP, RIP), et le protocole extérieur d'Internet, BGP, qui relie les réseaux des opérateurs et des grandes entreprises entre eux.

RIP, le repère historique

RIP (Routing Information Protocol, version 2 depuis 1998) est le premier protocole qu'on apprenait, et il apparaît encore dans les vieux sujets. C'est un protocole à vecteur de distance : chaque routeur envoie toute sa table à ses voisins toutes les 30 secondes, et chacun retient, pour chaque réseau, le voisin qui l'annonce au plus petit nombre de sauts. Ses défauts l'ont rendu obsolète :

• la métrique ignore le débit : un chemin de deux sauts à 100 Mbit/s bat un chemin de trois sauts à 10 Gbit/s ;
• 15 sauts au maximum (16 signifie « injoignable ») ;
• une convergence lente : une panne met plusieurs minutes à se propager, avec des risques de boucles temporaires ;
• chaque routeur ne connaît que ce que lui disent ses voisins (« routage par la rumeur »), sans vue d'ensemble.

Sa configuration tenait en quatre lignes (router rip, version 2, no auto-summary, puis une ligne network par réseau connecté) ; sa distance administrative est 120. Retiens qu'il existe et pourquoi on ne le déploie plus : en entreprise, on utilise OSPF.

Le principe d'OSPF : chaque routeur a la carte

OSPF est un protocole à état de liens (link state). Au lieu de se transmettre des tables de routage toutes faites, les routeurs se transmettent la description de leurs liens : « je suis R-LYON, j'ai un lien de coût 10 vers R-STPRIEST, un lien de coût 100 vers R-MARSEILLE, et ces réseaux-là ». Chaque description s'appelle une LSA (Link State Advertisement). Toutes les LSA sont recopiées sur tous les routeurs de la zone, qui disposent ainsi de la même base de données (LSDB) : la carte complète du réseau.

Chaque routeur lance ensuite, depuis lui-même, l'algorithme du plus court chemin de Dijkstra (Shortest Path First, d'où le nom) sur cette carte, et en déduit, pour chaque réseau, le premier saut à emprunter : c'est sa table de routage. Le fonctionnement de l'algorithme est détaillé dans le chapitre Algorithme de Dijkstra du cours de mathématiques.

Quand un lien change d'état, les routeurs qui le touchent émettent une nouvelle LSA, aussitôt propagée ; chacun recalcule. La convergence se compte en secondes.

Les voisins et les messages hello

Les routeurs OSPF se découvrent en envoyant des messages hello sur leurs interfaces, à l'adresse multicast 224.0.0.5 (tous les routeurs OSPF), directement dans IP (protocole numéro 89). Par défaut, un hello part toutes les 10 secondes, et un voisin est déclaré mort après 40 secondes de silence (dead interval).

Deux routeurs deviennent voisins puis adjacents (ils synchronisent leurs bases) seulement s'ils sont d'accord sur plusieurs paramètres, inscrits dans le hello :

Une adjacence passe par plusieurs états : Down, Init (j'ai reçu ton hello), 2-Way (tu m'as vu aussi), ExStart et Exchange (on compare nos bases), Loading (je te demande ce qui me manque), enfin Full (bases synchronisées). Un voisin bloqué ailleurs qu'en Full (ou en 2-Way entre deux routeurs qui ne sont pas DR, voir plus bas) signale un problème.

L'identifiant de routeur

Chaque routeur OSPF a un router ID, un nombre de 32 bits écrit comme une adresse IPv4. Il est choisi, dans l'ordre :

1. par la commande router-id ;
2. sinon, la plus haute adresse IP d'une interface loopback ;
3. sinon, la plus haute adresse IP d'une interface active.

Fixe-le toujours à la main : un identifiant qui change au gré des interfaces rend la lecture des tables pénible, et deux routeurs avec le même identifiant ne fonctionnent pas. Chez Sorbier : SW-COEUR 1.1.1.1, R-LYON 2.2.2.2, R-MARSEILLE 3.3.3.3, R-STPRIEST 4.4.4.4.

