Der Befehl ip route: was jede Stelle bewirkt

Longest Prefix Match: welche Route gewinnt

Wenn mehrere Routen auf eine Zieladresse passen, entscheidet der Router in einer festen Reihenfolge. Zuerst zählt die Länge der Maske: Die spezifischste Route gewinnt, unabhängig von Quelle und Distanz. Erst wenn zwei Routen dieselbe Präfixlänge haben, vergleicht der Router die administrative Distanz. Die Metrik spielt nur innerhalb eines Protokolls eine Rolle.

Daraus folgt eine wichtige Eigenschaft: Eine statische Route für 10.20.5.0/24 mit Distanz 250 schlägt eine OSPF-Route für 10.20.0.0/16 mit Distanz 110, weil das /24 spezifischer ist. Wer eine Floating Static Route als Backup einträgt, muss sie deshalb mit genau derselben Maske wie die Hauptroute anlegen, sonst ist sie keine Reserve, sondern die neue Hauptroute.

Administrative Distanz: die Werte, die du kennen musst

Cisco ordnet jeder Routenquelle eine Standarddistanz zu. Die Werte gelten auf IOS und IOS XE gleichermaßen und sind die Grundlage für jede Floating Static Route. Eine statische Route, die OSPF als Backup dienen soll, braucht eine Distanz über 110, eine Reserve hinter eBGP eine über 20, hinter iBGP eine über 200.

Die Default Route 0.0.0.0/0

Die Default Route passt auf jede Zieladresse, verliert aber wegen ihrer Maske /0 gegen jede spezifischere Route. Sie ist damit der Weg für alles, was der Router sonst nicht kennt, typischerweise ins Internet oder zur zentralen Firewall. show ip route zeigt sie als Gateway of last resort im Kopf der Ausgabe und mit einem Stern hinter dem S.

Auf einem Layer-3-Switch oder Router mit aktivem Routing ist ip route 0.0.0.0 0.0.0.0 der richtige Befehl. ip default-gateway gilt dagegen nur, wenn ip routing ausgeschaltet ist, also auf einem reinen Layer-2-Switch für dessen eigene Management-Verbindungen. Wer auf einem Layer-3-Switch mit aktivem ip routing nur ip default-gateway setzt, wundert sich, warum weder der Switch selbst noch die VLANs dahinter das Internet erreichen, denn der Befehl wird dann ignoriert.

Soll die Default Route in OSPF verteilt werden, reicht unter router ospf der Befehl default-information originate. Ohne den Zusatz always kündigt der Router sie nur an, solange er selbst eine Default Route hat. So zieht ein Edge-Router seine Ankündigung automatisch zurück, wenn seine Leitung samt Tracking ausfällt.

ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/0/0 203.0.113.1 name Internet-Provider-A
!
ipv6 unicast-routing
ipv6 route ::/0 GigabitEthernet0/0/0 FE80::1 name Internet-Provider-A-v6

Floating Static Route mit IP SLA als Backup

Eine Floating Static Route ist eine zweite Route für dasselbe Präfix mit höherer Distanz. Sie wartet in der Konfiguration, bis die bessere Route aus der Tabelle verschwindet. Damit das bei einem Leitungsausfall auch wirklich passiert, muss die Hauptroute an eine Prüfung gekoppelt sein, die mehr sieht als den Link-Status des eigenen Interfaces.

Die IP-SLA-Sonde schickt alle zehn Sekunden einen Ping an eine Adresse hinter der Hauptleitung, hier eine Adresse im Netz des Providers. Das Tracking-Objekt 10 übersetzt das Ergebnis in Up oder Down, und die Default Route über Provider A hängt an diesem Objekt. Wichtig ist die zusätzliche Host-Route für das Sondenziel: Ohne sie würde die Sonde nach dem Umschalten über die Backup-Leitung laufen, wieder erfolgreich sein und die Hauptroute zurückholen, obwohl Provider A noch ausgefallen ist.

Die Verzögerungen unter track legen fest, wie lange ein Zustand anhalten muss, bevor umgeschaltet wird. Ein kurzes delay down und ein längeres delay up verhindern, dass der Router bei einer wackeligen Leitung ständig zwischen beiden Wegen springt.

ip sla 10
 icmp-echo 198.51.100.10 source-interface GigabitEthernet0/0/0
 frequency 10
 threshold 1000
 timeout 1000
ip sla schedule 10 life forever start-time now
!
track 10 ip sla 10 reachability
 delay down 15 up 60
!
ip route 198.51.100.10 255.255.255.255 GigabitEthernet0/0/0 203.0.113.1 name SLA-Ziel-via-A
ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/0/0 203.0.113.1 name Provider-A track 10
ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/0/2 192.0.2.1 250 name Provider-B-Backup

Rekursive Auflösung und warum nur das Interface riskant ist

Steht in einer Route nur ein Next Hop, sucht der Router in seiner Tabelle, wie er diesen Next Hop erreicht. Liegt der Next Hop in einem direkt angeschlossenen Netz, ist die Suche nach einem Schritt fertig. Liegt er weiter weg, etwa die Loopback eines anderen Routers, folgt eine zweite Suche, und so weiter. Diese rekursive Auflösung ist gewollt, denn so kann eine statische Route einem Ziel folgen, das per OSPF mal über den einen, mal über den anderen Link erreichbar ist.

Gefährlich wird es, wenn der Next Hop über eine Route aufgelöst wird, die ihn eigentlich nicht abdecken sollte, meist die Default Route. Fällt das Transfernetz zum Next Hop aus, findet der Router ihn trotzdem über 0.0.0.0/0, die statische Route bleibt aktiv, und der Verkehr läuft ins Internet statt zum Partnernetz. Wer Interface und Next Hop gemeinsam angibt, verhindert das: Die Route ist dann nur gültig, solange der Next Hop über genau dieses Interface erreichbar ist.

Nur das Interface ohne Next Hop anzugeben, ist auf Ethernet die zweite Falle. Laut Cisco führt das dazu, dass der Router für jedes Ziel der Route eine ARP-Anfrage stellt, was bei einer Default Route zu hoher CPU-Last und einem sehr großen ARP-Cache führt. Auf Point-to-Point-Links gibt es dieses Problem nicht, weil dort keine Adressauflösung stattfindet.

Ein Sonderfall ist das Interface Null0. Eine Route dorthin verwirft alle passenden Pakete ohne ICMP-Meldung. Das ist sinnvoll für ein Aggregat, das per BGP angekündigt wird, oder um Schleifen zu verhindern, wenn ein zusammengefasstes Netz nur teilweise belegt ist.

Kontrolle mit show ip route und show ip cef

show ip route beantwortet die Frage, welche Route gewonnen hat. show ip cef beantwortet die Frage, was der Router mit einem Paket tatsächlich tut, also über welches Interface und an welchen Next Hop es geht. Bei rekursiv aufgelösten Routen und bei Lastverteilung über zwei gleichwertige Wege sind das zwei verschiedene Antworten, und für die Fehlersuche zählt die zweite.

Mit show track brief siehst du den Zustand aller Tracking-Objekte, mit show ip sla statistics die Ergebnisse der Sonden. Beides gehört in jede Überprüfung nach einem Umschalttest.

R1# show ip route static
S*    0.0.0.0/0 [1/0] via 203.0.113.1, GigabitEthernet0/0/0
S     10.20.0.0/16 [200/0] via 192.0.2.2, GigabitEthernet0/0/1
!
R1# show ip route 10.20.5.7
R1# show ip cef 10.20.5.7 detail
R1# show ip static route
R1# show track brief
R1# show ip sla statistics 10