پیاده سازی Passive Interface در OSPF میکروتیک

پیاده سازی Passive Interface در OSPF میکروتیک، در این مقاله قصد داریم قابلیت Passive Interface و نحوه پیاده سازی آن در پروتکل مسیریابی OSPF در روتربرد های میکروتیک را مورد بررسی قرار دهیم. در ابتدا به مروری بر پروتکل مسیریابی OSPF خواهیم پرداخت.

پیاده سازی Passive Interface در OSPF میکروتیک

فهرست مطالب

1. مروری بر OSPF
2. Passive Interface چیست؟
3. پیاده سازی

مروری بر OSPF

OSPF   مخفف عبارت (Open Shortest Path First) می باشد که یک پروتکل مسیریابی Link State محسوب می گردد. در OSPF  ما دستورات مربوطه را روی تمامی روتر ها اعمال می نماییم تا OSPF بر روی آن ها اجرا گردد. در این مرحله روتر ها شروع به مبادله اطلاعات با یکدیگر خواهند نمود که این اطلاعات توسط Link State Advertisement (LSA) ها بین روتر ها تبادل خواهند شد. هر روتر LSA های خود را ایجاد و در سطح شبکه ارسال می نماید و اطلاعاتی نظیر اینکه به صورت مستقیم به چه شبکه هایی متصل هستند و Cost جهت دسترسی به شبکه ها مختلف چقدر است را تحت LSA ایجاد می نماید. هر روتر با در اختیار داشتن کلیه این داده ها جهت تصمیم گیری برای کوتاه ترین مسیر (Shortest Path First) اقدام می نماید.

در OSPF به صورت پیش فرض می بایست یک Area با عنوان Area 0 وجود داشته باشد که به عنوان Backbone Area نیز از آن یاد می شود. چنانچه قصد داشته باشیم از چندین Area در شبکه سازمانی خود استفاده نماییم باید در نظر داشته باشیم که تمامی Area ها می بایست به صورت مستقیم به Area 0 ارتباط داشته باشند. رعایت این نکته در طراحی شبکه الزامی می باشد. اگرچه راهکار هایی جهت سناریو هایی که ارتباط مستقیم بین یک Area با Backbone Area وجود ندارد، در دسترس است اما همواره پیشنهاد می شود که از استاندارد ها پیروی نماییم.

چنانچه نیاز به اطلاعات تکمیلی در خصوص OSPF و نحوه پیاده سازی آن دارید مطالب کاملی در مقاله (راه اندازی OSPF در میکروتیک) در دسترس می باشد.

Passive Interface چیست؟

هنگامی که پروتکل مسیریابی OSPF بر روی روتر فعال می گردد، اینترفیس هایی که به واسطه Network های معرفی شده در فرایند OSPF قرار می گیرند شروع به ارسال بسته های Hello می نمایند تا بتوانند همسایگی درون OSPF را ایجاد نمایند. جهت برقراری همسایگی نیاز است اینترفیس های روتر های متصل این بسته های Hello را به یکدیگر ارسال نمایند. اما ممکن است اینترفیس دیگری از روتر که به سوئیچ و در ادامه به کاربران و کامپیوتر ها متصل است نیز اقدام به ارسال بسته های Hello نماید. در چنین شرایطی ممکن است افرادی با اهداف خرابکارانه و به واسطه شبیه ساز های OSPF امکان برقراری همسایگی و استفاده از Packet Capture در شبکه را داشته باشند که این موضوع ناقض امنیت در شبکه محسوب می گردد.

در چنین سناریو هایی استفاده از Passive Interface یکی از راهکار های پیشنهادی می باشد. بدین صورت که اینترفیس روتر را که به سوئیچ و در نهایت به کاربران متصل می شود را به حالت Passive Interface تغییر دهیم. با انجام این کار اینترفیس مورد نظر دیگر اقدام به ارسال بسته های Hello نخواهد نمود. بنابراین هیچگونه همسایگی به سمت اینترفیس مورد نظر شکل نخواهد گرفت. جهت آشنایی بیشتر با چنین سناریویی، توپولوژی زیر را در نظر می گیریم.

در توپولوژی فوق مشاهده می نماییم که اینترفیس Ether2 در روتر MikroTik-1 به یک سوئیچ و در ادامه به کاربران نهایی متصل می باشد در این سناریو چنانچه اینترفیس Ether2 اقدام به ارسال بسته های Hello نماید این عمل ناقض امنیت محسوب خواهد شد و می بایست با استفاده از قابلیت Passive Interface از این موضوع جلوگیری نمود. باید در نظر داشت انجام Passive interface روی یک اینترفیس در Advertise شدن آن در سطح OSPF بی تاثیر است و شبکه مورد نظر در OSPF طبق روال عادی Advertise خواهد شد.

پیاده سازی Passive Interface

جهت پیاده سازی Passive Interface توپولوژی اشاره شده فوق را در نظر می گیریم. در این سناریو فرض بر این است که OSPF از قبل راه اندازی شده و قصد داریم صرفا از قابلیت Passive Interface استفاده نماییم. جهت آشنایی با نحوه راه اندازی OSPF می توانید مقاله (راه اندازی OSPF در میکروتیک) را مطالعه نمایید. در این سناریو قصد داریم تا اینترفیس Ether2 روتر MikroTik-1 را به صورت Passive interface پیکربندی نماییم. به همین منظور، می بایست بر از منوی نرم افزار Winbox گزینه Routing و از زیر منوی مربوطه OSPF را انتخاب نماییم. در پنجره باز شده در تب Interfaces، اینترفیس مورد نظر را با دوبار کلیک انتخاب نموده و گزینه Passive را فعال می کنیم.

با انجام این کار اینترفیس مورد نظر از این پس هیچ بسته Hello جهت ایجاد همسایگی ارسال نخواهد نمود. هچنین این عملیات در محیط Terminal با دستور زیر انجام خواهد گرفت.

routing ospf interface add interface=ether2 passive=yes

پیشنهاد می شود همواره در اینترفیس های متصل به سوئیچ جهت برقراری امنیت در شبکه از قابلیت Passive Interface استفاده گردد. همچنین در نظر داشته باشید چنانچه Passive Interface را بین دو روتر همسایه در OSPF فعال نماییم، OSPF و همسایگی بین دو روتر قطع خواهد شد.