Roteamento de redes: rotas estáticas, OSPF e NAT

Um roteador interliga diferentes redes IP e encaminha pacotes pelo endereço IP de destino. Um comutador Ethernet encaminha quadros dentro de uma rede pelo endereço MAC. O plano de controle do roteador constrói rotas; seu plano de dados usa essas rotas para encaminhar pacotes.

Entrega local ou pelo gateway

Um host aplica sua própria máscara de sub-rede para decidir se um destino é local. A partir de 192.168.1.10/24, 192.168.1.50 é local: o remetente usa ARP para descobrir o endereço MAC desse host. O servidor 192.168.2.20 é remoto, então o remetente usa seu gateway, 192.168.1.1. O quadro é endereçado ao MAC do gateway, enquanto o pacote dentro dele é endereçado ao IP do servidor.

Solicitações ARP permanecem dentro de seu domínio de broadcast. Roteadores não encaminham esses broadcasts de camada 2 entre sub-redes. Um comutador de camada 3 pode fazer o mesmo trabalho de roteamento, usando uma interface virtual de comutador (SVI) como gateway de cada VLAN.

Acompanhe o percurso por dois roteadores

O PC A é 192.168.1.10/24. R1 tem o endereço de LAN 192.168.1.1 e conecta-se a R2 por 10.0.12.0/30: R1 é .1, R2 é .2. A interface de LAN de R2 é 192.168.2.1/24, na mesma rede que o servidor 192.168.2.20.

1. O PC A envia um quadro para o MAC da interface de LAN de R1. Seu pacote tem origem 192.168.1.10, destino 192.168.2.20 e TTL 64.
2. R1 verifica e remove o quadro recebido. Ele lê o destino, reduz o TTL para 63 e encontra uma rota para 192.168.2.0/24 por 10.0.12.2.
3. R1 usa ARP para descobrir o MAC de R2 nesse enlace Ethernet. Ele constrói um novo quadro com o MAC de saída de R1 como origem e o MAC de R2 como destino.
4. R2 remove esse quadro e reduz o TTL para 62. A rede de destino está diretamente conectada, então R2 resolve o MAC do servidor e envia o quadro final.

Os endereços MAC pertencem ao enlace atual e mudam em cada roteador. Os endereços IP das extremidades permanecem os mesmos, a menos que o NAT os traduza. Em um enlace serial ponto a ponto, o quadro de saída usa o encapsulamento desse enlace e não precisa de resolução de MAC. O IPv6 usa a descoberta de vizinhos em Ethernet e chama seu contador de limite de saltos.

Quando a entrega para

Um roteador descarta um pacote cujo TTL expira e envia uma mensagem ICMP de tempo excedido. Isso limita o tempo de vida de um pacote preso em um loop de roteamento. Alterar o TTL também exige atualizar a soma de verificação do cabeçalho IPv4; o IPv6 não tem soma de verificação no cabeçalho.

Se nenhuma rota instalada corresponder, incluindo uma rota padrão, o roteador descarta o pacote e normalmente envia uma mensagem ICMP de destino inacessível. Ele não inunda um destino IP desconhecido por suas interfaces.

Uma resposta faz seu próprio percurso. R1 precisa de uma rota para a LAN do servidor, e R2 precisa de uma rota de volta para a LAN do PC. Uma rota de ida correta, sozinha, não garante o sucesso do ping.

O traceroute envia sondas com valores crescentes de TTL. As respostas identificam os saltos que respondem. Uma linha de * significa que não chegou resposta; filtragem, uma rota ausente ou um roteador que não responde podem causar esse silêncio. Examine as tabelas ao redor do último salto que respondeu e continue verificando o caminho.

Uma tabela de roteamento associa um prefixo de destino a uma instrução de encaminhamento. Um prefixo combina um endereço de rede com seu comprimento, como 10.1.3.0/24. A instrução indica um roteador de próximo salto, uma interface de saída ou ambos. Uma rota de host IPv4 /32 ou IPv6 /128 cobre um endereço.

Identifique a fonte

Rotas conectadas aparecem quando uma interface com endereço está up/up e desaparecem quando ela fica inativa. Rotas estáticas vêm da configuração. Rotas dinâmicas vêm de protocolos de roteamento. A Cisco também instala uma rota de host local para cada endereço de interface, identificando o tráfego destinado ao próprio roteador.

A legenda em show ip route explica os códigos presentes nesse dispositivo.

Interprete a linha inteira

O 10.1.3.0/24 [110/20] via 10.0.12.2, 00:12:44, GigabitEthernet0/1

Leia da esquerda para a direita. O OSPF forneceu o destino 10.1.3.0/24. Os colchetes mostram a distância administrativa, 110, seguida da métrica, 20. O próximo salto é 10.0.12.2, a idade da rota é 00:12:44 e a saída é GigabitEthernet0/1.

A distância administrativa avalia a fonte da rota. Um valor menor é preferido quando fontes diferentes oferecem o mesmo prefixo. Um valor de 255 impede a instalação. A métrica mede o caminho de acordo com um protocolo: custo OSPF, contagem de saltos RIP ou medida de largura de banda e atraso do EIGRP. Comparar um custo OSPF de 20 com uma métrica RIP de 2 não informa qual fonte vence; as unidades são diferentes.

Entradas conectadas e locais não apresentam os colchetes:

C 10.0.12.0/30 is directly connected, GigabitEthernet0/1
L 10.0.12.1/32 is directly connected, GigabitEthernet0/1

A primeira alcança a sub-rede do enlace. A segunda identifica o próprio endereço de R1. A rota conectada tem AD 0.

Interprete corretamente cabeçalhos e a rota padrão

Uma linha como 10.0.0.0/8 is variably subnetted, 5 subnets, 3 masks agrupa as entradas abaixo dela. Ela não fornece um próximo salto e não é uma rota que cobre toda a /8.

O gateway de último recurso vem da rota padrão instalada. Por exemplo, S* 0.0.0.0/0 [1/0] via 203.0.113.1 envia para 203.0.113.1 o tráfego que não corresponde a outras rotas. Se o gateway de último recurso não estiver definido, destinos fora de todos os prefixos listados serão inacessíveis por esse roteador.

