[2010-12-07]关于H3C S12500&9500E交换机OSPF配置MD5认证后MD5序列号翻转引起OSPF邻居重建问题问题的解决方法

关于H3C S12500/9500E交换机OSPF配置MD5认证后MD5序列号翻转引起OSPF邻居重建问题的解决方法

【产品型号】

H3C S12500系列交换机/H3C S9500E系列交换机

【涉及版本】

S12500E-CMW5.20-R1238P08/S9500E-CMW5.20-R1238P08（不含）之前版本

S12500E-CMW5.20-B1327/S9500E-CMW5.20-B1327（不含）之前版本

【问题描述】

问题出现条件：

S12500/9500E交换机使用OSPF MD5验证功能

问题现象：

OSPF协议的MD5序列号出现翻转，从而引起OSPF邻居重建。设备上ospf邻居较多或ospf路由频繁发生变化情况下故障发生时间会提前。

 

1.    OSPF协议配置MD5功能：

interface Vlan-interface14

 ip address 192.168.4.3 255.255.255.252

 ospf cost 100

 ospf authentication-mode md5 8 cipher POD2)%!Z9IA&B>       配置MD5

 

ospf 1

 area 0.0.0.0

  authentication-mode md5配置MD5

2.    display ospf peer的时候发现Authentication Sequence的值很大：

Area 0.0.0.0 interface 192.168.43.21(Vlan-interface13)'s neighbors

Router ID: 192.168.44.40  Address: 192.168.43.22  GR State: Normal

 State: Full Mode: Nbr is Master Priority: 1

 DR: 192.168.43.22 BDR: 192.168.43.21 MTU: 0

 Dead timer due in 38 sec

 Neighbor is up for 2753:37:44

 Authentication Sequence: [ 3561551253]             序列号为35亿

 Neighbor state change count: 14

【原因分析】

OSPF邻居之间启用了MD5认证，每一次设备发送OSPF协议报文，OSPF MD5认证的序列号都会增加，以避免认证报文复制欺骗，序列号为32位长度，在达到4294967295时翻转。而当设备配置的OSPF邻居数目比较多，经过长时间运行后MD5认证报文的序列号发生溢出，会导致对端认为收到的OSPF协议报文为非法报文，不做处理，从而认为没有收到协议的交互报文而主动把邻居断开重建。

【规避措施／解决方案】

解决措施如下：

1.  OSPF不配置MD5认证；

2.  可以升级R1238P08/B1327及之后版本解决；R1233P01版本可以升级R1233P01H02补丁解决。

对于ospf邻居数量较少，MD5序列号增长缓慢短期内不会发生故障的局点可根据实际情况安排升级计划。

升级前请仔细阅读相关的版本说明书

 

如有问题，请联系杭州华三通信技术有限公司服务热线：4008100504/8008100504