Le coût

La métrique d'OSPF est le coût. Chaque interface a un coût, calculé par défaut à partir de son débit :

coût = bande passante de référence / bande passante de l'interface

La bande passante de référence vaut 100 Mbit/s par défaut, une valeur fixée à l'époque où 100 Mbit/s était un lien rapide. Résultat : un port à 100 Mbit/s, à 1 Gbit/s ou à 10 Gbit/s coûtent tous 1 (le coût ne descend pas sous 1), et OSPF ne fait plus la différence. On relève donc la référence, sur tous les routeurs :

R-LYON(config-router)# auto-cost reference-bandwidth 10000

Le coût d'un chemin est la somme des coûts des interfaces de sortie traversées, jusqu'au réseau de destination compris. On peut aussi fixer le coût d'une interface à la main, avec ip ospf cost. C'est indispensable chez Sorbier : les trois liens loués arrivent tous sur des ports à 1 Gbit/s, mais le contrat de l'opérateur limite le lien Lyon – Marseille à 100 Mbit/s. OSPF ne voit que le port physique : il faut lui dire que ce lien vaut 100, sur les deux routeurs qui le touchent.

Les aires et le DR

Les aires. Dans un grand réseau, recopier toutes les LSA sur tous les routeurs coûterait trop. OSPF découpe alors le réseau en aires (areas), reliées à une aire centrale obligatoire, l'aire 0 (backbone). Les routeurs à la frontière de deux aires (ABR) résument les routes d'une aire pour les autres. Pour un réseau de la taille de Sorbier, et pour le BTS, une aire unique, l'aire 0, suffit : c'est l'OSPF « mono-aire ».

Le DR et le BDR. Sur un réseau où plusieurs routeurs partagent un même segment Ethernet (quatre routeurs sur un même switch, par exemple), chacun devrait former une adjacence avec tous les autres. OSPF élit un routeur désigné (DR) et un routeur désigné de secours (BDR) : les autres ne synchronisent leur base qu'avec eux, à l'adresse 224.0.0.6. Le DR est le routeur de plus haute priorité OSPF sur cette interface (1 par défaut, 0 = jamais DR), puis, à égalité, de plus haut router ID. L'élection n'est pas préemptive : un routeur plus prioritaire qui arrive après ne prend pas la place.

Sur un lien qui ne relie que deux routeurs, un DR ne sert à rien et retarde l'adjacence. On déclare ces liens en point à point :

R-LYON(config-if)# ip ospf network point-to-point

Tous les liens entre les équipements de Sorbier sont des liens à deux : on les passe tous en point à point.

Configurer OSPF chez Sorbier

SW-COEUR annonce les réseaux du siège. Il ne doit parler OSPF qu'avec R-LYON : ses autres interfaces sont passives (leurs réseaux sont annoncés, mais aucun hello n'y est envoyé, ce qui évite qu'un appareil d'un VLAN de postes se fasse passer pour un routeur). Il a la route par défaut vers le pare-feu et l'annonce aux autres :

SW-COEUR(config)# router ospf 1
SW-COEUR(config-router)# router-id 1.1.1.1
SW-COEUR(config-router)# auto-cost reference-bandwidth 10000
SW-COEUR(config-router)# network 192.168.10.0 0.0.0.255 area 0
SW-COEUR(config-router)# passive-interface default
SW-COEUR(config-router)# no passive-interface GigabitEthernet1/0/48
SW-COEUR(config-router)# default-information originate
SW-COEUR(config-router)# exit
SW-COEUR(config)# interface GigabitEthernet1/0/48
SW-COEUR(config-if)# ip ospf network point-to-point

R-LYON :

R-LYON(config)# router ospf 1
R-LYON(config-router)# router-id 2.2.2.2
R-LYON(config-router)# auto-cost reference-bandwidth 10000
R-LYON(config-router)# network 192.168.10.196 0.0.0.3 area 0
R-LYON(config-router)# network 172.16.0.0 0.0.0.3 area 0
R-LYON(config-router)# network 172.16.0.4 0.0.0.3 area 0
R-LYON(config-router)# exit
R-LYON(config)# interface GigabitEthernet0/0/0
R-LYON(config-if)# ip ospf network point-to-point
R-LYON(config-if)# interface GigabitEthernet0/0/1
R-LYON(config-if)# ip ospf network point-to-point
R-LYON(config-if)# ip ospf cost 100
R-LYON(config-if)# interface GigabitEthernet0/0/2
R-LYON(config-if)# ip ospf network point-to-point

R-MARSEILLE annonce les quatre réseaux de l'agence (un seul network les couvre tous), mais pas son accès Internet, et n'envoie de hello que vers Lyon et Saint-Priest :

R-MARSEILLE(config)# router ospf 1
R-MARSEILLE(config-router)# router-id 3.3.3.3
R-MARSEILLE(config-router)# auto-cost reference-bandwidth 10000
R-MARSEILLE(config-router)# network 172.16.0.0 0.0.0.3 area 0
R-MARSEILLE(config-router)# network 172.16.0.8 0.0.0.3 area 0
R-MARSEILLE(config-router)# network 10.30.0.0 0.0.1.255 area 0
R-MARSEILLE(config-router)# passive-interface default
R-MARSEILLE(config-router)# no passive-interface GigabitEthernet0/0/0
R-MARSEILLE(config-router)# no passive-interface GigabitEthernet0/0/2
R-MARSEILLE(config-router)# exit
R-MARSEILLE(config)# interface GigabitEthernet0/0/0
R-MARSEILLE(config-if)# ip ospf network point-to-point
R-MARSEILLE(config-if)# ip ospf cost 100
R-MARSEILLE(config-if)# interface GigabitEthernet0/0/2
R-MARSEILLE(config-if)# ip ospf network point-to-point

R-STPRIEST :

R-STPRIEST(config)# router ospf 1
R-STPRIEST(config-router)# router-id 4.4.4.4
R-STPRIEST(config-router)# auto-cost reference-bandwidth 10000
R-STPRIEST(config-router)# network 172.16.0.4 0.0.0.3 area 0
R-STPRIEST(config-router)# network 172.16.0.8 0.0.0.3 area 0
R-STPRIEST(config-router)# network 10.40.0.0 0.0.0.255 area 0
R-STPRIEST(config-router)# passive-interface default
R-STPRIEST(config-router)# no passive-interface GigabitEthernet0/0/0
R-STPRIEST(config-router)# no passive-interface GigabitEthernet0/0/1
R-STPRIEST(config-router)# exit
R-STPRIEST(config)# interface GigabitEthernet0/0/0
R-STPRIEST(config-if)# ip ospf network point-to-point
R-STPRIEST(config-if)# interface GigabitEthernet0/0/1
R-STPRIEST(config-if)# ip ospf network point-to-point

Quelques explications :

• router ospf 1 : le 1 est un numéro de processus, local au routeur ; il n'a pas à être identique sur les voisins (le numéro d'aire, lui, doit l'être).
• network <adresse> <masque générique> area 0 : toute interface dont l'adresse tombe dans cette plage participe à OSPF dans l'aire 0, et son réseau est annoncé. Le masque générique (wildcard) est l'inverse du masque : 0.0.0.3 pour un /30, 0.0.1.255 pour un /23 (le masque inversé). La commande ne dit pas « annonce ce réseau », elle dit « active OSPF sur les interfaces qui sont dans cette plage ».
• passive-interface default puis no passive-interface : toutes les interfaces sont passives, sauf celles qui mènent à un autre routeur OSPF.
• default-information originate : SW-COEUR, qui a une route par défaut statique vers le pare-feu, l'annonce dans OSPF. Les autres la reçoivent sous la forme O*E2 0.0.0.0/0.

Retirer les routes statiques. Une fois OSPF en place, les routes statiques internes deviennent inutiles, et gênantes : avec leur distance administrative de 1, elles l'emporteraient sur les routes OSPF (110) et figeraient le chemin. On les supprime avec no ip route …. Restent seulement :

• sur SW-COEUR, la route par défaut vers le pare-feu (que default-information originate annonce), la route vers la DMZ par le pare-feu et la route 192.168.10.0/24 vers Null0 ;
• sur R-MARSEILLE, la route par défaut vers son accès Internet local. Elle a une distance administrative de 1 et l'emporte sur la route par défaut apprise par OSPF : Marseille continue de sortir par chez lui, et seul son trafic interne passe par les liens loués.

Vérifier OSPF

Les voisins. C'est la première commande à taper :

R-LYON# show ip ospf neighbor

Neighbor ID     Pri   State           Dead Time   Address         Interface
1.1.1.1           0   FULL/  -        00:00:36    192.168.10.197  GigabitEthernet0/0/0
3.3.3.3           0   FULL/  -        00:00:33    172.16.0.2      GigabitEthernet0/0/1
4.4.4.4           0   FULL/  -        00:00:38    172.16.0.6      GigabitEthernet0/0/2

Trois voisins, tous en FULL. Le tiret à la place de DR ou BDR confirme les liens en point à point. Le Dead Time décompte : il repart de 40 secondes à chaque hello reçu.

Les routes apprises. Le résultat du calcul de R-LYON :

R-LYON# show ip route ospf

Gateway of last resort is 192.168.10.197 to network 0.0.0.0

O*E2  0.0.0.0/0 [110/1] via 192.168.10.197, 00:12:41, GigabitEthernet0/0/0
      10.0.0.0/8 is variably subnetted, 5 subnets, 4 masks
O        10.30.0.0/24 [110/30] via 172.16.0.6, 00:05:02, GigabitEthernet0/0/2
O        10.30.1.0/25 [110/30] via 172.16.0.6, 00:05:02, GigabitEthernet0/0/2
O        10.30.1.128/27 [110/30] via 172.16.0.6, 00:05:02, GigabitEthernet0/0/2
O        10.30.1.160/28 [110/30] via 172.16.0.6, 00:05:02, GigabitEthernet0/0/2
O        10.40.0.0/24 [110/20] via 172.16.0.6, 00:05:02, GigabitEthernet0/0/2
      172.16.0.0/16 is variably subnetted, 5 subnets, 2 masks
O        172.16.0.8/30 [110/20] via 172.16.0.6, 00:05:02, GigabitEthernet0/0/2
      192.168.10.0/24 is variably subnetted, 9 subnets, 5 masks
O        192.168.10.0/26 [110/20] via 192.168.10.197, 00:12:41, GigabitEthernet0/0/0
O        192.168.10.64/26 [110/20] via 192.168.10.197, 00:12:41, GigabitEthernet0/0/0
O        192.168.10.128/27 [110/20] via 192.168.10.197, 00:12:41, GigabitEthernet0/0/0
O        192.168.10.160/28 [110/20] via 192.168.10.197, 00:12:41, GigabitEthernet0/0/0
O        192.168.10.176/28 [110/20] via 192.168.10.197, 00:12:41, GigabitEthernet0/0/0
O        192.168.10.192/30 [110/20] via 192.168.10.197, 00:12:41, GigabitEthernet0/0/0
O        192.168.10.208/28 [110/20] via 192.168.10.197, 00:12:41, GigabitEthernet0/0/0

Lis les chiffres entre crochets : [110/30] = distance administrative d'OSPF, coût total 30. Pour aller au réseau des postes de Marseille, R-LYON passe par Saint-Priest (172.16.0.6) : coût 10 (vers Saint-Priest) + 10 (de Saint-Priest vers Marseille) + 10 (la sous-interface des postes) = 30, contre 100 + 10 = 110 par le lien direct à 100 Mbit/s. C'est exactement ce qu'on voulait : le lien lent ne sert plus que de secours. Les réseaux du siège coûtent 10 (vers SW-COEUR) + 10 (la SVI) = 20.

Le calcul après une panne. Le lien Lyon – Saint-Priest tombe. R-LYON et R-STPRIEST perdent leur adjacence (immédiatement si le port tombe, au bout de 40 secondes sinon), émettent de nouvelles LSA, et chacun recalcule. Sur R-LYON, Marseille passe par le lien direct (100 + 10 = 110, via 172.16.0.2) et Saint-Priest par Marseille (100 + 10 + 10 = 120). Aucune intervention humaine.

Les autres commandes utiles :

Sécuriser OSPF

Un appareil qui parle OSPF sur un réseau où les hello sont acceptés peut annoncer de fausses routes et détourner le trafic. Trois protections :

• les interfaces passives sur tous les réseaux d'utilisateurs : aucun hello n'y est envoyé ni accepté ;

• l'authentification des voisins : chaque message porte une empreinte calculée avec une clé partagée, et un message sans la bonne empreinte est rejeté. La forme la plus répandue, qui fonctionne aussi dans Packet Tracer, utilise MD5 :

  textCopier le code de la section Sécuriser OSPF

  R-LYON(config)# interface GigabitEthernet0/0/1
  R-LYON(config-if)# ip ospf authentication message-digest
  R-LYON(config-if)# ip ospf message-digest-key 1 md5 Cle-OSPF-2026
  

  La même clé est à configurer en face. Les IOS récents proposent aussi une authentification par HMAC-SHA, plus robuste, à travers des trousseaux de clés (key chains) ;

• le filtrage : les liens loués ne transportent que le trafic de Sorbier, et aucune interface tournée vers Internet n'est dans OSPF (c'est le cas de Gi0/0/3 de R-MARSEILLE, hors de toute plage network).

Dépanner une adjacence

Exercices

router ospf 1
 network 10.1.1.0 0.0.0.7 area 0
 network 10.1.2.0 0.0.0.255 area 0
 passive-interface GigabitEthernet0/0/2

R-LYON : GigabitEthernet0/0/2 is up, line protocol is up
  Internet Address 172.16.0.5/30, Area 0
  Network Type POINT_TO_POINT, Cost: 10
  Timer intervals configured, Hello 10, Dead 40

R-STPRIEST : GigabitEthernet0/0/0 is up, line protocol is up
  Internet Address 172.16.0.6/30, Area 1
  Network Type POINT_TO_POINT, Cost: 10
  Timer intervals configured, Hello 10, Dead 40