لب عملی: پیکربندی دستی اینترفیس Passive در OSPF

هدف لب

پیکربندی یک اینترفیس رو‌به‌سمت-LAN روتر به‌عنوان passive درون OSPF، تأیید اینکه شبکه‌اش همچنان به دامنه مسیریابی تبلیغ می‌شود، و تأیید اینکه هیچ بسته hello OSPF‌ای پس از آن روی آن اینترفیس فرستاده یا پذیرفته نمی‌شود.

هدف لب (چرا مهم است)

یک اینترفیس رو‌به‌سمت یک سگمنت LAN کاربر-نهایی هیچ همسایه OSPF مشروعی برای تشکیل یک همسایگی با آن ندارد، اما به‌طور پیش‌فرض OSPF بسته‌های hello را از هر اینترفیس فعال‌شده-شبکه می‌فرستد. این پهنای باند را هدر می‌دهد و، مهم‌تر، یک افشای امنیتی ایجاد می‌کند: هرکسی که یک روتر سرکش را به آن سگمنت LAN وصل کند بالقوه می‌تواند یک همسایگی OSPF غیرمجاز تشکیل دهد.

توپولوژی لب

R1
  GigabitEthernet0/0: 192.168.7.1/24 (LAN، فقط
                       کاربران-نهایی، بدون روتر دیگری)
  Serial0/0/0: 10.7.7.1/30 (لینک WAN به R2،
               همسایه مشروع OSPF)

فرآیند OSPF 1 از قبل هر دو شبکه را تبلیغ می‌کند

وظیفه ۱: تأیید فرستادن Hello توسط هر دو اینترفیس در حال حاضر

تأیید کن بسته‌های hello OSPF روی هر دو اینترفیس LAN و WAN فرستاده می‌شوند.

وظیفه ۲: پیکربندی اینترفیس LAN به‌عنوان Passive

GigabitEthernet0/0 را به‌عنوان یک اینترفیس passive درون فرآیند OSPF تنظیم کن.

وظیفه ۳: تأیید تبلیغ‌شدن همچنان شبکه LAN

تأیید کن 192.168.7.0/24 همچنان در جدول مسیریابی سایر روترها ظاهر می‌شود با وجود passive‌بودن اینترفیس.

وظیفه ۴: تأیید سرکوب Hello روی اینترفیس LAN

تأیید کن هیچ بسته hello OSPF‌ای روی اینترفیس اکنون-passive فرستاده یا دریافت نمی‌شود، در حالی که اینترفیس WAN به‌طور معمول ادامه می‌دهد.

راه‌حل و تأیید

R1# show ip ospf interface brief

Interface    PID   Area    IP Address/Mask    Cost   State
Gi0/0        1     0       192.168.7.1/24     1      DR
Se0/0/0      1     0       10.7.7.1/30        64     P2P
-- هر دو اینترفیس به‌طور فعال شرکت می‌کنند،
-- شامل اینترفیس LAN بدون همسایه مشروعی برای
-- صحبت‌کردن

R1(config)# router ospf 1
R1(config-router)# passive-interface gigabitethernet0/0

R2# show ip route ospf

O    192.168.7.0/24 [110/2] via 10.7.7.1, Serial0/0/0
-- R2 همچنان این شبکه را به‌درستی یاد می‌گیرد --
-- اینترفیس passive فقط بسته‌های hello را
-- سرکوب می‌کند، از تبلیغ‌شدن شبکه از طریق
-- دستور network، که پیش‌تر در این مجموعه بحث
-- شد، جلوگیری نمی‌کند

R1# show ip ospf interface gigabitethernet0/0

GigabitEthernet0/0 is up, line protocol is up
  No Hellos (Passive interface)

R1# show ip ospf interface serial0/0/0

Serial0/0/0 is up, line protocol is up
  Timer intervals configured, Hello 10, Dead 40
-- تأیید می‌کند اینترفیس LAN واقعاً فرستادن
-- hello ها را متوقف کرده، در حالی که اینترفیس
-- WAN عملیات OSPF معمولی را ادامه می‌دهد

نکته کلیدی

Passive interface یک تمایز حیاتی از صرفاً شامل‌نکردن یک شبکه در OSPF اصلاً است: شبکه همچنان تبلیغ‌شده و دسترس‌پذیر است، اما اینترفیس متوقف می‌شود از مشارکت فعال در کشف همسایه — این ترکیب "مسیر را تبلیغ کن، اما اینجا همسایه نپذیر" دقیقاً چیزی است که یک اینترفیس access رو‌به‌سمت-LAN نیاز دارد، و باید به‌عنوان عمل استاندارد روی هر اینترفیس بدون همسایه OSPF مشروع اعمال شود.