Почему OSPF соседство не поднимается

Интерфейсы в состоянии up/up, IP-адреса корректные, но соседи в OSPF не переходят в Full.

Чаще всего причина в несовпадении параметров: area ID, network type, hello/dead timers, MTU или authentication. 

Иногда интерфейс попадает под passive-interface, либо multicast 224.0.0.5 блокируется ACL’ом.

Также соседство не установится, если Router ID дублируется в домене или если одна сторона работает в stub/NSSA, а другая - нет.

🤖Что проверить на Cisco

show ip ospf neighbor
show ip ospf interface Gi0/1
show ip ospf interface Gi0/1 | include MTU
show ip protocols
show running-config | section router ospf
show ip ospf database
show access-lists

N.A.

Как сделать резервный интернет-канал с автоматическим переключением

Чтобы при падении основного провайдера трафик автоматически уходил на backup, используется IP SLA + track + floating static route.

1️⃣Настроить IP SLA для проверки доступности внешнего узла:

ip sla 1
 icmp-echo 8.8.8.8 source-interface Gi0/0
 frequency 5
ip sla schedule 1 life forever start-time now

2️⃣Создать track-объект:

track 1 ip sla 1 reachability

3️⃣Основной маршрут через primary ISP:

ip route 0.0.0.0 0.0.0.0 1.1.1.1 track 1

4️⃣Backup-маршрут с большей administrative distance:

ip route 0.0.0.0 0.0.0.0 2.2.2.2 200

5️⃣Проверка работы переключения:

show track 1
show ip sla statistics
show ip route 0.0.0.0

При падении primary SLA перестаёт получать ответы, track переходит в down, основной маршрут удаляется из RIB и трафик автоматически идёт через backup.

N.A.

Почему после включения Port-Security порт уходит в err-disable

Port-Security защищает сеть от нежелательных MAC-адресов, но при строгой настройке порта любое несоответствие правил вызывает блокировку.

Порт переходит в err-disable, если на нём появляется больше MAC, чем разрешено, если новый MAC не в списке allowed, или если нарушается режим violation (shutdown).

⏺На практике это проявляется так: на порту стоят IP-телефон и ПК, виртуальная машина на сервере, или случайно подключили другой коммутатор без согласования. Порт тут же падает, трафик прекращается, и STP перестраивает дерево.

🔎Как проверить?

show port-security interface Gi0/1
show port-security address
show interfaces status err-disabled
show mac address-table interface Gi0/1

👨‍🎨Как исправить
1️⃣Временно восстановить порт:

interface Gi0/1
 shutdown
 no shutdown

2️⃣Настроить лимит MAC или режим реакции:

interface Gi0/1
 switchport port-security maximum 3
 switchport port-security violation restrict

3️⃣Проверить актуальные MAC на порту и при необходимости добавить в allowed list:

switchport port-security mac-address sticky

N.A.

Скотча не было, а вот энтузиазм присутствовал 😎

N.A.

Что будет, если героические способности уместить в компактную оболочку?

❓новый герой Marvel
❓настольный сервер для задач локального ИИ
❓маленькая рабочая станция HP Z2 Mini G1a

Рассуждения в сторону, т.к. это тот самый случай, когда все варианты ответов верны!

А чтобы сомнения в могуществе этой машинки отпали раз и навсегда, подготовили небольшой видеообзор HP Z2 Mini G1a. Подсветили главные достоинства, конфигурации, области применения и даже провели наглядный тест — "как 128 ГБ памяти превращаются в локальный ИИ на 120 млрд параметров"

💬Смотреть в MAX
📺Смотреть на сайте

А совсем скоро ожидаем рабочую станцию Minisforum. Подписывайтесь, чтобы не пропустить обзор!

Сервер, сторадж & два свича

Реклама. ООО "ИТЕЛОН". ИНН 7701527528. erid: 2W5zFJmdLdo

Пинг проходит, а приложение не работает

ICMP отвечает, маршрут есть, latency нормальная - но сайт не открывается, API не отвечает, RDP/SSH зависает на этапе подключения. Это типичный случай, когда L3 жив, а проблема выше.

Чаще всего причина в несоответствии MSS/MTU: small ICMP-пакеты проходят, а крупные TCP-сегменты фрагментируются или silently дропаются. Особенно актуально для VPN, GRE, PPPoE и overlay-сетей.

⏺Вторая распространённая причина - stateful firewall. Пакеты могут доходить до сервера, но обратный трафик блокируется из-за отсутствия сессии в таблице состояний или из-за asymmetric routing. В логах - тишина, потому что дроп происходит «легально» по логике state engine.

⏺Третий сценарий - асимметрия маршрутизации. Запрос идёт через один firewall или edge, а ответ возвращается через другой. Для ICMP это не критично, для TCP — критично. В результате handshake не завершается или соединение обрывается.

Также возможны проблемы на уровне L4–L7: неверный listener на сервере, сервис слушает не тот IP, TLS mismatch, истёкший сертификат, DNS возвращает неправильный адрес.

Пинг до IP проходит, но приложение недоступно по FQDN.

N.A.

NTP для больших сетей MikroTik: несколько серверов и failover

В корпоративной или разветвленной сети важно не просто синхронизировать время на одном роутере, а обеспечить резервирование и согласованность времени на всех устройствах.

⏺Несколько NTP-серверов

Лучше указывать сразу несколько серверов, чтобы при недоступности одного синхронизация продолжалась с другим:

/system ntp client set enabled=yes primary-ntp=192.168.1.10 secondary-ntp=192.168.1.11 server-dns-names=0.pool.ntp.org,1.pool.ntp.org

Первичные и вторичные серверы внутри сети гарантируют, что локальные устройства будут иметь корректное время даже при обрыве интернета.

⏺Проверка и диагностика

Состояние клиента можно проверить так:

/system ntp client print
/system ntp servers print

В выводе видны активные серверы и задержка до них. Высокая задержка или отсутствие ответа сигнализируют о проблемах с сетью или firewall.

⏺Failover и последовательность
1️⃣Внутренние серверы берут приоритет, если они доступны.
2️⃣ Внешние NTP сервера — резерв.
3️⃣ Если все недоступны — роутер использует локальные часы, но периодически пробует повторно синхронизироваться.

N.A.

Почему после добавления второго uplink трафик идёт неравномерно

Добавили второй uplink для увеличения пропускной способности, а трафик почему-то идёт почти только через один линк.

Причина чаще всего не в физике, а в логике маршрутизации: ECMP использует хеширование по 5-tuple (src/dst IP, src/dst port, protocol). Если сессий немного или все они имеют одинаковые адреса/порты, hash «схлопывается» на один путь.

Также влияет L3 load-balancing: маршрутизатор распределяет пакеты по линкам на основе hash, а не равномерно по объёму. Поэтому маленькие потоки будут «привязаны» к одному интерфейсу.

Ещё возможна асимметричная маршрутизация: ответ идёт через другой линк, firewall/stateful inspection блокирует часть трафика, или маршруты не совпадают в разных VRF/таблицах.

Что проверить

show ip route <prefix> detail
show ip cef <prefix> detail
show ip cef summary
show controllers ethernet-controller <interface> internal
show platform hardware qfp active feature cef drop

⏺show ip route <prefix> detail - какие next-hop реально используются.
⏺show ip cef <prefix> detail - hash и adjacency для конкретного префикса.
⏺show ip cef summary - распределение трафика по интерфейсам.
⏺show controllers ethernet-controller <interface> internal - реальные счётчики, какой линк принимает пакеты.
⏺show platform hardware qfp active feature cef drop - проверка, не сбрасывает ли ASIC пакеты из-за некорректного хеша.

N.A.