https://wiki.frotmail.nl/index.php?action=history&feed=atom&title=Problem%3AVerkeerde_next-hop_in_OSPF 2026-08-06T03:45:17Z Revision history for this page on the wiki MediaWiki 1.46.0 https://wiki.frotmail.nl/index.php?title=Problem:Verkeerde_next-hop_in_OSPF&diff=17&oldid=prev 2022-04-04T19:09:55Z

<p>Created page with &quot;=Situatie= <a href="/index.php/File:RRI.png" title="File:RRI.png">File:RRI.png</a> We hebben een netwerk waarin via een IP-VPN oude en nieuwe lokaties zijn gekoppeld aan het datacenter. Oude lokaties zijn direct gekoppeld aan het IP-VPN. Nieuwe lokaties maken een IPSEC tunnel naar de ASA in het datacenter. Binnen het datacenter maken alle firewalls en routers deel uit van OSPF Area 1 (dit scenario is niet het complete netwerk waarin area 0 zich bevindt). Verder: * De core router adverteert via OSPF een default gateway * H...&quot;</p> <p><b>New page</b></p><div>=Situatie=<br /> [[File:RRI.png]]<br /> <br /> We hebben een netwerk waarin via een IP-VPN oude en nieuwe lokaties zijn gekoppeld aan het datacenter.<br /> Oude lokaties zijn direct gekoppeld aan het IP-VPN. Nieuwe lokaties maken een IPSEC tunnel naar de ASA in het datacenter.<br /> <br /> Binnen het datacenter maken alle firewalls en routers deel uit van OSPF Area 1 (dit scenario is niet het complete netwerk waarin area 0 zich bevindt).<br /> <br /> Verder:<br /> * De core router adverteert via OSPF een default gateway<br /> * Het netwerk van OUD wordt via BGP geadverteerd in het IP-VPN<br /> * Het netwerk van NEW wordt via IPSEC naar de ASA getransporteerd<br /> * De IPSEC subnetten worden via de ASA in OSPF geinjecteerd middels Reverse Route Inject<br /> * De OSPF routes worden door de BGP routers in BGP geadverteerd.<br /> * Op de BGP routers worden alle netwerken van lokaties als 1 netwerk in OSPF geadverteerd: 172.16.0.0/12 (aggregate address)<br /> ** Netwerken die via IPSEC binnen komen overlappen met deze /12, maar omdat ze &#039;more specific&#039; zijn zou je hier geen last van moeten hebben.<br /> <br /> &#039;&#039;&#039;Probleem:&#039;&#039;&#039; Vanuit het oude en nieuwe netwerk is de Core bereikbaar en vice versa, vanuit de oude lokatie is de nieuwe lokatie onbereikbaar en vice versa...<br /> <br /> Waarom kunnen de oude en nieuwe lokatie niet communiceren?<br /> <br /> De ACL van de ASA is niet de oorzaak, de policy is volledig open gezet en valt buiten scope.<br /> ==Config ASA==<br /> interface Vlan1000<br /> description inside interface<br /> nameif DC<br /> security-level 100<br /> ip address 10.1.1.2 255.255.255.248<br /> !<br /> interface Vlan1001<br /> description Interface to wan<br /> nameif WAN<br /> security-level 75<br /> ip address 10.1.1.9 255.255.255.248<br /> ospf cost 10<br /> !<br /> [..]<br /> object network new-encrypted-subnet<br /> subnet 172.20.0.0 255.255.255.0<br /> access-list WAN_cryptomap_1 extended permit ip any object new-encrypted-subnet<br /> !<br /> route-map StaticToOSPF permit 1<br /> match ip address RedistStatic<br /> !<br /> router ospf 1<br /> router-id 10.1.1.2<br /> network 10.1.0.0 255.255.0.0 area 1<br /> log-adj-changes detail<br /> redistribute static metric-type 1 subnets route-map StaticToOSPF<br /> !<br /> route WAN 192.168.0.0 255.255.248.0 10.1.1.13 200<br /> !<br /> crypto ipsec ikev1 transform-set ESP-AES-256-SHA esp-aes-256 esp-sha-hmac<br /> !<br /> crypto map PA-WAN_map0 1 match address WAN_cryptomap_1<br /> crypto map PA-WAN_map0 1 set pfs group5<br /> crypto map PA-WAN_map0 1 set peer 192.168.0.170<br /> crypto map PA-WAN_map0 1 set ikev1 transform-set ESP-AES-256-SHA<br /> crypto map PA-WAN_map0 1 set reverse-route<br /> crypto map PA-WAN_map0 interface WAN<br /> crypto ca trustpool policy<br /> crypto ikev1 enable WAN<br /> crypto ikev1 policy 1<br /> authentication pre-share<br /> encryption aes-256<br /> hash sha<br /> group 5<br /> lifetime 86400<br /> crypto ikev1 policy 65535<br /> authentication pre-share<br /> encryption 3des<br /> hash sha<br /> group 2<br /> lifetime 86400<br /> !<br /> tunnel-group 192.168.0.170 type ipsec-l2l<br /> tunnel-group 192.168.0.170 general-attributes<br /> default-group-policy GroupPolicy1<br /> tunnel-group 192.168.0.170 ipsec-attributes<br /> ikev1 pre-shared-key *****<br /> <br /> ==Config NEW router==<br /> crypto keyring NEW vrf NEW<br /> pre-shared-key address 10.1.1.9 key *****<br /> !<br /> crypto isakmp policy 1<br /> encr aes 256<br /> authentication pre-share<br /> group 5<br /> !<br /> crypto ipsec transform-set NEW-VPN esp-aes 256 esp-sha-hmac<br /> !<br /> crypto map NEW 1 ipsec-isakmp<br /> set peer 10.1.1.9<br /> set transform-set NEW-VPN<br /> set pfs group5<br /> match address NEW-CD<br /> !<br /> interface FastEthernet0<br /> ip vrf forwarding NEW<br /> ip address 192.168.0.170 255.255.255.248<br /> crypto map NEW<br /> !<br /> interface FastEthernet1<br /> ip vrf forwarding NEW<br /> ip address 172.20.0.1 255.255.255.0<br /> !<br /> ip route vrf NEW 0.0.0.0 0.0.0.0 192.168.0.172<br /> !<br /> ip access-list extended NEW-CD<br /> permit ip 172.20.0.0 0.0.0.255 any<br /> !</div>

Eric