Cisco 300-410: OSPF-Design, -Optimierung und -Fehlerbehebung — Lernleitfaden

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

Teil des Cisco CCNP Enterprise 300-410 ENARSI — Lernleitfaden. Üben Sie mit verifizierten Antworten im Cisco-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Open Shortest Path First (OSPF) ist ein Link-State-IGP mit schneller Konvergenz, starker Hierarchie und flexiblen Richtliniensteuerungen. Effektive Designs legen Wert auf saubere Area-Grenzen, eine begrenzte Größe der LSDB, kohärente Netzwerktypen sowie konsistente Sicherheitseinstellungen und Timer. Dieser Abschnitt fasst die Mechanismen der Adjacency, das Verhalten von LSAs, Area-Typen, die Rollen von Border-Routern, Sicherheit, Konvergenz-Tuning, OSPFv3-Besonderheiten und einen strukturierten Ansatz zur Fehlerbehebung zusammen.

Nachbar-Adjacency, Netzwerktypen und DR/BDR-Design

Nachbarzustände und Aufbau

• Zustände: Down → Init → 2-Way → ExStart → Exchange → Loading → Full. NBMA fügt den Zustand Attempt hinzu.
• Die Verarbeitung von Hello-Paketen führt zum 2-Way-Zustand, wenn die Kommunikation bidirektional ist; der Full-Zustand wird nur mit gewählten Peers (DR/BDR/DROther-Logik) oder auf Point-to-Point-Verbindungen erreicht.
• Die Synchronisierung der Datenbank verwendet DBD, LSR, LSU und LSAck, um den Full-Zustand zu erreichen.

Häufige Inkompatibilitäten und Fehlermodi

• Inkompatibilität bei Area-ID/Typ (Flags für Normal vs. Stub/NSSA) verhindert eine Adjacency.
• Eine MTU-Inkompatibilität führt häufig zum Stillstand bei EXSTART/EXCHANGE; die Lösung ist die Anpassung der Interface-MTU oder die Verwendung von ip ospf mtu-ignore.
• Inkompatible Hello/Dead-Timer brechen den Aufbau der Nachbarschaft ab.
• Inkompatibilitäten bei Authentifizierung/Typ/Schlüssel blockieren die Adjacency.
• Eine Inkompatibilität des Netzwerktyps (Broadcast vs. NBMA vs. Point-to-Point/Point-to-Multipoint) stört die DR-Logik.
• Doppelte Router-IDs, nicht erreichbare Quell-IPs oder Unicast-RPF/Filterung können Sitzungen unterbrechen.

Netzwerktypen und DR/BDR

• Broadcast (z. B. Ethernet, DMVPN mGRE-Standardeinstellungen) und NBMA wählen einen DR/BDR; Point-to-Point und Point-to-Multipoint tun dies nicht.
• DR-Wahl: höchste Interface-Priorität, dann höchste Router-ID. Nicht-präemptiv; um DR/BDR zu ersetzen, müssen Adjacencies zurückgesetzt oder das Segment geändert werden.
• Design der Interface-Priorität:
  • In geteilten LANs sollte ein stabiles, leistungsfähiges Gerät als DR bevorzugt werden. Beispiel: ip ospf priority 200 auf Interface-Ebene.
  • In einem Single-Hub-DMVPN stellen Sie sicher, dass der Hub zum DR wird, um Erreichbarkeitslücken im Hub-and-Spoke-Modell zu vermeiden: interface Tunnel0 ip ospf priority 200
  • In instabilen Segmenten sollten Sie Point-to-Multipoint in Betracht ziehen, um DR-Fluktuationen (Churn) zu eliminieren, was jedoch zu zusätzlichen LSAs und weniger effizientem Flooding führt.

LSAs, LSDB-Synchronisierung, SPF und Routen-Installation

LSA-Typen und Geltungsbereich

• Typ 1 Router und Typ 2 Network (Intra-Area-Topologie).
• Typ 3 Summary (ABR) und Typ 4 ASBR Summary (Erreichbarkeit des ASBR vom ABR).
• Typ 5 AS-External (E1/E2) für redistribuierte Routen.
• Typ 7 NSSA-External (N1/N2), wird am NSSA ABR in Typ 5 übersetzt.
• Opaque LSAs (Typ 9/10/11) für Erweiterungen wie TE; Geltungsbereich ist Link/Area/AS.

LSDB-Synchronisierung

• Nach der Nachbarwahl bestimmt der Austausch von DBDs neuere LSAs. Fehlende Einträge werden per LSR angefordert und per LSU gesendet.
• Konsistente LSA-Prüfsummen/Sequenznummern sind zwingend erforderlich; eine Beschädigung führt zu hängengebliebenen LOADING-Zuständen.

SPF-Berechnung und inkrementeller SPF

• SPF berechnet pro Area einen Kürzeste-Wege-Baum (Shortest-Path Tree). Die Kosten sind additiv; Intra-Area-Pfade werden gegenüber Inter-Area-Pfaden bevorzugt, gefolgt von externen Pfaden.
• Präferenz für externe Routen: E1/N1 beinhalten die internen Kosten; sie werden gegenüber E2/N2 für dasselbe Ziel bevorzugt.
• Rangfolge bei der Routen-Installation (Standard-AD): OSPF-Routen haben eine AD von 110; bei Bedarf kann dies mit distance ospf intra-area inter-area external angepasst werden.
• Inkrementeller SPF (iSPF) berechnet nur betroffene Teilgraphen neu, was die CPU-Auslastung bei Flaps reduziert: router ospf 1 ispf

Forwarding Address und externe Erreichbarkeit

• Externe LSAs können eine Forwarding Address (FA) enthalten. Der Router muss eine Route zur FA haben; andernfalls verwendet er den ankündigenden ASBR.
• Fehlende Typ-4-LSAs oder die Nichterreichbarkeit der FA verhindern die Installation externer Routen.

Areas, Grenzen, Virtual Links, Summarization und externe Routen

Area-Typen

• Backbone (Area 0): obligatorischer Transit für Inter-Area-Verkehr; muss zusammenhängend sein.
• Normal: alle LSAs erlaubt.
• Stub: blockiert Typ 5; der ABR injiziert eine Default-Route (Typ 3).
• Totally Stubby (herstellerspezifisch): blockiert Typ 3, 4, 5 mit Ausnahme einer einzigen Default-Route.
• NSSA: erlaubt Typ 7 (lokale Redistribution), blockiert aber Typ 5; keine Default-Route, es sei denn, sie wird konfiguriert.
• Totally NSSA: wie NSSA, unterdrückt aber die meisten Typ-3-LSAs; kann weiterhin eine Default-Route empfangen.

ABRs und ASBRs

• Ein ABR hat Interfaces in Area 0 und einer oder mehreren Nicht-Backbone-Areas; er erzeugt Typ-3- und Typ-4-LSAs; idealer Ort für die Summarization.
• Ein ASBR redistribuiert externe Routen in OSPF (Typ 5 oder Typ 7 in einer NSSA).
• Platzieren Sie ABRs an stabilen, hochkapazitiven Knoten; vermeiden Sie eine tiefe Verschachtelung von Areas; begrenzen Sie die Topologie jeder Area auf eine überschaubare Größe.

Virtual Links

• Sparsam verwenden, um eine Area über eine gemeinsame Transit-Area mit der Backbone zu verbinden. Beide Endpunkte müssen ABRs sein; vermeiden Sie die Verwendung von instabilen oder Stub/NSSA-Transit-Areas.

Summarization und Erzeugung von Default-Routen

• Inter-Area-Summarization auf ABRs: router ospf 1 area 10 range 10.0.0.0 255.255.0.0 advertise
• Externe Summarization auf ASBRs: router ospf 1 summary-address 172.16.0.0 255.255.0.0
• Default-Routen:
  • In normale Areas: default-information originate [always] [metric-type 1|2].
  • Stub/Totally-Stub-Areas: Der ABR injiziert die Default-Route automatisch.
  • NSSA: area 10 nssa default-information-originate.

Umgang mit externen Routen

• Auswahl zwischen E1/N1 und E2/N2: Bevorzugen Sie kostenbewusste Routen (E1/N1), wenn mehrere Ausgänge existieren.
• In einer NSSA führt ein einzelner ABR die Übersetzung von Typ 7 zu Typ 5 durch (höchste Router-ID oder explizit konfiguriert). Stellen Sie eine konsistente Richtlinie sicher.

Sicherheit, Timer, Konvergenz-Tuning, OSPFv3 und strukturierte Diagnose

Authentifizierung und sichere Adjacencies

• OSPFv2 unterstützt einfache und kryptografische Authentifizierung; bevorzugen Sie Key-Chains mit HMAC-SHA/MD5 und Gültigkeitsdauern für einen unterbrechungsfreien Rollover: key chain OSPF-KEYS key 1 key-string OLDKEY accept-lifetime 00:00:00 1 Jan 2026 23:59:59 30 Jun 2026 key 2 key-string NEWKEY accept-lifetime 00:00:00 1 Jun 2026 infinite interface GigabitEthernet0/0 ip ospf authentication key-chain OSPF-KEYS
• OSPFv3 verzichtet auf integrierte Authentifizierung; verwenden Sie IPsec (AH/ESP) oder den OSPFv3 Authentication Trailer. Anwendung pro Schnittstelle oder über Key-Chains, wo unterstützt.

Timer, Drosselung und schnelle Erkennung

• Standardwerte für Hello/Dead: 10/40s bei Broadcast/Point-to-Point, 30/120s bei NBMA/Point-to-Multipoint. Auf beiden Seiten konsistent einstellen.
• Schnelle Hellos: ip ospf dead-interval minimal hello-multiplier 5 (für Robustheit zusammen mit BFD verwenden).
• BFD: schnelle Erkennung von Peer-Ausfällen, integriert in OSPF (ip ospf bfd).
• Drosselung und Taktung: router ospf 1 timers throttle spf 50 200 5000 timers throttle lsa all 50 200 5000 timers lsa arrival 20
• Inkrementelles SPF (iSPF) reduziert die Auswirkungen von Neuberechnungen bei hoher Änderungsrate (Churn).

Verhalten von OSPFv3 und Bereitstellung für IPv6/IPv4

• Nachbarn bilden sich über Link-Local-IPv6-Adressen; die Router-ID bleibt 32-Bit und muss pro Prozess eindeutig sein.
• Schnittstellenbasierte Aktivierung pro Adressfamilie; OSPFv3 unterstützt IPv6 und auf modernen Plattformen auch IPv4: interface GigabitEthernet0/0 ospfv3 1 ipv6 area 0 ospfv3 1 ipv4 area 0
• LSA-Modell aktualisiert (funktional äquivalente Typen mit anderer Nummerierung); Area-Design und Präferenzregeln spiegeln OSPFv2 wider.

Strukturierte Diagnose: fehlende Routen und instabile Adjacencies

• Fehlende OSPF-Routen:
  • Adjacency-Status und LSDB überprüfen: show ip ospf neighbor, show ip ospf database.
  • Bestätigen, dass der Area-Typ die erwarteten LSAs zulässt (z. B. werden Typ-5-LSAs in Stub-Areas unterdrückt; Typ-7-LSAs nur in NSSA).
  • Auf fehlende Typ-4-LSAs zu einem ASBR prüfen; sicherstellen, dass ein ABR vorhanden ist und die Backbone-Erreichbarkeit gegeben ist.
  • Erreichbarkeit der externen Forwarding Address (FA) und die Redistributions-Richtlinie/Metriken validieren.
  • In VRF/VRF-lite bei Bedarf die Capability vrf-lite unter router ospf X vrf NAME aktivieren und mit show ip route vrf NAME die Installation in der RIB bestätigen.
• Instabile Adjacencies:
  • Mit L2-Ereignissen korrelieren; BFD zur Erkennung in Betracht ziehen und DR-Churn durch Korrektur der Interface-Priorität oder Verwendung von Point-to-Multipoint reduzieren.
  • Blockaden bei EXSTART/EXCHANGE durch Abgleich der MTUs beheben; Blockaden bei LOADING durch Bereinigung von LSDB-Inkonsistenzen und Sicherstellung eindeutiger Router-IDs beheben.
  • Hello/Dead/Authentifizierung/Netzwerktyp auf beiden Seiten abgleichen; bei NBMA sicherstellen, dass neighbor-Anweisungen oder dynamische Erkennung dem Design entsprechen.

Kurze Konfigurationsbeispiele

• Ein Broadcast-Segment in Point-to-Multipoint umwandeln, um den DR zu entfernen: interface GigabitEthernet0/1 ip ospf network point-to-multipoint
• NSSA-Standardrouten-Injektion: router ospf 1 area 20 nssa default-information-originate

Praktisches Problemszenario

Contoso Warehousing betreibt ein Single-Hub-DMVPN mit 120 Spokes. OSPF läuft über das mGRE/IPsec-Overlay. Der Betrieb meldet intermittierende Erreichbarkeit zwischen den Spokes und fehlende externe Routen von einem ASBR im Rechenzentrum.

Vorgehensweise

1. Deterministische DR/BDR-Wahl am DMVPN-Hub sicherstellen

• Begründung: Das DMVPN-Overlay verhält sich für OSPF wie ein Multiaccess-Segment. Ein stabiler DR am Hub verhindert partielle LSDBs und Black Holes zwischen den Spokes.
• Maßnahme: interface Tunnel0 ip ospf priority 200

2. OSPF-Netzwerktyp und Hello/Dead-Timer normalisieren

• Begründung: Gemischte Netzwerktypen und inkonsistente Timer verursachen häufige Resets der Nachbarschaftsbeziehungen. Konsistenz stabilisiert die Adjacency-Matrix.
• Maßnahme: Alle Tunnel-Interfaces auf Broadcast mit Hello/Dead 10/40 setzen oder auf Point-to-Multipoint umstellen, falls die Unterdrückung des DR bevorzugt wird.

3. Blockaden bei EXSTART/EXCHANGE durch Abgleich der MTUs beheben

• Begründung: MTU-Inkonsistenzen blockieren die DBD-Aushandlung und führen zu Blockaden bei EXSTART/EXCHANGE.
• Maßnahme: Tunnel- und physische MTUs abgleichen; als letzte Möglichkeit ip ospf mtu-ignore auf allen Tunnel-Interfaces anwenden.

4. BFD auf den Tunneln aktivieren

• Begründung: Schnelle Fehlererkennung reduziert die Konvergenzzeit ohne aggressive Hello-Timer.
• Maßnahme: interface Tunnel0 ip ospf bfd

5. SPF- und LSA-Generierung drosseln und iSPF aktivieren

• Begründung: Bei 120 Spokes können ungedrosselte SPF/LSA-Bursts die CPU-Auslastung in die Höhe treiben und Ausfälle verlängern.
• Maßnahme: router ospf 100 ispf timers throttle spf 50 200 5000 timers throttle lsa all 50 200 5000 timers lsa arrival 20

6. Sichtbarkeit externer Routen aus dem Rechenzentrum wiederherstellen

• Begründung: Die Spokes erhalten die redistribuierten Präfixe nicht, da Typ-5-LSAs in einer Spoke-NSSA nicht vorhanden sind.
• Maßnahme: Wenn sich die Spokes in einer NSSA befinden, die Typ-7-Übersetzung am Hub-ABR sicherstellen und bei Bedarf eine Standardroute injizieren: router ospf 100 area 10 nssa default-information-originate Bestätigen, dass ein einzelner ABR die Übersetzung von Typ-7 zu Typ-5 durchführt und dass Typ-4-LSAs zum ASBR existieren.

7. Routen an ABRs und ASBRs zusammenfassen

• Begründung: Routenzusammenfassung verkleinert die LSDB und begrenzt den Umfang von Änderungen (Churn).
• Maßnahme: router ospf 100 area 10 range 10.50.0.0 255.255.0.0 summary-address 172.20.0.0 255.255.0.0

8. Schlüssel sichern und ohne Ausfallzeit erneuern (rollen)

• Begründung: Inkonsistenzen bei der Authentifizierung verursachen Flaps; das Erneuern (Rollen) von Schlüsseln mit Gültigkeitsdauern vermeidet den Verlust der Adjacency.
• Maßnahme: key chain OSPF-KEYS key 10 key-string OLD accept-lifetime … key 20 key-string NEW accept-lifetime … interface Tunnel0 ip ospf authentication key-chain OSPF-KEYS

Durch die Erzwingung einer stabilen DR-Wahl, die Harmonisierung von Netzwerktypen und Timern, die Beseitigung von MTU-bedingten Blockaden, die Begrenzung des SPF/LSA-Churns und die Korrektur der Area-/externen Richtlinien konvergiert die DMVPN-OSPF-Domäne von Contoso vorhersagbar und verteilt alle beabsichtigten Präfixe an jeden Spoke.

← Fortgeschrittene IPv4- und IPv6-Adressierung · Alle Domänen · EIGRP-Design →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →