Cisco 300-410: Route-redistributie en beleidsgebaseerd routeren — Studiegids

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNP Enterprise 300-410 ENARSI — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Route redistribution en policy-based routing (PBR) zijn krachtige tools voor het integreren van heterogene routeringsdomeinen en het beïnvloeden van forwarding-beslissingen buiten het standaard op bestemming gebaseerde paradigma. Correct geïmplementeerd, maken ze schaalbare inter-domein connectiviteit, selectieve traffic steering, gecontroleerde propagatie van de default-route en robuuste loop-preventie mogelijk. Incorrect geïmplementeerd, creëren ze routeringslussen, route-feedback, suboptimale paden en moeilijk te diagnosticeren black holes. Dit gedeelte legt het ontwerprationaal, de operationele mechanismen en de faalmodi uit, en biedt precieze richtlijnen voor filtering, metric-vertaling en PBR met tracking en verificatie.

Basisprincipes van Redistribution en Filtering

Grenzen van routeringsdomeinen, seed metrics en administrative distance

• Domeingrenzen bestaan waar verschillende protocollen elkaar kruisen (OSPF/EIGRP/BGP/static/connected). Bij deze grenzen synthetiseert redistribution de bereikbaarheid tussen domeinen.
• Seed metrics zijn verplicht waar het doelprotocol geen metric kan afleiden (bijvoorbeeld OSPF external metric, EIGRP composite metric). Zonder expliciete seeds of standaardwaarden kunnen geherdistribueerde routes onbruikbaar zijn of een zeer lage voorkeur krijgen.
• Administrative distance (AD) bemiddelt tussen protocollen. Typische standaardwaarden: eBGP 20, static 1, OSPF 110, EIGRP internal 90, EIGRP external 170, iBGP 200. Omgevingen met gemengde AD’s kunnen onbedoelde bronnen prefereren (een geherdistribueerde OSPF external kan bijvoorbeeld een iBGP-pad verslaan als er geen rekening wordt gehouden met AD), wat asymmetrische routering of lussen veroorzaakt.

Risico’s van redistribution en tweewegscontroles

• Tweewegsredistribution (A↔B) kan geleerde routes opnieuw injecteren in het oorspronkelijke domein, waardoor persistente lussen of route-“feedback” ontstaan. Beheers dit met:
  • Route tagging om de oorsprong te markeren en herinjectie te blokkeren.
  • Directionele filtering om alleen de noodzakelijke prefixes toe te laten.
  • Summarization bij grenzen om de granulariteit van feedback te verminderen.
  • Passieve default-beleidsregels: injecteer alleen een default-route of alleen samengevatte aggregaten waar van toepassing.
  • AD-tuning om ervoor te zorgen dat het primaire domein de voorkeur geeft aan native routes boven geherdistribueerde routes.

Route tags en patronen voor loop-preventie

• Gebruik door het protocol ondersteunde tags om metadata over de oorsprong mee te geven:
  • OSPF external LSA tags (32-bit).
  • EIGRP route tags via route maps.
  • BGP community/extended community tags.
• Veelvoorkomend patroon:
  • Tag bij redistribution naar een doeldomein (bijvoorbeeld, stel tag 65001 in als geleerd van EIGRP AS 65001).
  • Bij omgekeerde redistribution, match op die tag en weiger om her-originatie te voorkomen.
• Tag-conflicten: definieer een tag-plan om overlappende semantiek tussen edges te vermijden.

Route maps, prefix lists, distribute lists en granulariteit van filtering

• Prefix lists: beste voor match-granulariteit op prefixes en masks (ondersteunt ge/le-operatoren). Gebruik voor zowel BGP- als IGP-edges.
• Distribute lists: verouderde, door access-list/prefix-list gestuurde filtering die direct aan een routeringsproces is gekoppeld; effectief voor IGP’s maar met beperkte context.
• Route maps: veelzijdige beleidsregels die matching ondersteunen op prefix lists, tags, next hops, metrics, communities, en het instellen van acties (metric, tag, type, community, as-path prepend).
• Gebruik route maps wanneer u zowel attributen moet filteren als transformeren; gebruik prefix lists voor efficiënte, schaalbare prefix/mask-selectie.

Plaatsing van route-filtering: inbound versus outbound

• Inbound filtering:
  • Vermindert de groei van RIB/FIB en CPU-gebruik door te voorkomen dat ongewenste routes worden geïnstalleerd.
  • Heeft de voorkeur bij het beschermen van een domein tegen buitensporige of ‘giftige’ updates (bijvoorbeeld BGP edge).
• Outbound filtering:
  • Voorkomt het lekken van routes en over-advertisement.
  • Dwingt exportbeleid en normalisatie van attributen af.
• Valideer voor BGP altijd outbound route maps om onbedoelde attribuutwijzigingen te voorkomen (bijvoorbeeld onbedoelde AS-path prepending die het aantal hops verhoogt zoals gezien door buren).

Beheer van de default-route

• Strategieën omvatten:
  • Injecteer een default-route alleen waar nodig (bijvoorbeeld, OSPF default-information originate met een route map).
  • Herdistribueer static 0.0.0.0/0 voorzichtig; zorg ervoor dat AD en metric-type voorkomen dat de default-route specifiekere routes overtreft.
  • Voor dual edges (Internet en MPLS), gebruik aparte defaults per VRF en pas export/import-beleid toe om cross-leakage te voorkomen.

Metric-vertaling en beheer van de default-route

Metric-vertaling tussen OSPF, EIGRP, BGP en statische routes

• OSPF:
  • Externe routes hebben een cost en een type. Type E1 accumuleert de interne cost richting de ASBR; E2 is standaard constant. Kies E1 wanneer de interne padkosten de exit-selectie moeten beïnvloeden.
  • Stel externe metrics expliciet in om de padselectie over meerdere ASBR’s te beïnvloeden.
• EIGRP:
  • De samengestelde metric gebruikt bandbreedte, delay, betrouwbaarheid, load en MTU. Stel bij redistribution ten minste bandbreedte en delay in; anders kunnen routes slechte metrics toegewezen krijgen en een lage voorkeur krijgen.
  • Gebruik de metric-gewichten K1–K5 alleen als het echt moet; behoud de standaardwaarden voor interoperabiliteit.
• BGP:
  • Vertaalt IGP-metrics niet rechtstreeks. Beheer de padvoorkeur met local preference (intra-AS), MED (inter-AS hint), AS-path prepending en weight (lokaal voor een router).
  • Gebruik bij het herdistribueren van IGP naar BGP route maps om communities en MED in te stellen en om overmatige granulariteit te voorkomen.
• Static:
  • Injecteer in IGP’s met expliciete metrics. Pas op dat een statische route met AD 1 lokaal dynamische routes overschrijft; pas de AD per prefix aan indien nodig (bijvoorbeeld, ip route 0.0.0.0 0.0.0.0 x.y.z.w 5).

Beknopte voorbeelden

• OSPF ← EIGRP met tags en E1:

  route-map EIGRP-TO-OSPF permit 10
   match tag 0
   set tag 65010
   set metric-type type-1
   set metric 50
  router ospf 1
   redistribute eigrp 10 subnets route-map EIGRP-TO-OSPF

• EIGRP ← OSPF met samengestelde metric:

  route-map OSPF-TO-EIGRP permit 10
   match tag 0
   set tag 65020
   set metric 100000 50 255 1 1500
  router eigrp 10
   redistribute ospf 1 route-map OSPF-TO-EIGRP

• BGP outbound attribuutcontrole (voorkom onbedoelde padverlenging van lokale prefixes):

  route-map OUT permit 10
   match ip address prefix-list EXPORT
   set local-preference 150
  route-map OUT permit 20
  router bgp 200
   neighbor 1.1.1.1 remote-as 65001
   neighbor 1.1.1.1 route-map OUT out

Voeg altijd een afsluitende permit-sequentie toe; anders kunt u onbedoeld attributen toevoegen (zoals AS-path prepends) of alle andere routes weggooien.

