Netzwerk & WAN
OSPF
OSPF (Open Shortest Path First) ist ein offenes Interior-Gateway-Protokoll, das mit einem Link-State-Algorithmus die besten Wege im Netz berechnet.
- Link-State (SPF/Dijkstra)
- Areas / Hierarchie
- Schnelle Konvergenz + BFD
- Offener IETF-Standard
- OSPFv2 (IPv4) & OSPFv3 (IPv6)
OSPF (Open Shortest Path First) ist das am weitesten verbreitete offene Interior-Gateway-Protokoll. Es arbeitet nach dem Link-State-Prinzip: Jeder Router verteilt seine Verbindungen im Netz, alle Router bauen dieselbe Topologie-Datenbank auf und berechnen daraus lokal mit dem SPF-Algorithmus (Dijkstra) den kürzesten Weg zu jedem Ziel.
Dieser Artikel erklärt den Aufbau aus Areas und LSAs, wie Nachbarschaften und die DR/BDR-Wahl funktionieren, wie die Cost-Metrik berechnet wird (samt der klassischen Gigabit-Falle), den Unterschied zwischen OSPFv2 und OSPFv3, wie man skaliert und schnell konvergiert und welche Konfigurationsfehler am häufigsten Nachbarschaften verhindern.
1. Wie OSPF funktioniert: LSDB, SPF und Areas
Jeder OSPF-Router beschreibt seine Verbindungen in Link-State Advertisements (LSAs) und flutet sie in seiner Area. Daraus entsteht auf jedem Router eine identische Link-State-Datenbank (LSDB). Aus dieser Datenbank berechnet jeder Router unabhängig einen Baum kürzester Wege mit sich selbst als Wurzel (SPF/Dijkstra). Weil alle dasselbe Bild der Topologie haben, sind die Pfade von Natur aus schleifenfrei.
Zur Skalierung gliedert OSPF das Netz in Areas. Die Backbone Area 0 ist Pflicht; alle anderen Areas hängen direkt oder über einen Virtual Link an ihr. Innerhalb einer Area wird voll gerechnet; zwischen Areas reichen Area Border Router (ABR) zusammengefasste Routen weiter. So schlägt nicht jede lokale Änderung im ganzen Netz durch.
2. Areas und LSA-Typen
Die wichtigsten LSA-Typen: Typ 1 (Router-LSA) und Typ 2 (Network-LSA, vom DR) beschreiben die Topologie innerhalb der Area, Typ 3 (Summary) trägt Inter-Area-Routen, Typ 4 (ASBR-Summary) den Weg zu einem ASBR, Typ 5 (AS-External) externe Routen und Typ 7 die externen Routen einer NSSA. Über die Area-Typen lässt sich steuern, welche davon eine Area überhaupt erreichen:
| Area-Typ | Verhalten |
|---|---|
| Standard | lässt alle LSAs zu, inklusive externer (Typ 5) |
| Stub | blockt externe Typ-5-LSAs; der ABR injiziert stattdessen eine Default-Route |
| Totally Stubby (Cisco) | blockt Typ 3, 4 und 5; nur noch eine Default-Route kommt herein |
| NSSA | wie Stub, erlaubt aber eigene externe Routen als Typ 7; der ABR übersetzt sie zu Typ 5 |
3. Nachbarschaften und DR/BDR
OSPF-Router finden sich über Hello-Pakete (Standard alle 10 s, Dead-Interval 40 s) und durchlaufen die Zustände bis Full, wenn ihre Datenbanken synchron sind. Hello- und Dead-Interval, Area-ID und Netzwerktyp müssen auf beiden Seiten übereinstimmen, sonst entsteht keine Nachbarschaft.
Auf Broadcast-Netzen (Ethernet) wählt OSPF einen Designated Router (DR) und einen Backup (BDR), damit nicht jeder mit jedem eine volle Adjazenz bildet. Die übrigen Router bilden volle Adjazenzen nur zu DR und BDR. Gewählt wird nach höchster Priorität, bei Gleichstand nach höchster Router-ID, und die Wahl ist nicht verdrängend.
4. Metrik: Cost und die Gigabit-Falle
Die OSPF-Metrik ist die Cost, berechnet als Referenz-Bandbreite geteilt durch Link-Bandbreite. Der Default für die Referenz ist 100 Mbit/s, und genau das ist die Falle: Damit bekommen 1-GbE-, 10-GbE- und 100-GbE-Links alle dieselbe Cost von 1 und werden nicht mehr unterschieden. Die Referenz-Bandbreite gehört deshalb netzweit einheitlich auf die höchste vorkommende Geschwindigkeit angehoben.
Cisco IOS: OSPF mit angepasster Referenz-Bandbreite
router ospf 1
auto-cost reference-bandwidth 100000 ! Referenz 100 Gbit/s
passive-interface default
no passive-interface GigabitEthernet0/1
network 10.0.0.0 0.0.0.255 area 05. OSPFv2 und OSPFv3
OSPFv2 (RFC 2328) routet IPv4. OSPFv3 (RFC 5340) wurde für IPv6 entworfen: Es arbeitet pro Link statt pro Subnetz, trennt Topologie- und Adressinformation in eigene LSA-Typen und nutzt mehrere Instanzen über eine Instance-ID. Die Kernmechanik (Flooding, DR-Wahl, Areas, SPF) bleibt gleich.
Über die Address-Family-Erweiterung (RFC 5838) kann OSPFv3 auch IPv4 mittragen. Anders als IS-IS braucht OSPF dabei aber je Adressfamilie eine eigene Instanz; IPv4 und IPv6 laufen nicht in einer gemeinsamen Topologieberechnung.
6. Sicherheit
OSPF-Nachbarschaften sollten authentifiziert sein, sonst lassen sich gefälschte LSAs einspeisen und Wege umlenken. OSPFv2 kennt kryptografische Authentifizierung; seit RFC 5709 mit der HMAC-SHA-Familie. Keyed-MD5 gilt als veraltet, für neue Umgebungen ist mindestens HMAC-SHA-256 zu empfehlen. OSPFv3 nutzt entweder IPsec oder den Authentication Trailer (RFC 7166).
Stille Fehlerquelle
Ist Authentifizierung nur auf einer Seite konfiguriert oder stimmen die Schlüssel nicht überein, scheitert die Nachbarschaft oft ohne klare Fehlermeldung. Authentifizierung immer beidseitig und mit Key-Chains für unterbrechungsfreien Schlüsselwechsel einrichten.
7. Skalierung und schnelle Konvergenz
Sauberes Area-Design mit hierarchischer Adressierung und Summarization an den ABRs hält die Datenbanken klein und begrenzt die Flutung bei Änderungen. Für die Geschwindigkeit sorgen abgestuftes SPF-Throttling (verhindert SPF-Stürme bei instabilen Links), BFD zur Ausfallerkennung im Millisekundenbereich und optional Fast Hellos. Damit erreicht OSPF Konvergenz im Sub-Sekunden-Bereich.
8. Typische Fehler in der Praxis
- MTU-Mismatch unterschiedliche MTU verhindert die volle Adjazenz, die Nachbarn bleiben im Zustand Exstart/Exchange hängen. Häufigste Ursache, MTUs angleichen.
- Timer-/Area-/Netzwerktyp-Mismatch Hello/Dead, Area-ID und Netzwerktyp müssen auf dem gemeinsamen Link identisch sein.
- Referenz-Bandbreite uneinheitlich verschiedene Werte auf verschiedenen Routern führen zu inkonsistenter Pfadwahl, obwohl die Nachbarschaft steht.
- passive-interface falsch gesetzt unterdrückt Hellos und damit Nachbarschaften, wo eigentlich welche entstehen sollen.
- Fehlende Authentifizierung offene LSAs sind ein Sicherheitsrisiko und ein NIS2-relevanter Schwachpunkt.
9. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Offener Standard, herstellerübergreifend, sehr breit beherrscht | Konfigurationskomplexität (Areas, LSA-Typen, ABR/ASBR, DR/BDR) |
| Hierarchisches Area-Modell skaliert große Netze | Backbone Area 0 ist Pflicht und ein zentraler Knackpunkt im Design |
| Schnelle, schleifenfreie Konvergenz (SPF, BFD, Fast Hello) | CPU-/Speicherlast bei großen Datenbanken und instabilen Links |
| ECMP nativ über gleich teure Pfade | Referenz-Bandbreite muss bewusst gepflegt werden (Gigabit-Falle) |
| Saubere IPv4- und IPv6-Unterstützung (v2/v3) | IPv6 erfordert eine eigene Instanz bzw. Adressfamilie |
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
OSPF im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.