Faça uma consulta específica à tabela

Use show ip route para a tabela completa, show ip route static ou show ip route ospf para uma fonte e show ip route 10.1.3.5 para consultar um destino. Uma rota configurada pode estar aguardando como backup ou ser inutilizável; a configuração por si só não comprova que ela está instalada.

show ipv6 route usa as mesmas ideias. Uma rota local tem comprimento /128, e um próximo salto OSPFv3 geralmente aparece como FE80::2 junto com sua interface de saída. A interface identifica em qual enlace está esse vizinho local de enlace.

A seleção de rotas tem duas etapas: construir a tabela de roteamento e depois consultá-la para um pacote. Manter essas etapas separadas evita o erro mais comum: escolher uma rota estática abrangente em vez de uma rota OSPF mais específica porque a rota estática tem distância administrativa menor.

Construa a tabela

Um protocolo de roteamento usa sua métrica para encontrar seu caminho preferido até um prefixo. Se várias fontes oferecerem exatamente o mesmo prefixo, a distância administrativa decide qual fonte fornece a rota instalada. Tanto o endereço de rede quanto o comprimento do prefixo devem coincidir para que essa comparação se aplique.

Para 172.16.5.0/24, uma rota estática utilizável com AD 1 tem preferência sobre OSPF com AD 110 e RIP com AD 120. Se essa rota estática se tornar inutilizável e for removida, o OSPF poderá fornecer a rota. Métricas de protocolos diferentes não podem ser comparadas como se usassem uma única escala.

Esses são os valores padrão da Cisco. Outros fabricantes podem usar valores diferentes para a preferência de rota.

Escolha uma rota para um pacote

A correspondência de prefixo mais longo usa a rota instalada com o prefixo mais longo que contém o destino. Verifique se o endereço pertence ao prefixo antes de comparar os comprimentos. Um prefixo longo que cobre outra faixa é irrelevante.

Suponha que a tabela contenha:

Para 10.1.1.200, os quatro prefixos correspondem, então a /25 o envia para C. Para 10.1.1.100, a /25 falha no teste de pertencimento: sua faixa começa em .128. A /24 vence e envia esse pacote para B. O endereço 10.1.2.5 usa A, e 192.0.2.10 usa D.

No limite, .127 usa B e .128 usa C. Escrever o primeiro e o último endereço de um prefixo é útil quando a máscara divide um octeto.

Agora considere uma rota estática 10.0.0.0/8 instalada e uma rota OSPF 10.1.1.0/24 instalada. Elas cobrem prefixos diferentes, então podem coexistir. O tráfego para 10.1.1.5 usa a /24 do OSPF; o tráfego para 10.9.9.9 usa a /8 estática.

Caminhos de custo igual e IPv6

Múltiplos caminhos de custo igual (ECMP) permitem que vários caminhos com métricas iguais para o mesmo prefixo compartilhem o tráfego, dentro do limite de caminhos configurado no dispositivo. Quatro caminhos é um padrão comum do Cisco IOS; o limite aceito e o padrão variam conforme a plataforma e o software. Custos diferentes não formam ECMP no OSPF.

O IPv6 usa a mesma regra de consulta. Com 2001:db8:acad::/48, 2001:db8:acad:10::/64 e ::/0, o destino 2001:db8:acad:10::25 usa a /64. O destino 2001:db8:acad:20::1 usa a /48; 2001:db8:ffff::1 usa a rota padrão. A ordem na tabela nunca substitui a comparação dos prefixos.

Um roteador novo pode ser configurado pelo console. Quando o endereçamento e o acesso remoto seguro estiverem prontos, o SSH fornecerá acesso à CLI pela rede. Os nomes das interfaces do Cisco IOS e IOS XE variam conforme o modelo; GigabitEthernet0/0/0 é uma forma comum.

Alterne entre modos de comando

exit volta um nível; end retorna ao EXEC privilegiado. Digite ? para ver as opções disponíveis. Abreviações funcionam desde que não sejam ambíguas, como conf t. No modo de configuração, do show ip interface brief executa uma verificação EXEC sem sair desse modo.

Comandos globais incluem hostname R1, enable secret seguido de uma senha escolhida, no ip domain-lookup para impedir consultas de nomes após comandos digitados incorretamente e banner motd para exibir um aviso no login.

Atribua um endereço e habilite uma interface

configure terminal
ipv6 unicast-routing
interface GigabitEthernet0/0/0
 description Link to R2
 ip address 10.0.12.1 255.255.255.252
 ipv6 address 2001:db8:acad:12::1/64
 ipv6 address fe80::1 link-local
 no shutdown
end

O IPv4 usa uma máscara em notação decimal pontuada; o IPv6 usa um comprimento de prefixo. no shutdown remove a desativação administrativa. ipv6 unicast-routing habilita o encaminhamento IPv6 e os anúncios de roteador: atribuir endereços IPv6, por si só, não habilita essas funções. Uma interface com IPv6 habilitado tem um endereço local de enlace; atribuir um explicitamente facilita o reconhecimento do vizinho.

Interprete o estado da interface

show ip interface brief lista o endereço e duas colunas de estado. up/up significa que ambas as camadas estão funcionando. administratively down/down exige no shutdown. down/down sugere uma falha física, como um cabo desconectado ou um vizinho desligado. up/down aponta para um problema de enlace de dados, como encapsulamentos seriais incompatíveis. Use show interfaces para obter detalhes e show ipv6 interface brief para endereços e estados IPv6.

Evite sub-redes sobrepostas em duas interfaces roteadas. Verifique também se há um endereço na porta errada ou máscaras incompatíveis nas extremidades opostas de um enlace.

Faça o roteamento entre VLANs por um enlace

O roteamento entre VLANs por um único enlace tronco usa um enlace tronco do comutador e uma subinterface do roteador por VLAN:

interface GigabitEthernet0/0/1
 no shutdown
interface GigabitEthernet0/0/1.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0/1.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0

A porta do comutador deve transportar as VLANs 10 e 20 como um enlace tronco 802.1Q. Os hosts usam o endereço da subinterface de sua própria VLAN como gateway. O número em dot1Q seleciona a VLAN; usar o mesmo número como sufixo da subinterface é uma convenção de nomenclatura.

As alterações afetam imediatamente a configuração em execução na RAM. copy running-config startup-config salva as alterações na configuração de inicialização, carregada na inicialização. Teste com comandos show, ping e traceroute antes de salvar as configurações de funcionamento desejadas.

Uma rota estática é uma instrução do administrador para alcançar um prefixo. Sua distância administrativa padrão na Cisco é 1. Ela não precisa de atualizações de roteamento e é adequada para uma rede pequena ou com uma saída. Manter muitas rotas individuais torna-se mais difícil quando os caminhos mudam; uma rota estática não aprende sozinha um caminho substituto.

Configure as duas direções

R1 alcança R2 por 10.0.12.0/30, usando .1 em R1 e .2 em R2. A LAN de R1 é 192.168.1.0/24; a LAN de R2 é 192.168.2.0/24.

Em R1:

ip route 192.168.2.0 255.255.255.0 10.0.12.2

Em R2:

ip route 192.168.1.0 255.255.255.0 10.0.12.1

O primeiro endereço deve ser o endereço de rede de destino. O último endereço é o vizinho do próximo salto, não a interface local. A segunda rota é essencial para as respostas à primeira LAN.

Escolha a forma da rota

Uma rota por próximo salto indica o vizinho. O roteador faz uma consulta recursiva para encontrar a interface que alcança esse vizinho. Uma rota diretamente associada à interface indica apenas uma interface de saída. Isso funciona bem em um enlace serial ponto a ponto, onde há apenas um possível vizinho.

Em Ethernet, uma rota que indica apenas a interface pode fazer o roteador usar ARP separadamente para cada destino e depender do proxy ARP do vizinho. Uma rota totalmente especificada indica tanto a interface quanto o próximo salto:

ip route 192.168.2.0 255.255.255.0 GigabitEthernet0/0/0 10.0.12.2

O próximo salto deve ser resolvido para um caminho de saída utilizável. Uma rota baseada em interface também depende de essa interface estar ativa. Verifique a instalação com show ip route static; uma entrada instalada pode aparecer como S 192.168.2.0/24 [1/0] via 10.0.12.2.

Altere o escopo do destino

Uma rota de host seleciona um endereço IPv4 com a máscara 255.255.255.255:

ip route 192.168.2.20 255.255.255.255 10.0.12.2

Ela vence as rotas de rede correspondentes porque /32 é mais específico. Uma rota sumarizada faz o oposto: cobre várias redes. 10.2.0.0 255.255.252.0 representa 10.2.0.0/22, cobrindo as quatro redes /24 de 10.2.0.0 a 10.2.3.0. Seu último endereço é 10.2.3.255; 10.2.4.0/24 está fora dela. Sumarize apenas faixas alcançadas pelo próximo salto desejado.

Configure IPv6 e verifique falhas

Habilite ipv6 unicast-routing e use um comprimento de prefixo:

ipv6 route 2001:db8:acad:2::/64 2001:db8:acad:12::2

Para um próximo salto local de enlace, inclua seu enlace:

ipv6 route 2001:db8:acad:2::/64 GigabitEthernet0/0/0 fe80::2

Um endereço local de enlace pode se repetir em outras interfaces, então o endereço sozinho não basta. Rotas de host IPv6 usam /128. Verifique com show ipv6 route static.

Se uma rota estiver ausente, verifique se o próximo salto foi digitado corretamente, se ele é alcançável, a interface de saída e se há uma fonte preferida para esse prefixo. Se ela estiver presente, mas o ping falhar, verifique a cobertura do destino, a rota de retorno e os filtros. Uma interface Ethernet pode permanecer ativa por meio de um comutador mesmo quando o roteador remoto falha. A rota estática pode permanecer instalada; o monitoramento de objetos baseado em sondas pode detectar uma falha além do enlace local e removê-la.

Uma rota padrão cobre todos os destinos: 0.0.0.0/0 em IPv4 e ::/0 em IPv6. Seu comprimento de prefixo é zero, então qualquer rota de rede ou de host correspondente vence. Uma rota padrão é útil na borda de uma rede, onde muitos destinos remotos compartilham um próximo salto.

Dê uma saída a uma rede de ponta

Uma rede de ponta tem um único caminho para outras redes. Um roteador de escritório pode manter rotas conectadas para suas LANs e usar estas rotas padrão em direção ao provedor:

ip route 0.0.0.0 0.0.0.0 203.0.113.1
ipv6 route ::/0 2001:db8:ffff::1

O próximo salto deve ser alcançável. Novas redes remotas podem usar a mesma saída sem exigir uma entrada estática separada. A rota padrão instalada fornece o gateway de último recurso.

O gateway padrão de um host e a rota padrão de um roteador operam em pontos diferentes do caminho. O host envia o tráfego destinado a outra sub-rede para seu gateway local. Esse roteador consulta sua própria tabela e usa sua rota padrão somente se nenhuma rota mais específica corresponder. Em dispositivos Cisco, ip default-gateway serve a dispositivos que não fazem roteamento, como um comutador de camada 2 que envia tráfego de gerenciamento. Um roteador que faz roteamento usa ip route para sua rota padrão.

Mantenha um backup fora da tabela

Uma rota estática flutuante tem AD maior que a rota principal para o mesmo prefixo. Considere dois enlaces utilizáveis para provedores:

ip route 0.0.0.0 0.0.0.0 203.0.113.1
ip route 0.0.0.0 0.0.0.0 198.51.100.1 5

A primeira usa a AD padrão 1; a segunda usa AD 5. Enquanto ambas são utilizáveis, apenas a primeira é instalada. Quando a principal é removida, o backup torna-se a melhor rota padrão disponível. Quando a principal retorna, sua AD menor faz com que volte a ser usada.

Para servir de backup à rota OSPF 10.5.0.0/16, cuja AD na Cisco é 110, use uma distância maior:

ip route 10.5.0.0 255.255.0.0 172.16.9.2 130

Omitir 130 daria à rota estática AD 1 e a tornaria principal. Mantenha também o prefixo idêntico. Uma /24 de backup dentro de uma /16 principal venceria imediatamente para sua faixa menor pela correspondência de prefixo mais longo, mesmo com AD maior.

