Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Palo Alto üzerinde OSPF neighbor’ın FULL olması, OSPF adjacency’nin başarıyla kurulduğunu gösterir. Ancak bu, beklediğiniz prefix’in routing table’a ve FIB’e mutlaka girdiği anlamına gelmez.
Tipik senaryo:
✅ OSPF Neighbor FULL
❌ Beklenen network routing table’da yok
Bu durumda troubleshooting’i komşuluk seviyesinde bırakmamak gerekir.
1. OSPF Neighbor Durumu
İlk olarak neighbor’ı doğrulayın:
show routing protocol ospf neighbor virtual-router <VR>Router ID, interface ve neighbor state kontrol edilmelidir.
Neighbor zaten FULL durumundaysa authentication, hello/dead timer veya Area ID gibi adjacency kurulumunu engelleyen temel problemlerin olasılığı azalır.
2. Prefix LSDB’ye Ulaşmış mı?
Sonraki adım LSDB — Link-State Database kontrolüdür:
show routing protocol ospf lsdb virtual-router <VR>Burada önemli bir teknik ayrım var:
LSDB doğrudan “route tablosu” değildir; OSPF LSA’larını içerir.
Dolayısıyla asıl soru, beklenen prefix’i taşıyan ilgili LSA’nın LSDB’de bulunup bulunmadığıdır.
LSA hiç yoksa problem route seçiminden önce başlamıştır. Prefix advertise edilmiyor, redistribute edilmiyor veya area tasarımı nedeniyle beklediğiniz şekilde yayılmıyor olabilir.
Palo Alto’da başka protokollerden, static veya connected route’lardan OSPF’e prefix aktarılması gerekiyorsa uygun Redistribution Profile ve OSPF Export Rule yapılandırılmalıdır. docs.paloaltonetworks.com
3. Routing Table’a Seçilmiş mi?
LSA mevcutsa route’un Routing Information Base’e girip girmediğini kontrol edin:
show routing routeAynı prefix için Connected, Static, BGP veya OSPF kaynaklı birden fazla route bulunabilir.
PAN-OS, farklı routing protokollerinden gelen aynı destination için Administrative Distance değerini dikkate alır; daha düşük değer tercih edilir. Örneğin legacy Virtual Router varsayılanlarında Static 10, OSPF Internal 30 ve EBGP 20 değerlerine sahiptir. docs.paloaltonetworks.com
Bu nedenle:
OSPF prefix’i öğrenmiş olabilir ama aktif route OSPF olmayabilir.
4. FIB Kontrolü
Routing table doğru görünüyorsa forwarding tarafını doğrulayın:
show routing fib virtual-router <VR>Burada gerçek forwarding için kullanılan:
Destination → Next-Hop → Egress Interface
ilişkisini kontrol edin.
Çünkü:
LSDB’de LSA var ≠ Route aktif
Route aktif ≠ Trafik doğru path’ten geçiyor
5. OSPF Tasarımını Kontrol Edin
Beklenen prefix hâlâ yoksa özellikle Redistribution, area type (Normal/Stub/NSSA), export/filtering politikaları ve prefix’in gerçekten OSPF’e originate edilip edilmediği incelenmelidir. Palo Alto, Normal, Stub ve NSSA gibi farklı OSPF area tiplerini destekler ve area tasarımı hangi LSA türlerinin taşınacağını etkileyebilir. docs.paloaltonetworks.com
Cost ise çoğunlukla route’un tamamen kaybolmasından ziyade birden fazla OSPF path arasındaki tercih üzerinde etkilidir.
Hızlı Troubleshooting Akışı
Neighbor → LSDB/LSA → Routing Table → FIB → Next-Hop → Security Policy → Return Path
En önemli nokta:
Neighbor FULL ≠ Routing OK
OSPF troubleshooting’de asıl soru:
“Komşuluk kuruldu mu?” değil, “İhtiyacım olan prefix ilgili LSA’dan aktif route’a ve forwarding table’a kadar ulaştı mı?”
Not: PAN-OS Advanced Routing Engine kullanılıyorsa Virtual Router yerine Logical Router kullanılır ve CLI/configuration yapısı farklıdır.
