Routing in Netzwerken: Router und Routingtabellen

Ein Router verbindet verschiedene IP-Netzwerke und leitet Pakete anhand der Ziel-IP-Adresse weiter. Ein Ethernet-Switch leitet Frames innerhalb eines Netzwerks anhand der MAC-Adresse weiter. Die Steuerungsebene des Routers baut Routen auf; seine Datenebene nutzt diese Routen zur Weiterleitung von Paketen.

Lokale Zustellung oder Gateway

Ein Host wendet seine eigene Subnetzmaske an, um zu entscheiden, ob ein Ziel lokal ist. Von 192.168.1.10/24 aus ist 192.168.1.50 lokal: Der Sender ermittelt mit ARP die MAC-Adresse dieses Hosts. Der Server 192.168.2.20 ist entfernt, daher nutzt der Sender sein Gateway 192.168.1.1. Der Frame ist an die MAC-Adresse des Gateways adressiert, während das darin enthaltene Paket an die IP-Adresse des Servers adressiert ist.

ARP-Anfragen bleiben innerhalb ihrer Broadcast-Domäne. Router leiten diese Broadcasts der Schicht 2 nicht zwischen Subnetzen weiter. Ein Layer-3-Switch kann dieselbe Routingaufgabe übernehmen und dabei für jedes VLAN eine virtuelle Switch-Schnittstelle (SVI) als Gateway nutzen.

Der Weg über zwei Router

PC A hat 192.168.1.10/24. R1 hat die LAN-Adresse 192.168.1.1 und ist über 10.0.12.0/30 mit R2 verbunden: R1 hat .1, R2 hat .2. Die LAN-Schnittstelle von R2 hat 192.168.2.1/24; im selben LAN befindet sich der Server 192.168.2.20.

1. PC A sendet einen Frame an die LAN-MAC-Adresse von R1. Sein Paket hat die Quelle 192.168.1.10, das Ziel 192.168.2.20 und die TTL 64.
2. R1 prüft und entfernt den eingehenden Frame. Es liest das Ziel, verringert die TTL auf 63 und findet eine Route zu 192.168.2.0/24 über 10.0.12.2.
3. R1 ermittelt mit ARP die MAC-Adresse von R2 auf dieser Ethernet-Verbindung. Es erstellt einen neuen Frame mit der MAC-Adresse seiner Ausgangsschnittstelle als Quelle und der MAC-Adresse von R2 als Ziel.
4. R2 entfernt diesen Frame und verringert die TTL auf 62. Das Zielnetzwerk ist direkt verbunden, daher löst R2 die MAC-Adresse des Servers auf und sendet den letzten Frame.

Die MAC-Adressen gehören zur jeweiligen Verbindung und ändern sich an jedem Router. Die IP-Endpunkte bleiben gleich, sofern NAT sie nicht übersetzt. Auf einer seriellen Punkt-zu-Punkt-Verbindung verwendet der ausgehende Frame die Kapselung dieser Verbindung und benötigt keine MAC-Adressauflösung. IPv6 verwendet auf Ethernet Neighbor Discovery und nennt seinen Zähler Hop Limit.

Wenn die Zustellung stoppt

Ein Router verwirft ein Paket, dessen TTL abläuft, und sendet ICMP Time Exceeded. Das begrenzt die Lebensdauer eines Pakets, das in einer Routingschleife festhängt. Die Änderung der TTL macht außerdem eine aktualisierte IPv4-Header-Prüfsumme nötig; IPv6 hat keine Header-Prüfsumme.

Passt keine installierte Route und gibt es auch keine Standardroute, verwirft der Router das Paket und meldet normalerweise ICMP Destination Unreachable. Er führt für ein unbekanntes IP-Ziel kein Flooding über seine Schnittstellen durch.

Eine Antwort legt ihren eigenen Weg zurück. R1 benötigt eine Route zum Server-LAN und R2 eine Rückroute zum PC-LAN. Eine korrekte Route für den Hinweg allein reicht nicht aus, damit ein Ping gelingt.

Traceroute sendet Testpakete mit steigenden TTL-Werten. Die Antworten zeigen die Hops, die geantwortet haben. Eine Zeile mit * bedeutet, dass keine Antwort eingetroffen ist. Ursache können Filterung, eine fehlende Route oder ein Router sein, der nicht antwortet. Untersuche die Tabellen um den letzten antwortenden Hop und prüfe dann den Pfad weiter.

Eine Routingtabelle verknüpft ein Zielpräfix mit einer Weiterleitungsanweisung. Ein Präfix kombiniert eine Netzadresse mit ihrer Länge, etwa 10.1.3.0/24. Die Anweisung nennt einen Next-Hop-Router, eine Ausgangsschnittstelle oder beides. Eine IPv4-Hostroute mit /32 oder eine IPv6-Hostroute mit /128 umfasst eine Adresse.

Die Quelle erkennen

Direkt verbundene Routen erscheinen, wenn eine adressierte Schnittstelle den Status up/up hat, und verschwinden, wenn sie ausfällt. Statische Routen stammen aus der Konfiguration. Dynamische Routen stammen von Routingprotokollen. Cisco installiert außerdem für jede Schnittstellenadresse eine lokale Hostroute, die für den Router selbst bestimmten Datenverkehr erkennt.

Die Legende in show ip route erklärt die auf diesem Gerät vorhandenen Kennungen.

Die gesamte Zeile entschlüsseln

O 10.1.3.0/24 [110/20] via 10.0.12.2, 00:12:44, GigabitEthernet0/1

Lies sie von links nach rechts. OSPF hat die Route zum Ziel 10.1.3.0/24 geliefert. Die Klammern zeigen die administrative Distanz 110, gefolgt von der Metrik 20. Der Next Hop ist 10.0.12.2, das Alter der Route ist 00:12:44 und die Ausgangsschnittstelle ist GigabitEthernet0/1.

Die administrative Distanz bewertet die Routenquelle. Ein niedrigerer Wert wird bevorzugt, wenn verschiedene Quellen dasselbe Präfix anbieten. Der Wert 255 verhindert die Installation. Die Metrik bewertet den Pfad nach einem Protokoll: OSPF-Kosten, RIP-Hop-Anzahl oder das Maß von EIGRP aus Bandbreite und Verzögerung. Ein Vergleich von OSPF-Kosten von 20 mit einer RIP-Metrik von 2 sagt nichts darüber aus, welche Quelle gewinnt; die Einheiten unterscheiden sich.

Bei direkt verbundenen und lokalen Einträgen fehlen die Klammern:

C 10.0.12.0/30 is directly connected, GigabitEthernet0/1
L 10.0.12.1/32 is directly connected, GigabitEthernet0/1

Der erste Eintrag erreicht das Subnetz der Verbindung. Der zweite bezeichnet die eigene Adresse von R1. Die direkt verbundene Route hat AD 0.

Überschriften und Standardroute richtig lesen

Eine Zeile wie 10.0.0.0/8 is variably subnetted, 5 subnets, 3 masks gruppiert die Einträge darunter. Sie gibt keinen Next Hop an und ist keine Route, die das gesamte /8 abdeckt.

Das Gateway of Last Resort stammt aus der installierten Standardroute. Beispielsweise sendet S* 0.0.0.0/0 [1/0] via 203.0.113.1 ansonsten nicht zugeordneten Datenverkehr an 203.0.113.1. Ist das Gateway of Last Resort nicht gesetzt, sind Ziele außerhalb aller aufgeführten Präfixe über diesen Router nicht erreichbar.

Die Tabelle gezielt abfragen

Nutze show ip route für die vollständige Tabelle, show ip route static oder show ip route ospf für eine Quelle und show ip route 10.1.3.5 für die Abfrage eines Ziels. Eine konfigurierte Route kann als Ersatzroute warten oder nicht nutzbar sein; die Konfiguration allein belegt nicht, dass sie installiert ist.

show ipv6 route folgt denselben Grundsätzen. Eine lokale Route hat die Länge /128 und ein OSPFv3-Next-Hop erscheint häufig als FE80::2 zusammen mit seiner Ausgangsschnittstelle. Die Schnittstelle bezeichnet die Verbindung, auf der sich dieser linklokale Nachbar befindet.

Die Routenauswahl hat zwei Phasen: Zuerst wird die Routingtabelle aufgebaut, dann wird sie für ein Paket abgefragt. Wenn du diese Phasen auseinanderhältst, vermeidest du den häufigsten Fehler: eine weit gefasste statische Route einer spezifischeren OSPF-Route vorzuziehen, weil die statische Route eine niedrigere administrative Distanz hat.

Die Tabelle aufbauen

Ein Routingprotokoll nutzt seine Metrik, um seinen bevorzugten Pfad zu einem Präfix zu finden. Bieten mehrere Quellen genau dasselbe Präfix an, entscheidet die administrative Distanz, welche Quelle die installierte Route liefert. Für diesen Vergleich müssen sowohl Netzadresse als auch Präfixlänge übereinstimmen.

Für 172.16.5.0/24 wird eine nutzbare statische Route mit AD 1 gegenüber OSPF mit AD 110 und RIP mit AD 120 bevorzugt. Wird diese statische Route unbrauchbar und entfernt, kann OSPF die Route liefern. Metriken verschiedener Protokolle lassen sich nicht vergleichen, als nutzten sie dieselbe Skala.

Dies sind Cisco-Standardwerte. Andere Hersteller können für die Routenpräferenz andere Werte verwenden.

Eine Route für ein Paket wählen

Bei der längsten Präfixübereinstimmung wird die installierte Route mit dem längsten Präfix verwendet, das das Ziel enthält. Prüfe vor dem Vergleich der Längen, ob die Adresse zum jeweiligen Präfix gehört. Ein langes Präfix, das einen anderen Bereich abdeckt, ist nicht relevant.

Angenommen, die Tabelle enthält:

Für 10.1.1.200 passen alle vier Präfixe, daher sendet die /25-Route das Paket an C. Für 10.1.1.100 fällt die /25-Route bei der Zugehörigkeitsprüfung aus: Ihr Bereich beginnt bei .128. Die /24-Route gewinnt und sendet dieses Paket an B. Die Adresse 10.1.2.5 nutzt A und 192.0.2.10 nutzt D.

An der Grenze nutzt .127 B und .128 C. Es ist hilfreich, die erste und letzte Adresse eines Präfixes aufzuschreiben, wenn die Maske durch ein Oktett verläuft.

Betrachte nun eine installierte statische Route 10.0.0.0/8 und eine installierte OSPF-Route 10.1.1.0/24. Sie decken unterschiedliche Präfixe ab und können daher nebeneinander bestehen. Datenverkehr für 10.1.1.5 nutzt die OSPF-Route /24; Datenverkehr für 10.9.9.9 nutzt die statische Route /8.

Gleichwertige Pfade und IPv6

Equal-Cost Multipath (ECMP) ermöglicht es, den Datenverkehr auf mehrere Pfade mit gleicher Metrik zum selben Präfix aufzuteilen, innerhalb der konfigurierten Pfadgrenze des Geräts. Vier Pfade sind ein verbreiteter Cisco-IOS-Standardwert; die unterstützte Grenze und der Standardwert unterscheiden sich je nach Plattform und Software. Unterschiedliche Kosten bilden bei OSPF kein ECMP.

IPv6 nutzt dieselbe Suchregel. Bei 2001:db8:acad::/48, 2001:db8:acad:10::/64 und ::/0 nutzt das Ziel 2001:db8:acad:10::25 die /64-Route. Das Ziel 2001:db8:acad:20::1 nutzt die /48-Route; 2001:db8:ffff::1 nutzt die Standardroute. Die Tabellenreihenfolge ersetzt nie den Präfixvergleich.

Ein neuer Router lässt sich über seine Konsole konfigurieren. Sobald Adressierung und sicherer Fernzugriff eingerichtet sind, ermöglicht SSH den Netzwerkzugriff auf die CLI. Die Schnittstellennamen von Cisco IOS und IOS XE unterscheiden sich je nach Modell; GigabitEthernet0/0/0 ist eine gängige Form.

Zwischen Befehlsmodi wechseln

exit geht eine Ebene zurück; end kehrt zum privilegierten EXEC-Modus zurück. Gib ? ein, um die verfügbaren Optionen zu sehen. Abkürzungen wie conf t funktionieren, solange sie eindeutig sind. Im Konfigurationsmodus führt do show ip interface brief eine EXEC-Prüfung aus, ohne den Modus zu verlassen.

Zu den globalen Befehlen gehören hostname R1, enable secret gefolgt von einem gewählten Passwort, no ip domain-lookup zum Verhindern von Namensabfragen nach falsch eingegebenen Befehlen und banner motd zur Anzeige einer Warnung bei der Anmeldung.

Eine Schnittstelle adressieren und aktivieren

configure terminal
ipv6 unicast-routing
interface GigabitEthernet0/0/0
 description Link to R2
 ip address 10.0.12.1 255.255.255.252
 ipv6 address 2001:db8:acad:12::1/64
 ipv6 address fe80::1 link-local
 no shutdown
end

IPv4 verwendet eine Maske in Dezimalpunktschreibweise, IPv6 eine Präfixlänge. no shutdown hebt die administrative Abschaltung auf. ipv6 unicast-routing aktiviert die IPv6-Weiterleitung und Router Advertisements: Die bloße Zuweisung von IPv6-Adressen aktiviert diese Funktionen nicht. Eine IPv6-fähige Schnittstelle hat eine linklokale Adresse; weist du sie ausdrücklich zu, ist der Nachbar leichter zu erkennen.

Den Schnittstellenstatus lesen

show ip interface brief listet die Adresse und zwei Statusspalten auf. up/up bedeutet, dass beide Schichten funktionieren. Bei administratively down/down ist no shutdown nötig. down/down deutet auf einen physischen Fehler hin, etwa ein nicht angeschlossenes Kabel oder ein ausgeschaltetes Nachbargerät. up/down weist auf ein Problem der Sicherungsschicht hin, etwa eine nicht übereinstimmende serielle Kapselung. Nutze show interfaces für Einzelheiten und show ipv6 interface brief für IPv6-Adressen und Status.

Vermeide überlappende Subnetze auf zwei gerouteten Schnittstellen. Prüfe auch, ob eine Adresse auf dem falschen Port liegt oder die Masken an den Enden einer Verbindung nicht übereinstimmen.

Über eine Verbindung zwischen VLANs routen

Router-on-a-Stick nutzt einen Switch-Trunk und eine Router-Subschnittstelle pro VLAN:

interface GigabitEthernet0/0/1
 no shutdown
interface GigabitEthernet0/0/1.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0/1.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0

Der Switch-Port muss VLAN 10 und 20 als 802.1Q-Trunk übertragen. Hosts nutzen die Subschnittstellenadresse ihres jeweiligen VLANs als Gateway. Die dot1Q-Nummer wählt das VLAN aus; die dazu passende Endung der Subschnittstelle ist eine Namenskonvention.

Änderungen wirken sich sofort auf die laufende Konfiguration im RAM aus. copy running-config startup-config speichert sie in der Startkonfiguration, die beim Hochfahren geladen wird. Prüfe mit show-Befehlen, Ping und Traceroute, bevor du die gewünschten funktionierenden Einstellungen speicherst.

Eine statische Route ist die Anweisung eines Administrators, wie ein Präfix erreicht wird. Ihre standardmäßige administrative Distanz bei Cisco beträgt 1. Sie benötigt keine Routingaktualisierungen und eignet sich für ein kleines Netzwerk oder ein Netzwerk mit einem Ausgang. Die Pflege vieler einzelner Routen wird schwieriger, wenn sich Pfade ändern; eine statische Route lernt keinen Ersatzpfad von selbst.

Beide Richtungen konfigurieren

R1 erreicht R2 über 10.0.12.0/30, mit .1 auf R1 und .2 auf R2. Das LAN von R1 ist 192.168.1.0/24; das LAN von R2 ist 192.168.2.0/24.

Auf R1:

ip route 192.168.2.0 255.255.255.0 10.0.12.2

Auf R2:

ip route 192.168.1.0 255.255.255.0 10.0.12.1

Die erste Adresse muss die Netzadresse des Ziels sein. Die letzte Adresse ist der Nachbar als Next Hop, nicht die lokale Schnittstelle. Die zweite Route ist für Antworten an das erste LAN unverzichtbar.

Die Routenform wählen

Eine Next-Hop-Route nennt den Nachbarn. Der Router führt eine rekursive Routenauflösung durch, um die Schnittstelle zu finden, über die er diesen Nachbarn erreicht. Eine direkt zugeordnete Route nennt nur eine Ausgangsschnittstelle. Das funktioniert gut auf einer seriellen Punkt-zu-Punkt-Verbindung, auf der es nur einen möglichen Nachbarn gibt.

Auf Ethernet kann eine Route, die nur die Schnittstelle angibt, dazu führen, dass der Router für jedes Ziel separat ARP nutzt und auf Proxy-ARP des Nachbarn angewiesen ist. Eine vollständig spezifizierte Route nennt sowohl die Schnittstelle als auch den Next Hop:

ip route 192.168.2.0 255.255.255.0 GigabitEthernet0/0/0 10.0.12.2

Der Next Hop muss zu einem nutzbaren ausgehenden Pfad aufgelöst werden können. Eine Route, die eine Schnittstelle angibt, hängt außerdem davon ab, dass diese aktiv ist. Prüfe die Installation mit show ip route static; ein installierter Eintrag kann S 192.168.2.0/24 [1/0] via 10.0.12.2 lauten.

Den Zielbereich ändern

Eine Hostroute wählt mit der Maske 255.255.255.255 eine IPv4-Adresse aus:

ip route 192.168.2.20 255.255.255.255 10.0.12.2

Sie gewinnt gegenüber passenden Netzwerkrouten, weil /32 spezifischer ist. Eine Summenroute bewirkt das Gegenteil: Sie deckt mehrere Netzwerke ab. 10.2.0.0 255.255.252.0 steht für 10.2.0.0/22 und deckt die vier /24-Netzwerke von 10.2.0.0 bis 10.2.3.0 ab. Ihre letzte Adresse ist 10.2.3.255; 10.2.4.0/24 liegt außerhalb. Fasse nur Bereiche zusammen, die über den vorgesehenen Next Hop erreicht werden.

IPv6 konfigurieren und Fehler prüfen

Aktiviere ipv6 unicast-routing und verwende dann eine Präfixlänge:

ipv6 route 2001:db8:acad:2::/64 2001:db8:acad:12::2

Gib bei einem linklokalen Next Hop seine Verbindung an:

ipv6 route 2001:db8:acad:2::/64 GigabitEthernet0/0/0 fe80::2

Eine linklokale Adresse kann auf anderen Schnittstellen erneut vorkommen, daher reicht die Adresse allein nicht aus. IPv6-Hostrouten verwenden /128. Überprüfe das Ergebnis mit show ipv6 route static.

Fehlt eine Route, prüfe die Schreibweise und Erreichbarkeit des Next Hops, die Ausgangsschnittstelle und ob eine bevorzugte Quelle für dieses Präfix vorliegt. Ist sie vorhanden, aber der Ping schlägt fehl, prüfe den abgedeckten Zielbereich, die Rückroute und Filter. Eine Ethernet-Schnittstelle kann über einen Switch aktiv bleiben, selbst wenn der entfernte Router ausfällt. Die statische Route bleibt dann möglicherweise installiert; Object Tracking mit Testpaketen kann einen Ausfall jenseits der lokalen Verbindung erkennen und die Route entfernen.

Eine Standardroute deckt jedes Ziel ab: 0.0.0.0/0 bei IPv4 und ::/0 bei IPv6. Ihre Präfixlänge ist null, daher gewinnt jede passende Netzwerk- oder Hostroute gegen sie. Eine Standardroute ist am Rand eines Netzwerks nützlich, wo viele entfernte Ziele denselben Next Hop nutzen.

Einem Stub-Netz einen Ausgang geben

Ein Stub-Netz hat nur einen Pfad zu anderen Netzwerken. Ein Bürorouter kann direkt verbundene Routen für seine LANs behalten und diese Standardrouten in Richtung Anbieter verwenden:

ip route 0.0.0.0 0.0.0.0 203.0.113.1
ipv6 route ::/0 2001:db8:ffff::1

Der Next Hop muss erreichbar sein. Neue entfernte Netzwerke können denselben Ausgang nutzen, ohne einen eigenen statischen Eintrag zu benötigen. Die installierte Standardroute liefert das Gateway of Last Resort.

Das Standardgateway eines Hosts und die Standardroute eines Routers wirken an unterschiedlichen Stellen des Pfads. Der Host sendet Datenverkehr für Ziele außerhalb seines Subnetzes an sein lokales Gateway. Dieser Router fragt seine eigene Tabelle ab und nutzt seine Standardroute nur, wenn keine spezifischere Route passt. Auf Cisco-Geräten dient ip default-gateway Geräten, die nicht routen, etwa einem Layer-2-Switch, der Verwaltungsdatenverkehr sendet. Ein Router, der routet, verwendet ip route für seine Standardroute.

Eine Ersatzroute aus der Tabelle heraushalten

Eine fließende statische Route hat eine höhere AD als die primäre Route zum selben Präfix. Betrachte zwei nutzbare Anbieterverbindungen:

ip route 0.0.0.0 0.0.0.0 203.0.113.1
ip route 0.0.0.0 0.0.0.0 198.51.100.1 5

Die erste nutzt die Standard-AD 1, die zweite AD 5. Solange beide nutzbar sind, wird nur die erste installiert. Sobald die primäre Route entfernt wird, wird die Ersatzroute zur besten verfügbaren Standardroute. Kehrt die primäre Route zurück, sorgt ihre niedrigere AD dafür, dass sie wieder verwendet wird.

Um die OSPF-Route 10.5.0.0/16 mit der Cisco-AD 110 abzusichern, verwende eine höhere Distanz:

ip route 10.5.0.0 255.255.0.0 172.16.9.2 130

Ließe man 130 weg, erhielte die statische Route AD 1 und würde zur primären Route. Achte auch auf ein identisches Präfix. Eine Ersatzroute /24 innerhalb einer primären /16-Route würde für ihren kleineren Bereich aufgrund der längsten Präfixübereinstimmung sofort gewinnen, selbst bei höherer AD.

Das Ereignis für die Ausfallumschaltung testen

Eine Ersatzroute wartet darauf, dass die primäre Route aus der Tabelle verschwindet. Das Abschalten einer direkt verbundenen primären Verbindung kann sie entfernen. Ein entfernter Ausfall hinter einem Ethernet-Switch kann dagegen dazu führen, dass die lokale Schnittstelle und die Route aktiv bleiben. Eine Überwachung kann eine primäre statische Route nach einem fehlgeschlagenen Testpaket entfernen. Ein dynamisches Protokoll kann eine gelernte primäre Route zurückziehen, nachdem es den ausgefallenen Nachbarn oder Pfad erkannt hat.

show running-config | include ip route zeigt konfigurierte Routen einschließlich einer wartenden Ersatzroute. show ip route zeigt, was installiert ist. Halte in einer Testumgebung die ursprüngliche Tabelle fest, schalte die primäre Schnittstelle ab und prüfe die Ersatzroute und den Traceroute-Pfad. Aktiviere die Schnittstelle wieder und bestätige, dass die primäre Route zurückkehrt.

Ein Randrouter kann seine installierte Standardroute mit default-information originate über OSPF verteilen. Interne Router können ihren Ausgang dann dynamisch lernen, statt jeweils eine von Hand eingegebene Standardroute zu benötigen.

Ein dynamisches Routingprotokoll ermöglicht Routern, entfernte Präfixe zu lernen und automatisch auf Änderungen zu reagieren. Router tauschen Informationen aus, wählen Pfade und aktualisieren ihre Wahl nach einem Ausfall. Das benötigt Bandbreite, Prozessorleistung und Speicher; der Routinginformationsaustausch muss vor falschen Informationen geschützt werden.

Eine einheitliche Sicht wiederherstellen

Nach einem Verbindungsausfall können Router vorübergehend unterschiedliche Ansichten über erreichbare Pfade haben. Einige haben die neue Information erhalten, während andere noch die alten Routen nutzen. Konvergenz ist die Rückkehr zu einer einheitlichen, korrekten Sicht auf das Netzwerk. Die Konvergenzzeit misst die dafür benötigte Zeit; währenddessen können Pakete verworfen werden oder kurzlebige Schleifen entstehen.

Angenommen, eine Zweigstelle hat zwei geroutete Verbindungen. Eine statische Route nennt weiterhin ihren gewählten Next Hop, bis sich ihre Nutzbarkeit ändert oder eine Überwachung sie entfernt. Ein dynamisches Protokoll kann einen verlorenen Nachbarn erkennen, die Änderung verteilen und einen anderen verfügbaren Pfad berechnen. Es benötigt dennoch Zeit, um den Ausfall zu erkennen und die Aktualisierung zu verbreiten.

Innerhalb oder zwischen autonomen Systemen

Ein autonomes System (AS) ist eine Gruppe von Netzwerken unter einer gemeinsamen Verwaltung und Routingrichtlinie. Autonome Systeme im Internet haben AS-Nummern. Ein Interior Gateway Protocol (IGP) wie RIP, EIGRP, OSPF oder IS-IS routet innerhalb eines AS. BGP ist das Exterior Gateway Protocol, das im Internet zwischen autonomen Systemen verwendet wird. Es gibt auch internes BGP; es überträgt BGP-Informationen innerhalb eines AS.

Die ausgetauschten Informationen vergleichen

Ein Distanzvektorrouter verlässt sich auf die Meldungen seiner Nachbarn. RIP ist das einfache Beispiel; EIGRP ist ein fortgeschrittener Distanzvektoransatz mit Funktionen für eine schnellere Wiederherstellung.

Link-State-Router verteilen Advertisements per Flooding in einem Bereich. Jeder baut eine Link-State-Datenbank (LSDB) auf und führt den Shortest-Path-First-Algorithmus (SPF), auch Dijkstra-Algorithmus genannt, von seiner eigenen Position aus. Die gemeinsamen Topologieinformationen ermöglichen jedem Router, Pfade unabhängig zu berechnen. Das Speichern und Verarbeiten dieser Karte benötigt mehr Ressourcen als ein einfaches Distanzvektorprotokoll.

BGP hängt einer Route einen AS-Pfad an. Erkennt ein Router sein eigenes AS in diesem Pfad, kann er die Route zurückweisen und so eine Schleife verhindern. Weitere Attribute ermöglichen Entscheidungen anhand der Routingrichtlinie jedes Netzwerks.

Die Metrik verändert die Bedeutung von „beste“

RIP wählt weniger Router-Hops. Es kann einen Hop mit 10 Mbps gegenüber zwei Hops mit 1 Gbps bevorzugen. OSPF nutzt die Summe bandbreitenabhängiger Kosten; mit einer Referenzbandbreite, die diese Geschwindigkeiten unterscheidet, kann es den schnelleren Pfad mit zwei Hops bevorzugen. EIGRP kombiniert normalerweise die niedrigste Bandbreite des Pfads mit der Gesamtverzögerung. BGP nutzt Richtlinien und Attribute, sodass sein bevorzugter Pfad nicht der schnellste sein muss.

Aktuelle Protokollversionen übermitteln Präfixlängen und unterstützen VLSM und Routenaggregation; dies ist klassenloses Routing. RIPv1 ließ Masken weg und war klassenbasiert. IPv6 nutzt RIPng, EIGRP für IPv6, OSPFv3, IS-IS-Erweiterungen oder Multiprotocol BGP, wobei der grundlegende Ansatz des jeweiligen Protokolls erhalten bleibt.

Wähle ein Routingprotokoll passend zur Größe, Ausstattung und Routingaufgabe des Netzwerks. Die administrative Distanz eines Protokolls ist eine lokale Präferenz für seine Routen und keine Bewertung seiner Konvergenzgeschwindigkeit.

Die wichtigsten Möglichkeiten vergleichen

RIP erlaubt höchstens 15 Hops; 16 bedeutet unerreichbar. RIPv2 sendet alle 30 Sekunden regelmäßige Routingaktualisierungen an 224.0.0.9. Das niedrige Maximum und die langsame Konvergenz machen es zu einer seltenen Wahl für neue Unternehmensnetzwerke. Die Hop-Grenze zählt Router-Hops, nicht an ein LAN angeschlossene Hosts.

EIGRP wurde von Cisco entwickelt und 2016 im informativen RFC 7868 veröffentlicht. Es sendet nach Änderungen Teilaktualisierungen. Eine geeignete schleifenfreie Ersatzroute heißt Feasible Successor; ist eine vorhanden, kann der Router sie schnell nutzen. Es ist nicht gewährleistet, dass ein Netzwerk für jedes Ziel eine solche Ersatzroute hat.

OSPF ist ein offener Standard. OSPFv2 überträgt IPv4-Routen, während OSPFv3 IPv6 unterstützt. Bereiche gliedern größere OSPF-Netzwerke um den Backbone-Bereich 0. Auch IS-IS ist ein Link-State-Protokoll nach offenem Standard und in Anbieternetzwerken verbreitet. Es überträgt seine Protokollnachrichten direkt über die Sicherungsschicht, während OSPF IP verwendet.

BGP-Peers verwenden TCP-Port 179. Externes BGP verbindet unterschiedliche autonome Systeme; internes BGP verteilt BGP-Routen innerhalb eines AS. BGP kann einen durch Richtlinien bevorzugten Pfad wählen, selbst wenn ein anderer Pfad weniger Hops oder eine höhere Verbindungsgeschwindigkeit hat. Seine Schleifenprüfung anhand des AS-Pfads und seine Richtliniensteuerung eignen sich für den Austausch zwischen getrennt verwalteten Netzwerken.

Nachbarerkennung und Aktualisierungen

OSPF, EIGRP und IS-IS nutzen Nachbarbeziehungen, während BGP Peerings bildet. Anhand fehlender Hello- oder Keepalive-Nachrichten können diese Protokolle verlorene Nachbarn erkennen. RIP bildet keine Adjazenz: Es empfängt regelmäßige Aktualisierungen und entfernt Routen nach Ablauf einer Frist, wenn sie nicht mehr aktualisiert werden. Eine fehlende RIP-Route erfordert daher andere Prüfungen als ein OSPF-Nachbar, der beim Datenbankaustausch stecken bleibt.

Den Ansatz an die Aufgabe anpassen

Ein kleines Büro mit einer Anbieterverbindung kann eine statische Standardroute verwenden: Es gibt keinen alternativen internen Pfad zu entdecken. Ein Unternehmen mit mehreren Standorten und Geräten verschiedener Hersteller kann OSPF verwenden. Ein Unternehmen mit ausschließlich Cisco-Geräten kann OSPF oder EIGRP wählen. Eine Organisation mit eigenem öffentlichem Adressraum und zwei Anbietern kann BGP zu diesen Anbietern und ein IGP für interne Routen verwenden.

Halte die Präferenz für eine Quelle von der Funktionsweise des Protokolls auseinander. Die Cisco-AD 90 von EIGRP schlägt die OSPF-AD 110 nur, wenn beide dasselbe Präfix anbieten. Dieser Vergleich sagt nichts darüber aus, welches Protokoll den schnelleren physischen Pfad hat oder welche Architektur für die gesamte Organisation am besten ist.

OSPF ist ein Link-State-IGP nach offenem Standard. OSPFv2 überträgt IPv4-Routen; OSPFv3 unterstützt IPv6. Es läuft über IP-Protokoll 89. Die IPv4-Multicast-Adresse 224.0.0.5 erreicht alle OSPF-Router und 224.0.0.6 die designierten Router; IPv6 nutzt FF02::5 und FF02::6.

Routen schrittweise aufbauen

Ein Router entdeckt Nachbarn mit Hello-Nachrichten, synchronisiert seine Link-State-Datenbank, führt SPF aus und installiert die besten Routen. Die Nachbartabelle hält fest, wer kommuniziert; die LSDB erfasst die Topologie; die Routingtabelle enthält die gewählten Pfade. Router im selben Bereich teilen nach der Synchronisierung die Sicht auf dessen Topologie, berechnen die Routen aber von ihrem eigenen Standort aus.

Bei OSPF mit einem einzigen Bereich liegen die teilnehmenden Schnittstellen in einem Bereich. Für ein Netzwerk mit einem einzigen Bereich kann jede gültige Bereichs-ID verwendet werden. Bereich 0 ist üblich, weil er später als Backbone einer Architektur mit mehreren Bereichen dienen kann.

Die Router-ID ist eine eindeutige 32-Bit-Kennung in der Schreibweise einer IPv4-Adresse. Cisco wählt zuerst eine ausdrücklich konfigurierte ID, dann die höchste aktive Loopback-IPv4-Adresse und danach die höchste aktive IPv4-Adresse einer physischen Schnittstelle. Die Auswahl erfolgt beim Start des Prozesses. Eine spätere Änderung der ID erfordert einen Prozess- oder Routerneustart; clear ip ospf process unterbricht Adjazenzen.

Eine vollständige Adjazenz erreichen

Die Standardwerte für Broadcast und Punkt-zu-Punkt sind ein Hello alle 10 Sekunden und ein Dead-Intervall von 40 Sekunden ohne Hello. Nachbarn benötigen übereinstimmende Bereiche, Hello-/Dead-Intervalle und Authentifizierungseinstellungen, eindeutige IDs und teilnehmende, nicht passive Schnittstellen. In OSPFv2-Broadcast-Netzwerken benötigen beide Enden außerdem dasselbe Subnetz und dieselbe Maske. Bei Punkt-zu-Punkt-OSPFv2 wird die Maske während der Hello-Verarbeitung nicht geprüft. OSPFv3 nutzt linklokale Adressen und vergleicht keine globalen Präfixe.

Die Hauptzustände folgen aufeinander: Down → Init → 2-Way → ExStart → Exchange → Loading → Full. Bei Init ist ein Hello eingetroffen. Bei 2-Way sehen sich beide Router in den Hello-Nachrichten des jeweils anderen. ExStart und Exchange beginnen die Datenbanksynchronisierung; Loading beschafft fehlende Advertisements; Full bedeutet, dass die Synchronisierung abgeschlossen ist. Ein MTU-Konflikt lässt ExStart oder Exchange häufig stillstehen. Zwei DROTHERs auf einem Broadcast-Segment bleiben normalerweise in 2-Way.

Die fünf Pakettypen sind Hello, Database Description, Link-State Request, Link-State Update und Link-State Acknowledgment. Jeder Router erzeugt ein Router-LSA vom Typ 1; ein designierter Router erzeugt für sein gemeinsam genutztes Segment ein Netzwerk-LSA vom Typ 2.

Die vollständigen Pfadkosten berechnen

Die Schnittstellenkosten ergeben sich aus der Referenzbandbreite geteilt durch die Schnittstellenbandbreite und betragen mindestens 1. Verwende dieselben Einheiten. Die Cisco-Standardreferenz von 100 Mbps ergibt bei 10 Mbps Kosten von 10, während 100 Mbps, 1 Gbps und 10 Gbps jeweils Kosten von 1 ergeben.

R1 kann das 1-Gbps-Ziel-LAN von R3 über zwei 1-Gbps-Transitverbindungen oder über eine direkte 100-Mbps-Verbindung erreichen. Mit der Standardreferenz:

OSPF wählt die direkte Verbindung. Setze auf allen Routern auto-cost reference-bandwidth 10000, um eine Referenz von 10 Gbps zu nutzen. Jede 1-Gbps-Schnittstelle hat nun Kosten von 10; die 100-Mbps-Schnittstelle hat Kosten von 100:

Nun gewinnt der Pfad mit zwei Hops. Beziehe in beide Summen die letzte Schnittstelle zum Ziel-LAN ein.

Der Netzwerktyp von OSPF steuert, wie Nachbarn eine Verbindung organisieren. Ethernet verwendet standardmäßig Broadcast-Mehrfachzugriff, selbst wenn nur zwei Router angeschlossen sind. Ein Punkt-zu-Punkt-Netzwerk hat zwei Router und keine Wahl eines designierten Routers.

Warum DR und BDR wählen?

Würde auf einem gemeinsam genutzten Segment jeder Router mit jedem anderen eine vollständige Adjazenz bilden, stiege die Anzahl der Adjazenzen schnell:

Bei fünf Routern wären das 10 Paare, bei zehn 45. Ein designierter Router (DR) und ein designierter Ersatzrouter (BDR) verringern den Austauschaufwand. Jeder DROTHER bildet mit diesen beiden eine vollständige Adjazenz, während DROTHER-Paare in 2-Way bleiben. Fünf Router benötigen dann sieben vollständige Adjazenzen und zehn benötigen 17.

DROTHERs senden Aktualisierungen an 224.0.0.6 und erreichen damit DR und BDR. Der DR verteilt Aktualisierungen per Flooding an alle Router unter 224.0.0.5 und erzeugt das Netzwerk-LSA vom Typ 2 für das Segment. Der BDR steht bereit, um bei Ausfall des DR zu übernehmen. Diese Rollen organisieren den Austausch der OSPF-Datenbanken; sie zwingen Benutzerpakete nicht, über den DR zu laufen.

Eine Wahl durchgehen

Bei einer neuen Wahl gewinnt die höchste OSPF-Schnittstellenpriorität. Prioritäten reichen von 0 bis 255 und haben den Standardwert 1. Bei Gleichstand gewinnt die höchste Router-ID; Priorität 0 schließt einen Router sowohl als DR als auch als BDR aus. Setze die Priorität pro Schnittstelle mit ip ospf priority.

Vier Router starten gemeinsam:

R3 wird aufgrund seiner Priorität DR. R2 wird BDR, weil seine ID beim Gleichstand mit R1 gewinnt. R1 und R4 sind DROTHERs. Die hohe ID von R4 kann die Priorität 0 nicht ausgleichen.

Die Wahl erfolgt ohne Präemption. Tritt ein Router mit Priorität 200 hinzu, nachdem diese Rollen feststehen, ersetzt er keinen der bisherigen Rolleninhaber. Fällt R3 aus, wird R2 vom BDR zum DR befördert und ein neuer BDR gewählt. In der ursprünglichen Gruppe aus vier Routern ist dieser neue BDR R1.

Rollen gehören zu Segmenten und gelten nicht überall für einen Router. R1 kann auf einer Schnittstelle DR und auf einer anderen DROTHER sein.

Status lesen und Netzwerktyp wählen

show ip ospf neighbor listet Nachbar-IDs, Prioritäten, Zustände, Rollen, Dead-Zeiten, Adressen und Schnittstellen auf. FULL/DR bezeichnet einen designierten Router mit vollständiger Adjazenz. 2WAY/DROTHER kann eine funktionsfähige Beziehung zwischen zwei DROTHERs anzeigen. show ip ospf interface GigabitEthernet0/0/0 gibt Netzwerktyp, DR/BDR, Zeitgeber und Kosten an.

Konfiguriere auf einer Ethernet-Verbindung, die von genau zwei Routern genutzt wird, an beiden Enden ip ospf network point-to-point, um die Wahl und ihre standardmäßige Wartezeit von 40 Sekunden zu überspringen. Diese Verbindung benötigt auch kein Netzwerk-LSA vom Typ 2. Stimme den Typ an beiden Enden ab: Bei einem Konflikt zwischen Broadcast und Punkt-zu-Punkt kann Full erreicht werden, ohne dass erwartete Routen installiert werden, weil die Router die Verbindung unterschiedlich beschreiben.

Starte OSPFv2 mit einer lokalen Prozess-ID, setze eine eindeutige Router-ID und aktiviere OSPF auf den vorgesehenen Schnittstellen. Prozess-IDs sind lokale Kennungen: R1 kann Prozess 1 und sein Nachbar Prozess 7 verwenden.

OSPFv2 auf einer Transitverbindung und im LAN aktivieren

R1 hat 10.0.12.1/30 in Richtung R2 auf G0/0/0 und 192.168.1.1/24 auf G0/0/1 im Benutzer-LAN:

router ospf 1
 router-id 1.1.1.1
 network 10.0.12.0 0.0.0.3 area 0
 network 192.168.1.0 0.0.0.255 area 0
 passive-interface GigabitEthernet0/0/1

Eine network-Anweisung wählt lokale Schnittstellen anhand ihrer Adressen aus. Ihre Wildcard-Maske enthält Nullen, wo Bits übereinstimmen müssen, und Einsen, wo Bits variieren dürfen. Subtrahiere eine zusammenhängende Subnetzmaske von 255.255.255.255: Die /30-Maske 255.255.255.252 ergibt die Wildcard-Maske 0.0.0.3; /24 ergibt 0.0.0.255. Die Wildcard-Maske 0.0.0.0 wählt genau eine Schnittstellenadresse aus.

Alternativ kannst du ip ospf 1 area 0 unter jeder teilnehmenden Schnittstelle eintragen. Das LAN bleibt durch den Prozessbefehl passiv. Eine passive Schnittstelle kündigt ihr Subnetz an, sendet aber keine Hello-Nachrichten. Das eignet sich für LANs mit Hosts; setzt du die Transitschnittstelle auf passiv, verhindert das die Bildung ihrer Nachbarschaft.

Eine Standardroute weitergeben und Kosten setzen

Ein Randrouter mit einer nutzbaren Standardroute kann sie ankündigen:

ip route 0.0.0.0 0.0.0.0 203.0.113.1
router ospf 1
 default-information originate
 auto-cost reference-bandwidth 10000

Interne Router lernen eine O*E2-Standardroute. Ohne Standardroute in der Tabelle des Randrouters kündigt das gewöhnliche default-information originate nichts an; always ändert dieses Verhalten. Verwende überall dieselbe Referenzbandbreite in Mbps. Ein Schnittstellenbefehl wie ip ospf cost 50 überschreibt die berechneten Kosten der Schnittstelle. Die Schnittstelleneinstellung bandwidth beeinflusst Berechnungen, nicht die physische Leitungsgeschwindigkeit.

OSPFv3 für IPv6 aktivieren

Wenn IPv6-Adressen bereits auf den Schnittstellen eingerichtet sind:

ipv6 unicast-routing
ipv6 router ospf 1
 router-id 1.1.1.1
interface GigabitEthernet0/0/0
 ipv6 ospf 1 area 0
interface GigabitEthernet0/0/1
 ipv6 ospf 1 area 0

Setze die zu den Hosts gerichtete Schnittstelle auch im IPv6-OSPF-Prozess auf passiv. OSPFv3 benötigt weiterhin eine 32-Bit-Router-ID; setze sie ausdrücklich, wenn keine IPv4-Adressen vorhanden sind. Nachbarn kommunizieren über linklokale Adressen.

Jeweils eine Phase überprüfen

show ip protocols listet Prozesseinstellungen und passive Schnittstellen auf. show ip ospf neighbor prüft die Synchronisierung. show ip ospf interface brief prüft Bereich, Kosten, Zustand und Anzahl der Nachbarn. show ip route ospf zeigt installierte O-Routen mit [110/cost]. Für IPv6 verwende show ipv6 ospf neighbor und show ipv6 route ospf.

Fehlt eine Adjazenz, prüfe den Status up/up, die OSPF-Teilnahme, die Abdeckung durch die Wildcard-Maske, passive Einstellungen, Bereich, Zeitgeber, eindeutige IDs und übereinstimmende Authentifizierungseinstellungen. OSPFv2-Broadcast-Verbindungen benötigen außerdem übereinstimmende Subnetze und Masken. Bei ExStart/Exchange solltest du die MTU prüfen; Filter müssen IP-Protokoll 89 zulassen. Sind Nachbarn in Full, aber Routen fehlen, prüfe die Ankündigung des entfernten Präfixes, übereinstimmende Netzwerktypen und ob eine Quelle mit niedrigerer AD bereits dasselbe Präfix liefert.

Die Netzwerkadressübersetzung (NAT) schreibt Adressen um, wenn Pakete zwischen einem internen und einem externen Netzwerk übertragen werden. Eine NAT-Übersetzungstabelle erfasst die Zuordnungen, damit Antworten zurückübersetzt werden können. So können private IPv4-Hosts über global geroutete Adressen kommunizieren und zugleich wird öffentlicher IPv4-Adressraum eingespart.

Die privaten Bereiche sind 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Der mittlere Bereich endet bei 172.31.255.255; Adressen, die mit 172 beginnen, sind nicht alle privat. Organisationen können diese Bereiche intern wiederverwenden, das öffentliche Internet routet sie aber nicht.

Die vier Adressnamen lesen

Inside/Outside bezeichnet die Seite des Hosts. Local/Global bezeichnet die Sicht auf die Adresse. Bei gewöhnlichem NAT für interne Quelladressen sind die Werte für Outside Local und Outside Global gleich.

Einen Zuordnungstyp wählen

Statisches NAT gibt einer internen Adresse eine dauerhafte Eins-zu-eins-Zuordnung. Ein interner Server kann so eine feste externe Adresse erhalten. Dynamisches NAT weist bei Bedarf Adressen aus einem Pool zu. Ein Pool mit sechs Adressen ohne Overload kann gleichzeitig sechs interne Hosts bedienen; ein siebter muss warten, bis eine Zuordnung frei wird.

PAT, auch NAT Overload genannt, ermöglicht vielen Hosts, eine oder einige wenige öffentliche Adressen gemeinsam zu nutzen. Ports unterscheiden TCP- und UDP-Sitzungen; ICMP-Abfragen nutzen Abfragekennungen. Der Router kann einen Quellport ändern, um eine Kollision zu verhindern. Portfelder umfassen 16 Bit, doch nutzbare Ports, Regeln für die Wiederverwendung von Zielen und Geräteressourcen bestimmen die tatsächliche Sitzungskapazität.

Portweiterleitung oder statisches PAT gibt einem internen Dienst eine feste Zuordnung aus öffentlicher Adresse und Port. Beispielsweise kann das öffentliche 203.0.113.2:443 für TCP 443 auf 192.168.1.20 stehen. Andere Dienste können über andere Portzuordnungen dieselbe öffentliche Adresse nutzen.

Zwei Verbindungen verfolgen

Die Hosts 192.168.1.10 und 192.168.1.11 verbinden sich beide vom TCP-Quellport 51000 mit 198.51.100.80:443. PAT verwendet die externe Adresse 203.0.113.2:

Die zweite Zuordnung verhindert eine Kollision. Eine Antwort an den öffentlichen Port 51001 gelangt zu 192.168.1.11:51000 zurück. Der externe Server bleibt in beiden Spalten für externe Adressen 198.51.100.80:443.

Übersetzung und Schutz haben unterschiedliche Aufgaben

NAT ist keine Firewall. NAT ändert die Adressierung; eine Firewall wendet Sicherheitsregeln an. Die Übersetzung unterbricht außerdem die direkte Ende-zu-Ende-Adressierung. Anwendungen, die Adressen in ihre Daten aufnehmen, etwa SIP oder FTP im aktiven Modus, benötigen möglicherweise Hilfsfunktionen oder NAT-Traversierung. Übersetzungsprotokolle helfen, eine gemeinsam genutzte öffentliche Verbindung einem internen Host zuzuordnen.

IPv6-Hosts nutzen normalerweise globale Adressen ohne NAT; Firewalls steuern den Datenverkehr. Anbieter können für IPv4-Kunden Carrier-Grade-NAT einsetzen und dafür oft den gemeinsam genutzten Bereich 100.64.0.0/10 verwenden. Dieser Bereich ist vom privaten RFC-1918-Adressraum getrennt. Die externe Adresse eines Kunden kann sich daher weiterhin hinter einem weiteren übersetzenden Gerät befinden.

Eine funktionierende NAT-Konfiguration benötigt korrekte Schnittstellenrollen, eine Auswahl interner Adressen, eine Zuordnungsregel und Routen. NAT kann weder einen fehlenden Pfad zum Anbieter noch eine fehlende Rückroute zur öffentlichen Zuordnung beheben.

Beide Seiten kennzeichnen

Angenommen, G0/0/0 ist zu 192.168.1.0/24 und G0/0/1 zum Anbieter gerichtet:

interface GigabitEthernet0/0/0
 ip nat inside
interface GigabitEthernet0/0/1
 ip nat outside

Die Rollen beschreiben, wie Pakete die Schnittstellen durchlaufen. Vertauschte Rollen verhindern die beabsichtigte Übersetzung interner Quelladressen.

Eine Übersetzungsart auswählen

Für eine feste Eins-zu-eins-Zuordnung eines Servers:

ip nat inside source static 192.168.1.20 203.0.113.5

Nur für den TCP-443-Dienst des Servers:

ip nat inside source static tcp 192.168.1.20 443 203.0.113.2 443

Die dynamische Übersetzung wählt zunächst Quellen aus und definiert einen Pool:

access-list 1 permit 192.168.1.0 0.0.0.255
ip nat pool PUBLIC 203.0.113.9 203.0.113.14 netmask 255.255.255.248
ip nat inside source list 1 pool PUBLIC

Der Pool enthält sechs Hostadressen, .9 bis .14, in 203.0.113.8/29. Ohne Overload können sechs interne Hosts gleichzeitig Zuordnungen belegen. Für PAT mit diesem Pool füge dem letzten Befehl overload hinzu.

Eine gängige Alternative nutzt die Adresse der externen Schnittstelle:

ip nat inside source list 1 interface GigabitEthernet0/0/1 overload

Diese dynamischen Regeln sind Alternativen für die vorgesehene Architektur. Die ACL wählt hier den zu übersetzenden Datenverkehr aus: permit bedeutet, diese Quelle zu übersetzen. Sie ist keine Filterregel für eine Schnittstelle. Eine nicht passende Quelle kann unübersetzt nach außen gelangen und keine Antworten aus dem Internet erhalten.

Eine Übersetzung entschlüsseln

show ip nat translations kann Folgendes anzeigen:

Pro Inside global        Inside local           Outside local        Outside global
tcp 203.0.113.2:51001     192.168.1.11:51000      198.51.100.80:443     198.51.100.80:443

Der interne Host .11 nutzt den lokalen Port 51000, erscheint nach außen aber auf Port 51001. Antworten an diesen öffentlichen Endpunkt werden zurück auf .11 abgebildet. Adresse und Port des externen Servers bleiben unverändert. Dauerhafte statische Einträge können für Felder, die die Zuordnung nicht nutzt, --- anzeigen.

show ip nat statistics listet aktive Übersetzungen, Treffer, Fehlversuche, Schnittstellenrollen und Poolauslastung auf. Erzeuge Datenverkehr, bevor du dynamische Einträge erwartest. Die Poolauslastung zusammen mit fehlgeschlagenen neuen Zuordnungen hilft, eine Erschöpfung zu erkennen; ein Fehlversuch allein belegt die Ursache nicht.

Die gestörte Abhängigkeit finden

Prüfe Rollen, ACL-Quellbereich, Zuordnungsregel und ob overload vorgesehen war. Prüfe dann die Standardroute des Routers und die Rückroute des Anbieters zur Inside-Global-Adresse oder zum Pool. Clients eines bereitgestellten Servers müssen die öffentliche Adresse und den zugeordneten Port verwenden.

In einer Testumgebung zeigt debug ip nat Übersetzungsereignisse. clear ip nat translation * löscht nach einer Änderung dynamische Einträge, unterbricht aber deren Sitzungen; nutze den Befehl nur, wenn diese Unterbrechung akzeptabel ist. Statische Zuordnungen bleiben konfiguriert.

Ein IPv4-Host erhält normalerweise über seine Konfiguration oder per DHCP ein Standardgateway. Fällt dieser Router aus, übernimmt ein anderer Router im selben LAN nicht automatisch die Gateway-Einstellung des Hosts. Ein First-Hop-Redundanzprotokoll (FHRP) ermöglicht Routern, eine Gateway-Identität gemeinsam zu nutzen, die den Ausfall eines Routers übersteht.

Das Gateway des Hosts unverändert lassen

Die Gruppe nutzt eine virtuelle IP-Adresse (VIP) und eine virtuelle MAC-Adresse gemeinsam. Hosts verwenden die VIP als Standardgateway. Der aktive weiterleitende Router beantwortet ARP-Anfragen für diese VIP mit der virtuellen MAC-Adresse. Ein Standby- oder Ersatzrouter überwacht die Nachrichten des aktiven Routers und übernimmt, nachdem er dessen Ausfall erkannt hat.

In VLAN 10 hat R1 192.168.10.2/24 und R2 192.168.10.3/24. Ihre HSRP-VIP ist die ungenutzte Adresse 192.168.10.1. DHCP vergibt .1 als Gateway für die Hosts, nicht .2 oder .3.

R1 ist mit Priorität 110 aktiv; R2 ist mit Priorität 100 im Standby. Sendet R1 keine Hello-Nachrichten mehr, übernimmt R2 entsprechend der konfigurierten Haltezeit. R2 nutzt dieselbe virtuelle MAC-Adresse und kündigt den Wechsel mit Gratuitous ARP an. Switches lernen die MAC-Adresse am Port von R2. Die Hosts können die bereits in ihren ARP-Caches vorhandene Zuordnung von VIP zu virtueller MAC-Adresse behalten, auch wenn während der Erkennung und Umschaltung einige Pakete verloren gehen können.

Entscheiden, wer nach der Wiederherstellung weiterleitet

Die Priorität ordnet die Kandidaten; eine höhere Zahl wird bevorzugt. Präemption erlaubt einem Router mit höherer Priorität, die aktive Rolle von einem funktionierenden Router mit niedrigerer Priorität zu übernehmen. Ohne Präemption kann der bisher aktive Router aktiv bleiben, nachdem der bevorzugte Router zurückkehrt.

Angenommen, die LAN-Schnittstelle von R1 funktioniert weiterhin, aber sein Anbieter-Uplink fällt aus. R1 kann weiterhin Gateway-Hello-Nachrichten senden, obwohl es keinen nutzbaren weiterführenden Pfad hat. Überwachung verknüpft den Zustand des Uplinks mit der Priorität von R1. Bei einer Absenkung um 20:

Die 100 von R2 sind höher als 90. Ist auf R2 Präemption aktiviert, kann R2 die aktive Rolle übernehmen. Eine Absenkung um nur 10 würde beide bei 100 belassen; dieser Gleichstand zwingt den derzeit aktiven Router nicht, seine Rolle aufzugeben. Wähle die Absenkung so, dass der vorgesehene Ersatzrouter nach dem Ausfall eindeutig bevorzugt wird.

Verstehen, was das gemeinsame Gateway schützt

Ein FHRP tauscht Nachrichten über Gateway-Rollen aus, keine Routinginformationen. Jeder weiterleitende Router benötigt weiterhin nutzbare Routen. HSRP und VRRP haben einen weiterleitenden Router pro Gruppe; ein zweites Mitglied verdoppelt die Weiterleitungskapazität dieser Gruppe nicht. Separate Gruppen können unterschiedliche VLANs auf unterschiedliche aktive Router verteilen.

Verwende für HSRP eine separate ungenutzte VIP im LAN-Subnetz. Bei VRRP gibt es den Fall eines Adressinhabers, bei dem die VIP die tatsächliche Schnittstellenadresse eines Routers ist. Die HSRP-Adressregel gilt daher nicht für jedes FHRP.

IPv6-Hosts können über Neighbor Discovery mehrere Standardrouter lernen und wechseln, wenn einer unerreichbar wird. Dieser eingebaute Vorgang kann mit den Standardwerten für die Ausfallerkennung viele Sekunden dauern. HSRPv2 und VRRPv3 können ebenfalls virtuelle IPv6-Gateways mit kontrollierter, schnellerer Ausfallumschaltung bereitstellen.

Gateway-Protokolle haben denselben Zweck, unterscheiden sich aber hinsichtlich ihrer Rechteinhaber, Standardwerte und Lastverteilung. Nutze diese Unterschiede beim Lesen des Status: Ein Standby-Router mit höherer Priorität ist bei HSRP normal, wenn er nicht durch Präemption übernehmen kann.

Rollen und Standardwerte vergleichen

HSRP sendet alle 3 Sekunden Hello-Nachrichten bei einer Haltezeit von 10 Sekunden. Die Priorität reicht von 0 bis 255; bei Gleichstand in einer neuen Wahl gewinnt die höchste Schnittstellen-IP-Adresse. Version 1 unterstützt Gruppen 0–255, nutzt die Multicast-Adresse 224.0.0.2 und die virtuelle MAC-Adresse 0000.0c07.acXX mit der Gruppe in Hexadezimaldarstellung. Gruppe 10 endet daher auf 0a. Version 2 unterstützt Gruppen 0–4095, nutzt 224.0.0.102 und die virtuelle MAC-Adresse 0000.0c9f.fXXX; sie unterstützt auch IPv6.

VRRPv3 ist in RFC 9568 definiert. Seine weiterleitende Rolle heißt aktiver Router; ältere Befehle und Dokumentationen nennen sie möglicherweise master. Priorität 255 ist für den Adressinhaber der VIP reserviert. Bei gleicher Priorität entscheidet die höchste primäre IP-Adresse. IPv4-Advertisements gehen über IP-Protokoll 112 an 224.0.0.18, mit einem Standardintervall von 1 Sekunde. Die virtuelle MAC-Adresse lautet 0000.5e00.01XX mit der virtuellen Router-ID in Hexadezimaldarstellung.

Das Active-Down-Intervall von VRRP beträgt drei Advertisement-Intervalle zuzüglich einer Verzögerungszeit. Bei Priorität 100 und einem Advertisement-Intervall von 1 Sekunde:

Ein Ersatzrouter mit höherer Priorität hat eine kleinere Verzögerung und wartet etwas kürzer.

Das Active Virtual Gateway (AVG) von GLBP beantwortet ARP-Anfragen für eine VIP mit unterschiedlichen virtuellen MAC-Adressen. Bis zu vier Active Virtual Forwarders (AVFs) teilen sich den Datenverkehr der Hosts. HSRP und VRRP können Datenverkehr auf mehrere Gruppen verteilen, teilen die Weiterleitung innerhalb einer Gruppe aber nicht auf diese Weise auf.

Eine HSRP-Gruppe konfigurieren

Unter der LAN-Schnittstelle von R1:

ip address 192.168.10.2 255.255.255.0
standby version 2
standby 10 ip 192.168.10.1
standby 10 priority 110
standby 10 preempt

R2 verwendet .3, dieselbe Version, Gruppe und VIP sowie standby 10 preempt; die Standardpriorität 100 bleibt bestehen. Beide LAN-Schnittstellen müssen aktiviert sein.

Die aktuellen Rollen lesen

show standby brief kann R1 so anzeigen:

Interface Grp Pri P State  Active Standby      Virtual IP
Gi0/0/0   10  110 P Active local  192.168.10.3 192.168.10.1

P bedeutet, dass Präemption konfiguriert ist; local bezeichnet die Rolle dieses Routers. Auf R2 ist State Standby, Active ist 192.168.10.2 und Standby ist local. Zu den HSRP-Zuständen gehören Initial, Learn, Listen, Speak, Standby und Active.

Melden beide Router Active, prüfe die Zustellung der Hello-Nachrichten, VLAN, Gruppe, Version, Filter und Verbindungen. Einem Standby-Router mit höherer Priorität fehlt möglicherweise die Präemption. Sehen die Rollen korrekt aus, aber die Hosts funktionieren nicht, prüfe, ob deren Gateway die VIP ist. show vrrp brief liefert die entsprechende Übersicht für VRRP. Wähle VRRP für herstellerübergreifende Unterstützung, HSRP für eine Cisco-Architektur oder GLBP, wenn eine Cisco-Gruppe die Weiterleitung aufteilen muss.