Teste o evento que causa a comutação por falha

Um backup espera que a rota principal saia da tabela. A desativação de um enlace principal diretamente conectado pode removê-la, mas uma falha remota além de um comutador Ethernet pode deixar a interface local e a rota ativas. O monitoramento pode remover uma rota estática principal após uma sonda sem resposta. Um protocolo dinâmico pode retirar uma rota principal aprendida após detectar a falha de um vizinho ou caminho.

show running-config | include ip route mostra as rotas configuradas, incluindo um backup em espera. show ip route mostra o que está instalado. Em um laboratório, registre a tabela original, desative a interface principal e verifique a rota substituta e o caminho mostrado pelo traceroute. Reative a interface e confirme que a rota principal retorna.

Um roteador de borda pode distribuir sua rota padrão instalada pelo OSPF com default-information originate. Os roteadores internos podem então aprender sua saída dinamicamente, sem que cada um precise de uma rota padrão inserida manualmente.

Um protocolo de roteamento dinâmico permite que roteadores aprendam prefixos remotos e respondam automaticamente a mudanças. Os roteadores trocam informações, selecionam caminhos e atualizam suas escolhas após uma falha. Isso usa largura de banda, CPU e memória, e as trocas de roteamento precisam de proteção contra informações falsas.

Recupere uma visão consistente

Após a falha de um enlace, os roteadores podem discordar temporariamente sobre os caminhos alcançáveis. Alguns receberam as novas informações enquanto outros ainda usam as rotas antigas. Convergência é o retorno a uma visão consistente e correta da rede. O tempo de convergência mede a demora; pacotes descartados ou loops de curta duração podem ocorrer enquanto ela se completa.

Suponha que uma filial tenha dois enlaces roteados. Uma rota estática continua indicando seu próximo salto escolhido até que sua condição de uso mude ou que o monitoramento a remova. Um protocolo dinâmico pode detectar a perda de um vizinho, distribuir a mudança e calcular outro caminho disponível. Ainda assim, ele precisa de tempo para detectar a falha e propagar a atualização.

Dentro de sistemas autônomos ou entre eles

Um sistema autônomo (AS) é um conjunto de redes sob uma administração e uma política de roteamento. Os ASes da internet têm números de AS. Um protocolo de roteamento interno (IGP), como RIP, EIGRP, OSPF ou IS-IS, faz o roteamento dentro de um AS. O BGP é o protocolo de roteamento externo usado entre ASes na internet. O BGP interno também existe; ele transporta informações BGP dentro de um AS.

Compare as informações trocadas

Um roteador por vetor de distância depende do que seus vizinhos informam. O RIP é o exemplo simples; o EIGRP é uma arquitetura avançada por vetor de distância com recursos de recuperação mais rápida.

Roteadores por estado de enlace inundam anúncios por toda uma área. Cada um constrói um banco de dados de estado de enlace (LSDB) e executa o algoritmo do caminho mais curto primeiro (SPF), também chamado de algoritmo de Dijkstra, a partir de sua própria posição. As informações compartilhadas de topologia permitem que cada roteador calcule caminhos independentemente. Manter e processar esse mapa exige mais recursos que um protocolo simples por vetor de distância.

O BGP associa um caminho de AS a uma rota. Ver seu próprio AS nesse caminho permite que um roteador rejeite um loop. Outros atributos ajudam nas decisões baseadas na política de roteamento de cada rede.

A métrica muda o significado de melhor

O RIP escolhe menos saltos entre roteadores. Ele pode preferir um salto de 10 Mbps a dois saltos de 1 Gbps. O OSPF usa a soma de custos baseados na largura de banda; com uma largura de banda de referência que distingue essas velocidades, ele pode preferir o caminho mais rápido de dois saltos. O EIGRP normalmente combina a menor largura de banda do caminho com o atraso total. O BGP usa política e atributos, então seu caminho preferido não precisa ser o mais rápido.

As versões atuais dos protocolos transportam comprimentos de prefixo e oferecem suporte a VLSM e sumarização; isso é roteamento sem classes. O RIPv1 omitia máscaras e usava classes. O IPv6 usa RIPng, EIGRP para IPv6, OSPFv3, extensões IS-IS ou BGP multiprotocolo, preservando a abordagem básica de cada protocolo.

Escolha um protocolo de roteamento adequado ao tamanho da rede, aos equipamentos e à tarefa de roteamento. A distância administrativa de um protocolo é uma preferência local por suas rotas, não uma avaliação de sua velocidade de convergência.

Compare as principais opções

O RIP permite no máximo 15 saltos; 16 significa inacessível. O RIPv2 envia atualizações periódicas de roteamento a cada 30 segundos para 224.0.0.9. Seu limite baixo e sua convergência lenta fazem dele uma escolha incomum para uma nova rede empresarial. O limite de saltos conta saltos entre roteadores, não hosts conectados a uma LAN.

O EIGRP foi desenvolvido pela Cisco e publicado na RFC informativa 7868 em 2016. Ele envia atualizações parciais após mudanças. Um backup sem loops que atende aos requisitos é chamado de sucessor viável; quando existe um, o roteador pode usá-lo rapidamente. Não há garantia de que uma rede tenha esse backup para cada destino.

O OSPF é um padrão aberto. O OSPFv2 transporta rotas IPv4, enquanto o OSPFv3 oferece suporte a IPv6. As áreas organizam redes OSPF maiores ao redor da área de backbone 0. O IS-IS também é um protocolo por estado de enlace de padrão aberto e é comum em redes de provedores. Ele transporta suas mensagens de protocolo diretamente sobre a camada de enlace de dados, diferentemente do OSPF, que usa IP.

Pares BGP usam a porta TCP 179. O BGP externo conecta ASes diferentes; o BGP interno distribui rotas BGP dentro de um AS. O BGP pode escolher um caminho preferido pela política mesmo quando outro tem menos saltos ou maior velocidade de enlace. Sua verificação de loops pelo caminho de AS e seus controles de política são adequados para trocas entre redes administradas separadamente.

Descoberta de vizinhos e atualizações

OSPF, EIGRP e IS-IS usam relações de vizinhança, enquanto o BGP estabelece relações entre pares. A ausência de mensagens Hello ou de manutenção de conexão permite que esses protocolos detectem a perda de vizinhos. O RIP não estabelece adjacência: ele recebe atualizações periódicas e remove por expiração as rotas que deixam de ser atualizadas. Uma rota RIP ausente, portanto, exige verificações diferentes das de um vizinho OSPF preso durante a troca de bancos de dados.

Escolha a abordagem para a tarefa

Um pequeno escritório com um enlace de provedor pode usar uma rota padrão estática: não há outro caminho interno a descobrir. Uma empresa com várias unidades e equipamentos de vários fabricantes pode usar OSPF. Uma empresa que usa apenas equipamentos Cisco pode escolher OSPF ou EIGRP. Uma organização com espaço de endereçamento público próprio e dois provedores pode usar BGP em direção a esses provedores e um IGP para rotas internas.

Mantenha a preferência de fonte separada do funcionamento do protocolo. A AD 90 do EIGRP na Cisco vence a AD 110 do OSPF somente quando ambos oferecem o mesmo prefixo. Essa comparação não diz qual protocolo tem o caminho físico mais rápido ou qual arquitetura é melhor para toda a organização.

O OSPF é um IGP por estado de enlace de padrão aberto. O OSPFv2 transporta rotas IPv4; o OSPFv3 oferece suporte a IPv6. Ele funciona sobre o protocolo IP 89. O multicast IPv4 224.0.0.5 alcança todos os roteadores OSPF e 224.0.0.6 alcança os roteadores designados; o IPv6 usa FF02::5 e FF02::6.

Construa as rotas em etapas

Um roteador descobre vizinhos com mensagens Hello, sincroniza seu banco de dados de estado de enlace, executa o SPF e instala as melhores rotas. A tabela de vizinhos registra quem está se comunicando; a LSDB registra a topologia; a tabela de roteamento registra os caminhos selecionados. Depois de sincronizados, os roteadores da mesma área compartilham a visão de topologia dessa área, mas calculam rotas a partir de suas próprias posições.

O OSPF de área única coloca as interfaces participantes em uma área. Qualquer identificador de área válido pode servir a uma rede de área única. A área 0 é comum porque pode atuar depois como backbone de um projeto com múltiplas áreas.

O identificador do roteador é um identificador único de 32 bits escrito como um endereço IPv4. A Cisco seleciona primeiro um identificador configurado explicitamente, depois o maior endereço IPv4 de loopback ativo e, por fim, o maior endereço IPv4 de interface física ativa. A seleção ocorre quando o processo começa. Uma alteração posterior do identificador exige reiniciar o processo ou o roteador; clear ip ospf process interrompe as adjacências.

Alcance a adjacência Full

Os padrões para redes de broadcast e ponto a ponto são Hello a cada 10 segundos e inatividade após 40 segundos sem um Hello. Vizinhos precisam ter área, intervalos Hello e de inatividade e configurações de autenticação correspondentes, identificadores únicos e interfaces participantes não passivas. Em redes OSPFv2 de broadcast, as duas extremidades também precisam ter a mesma sub-rede e máscara. O OSPFv2 ponto a ponto não verifica a máscara durante o processamento de Hello. O OSPFv3 usa endereços locais de enlace e não compara prefixos globais.

A sequência principal de estados é Down → Init → 2-Way → ExStart → Exchange → Loading → Full. Em Init, um Hello chegou. Em 2-Way, os dois roteadores veem a si mesmos nas mensagens Hello do outro. ExStart e Exchange iniciam a sincronização dos bancos de dados; Loading obtém os anúncios ausentes; Full significa que a sincronização está completa. Uma incompatibilidade de MTU geralmente paralisa ExStart ou Exchange. Dois DROTHERs em um segmento de broadcast normalmente permanecem em 2-Way.

Os cinco tipos de pacote são Hello, descrição de banco de dados, solicitação de estado de enlace, atualização de estado de enlace e confirmação de estado de enlace. Cada roteador origina um LSA de roteador tipo 1; um roteador designado origina um LSA de rede tipo 2 para seu segmento compartilhado.

Calcule o custo total do caminho

O custo da interface é a largura de banda de referência dividida pela largura de banda da interface, com mínimo de 1. Use as mesmas unidades. A referência padrão da Cisco de 100 Mbps faz 10 Mbps custar 10, enquanto 100 Mbps, 1 Gbps e 10 Gbps custam 1.

R1 pode alcançar a LAN de destino de 1 Gbps de R3 por dois enlaces de trânsito de 1 Gbps ou por um enlace direto de 100 Mbps. Com a referência padrão:

O OSPF escolhe o enlace direto. Defina auto-cost reference-bandwidth 10000 em todos os roteadores para usar uma referência de 10 Gbps. Cada interface de 1 Gbps agora custa 10; a interface de 100 Mbps custa 100:

O caminho de dois saltos agora vence. Inclua a interface final para a LAN de destino nos dois totais.

O tipo de rede do OSPF controla como os vizinhos organizam um enlace. Ethernet usa por padrão o acesso múltiplo de broadcast, mesmo quando apenas dois roteadores estão conectados. Uma rede ponto a ponto tem dois roteadores e não tem eleição de roteador designado.

Por que eleger um DR e um BDR?

Se cada roteador em um segmento compartilhado estabelecesse adjacência completa com todos os outros, o número de adjacências cresceria rapidamente:

Com cinco roteadores, seriam 10 pares; com dez, 45. Um roteador designado (DR) e um roteador designado de backup (BDR) reduzem o trabalho de troca. Cada DROTHER estabelece adjacência completa com esses dois, enquanto pares de DROTHERs permanecem em 2-Way. Cinco roteadores precisam então de sete adjacências completas, e dez precisam de 17.

DROTHERs enviam atualizações para 224.0.0.6, alcançando o DR e o BDR. O DR inunda as atualizações para todos os roteadores em 224.0.0.5 e origina o LSA de rede tipo 2 do segmento. O BDR está pronto para assumir se o DR falhar. Essas funções organizam a troca do banco de dados OSPF; elas não obrigam os pacotes dos usuários a passar pelo DR.

Acompanhe uma eleição

Em uma nova eleição, vence a maior prioridade OSPF de interface. As prioridades vão de 0 a 255 e o padrão é 1. Um empate é decidido pelo maior identificador de roteador; prioridade 0 torna um roteador inelegível tanto para DR quanto para BDR. Defina a prioridade por interface com ip ospf priority.

Quatro roteadores iniciam juntos:

R3 torna-se DR pela prioridade. R2 torna-se BDR porque vence o empate de identificador com R1. R1 e R4 são DROTHERs. O identificador alto de R4 não supera a prioridade 0.

A eleição é não preemptiva. Se um roteador com prioridade 200 entrar depois que essas funções estiverem estabelecidas, ele não substituirá nenhum dos atuais. Se R3 falhar, R2 é promovido de BDR a DR e um novo BDR é eleito. No grupo original de quatro roteadores, esse novo BDR é R1.

As funções pertencem a segmentos, não ao roteador em toda a rede. R1 pode ser DR em uma interface e DROTHER em outra.

Interprete o estado e escolha um tipo de rede

show ip ospf neighbor lista identificadores, prioridades, estados, funções, tempos de inatividade, endereços e interfaces dos vizinhos. FULL/DR identifica um roteador designado com adjacência completa. 2WAY/DROTHER pode ser uma relação normal entre dois DROTHERs. show ip ospf interface GigabitEthernet0/0/0 fornece o tipo de rede, DR/BDR, temporizadores e custo.

Em um enlace Ethernet usado por exatamente dois roteadores, configure ip ospf network point-to-point nas duas extremidades para eliminar a eleição e sua espera padrão de 40 segundos. Esse enlace também não precisa de um LSA de rede tipo 2. Use o mesmo tipo nas duas extremidades: uma incompatibilidade entre broadcast e ponto a ponto pode alcançar Full, mas não instalar as rotas esperadas, pois os roteadores descrevem o enlace de formas diferentes.

Inicie o OSPFv2 com um identificador de processo local, defina um identificador de roteador único e habilite o OSPF nas interfaces desejadas. Identificadores de processo são rótulos locais: R1 pode usar o processo 1 e seu vizinho o processo 7.

Habilite OSPFv2 em um enlace de trânsito e em uma LAN

R1 tem 10.0.12.1/30 em direção a R2 em G0/0/0 e 192.168.1.1/24 em sua LAN de usuários, G0/0/1:

router ospf 1
 router-id 1.1.1.1
 network 10.0.12.0 0.0.0.3 area 0
 network 192.168.1.0 0.0.0.255 area 0
 passive-interface GigabitEthernet0/0/1

Uma instrução network seleciona interfaces locais por seus endereços. Sua máscara curinga tem zeros onde os bits devem corresponder e uns onde os bits podem variar. Subtraia uma máscara de sub-rede contígua de 255.255.255.255: a máscara /30 255.255.255.252 resulta na máscara curinga 0.0.0.3; /24 resulta em 0.0.0.255. A máscara curinga 0.0.0.0 seleciona um endereço de interface exato.

Como alternativa, coloque ip ospf 1 area 0 em cada interface participante. A LAN permanece passiva pelo comando do processo. Uma interface passiva anuncia sua sub-rede, mas não envia mensagens Hello. Isso é adequado para LANs voltadas a hosts; tornar a interface de trânsito passiva impede que seu vizinho se forme.

Compartilhe uma rota padrão e defina custos

Um roteador de borda com uma rota padrão utilizável pode anunciá-la:

ip route 0.0.0.0 0.0.0.0 203.0.113.1
router ospf 1
 default-information originate
 auto-cost reference-bandwidth 10000

Os roteadores internos aprendem uma rota padrão O*E2. Sem uma rota padrão na tabela do roteador de borda, o default-information originate comum não anuncia nada; always muda esse comportamento. Use a mesma largura de banda de referência em todos os roteadores, em Mbps. Um comando de interface como ip ospf cost 50 substitui seu custo calculado. A configuração de interface bandwidth afeta cálculos, não a velocidade física da linha.

Habilite OSPFv3 para IPv6

Com endereços IPv6 já configurados nas interfaces:

ipv6 unicast-routing
ipv6 router ospf 1
 router-id 1.1.1.1
interface GigabitEthernet0/0/0
 ipv6 ospf 1 area 0
interface GigabitEthernet0/0/1
 ipv6 ospf 1 area 0

Defina também a interface voltada aos hosts como passiva no processo OSPF IPv6. O OSPFv3 ainda precisa de um identificador de roteador de 32 bits; defina-o explicitamente quando não houver endereços IPv4. Os vizinhos se comunicam usando endereços locais de enlace.

Verifique uma etapa por vez

show ip protocols lista as configurações do processo e as interfaces passivas. show ip ospf neighbor verifica a sincronização. show ip ospf interface brief verifica área, custo, estado e número de vizinhos. show ip route ospf mostra rotas O instaladas com [110/cost]. Para IPv6, use show ipv6 ospf neighbor e show ipv6 route ospf.

Se não houver adjacência, verifique o estado up/up, a participação no OSPF, a cobertura da máscara curinga, as configurações passivas, a área, os temporizadores, a unicidade dos identificadores e a correspondência das configurações de autenticação. Enlaces OSPFv2 de broadcast também precisam de sub-rede e máscara correspondentes. ExStart/Exchange sugere verificar a MTU; os filtros devem permitir o protocolo IP 89. Para vizinhos em Full com rotas ausentes, verifique o anúncio do prefixo remoto, a correspondência dos tipos de rede e se uma fonte com AD menor já fornece o mesmo prefixo.

A tradução de endereços de rede (NAT) reescreve endereços quando pacotes atravessam entre uma rede interna e uma externa. Uma tabela de traduções registra os mapeamentos para que as respostas possam ser traduzidas de volta. Isso permite que hosts IPv4 privados se comuniquem por endereços roteados globalmente enquanto economiza o espaço IPv4 público.

As faixas privadas são 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16. A faixa do meio termina em 172.31.255.255; nem todos os endereços que começam com 172 são privados. Organizações podem reutilizar essas faixas internamente, mas a internet pública não as roteia.

Interprete os quatro nomes de endereço

Interno/externo identifica o lado do host. Local/global identifica a perspectiva do endereço. No NAT comum de origem interna, os valores local externo e global externo são iguais.

Escolha um tipo de mapeamento

O NAT estático dá a um endereço interno um mapeamento permanente de um para um. Um servidor interno pode então ter um endereço externo fixo. O NAT dinâmico atribui endereços de um pool conforme a demanda. Um pool de seis endereços sem sobrecarga pode atender seis hosts internos ao mesmo tempo; um sétimo deve esperar até que um mapeamento seja liberado.

O PAT, também chamado de sobrecarga de NAT, permite que muitos hosts compartilhem um ou alguns endereços públicos. Portas distinguem sessões TCP e UDP; consultas ICMP usam identificadores de consulta. O roteador pode alterar uma porta de origem para evitar uma colisão. Os campos de porta têm 16 bits, mas as portas utilizáveis, as regras de reutilização por destino e os recursos do dispositivo determinam a capacidade real de sessões.

O encaminhamento de portas, ou PAT estático, dá a um serviço interno um mapeamento fixo de endereço e porta públicos. Por exemplo, o endereço público 203.0.113.2:443 pode representar TCP 443 em 192.168.1.20. Outros serviços podem compartilhar o mesmo endereço público por meio de mapeamentos de portas diferentes.

Acompanhe duas conexões

Os hosts 192.168.1.10 e 192.168.1.11 se conectam da porta TCP de origem 51000 para 198.51.100.80:443. O PAT usa o endereço externo 203.0.113.2:

O segundo mapeamento evita uma colisão. Uma resposta para a porta pública 51001 retorna a 192.168.1.11:51000. O servidor externo permanece 198.51.100.80:443 nas duas colunas de endereço externo.

Tradução e proteção têm funções diferentes

NAT não é um firewall. Ele altera o endereçamento; um firewall aplica regras de segurança. A tradução também interrompe o endereçamento direto de ponta a ponta. Aplicações que colocam endereços dentro de seus dados, como SIP ou FTP em modo ativo, podem precisar de funções auxiliares ou de travessia de NAT. Registros de tradução ajudam a associar uma conexão pública compartilhada a um host interno.

Hosts IPv6 normalmente usam endereços globais sem NAT, com firewalls controlando o tráfego. Provedores podem aplicar NAT de operadora a clientes IPv4, frequentemente usando a faixa compartilhada 100.64.0.0/10. Essa faixa é separada do espaço privado da RFC 1918, e o endereço externo de um cliente pode, portanto, ainda estar atrás de outro dispositivo de tradução.

Uma configuração NAT funcional precisa de funções corretas para as interfaces, uma seleção de endereços internos, uma regra de mapeamento e rotas. O NAT não pode corrigir a ausência de um caminho para o provedor ou de uma rota de retorno para o mapeamento público.

Identifique os dois lados

Suponha que G0/0/0 esteja voltada para 192.168.1.0/24 e G0/0/1 para o provedor:

interface GigabitEthernet0/0/0
 ip nat inside
interface GigabitEthernet0/0/1
 ip nat outside

As funções descrevem a passagem dos pacotes. Invertê-las impede a tradução de origem interna desejada.

Selecione um tipo de tradução

Para um mapeamento fixo de servidor, de um para um:

ip nat inside source static 192.168.1.20 203.0.113.5

Para apenas o serviço TCP 443 do servidor:

ip nat inside source static tcp 192.168.1.20 443 203.0.113.2 443

A tradução dinâmica primeiro seleciona origens e define um pool:

access-list 1 permit 192.168.1.0 0.0.0.255
ip nat pool PUBLIC 203.0.113.9 203.0.113.14 netmask 255.255.255.248
ip nat inside source list 1 pool PUBLIC

O pool contém seis endereços de host, de .9 a .14, em 203.0.113.8/29. Sem sobrecarga, seis hosts internos podem manter mapeamentos simultaneamente. Para PAT usando esse pool, adicione overload ao comando final.

Uma alternativa comum usa o endereço da interface externa:

ip nat inside source list 1 interface GigabitEthernet0/0/1 overload

Essas regras dinâmicas são alternativas para o projeto desejado. A ACL aqui seleciona o tráfego para tradução: permit significa traduzir esta origem. Ela não é uma regra de filtragem de interface. Uma origem que não corresponde pode sair sem tradução e não receber respostas da internet.

Interprete uma tradução

show ip nat translations pode exibir:

Pro Inside global        Inside local           Outside local        Outside global
tcp 203.0.113.2:51001     192.168.1.11:51000      198.51.100.80:443     198.51.100.80:443

O host interno .11 usa a porta local 51000, mas aparece externamente na porta 51001. Respostas para esse dispositivo final público são mapeadas de volta para .11. O endereço e a porta do servidor externo permanecem inalterados. Entradas estáticas permanentes podem mostrar --- para campos que o mapeamento não usa.

show ip nat statistics lista traduções ativas, acertos, falhas, funções das interfaces e uso do pool. Gere tráfego antes de esperar entradas dinâmicas. O uso do pool combinado com falhas em novos mapeamentos ajuda a identificar esgotamento; uma falha por si só não estabelece a causa.

Encontre a dependência com problema

Verifique as funções, a faixa de origem da ACL, a regra de mapeamento e se overload era a opção desejada. Depois, verifique a rota padrão do roteador e a rota do provedor de volta para o endereço global interno ou o pool. Os clientes de um servidor publicado devem usar o endereço público e a porta mapeada.

Em um laboratório, debug ip nat mostra eventos de tradução. clear ip nat translation * limpa entradas dinâmicas após uma alteração, mas interrompe essas sessões; use-o apenas quando essa interrupção for aceitável. Os mapeamentos estáticos permanecem configurados.

Um host IPv4 normalmente recebe um gateway padrão por configuração ou DHCP. Se esse roteador falhar, outro roteador na mesma LAN não herda automaticamente a configuração de gateway do host. Um protocolo de redundância de primeiro salto (FHRP) permite que roteadores compartilhem uma identidade de gateway que resiste à falha de um roteador.

Mantenha o gateway do host inalterado

O grupo compartilha um endereço IP virtual (VIP) e um endereço MAC virtual. Os hosts usam o VIP como gateway padrão. O roteador ativo que encaminha o tráfego responde ao ARP para esse VIP com o MAC virtual. Um roteador em espera ou de backup acompanha as mensagens do roteador ativo e assume após a detecção de uma falha.

Na VLAN 10, R1 tem 192.168.10.2/24 e R2 tem 192.168.10.3/24. O VIP HSRP deles é o endereço não utilizado 192.168.10.1. O DHCP fornece .1 como gateway dos hosts, não .2 ou .3.

R1 está ativo com prioridade 110; R2 está em espera com prioridade 100. Se R1 parar de enviar mensagens Hello, R2 assumirá conforme o tempo de espera configurado. Ele usa o mesmo MAC virtual e anuncia a mudança com ARP gratuito. Os comutadores aprendem o MAC na porta de R2. Os hosts podem manter o mapeamento do VIP para o MAC virtual já presente em seus caches ARP, embora alguns pacotes possam ser perdidos durante a detecção e a comutação.

Decida quem encaminha após a recuperação

A prioridade classifica os candidatos; um número maior é preferido. A preempção permite que um roteador com prioridade maior assuma a função ativa de um roteador funcional com prioridade menor. Sem preempção, o roteador ativo já estabelecido pode permanecer ativo após o retorno do roteador preferido.

Agora suponha que a interface de LAN de R1 ainda funcione, mas seu enlace de subida para o provedor falhe. R1 pode continuar enviando mensagens Hello do gateway apesar de não ter um caminho útil adiante. O monitoramento vincula o estado do enlace de subida à prioridade de R1. Com uma redução de 20:

Os 100 de R2 são maiores que 90. Se R2 tiver a preempção habilitada, ele poderá assumir a função ativa. Uma redução de apenas 10 deixaria ambos em 100; essa igualdade não obriga o roteador ativo atual a abandonar sua função. Escolha uma redução suficiente para que o backup seja estritamente preferido após a falha.

Saiba o que o gateway compartilhado protege

Um FHRP troca mensagens sobre as funções de gateway, não informações de roteamento. Cada roteador que encaminha o tráfego ainda precisa de rotas utilizáveis. HSRP e VRRP têm um roteador de encaminhamento por grupo; adicionar um segundo membro não duplica a capacidade de encaminhamento desse grupo. Grupos separados podem distribuir VLANs diferentes entre roteadores ativos diferentes.

Para HSRP, use um VIP separado e não utilizado na sub-rede da LAN. O VRRP tem um caso de proprietário do endereço em que o VIP é o endereço real da interface de um roteador, então essa regra de endereçamento do HSRP não se aplica a todos os FHRPs.

Hosts IPv6 podem aprender vários roteadores padrão pela descoberta de vizinhos e mudar quando um fica inacessível. Esse processo nativo pode levar muitos segundos com as configurações padrão de detecção. HSRPv2 e VRRPv3 também podem fornecer gateways virtuais IPv6 com comutação por falha controlada e mais rápida.

Os protocolos de gateway compartilham uma finalidade, mas diferem em propriedade, padrões e compartilhamento de carga. Use essas diferenças ao interpretar o estado: um roteador em espera com prioridade maior é normal no HSRP se ele não puder exercer preempção.

Compare funções e padrões

O HSRP envia mensagens Hello a cada 3 segundos, com tempo de espera de 10 segundos. A prioridade vai de 0 a 255; em uma nova eleição, um empate é decidido pelo maior IP de interface. A versão 1 oferece suporte aos grupos 0–255, usa o multicast 224.0.0.2 e o MAC virtual 0000.0c07.acXX, com o grupo em hexadecimal. O grupo 10, portanto, termina em 0a. A versão 2 oferece suporte aos grupos 0–4095, usa 224.0.0.102 e o MAC virtual 0000.0c9f.fXXX; ela também oferece suporte a IPv6.

O VRRPv3 é definido na RFC 9568. Sua função de encaminhamento é o roteador ativo; comandos e documentação mais antigos podem chamá-la de master. A prioridade 255 é reservada ao proprietário do endereço VIP. Um empate de prioridade usa o maior IP primário. Anúncios IPv4 vão para 224.0.0.18 usando o protocolo IP 112, com intervalo padrão de 1 segundo. O MAC virtual é 0000.5e00.01XX, com o identificador do roteador virtual em hexadecimal.

O intervalo de inatividade do ativo no VRRP corresponde a três intervalos de anúncio mais o tempo de ajuste. Com prioridade 100 e intervalo de anúncio de 1 segundo:

Um backup com prioridade maior tem um ajuste menor e espera um pouco menos.

O gateway virtual ativo (AVG) do GLBP responde ao ARP para um VIP com diferentes MACs virtuais. Até quatro encaminhadores virtuais ativos (AVFs) compartilham o tráfego dos hosts. HSRP e VRRP podem distribuir tráfego entre vários grupos, mas não compartilham o encaminhamento dessa forma dentro de um grupo.

Configure um grupo HSRP

Na interface de LAN de R1:

ip address 192.168.10.2 255.255.255.0
standby version 2
standby 10 ip 192.168.10.1
standby 10 priority 110
standby 10 preempt

R2 usa .3, a mesma versão, grupo e VIP, e standby 10 preempt; ele mantém a prioridade padrão 100. As duas interfaces de LAN devem estar habilitadas.

Interprete as funções atuais

show standby brief pode mostrar R1 como:

Interface Grp Pri P State  Active Standby      Virtual IP
Gi0/0/0   10  110 P Active local  192.168.10.3 192.168.10.1

P significa que a preempção está configurada; local identifica a função deste roteador. Em R2, State é Standby, Active é 192.168.10.2 e Standby é local. Os estados do HSRP incluem Initial, Learn, Listen, Speak, Standby e Active.

Se ambos os roteadores informarem Active, verifique a entrega de mensagens Hello, VLAN, grupo, versão, filtros e enlaces. Um roteador em espera com prioridade maior pode não ter preempção. Se as funções parecerem corretas, mas os hosts falharem, verifique se o gateway deles é o VIP. show vrrp brief fornece a visão geral equivalente do VRRP. Escolha VRRP para suporte a vários fabricantes, HSRP para um projeto Cisco ou GLBP quando um grupo Cisco precisar compartilhar o encaminhamento.