Default-route

• OSPF default met policy:

  route-map OSPF-DEF permit 10
   match interface GigabitEthernet0/0
  router ospf 1
   default-information originate route-map OSPF-DEF metric 10 metric-type 1

Ontwerp en Beheer van Policy-Based Routing

Kernfunctionaliteit en matching

• PBR wijzigt de forwarding-beslissing per pakket zonder de routeringstabel aan te passen. Het wordt toegepast op inkomend verkeer op een interface of op lokaal gegenereerd verkeer.
• Veelgebruikte match-criteria: bron-/bestemmingsprefixen, DSCP/precedence, protocol/poort (via extended ACL), bereikbaarheid van de next-hop.
• Belangrijkste set-acties:
  • set ip next-hop x.x.x.x [y.y.y.y …]
  • set interface
  • set ip default next-hop x.x.x.x (alleen gebruikt als de route lookup mislukt)
  • set dscp , set ip precedence

Fallback en beschikbaarheidsbewustzijn

• Gebruik next-hop-lijsten voor een geordende fallback. Als de eerste next-hop niet kan worden opgelost, evalueert de router de volgende next-hops.
• Gebruik set ip next-hop verify-availability met object tracking om alleen bereikbare next-hops te prefereren; anders kan PBR black holes creëren.

  ip sla 10
   icmp-echo 203.0.113.1 source-interface GigabitEthernet0/0
   frequency 5
  ip sla schedule 10 life forever start-time now
  track 10 rtr 10 reachability
  route-map PBR permit 10
   match ip address ACL_PBR
   set ip next-hop verify-availability 198.51.100.1 1 track 10
   set ip default next-hop 203.0.113.2
  interface GigabitEthernet0/1
   ip policy route-map PBR

• Lokale versus interface PBR:
  • Interface PBR (ip policy route-map) verwerkt transitverkeer dat die interface binnenkomt.
  • Lokale PBR (ip local policy route-map) verwerkt verkeer dat door de router zelf wordt gegenereerd (bijvoorbeeld beheersessies, pings). Wees voorzichtig om te voorkomen dat control-plane-sessies worden verbroken.

Interacties met control-plane en beveiliging

• PBR werkt in het datapad, vóór de normale route lookup; het wijzigt de RIB niet. Verifieer de CEF adjacency resolution voor set next-hop.
• Control-plane policing (CoPP) past geen policing toe op transitdata die door PBR wordt beïnvloed, maar het kan wel policing toepassen op routing-updates die worden gebruikt door geherdistribueerde domeinen. Bij het valideren van CoPP-rates om routing flaps te voorkomen, stel je aanvankelijk conform-action transmit en exceed-action transmit in tijdens het testen van de ACL-classificatie, en scherp je dit vervolgens naar behoefte aan.
• Als uRPF is geïmplementeerd op ontvangende apparaten, kunnen asymmetrische paden die door PBR zijn gecreëerd, drops veroorzaken. Gebruik ip verify unicast source reachable-via any waar nodig om asymmetrische retourpaden toe te staan.

Verificatie-, Rollback- en Probleemoplossingsstrategie

Verificatiecommando’s

• Route- en beleidsstatus:
  • show ip route en show ip route vrf om de bereikbaarheid per VRF te verifiëren.
  • show ip cef exact-route om de daadwerkelijke forwarding-beslissingen te observeren.
  • show route-map en show access-lists om de volgorde en overeenkomsten te valideren.
  • show policy-map control-plane om de effecten van CoPP tijdens instabiliteit te controleren.
• Protocolspecifiek:
  • OSPF: show ip ospf database external, show ip ospf border-routers, en controleer LSA-tags; voor het inschakelen van OSPFv3 op een interface voor IPv4, gebruik ospfv3 1 ipv4 area onder de interface.
  • EIGRP: show ip eigrp topology, show ip protocols voor redistributiebronnen.
  • BGP: show ip bgp neighbors x.x.x.x advertised-routes en received-routes; bevestig attribuutwijzigingen (AS-path, MED, communities, local preference) en zorg ervoor dat uitgaand beleid niet-overeenkomende routes toestaat wanneer dit de bedoeling is.

Workflow voor probleemoplossing

• Identificeer de symptoomcategorie:
  • Ontbrekende route: controleer inkomende filters en het redistributiebeleid aan de ingress-grens.
  • Verkeerd pad: inspecteer AD, metric-vertaling en uitgaande attribuutaanpassingen.
  • Black hole: verifieer de beschikbaarheid van de PBR next-hop, de IP SLA/track-status, en zorg ervoor dat “set ip default next-hop” alleen wordt gebruikt voor bestemmingen die niet in de routeringstabel staan.
  • Instabiliteit/flaps: controleer eerst loop-preventietags, filterlekken en CoPP-tellers.
• Inspecteer de beleidsvolgorde:
  • De volgorde van de route-map-sequenties is belangrijk. Een deny-sequentie in uitgaand BGP kan de export onderdrukken, terwijl “permit with no set” routes ongewijzigd doorlaat. Voeg altijd een laatste permit 20 (of vergelijkbaar) toe om niet-overeenkomende routes toe te staan wanneer dat gepast is.
• Valideer loop-preventie:
  • Bevestig dat tags worden ingesteld bij export en gefilterd bij herimport. Zorg ervoor dat summarization en filtering aan beide kanten symmetrisch zijn.
• Rollback en wijzigingsveiligheid:
  • Gebruik onderhoudsvensters en een gefaseerde implementatie (pas eerst inkomend toe om uw domein te beschermen; daarna uitgaand).
  • Bewaar configuratiearchieven en gebruik configuration replace om snel terug te draaien.
  • Pas waar mogelijk beleid toe in een VRF-lab of op een beperkte subset van neighbors voordat u het wereldwijd uitrolt.

Korte, gerichte voorbeelden

• Inkomende BGP-subnetfiltering om ‘more-specifics’ te blokkeren:

  ip prefix-list PL-IN deny 172.16.0.0/16 le 23
  ip prefix-list PL-IN permit 0.0.0.0/0 le 32
  router bgp 100
   neighbor 192.0.2.2 remote-as 200
   neighbor 192.0.2.2 prefix-list PL-IN in

• Correct gebruik van route-map-standaardinstellingen om overmatige beperking te voorkomen:

  route-map SETLP permit 10
   match ip address prefix-list P1
   set local-preference 99
  route-map SETLP permit 20

Operationele kanttekeningen en faalmodi

• Verkeerd ingestelde metrics resulteren erin dat al het verkeer één ASBR verkiest, of dat geen verkeer een anderszins geldig pad verkiest.
• Onbedoelde AS-path prepends of een ontbrekende afsluitende permit zorgen ervoor dat neighbors lokale prefixes als verder weg beschouwen, bijvoorbeeld een lokaal gecreëerde 192.168.130.0/24 die op twee AS-hops afstand wordt gezien in plaats van één.
• PBR zonder track/verify-availability kan stille data-plane black holes creëren tijdens een storing van de next-hop.
• Standaard redistributie zonder beleid kan specifieke routes overnemen vanwege AD-verschillen, wat suboptimale routering of verlies van bereikbaarheid veroorzaakt.

Praktisch Probleemscenario

NorthPeak Media voegt een op OSPF gebaseerd WAN samen met een op EIGRP gebaseerd datacenter en heeft selectieve internet-breakout nodig via twee ISP’s. Vereisten: voorkom redistributielussen, geef voor productieverkeer de voorkeur aan ISP-A met automatische failover naar ISP-B, en vermijd impact op de stabiliteit van het control plane.

Aanpak

1. Definieer redistributiegrenzen en -tags

• Rationale: Tweeweg-redistributie is vereist tussen OSPF (WAN) en EIGRP (DC). Tags identificeren de herkomst van de route en voorkomen herinjectie.
• Acties:
  • Op de EIGRP-naar-OSPF ASBR, redistributeer eigrp met set tag 65010, metric-type E1 en cost 50.
  • Op de OSPF-naar-EIGRP ASBR, redistributeer ospf met set tag 65020 en een samengestelde EIGRP-metric; weiger elke route met tag 65010 die terugkomt uit OSPF, en vice versa.

2. Normaliseer metrics en AD

• Rationale: Zorg ervoor dat interne OSPF-routes voorrang hebben op externe OSPF-routes en interne EIGRP-routes voorrang hebben op externe EIGRP-routes; vermijd dat iBGP onbedoeld IGP’s overschaduwt.
• Acties:
  • Gebruik E1 voor externe OSPF-routes zodat de interne cost naar de ASBR de egress-selectie beïnvloedt.
  • Verhoog indien nodig de AD van geredistribueerde statische routes om te voorkomen dat ze specifieke IGP-routes overschrijven.

3. Beheer de propagatie van de default-route

• Rationale: Alleen de WAN-edge mag 0.0.0.0/0 injecteren in OSPF; het DC mag niet onbedoeld een default-route lekken naar OSPF of EIGRP.
• Acties:
  • Op de WAN ABR, gebruik default-information originate met een route-map die overeenkomt met een up/up ISP-interface; metric-type E1 en een gematigde cost.
  • Redistribueer geen statische default-routes vanuit het DC; weiger expliciet 0.0.0.0/0 in route-map-clausules voor redistributie.

4. Pas PBR toe voor selectieve breakout met IP SLA-tracking

• Rationale: Stuur productieverkeer naar ISP-A met automatische, snelle failover naar ISP-B; wijzig de routeringstabel niet.
• Acties:
  • Maak een ACL die overeenkomt met productiesubnetten.
  • Configureer ip sla ICMP-tests naar de next-hop van ISP-A en track-objecten.
  • Pas op de ingress-interfaces van de campus ip policy route-map PBR-PROD toe:
    • set ip next-hop verify-availability 1 track
    • set ip default next-hop voor bestemmingen die niet in de routeringstabel aanwezig zijn.
  • Laat niet-productieverkeer de normale IGP/BGP-paden volgen.

5. Beveilig het control plane en beheerverkeer

• Rationale: Zorg ervoor dat door de router geïnitieerde sessies en routerings-adjacencies niet worden verstoord door PBR of CoPP.
• Acties:
  • Gebruik ip local policy route-map alleen voor specifieke management-bronadressen indien nodig; vermijd anders het globaal toepassen van lokale PBR.
  • Stel tijdens de activering van het CoPP-beleid aanvankelijk conform-action transmit en exceed-action transmit in voor BGP/OSPF-klassen om ACL-matching en -snelheden te valideren zonder flaps te veroorzaken; dwing daarna de gewenste policing af.

6. Plaatsing en validatie van filters

• Rationale: Bescherm het domein tegen een overmaat aan prefixes en voorkom lekken.
• Acties:
  • Inkomende prefix-lijsten op BGP-neighbors om ongewenste ‘more-specifics’ en bogons te blokkeren.
  • Uitgaande route-maps om local preference in te stellen voor geselecteerde prefixes en een afsluitende permit te garanderen.
  • Valideer met show ip route vrf (per VRF), show ip bgp neighbors advertised-routes en show route-map hit counts.

7. Test, monitor en rollback

• Rationale: Een gecontroleerde implementatie vermindert het risico.
• Acties:
  • Implementeer op een subset van interfaces/neighbors, monitor de IP SLA-status en verifieer PBR-tellers en CEF-adjacencies.
  • Archiveer de baseline en gebruik configuration replace voor een snelle rollback als er afwijkingen optreden.
  • Bevestig dat er geen lussen zijn door de route-tags end-to-end te controleren en de afwezigheid van heroriginatie te verifiëren met show ip ospf database external en show ip eigrp topology.

← BGP-beleid · Alle domeinen · MPLS →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →