Cisco 300-410: OSPF-ontwerp, optimalisatie en probleemoplossing — Studiegids

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNP Enterprise 300-410 ENARSI — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Open Shortest Path First (OSPF) is een link-state IGP met snelle convergentie, een sterke hiërarchie en flexibele beleidscontroles. Effectieve ontwerpen benadrukken duidelijke area-grenzen, een begrensde LSDB-grootte, coherente netwerktypes en consistente beveiliging en timers. Dit gedeelte behandelt de mechanismen van adjacency, het gedrag van LSA’s, area-types, de rollen van border-routers, beveiliging, het afstemmen van convergentie, specifieke kenmerken van OSPFv3 en een gestructureerde aanpak voor troubleshooting.

Neighbor Adjacency, Netwerktypes en DR/BDR-ontwerp

Neighbor-statussen en -vorming

• Statussen: Down → Init → 2-Way → ExStart → Exchange → Loading → Full. NBMA voegt Attempt toe.
• Hello-verwerking vormt 2-Way wanneer de communicatie bidirectioneel is; Full wordt alleen bereikt met gekozen peers (DR/BDR/DROther-logica) of op point-to-point verbindingen.
• Databasesynchronisatie gebruikt DBD, LSR, LSU en LSAck om de Full-status te bereiken.

Veelvoorkomende mismatches en foutscenario’s

• Mismatch in Area ID/type (normal vs. stub/NSSA-vlaggen) voorkomt adjacency.
• Een MTU-mismatch stagneert vaak bij EXSTART/EXCHANGE; los dit op door de interface-MTU’s gelijk te maken of

undefined

te gebruiken.

• Een mismatch in Hello/dead-timers breekt de vorming van de neighbor-relatie af.
• Een mismatch in authenticatie/type/sleutel blokkeert de adjacency.
• Een mismatch in netwerktype (broadcast vs. NBMA vs. point-to-point/point-to-multipoint) verstoort de DR-logica.
• Dubbele router-ID’s, onbereikbare bron-IP’s of unicast RPF/filtering kunnen sessies verbreken.

Netwerktypes en DR/BDR

• Broadcast (bijv. Ethernet, standaardinstellingen van DMVPN mGRE) en NBMA kiezen een DR/BDR; point-to-point en point-to-multipoint doen dit niet.
• DR-verkiezing: hoogste interface-prioriteit, daarna de hoogste router-ID. Niet-preëmptief; om de DR/BDR te vervangen, moeten adjacencies worden gereset of moet het segment worden gewijzigd.
• Ontwerp van interface-prioriteit:
  • Geef op gedeelde LAN’s de voorkeur aan een stabiel, krachtig apparaat als DR. Voorbeeld:

undefined

op interfaceniveau.

• Zorg er in een single-hub DMVPN voor dat de hub de DR wordt om gaten in de bereikbaarheid van het hub-and-spoke-model te voorkomen:

undefined

undefined

• Overweeg op onstabiele segmenten het netwerktype point-to-multipoint om DR-churn te elimineren, ten koste van extra LSA’s en minder efficiënte flooding.

LSA’s, LSDB-synchronisatie, SPF en route-installatie

LSA-types en scope

• Type 1 Router en Type 2 Network (intra-area topologie).
• Type 3 Summary (ABR) en Type 4 ASBR Summary (bereikbaarheid van ABR naar ASBR).
• Type 5 AS-External (E1/E2) voor geherdistribueerde routes.
• Type 7 NSSA-External (N1/N2), vertaald naar Type 5 op de NSSA ABR.
• Opaque LSA’s (Type 9/10/11) voor extensies zoals TE; de scope is link/area/AS.

LSDB-synchronisatie

• Na de neighbor-verkiezing bepaalt de uitwisseling van DBD’s welke LSA’s nieuwer zijn. Ontbrekende items worden opgevraagd via LSR en verzonden via LSU.
• Consistente LSA-checksums/sequentienummers zijn verplicht; corruptie leidt tot een vastgelopen LOADING-status.

SPF-berekening en incrementele SPF

• SPF berekent een shortest-path tree per area. De kosten zijn additief; intra-area paden hebben de voorkeur boven inter-area paden, en daarna externe paden.
• Voorkeur voor externe routes: E1/N1 omvat de interne kosten; heeft de voorkeur boven E2/N2 voor dezelfde bestemming.
• Rangorde voor route-installatie (standaard AD): OSPF-routes hebben een AD van 110; pas dit indien nodig aan met

undefined

.

• Incrementele SPF (ispf) herberekent alleen de getroffen subgrafieken, wat de CPU-belasting tijdens ‘flaps’ vermindert:

undefined

undefined

Forwarding address en externe bereikbaarheid

• Externe LSA’s kunnen een forwarding address (FA) bevatten. De router moet een route naar de FA hebben; anders gebruikt hij de adverterende ASBR.
• Ontbrekende Type 4 LSA’s of een gebrek aan bereikbaarheid van de FA voorkomt de installatie van externe routes.

Area’s, grenzen, Virtual Links, summarization en externe routes

Area-types

• Backbone (area 0): verplichte transit voor inter-area verkeer; moet aaneengesloten zijn.
• Normal: alle LSA’s toegestaan.
• Stub: blokkeert Type 5; de ABR injecteert een default route (Type 3).
• Totally stubby (leveranciersspecifiek): blokkeert Type 3, 4 en 5, met uitzondering van één enkele default route.
• NSSA: staat Type 7 toe (lokale herdistributie) maar blokkeert Type 5; geen default route tenzij geconfigureerd.
• Totally NSSA: zoals NSSA, maar onderdrukt de meeste Type 3 LSA’s; kan nog steeds een default route ontvangen.

ABR’s en ASBR’s

• Een ABR heeft interfaces in area 0 en een of meer non-backbone area’s; genereert Type 3 en Type 4 LSA’s; is de ideale plaats voor summarization.
• Een ASBR herdistribueert externe routes in OSPF (Type 5, of Type 7 in een NSSA).
• Plaats ABR’s op stabiele knooppunten met hoge capaciteit; vermijd diepe nesting van area’s; beperk de topologie van elke area tot een beheersbare omvang.

Virtual links

• Gebruik spaarzaam om een area te overbruggen naar de backbone via een gemeenschappelijke transit area. Beide eindpunten moeten ABR’s zijn; vermijd het gebruik van onstabiele of stub/NSSA transit area’s.

Summarization en default route-originatie

• Inter-area summarization op ABR’s:

undefined

undefined

• Externe summarization op ASBR’s:

undefined

undefined

• Default routes:
  • In normale area’s:

undefined

.

• Stub/totally stub area’s: de ABR injecteert automatisch een default route.
• NSSA:

undefined

.

Verwerking van externe routes

• Selectie tussen E1/N1 en E2/N2: geef de voorkeur aan kostengevoelige routes (E1/N1) wanneer er meerdere uitgangen zijn.
• In een NSSA voert één enkele ABR de vertaling van Type 7 naar Type 5 uit (die met de hoogste router-ID of expliciet geconfigureerd). Zorg voor een consistent beleid.

Beveiliging, Timers, Convergentie-tuning, OSPFv3 en Gestructureerde Diagnose

Authenticatie en beveiligde adjacencies

• OSPFv2 ondersteunt eenvoudige en cryptografische authenticatie; geef de voorkeur aan key chains met HMAC-SHA/MD5 en lifetimes voor een rollover zonder downtime: key chain OSPF-KEYS key 1 key-string OLDKEY accept-lifetime 00:00:00 1 Jan 2026 23:59:59 30 Jun 2026 key 2 key-string NEWKEY accept-lifetime 00:00:00 1 Jun 2026 infinite interface GigabitEthernet0/0 ip ospf authentication key-chain OSPF-KEYS
• OSPFv3 heeft geen ingebouwde authenticatie; gebruik IPsec (AH/ESP) of de OSPFv3 Authentication Trailer. Pas dit toe per interface of via key chains waar ondersteund.

Timers, throttling en snelle detectie

• Standaard hello/dead-timers: 10/40s op broadcast/point-to-point, 30/120s op NBMA/point-to-multipoint. Stem deze aan beide kanten consistent af.
• Snelle hello’s: ip ospf dead-interval minimal hello-multiplier 5 (gebruik met BFD voor robuustheid).
• BFD: snelle detectie van peer-storingen, geïntegreerd met OSPF (ip ospf bfd).
• Throttling en pacing: router ospf 1 timers throttle spf 50 200 5000 timers throttle lsa all 50 200 5000 timers lsa arrival 20
• Incremental SPF (iSPF) vermindert de impact van herberekeningen bij netwerkinstabiliteit (churn).

OSPFv3-gedrag en IPv6/IPv4-implementatie

• Neighbors worden gevormd via link-local IPv6; de router-ID blijft 32-bit en moet uniek zijn per proces.
• Activatie per interface en per address family; OSPFv3 ondersteunt IPv6 en, op moderne platformen, ook IPv4: interface GigabitEthernet0/0 ospfv3 1 ipv6 area 0 ospfv3 1 ipv4 area 0
• LSA-model is bijgewerkt (functioneel equivalente types met andere nummering); area-ontwerp en voorkeursregels zijn een spiegel van OSPFv2.

Gestructureerde diagnose: ontbrekende routes en onstabiele adjacencies

• Ontbrekende OSPF-routes:
  • Verifieer de adjacency-status en de LSDB: show ip ospf neighbor, show ip ospf database.
  • Controleer of het area-type de verwachte LSA’s toestaat (bv. Type 5 wordt verwijderd in een stub; Type 7 alleen in een NSSA).
  • Controleer op afwezige Type 4 LSA’s naar een ASBR; verzeker de aanwezigheid van een ABR en bereikbaarheid van de backbone.
  • Valideer de bereikbaarheid van de externe FA (Forwarding Address) en het redistribution-beleid/de metrics.
  • In VRF/VRF-lite, activeer capability vrf-lite onder router ospf X vrf NAME indien nodig, en gebruik show ip route vrf NAME om de installatie in de RIB te bevestigen.
• Onstabiele adjacencies:
  • Correleer met L2-gebeurtenissen; overweeg BFD voor detectie en verminder DR-churn door de interface-priority aan te passen of point-to-multipoint te gebruiken.
  • Los EXSTART/EXCHANGE-stagnaties op door MTU’s gelijk te trekken; los LOADING-stagnaties op door inconsistenties in de LSDB op te heffen en unieke router-ID’s te garanderen.
  • Stem hello/dead/authenticatie/netwerktype aan beide kanten op elkaar af; zorg bij NBMA voor neighbor-statements of dynamische discovery, afhankelijk van het ontwerp.

Korte configuratievoorbeelden

• Een broadcast-segment omzetten naar point-to-multipoint om de DR te verwijderen: interface GigabitEthernet0/1 ip ospf network point-to-multipoint
• NSSA default-route injectie: router ospf 1 area 20 nssa default-information-originate

Praktisch Probleemscenario

Contoso Warehousing beheert een single-hub DMVPN met 120 spokes. OSPF draait over de mGRE/IPsec-overlay. De operationele afdeling meldt intermittente bereikbaarheid tussen spokes en ontbrekende externe routes vanaf een ASBR in het datacenter.

Aanpak

1. Zorg voor een deterministische DR/BDR op de DMVPN-hub

• Rationale: De DMVPN-overlay gedraagt zich als een multiaccess-segment voor OSPF. Een stabiele DR op de hub voorkomt incomplete LSDB’s en black holes tussen spokes.
• Actie: interface Tunnel0 ip ospf priority 200

2. Normaliseer het OSPF-netwerktype en de hello/dead-timers

• Rationale: Gemengde netwerktypes en niet-overeenkomende timers veroorzaken frequente resets van de neighbor-relatie. Consistentie stabiliseert de adjacency-matrix.
• Actie: Stel alle tunnel-interfaces in op broadcast met hello/dead 10/40, of schakel over naar point-to-multipoint als het onderdrukken van de DR de voorkeur heeft.

3. Los EXSTART/EXCHANGE-stagnaties op door MTU’s op elkaar af te stemmen

• Rationale: MTU-mismatches blokkeren de DBD-onderhandeling en veroorzaken stagnatie in de EXSTART/EXCHANGE-fase.
• Actie: Stem de MTU’s van de tunnel en de fysieke interface op elkaar af; pas als laatste redmiddel ip ospf mtu-ignore toe op alle tunnel-interfaces.

4. Activeer BFD op tunnels

• Rationale: Snelle storingsdetectie verkort de convergentietijd zonder de noodzaak van agressieve hello-timers.
• Actie: interface Tunnel0 ip ospf bfd

5. Beperk (throttle) SPF- en LSA-generatie en activeer iSPF

• Rationale: Met 120 spokes kunnen onbeperkte SPF/LSA-bursts de CPU belasten en storingen verlengen.
• Actie: router ospf 100 ispf timers throttle spf 50 200 5000 timers throttle lsa all 50 200 5000 timers lsa arrival 20

6. Herstel de zichtbaarheid van externe routes vanuit het datacenter

• Rationale: Spokes missen geherdistribueerde prefixes omdat Type 5 LSA’s niet aanwezig zijn in een NSSA van een spoke.
• Actie: Als de spokes zich in een NSSA bevinden, zorg dan voor Type 7-translatie op de hub-ABR en injecteer een default-route waar nodig: router ospf 100 area 10 nssa default-information-originate Controleer of één enkele ABR de Type-7-naar-Type-5-translatie uitvoert en of er Type 4 LSA’s naar de ASBR bestaan.

7. Summariseer op ABR’s en ASBR’s

• Rationale: Summarisatie verkleint de LSDB en beperkt de impact van netwerkinstabiliteit (churn).
• Actie: router ospf 100 area 10 range 10.50.0.0 255.255.0.0 summary-address 172.20.0.0 255.255.0.0

8. Beveilig en roteer sleutels zonder downtime

• Rationale: Mismatches in authenticatie veroorzaken ‘flaps’; het roteren van sleutels met lifetimes voorkomt het verlies van de adjacency.
• Actie: key chain OSPF-KEYS key 10 key-string OLD accept-lifetime … key 20 key-string NEW accept-lifetime … interface Tunnel0 ip ospf authentication key-chain OSPF-KEYS

Door een stabiele DR-selectie af te dwingen, netwerktypes en timers te harmoniseren, door MTU veroorzaakte stagnaties te elimineren, SPF/LSA-churn te beperken en het area/externe beleid te corrigeren, convergeert het DMVPN OSPF-domein van Contoso voorspelbaar en adverteert het alle beoogde prefixes naar elke spoke.

← Geavanceerde IPv4- en IPv6-adressering · Alle domeinen · EIGRP-ontwerp →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →