奈图尔科技(www.ntooler.com)整理消息:
公司总部 用户希望在存在冗余备份链路的同时消除网络中的环路,在一条上行链路断开的时候,流量能切换到另外一条上行链路转发,还能合理利用网络带宽。 骨干网 七台路由设备底层均使用OSPF,设备之间使用BGP,路径丰富、可靠性高; R6作为BGP的反射器,帮R5,R6分摊骨干网中控制层的压力; 安全策略中心 所有数据都需引入安全策略中心;对流量的的策略以及清洗; 互联网 与互联网之间使用NAT; 分部1和分部2 可与总部正常通信,并且可以连接到互联网;
配置思路
公司总部
在处于环形网络中的交换设备上配置MSTP基本功能
配置保护功能,实现对设备或链路的保护。
配置设备的二层转发功能。
配置各设备端口IP地址及路由协议,使各设备间网络层连通。
在Sw1和Sw2上创建VRRP备份组1和VRRP备份组2,在备份组1中,配置Sw1为Master设备,Sw2为Backup设备;在备份组2中,配置Sw2为Master设备,Sw1为Backup设备,实现流量的负载均衡。
骨干网
在MPLS骨干网上(R3-R9)配置OSPF,实现骨干网互通。
R6作为BGP反射器,R3,R4,R8,R9做为反射器客户端;
配置BGP-VPNv4路由反射功能
骨干所有路由设备运行MPLS,LDP模式;
分别在各PE设备(R3/4/8/9)上配置VPN实例,将CE接入;
将R10,R11,建立EBGP邻居并且将路由宣告进来
安全策略中心
做4个VRF(BGP MPLS VPN 的设计),另外为R8创建4个VRF
配置步骤
公司总部
1、配置LACP模式的链路聚合 创建Eth-Trunk,配置Eth-Trunk为LACP模式,实现链路聚合功能 在SwitchA上创建Eth-Trunk1并配置为LACP模式。SwitchB的配置与SwitchA类似,不再赘述
[SwitchA] interface eth-trunk 1 [SwitchA-Eth-Trunk1] mode lacp [SwitchA-Eth-Trunk1] quit
配置SwitchA上的成员接口加入Eth-Trunk。SwitchB的配置与SwitchA类似,不再赘述
[SwitchA] interface gigabitethernet 0/0/1 [SwitchA-GigabitEthernet0/0/1] eth-trunk 1 [SwitchA-GigabitEthernet0/0/1] quit [SwitchA] interface gigabitethernet 0/0/2 [SwitchA-GigabitEthernet0/0/2] eth-trunk 1 [SwitchA-GigabitEthernet0/0/2] quit
在SwitchA上配置系统优先级为100,使其成为LACP主动端
[SwitchA] lacp priority 100
2、配置处于环网中的设备的二层转发功能 在交换设备SwitchA、SwitchB、SwitchC、SwitchD上创建VLAN2~3,这里以SwitchA为例。 # 在SwitchA上创建VLAN2~3
[sw1]vlan batch 2 3
将交换设备上接入终端中的端口加入VLAN
#将SwitchC端口GE0/0/3和G0/0/4加入VLAN。SwitchD的配置与SwitchC类似,详见配置文件
[sw1]interface GigabitEthernet 0/0/3 [sw1-GigabitEthernet0/0/3]port link-type access [sw1-GigabitEthernet0/0/3]port default vlan 2 [sw1-GigabitEthernet0/0/3]quit [sw1]interface GigabitEthernet 0/0/4 [sw1-GigabitEthernet0/0/3]port link-type access [sw1-GigabitEthernet0/0/3]port default vlan 3
将交换设备上接入环路中的端口加入VLAN
# 将SwitchC端口GE0/0/1,G0/0/2加入VLAN。witchD的配置与SwitchC类似,详见配置文件。
[SwitchA] interface gigabitethernet 0/0/1 [SwitchA-GigabitEthernet0/0/1] port link-type trunk [SwitchA-GigabitEthernet0/0/1] port trunk allow-pass vlan 2 to 3 [SwitchA-GigabitEthernet0/0/1] quit [SwitchA] interface gigabitethernet 0/0/2 [SwitchA-GigabitEthernet0/0/1] port link-type trunk [SwitchA-GigabitEthernet0/0/1] port trunk allow-pass vlan 2 to 3 [SwitchA-GigabitEthernet0/0/1] quit
# 将SwitchA端口GE0/0/3,G0/0/4,Eth-Trunk1加入VLAN。witchA的配置与SwitchD类似,详见配置文件
[SwitchA]interface Eth-Trunk 1 [SwitchA-Eth-Trunk1]port link-type trunk [SwitchA-Eth-Trunk1]port trunk allow-pass vlan 2 to 3 [SwitchA-Eth-Trunk1]quit [SwitchA]interface GigabitEthernet 0/0/3 [SwitchA-GigabitEthernet0/0/4] port link-type trunk [SwitchA-GigabitEthernet0/0/4] port trunk allow-pass vlan 2 to 3 [SwitchA-GigabitEthernet0/0/4] quit [SwitchA]interface GigabitEthernet 0/0/4 [SwitchA-GigabitEthernet0/0/4] port link-type trunk [SwitchA-GigabitEthernet0/0/4] port trunk allow-pass vlan 2 to 3 [SwitchA-GigabitEthernet0/0/4] quit
3、配置MSTP基本功能
配置SwitchA、SwitchB、SwitchC、SwitchC到域名为HW的域内,创建实例MSTI1和实例MSTI2,SwitchB/C/D的配置与SwitchA类似,详见配置文件
[SwitchA]stp region-configuration [SwitchA-mst-region]region-name HW [SwitchA-mst-region]revision-level 1 [SwitchA-mst-region]instance 1 vlan 2 [SwitchA-mst-region]instance 2 vlan 3 [SwitchA-mst-region] quit
在域HW内,配置MSTI1与MSTI2的根桥与备份根桥
配置MSTI1的根桥与备份根桥
# 配置SwitchA为MSTI1的根桥
[SwitchA] stp instance 1 root primary
# 配置SwitchB为MSTI1的备份根桥。
[SwitchB] stp instance 1 root secondary
配置MSTI2的根桥与备份根桥
# 配置SwitchB为MSTI2的根桥
[SwitchB] stp instance 2 root primary
# 配置SwitchA为MSTI2的备份根桥
[SwitchA] stp instance 2 root secondary
配置实例MSTI1和MSTI2中将要被阻塞端口的路径开销值大于缺省值
# 配置SwitchA的端口路径开销计算方法为华为计算方法。SwitchB/CD的配置与SwitchA类似,详见配置文件
[SwitchA] stp pathcost-standard legacy
SwitchC将端口GE0/0/1在实例MSTI2中的路径开销值配置为20000,SwitchD将端口GE0/0/1在实例MSTI1中的路径开销值配置为20000。SwitchD的配置与SwitchC类似,详见配置文件
[SwitchC]interface GigabitEthernet 0/0/1 [SwitchC-GigabitEthernet0/0/1]stp instance 2 cost 2000 [SwitchC-GigabitEthernet0/0/1] quit
使能MSTP,实现破除环路
设备全局使能MSTP,SwitchB/CD的配置与SwitchA类似,详见配置文件
[SwitchA]stp enable [SwitchA]stp mode mstp
将与Host相连的端口设置为边缘端口
# 配置SwitchC端口GE0/0/4和GE0/0/3为边缘端口。SwitchD的配置与SwitchC类似,详见配置文件
[SwitchC]interface GigabitEthernet 0/0/3 [SwitchC-GigabitEthernet0/0/3]stp edged-port enable [SwitchC-GigabitEthernet0/0/3]quit [SwitchC]interface GigabitEthernet 0/0/4 [SwitchC-GigabitEthernet0/0/4]stp edged-port enable [SwitchC-GigabitEthernet0/0/4]quit
(可选)全局配置SwitchC的BPDU保护功能。SwitchB/CD的配置与SwitchA类似,详见配置文件
[SwitchC] stp bpdu-protection
将与Router相连的端口设置为边缘端口,SwitchB的配置与SwitchA类似,详见配置文件
[SwitchA]interface GigabitEthernet 0/0/5 [SwitchA-GigabitEthernet0/0/5]stp edged-port enable
配置保护功能,如在各实例的根桥设备的指定端口配置根保护功能
# 在SwitchA端口GE0/0/3上启动根保护。SwitchB类似
[SwitchA] interface gigabitethernet 0/0/3 [SwitchA-GigabitEthernet0/0/1] stp root-protection [SwitchA-GigabitEthernet0/0/1] quit
4.配置VRRP基本功能
配置设备间的网络互连**
# 配置设备各端口的IP地址,以SwitchA为例。SwitchB的配置与SwitchA类似,详见配置文件。
[SwitchA]interface Vlanif 2 [SwitchA-Vlanif2]ip add 10.2.2.100 24 [SwitchA-Vlanif2]quit [SwitchA]interface Vlanif 3 [SwitchA-Vlanif3]ip add 10.2.3.100 24 [SwitchA-Vlanif3]quit [SwitchA]interface Vlanif 101 [SwitchA-Vlanif101]ip add 10.2.101.1 24 [SwitchA-Vlanif101] quit
# 配置SwitchA、SwitchB和路由器间采用OSPF协议进行互连。以SwitchA为例,SwitchB的配置与SwitchA类似,详见配置文件。
[SwitchB]interface GigabitEthernet 0/0/05 [SwitchB-GigabitEthernet0/0/5]port link-type access [SwitchB-GigabitEthernet0/0/5]port default vlan 202 [SwitchB-GigabitEthernet0/0/5]quit
[SwitchA]ospf 1 router-id 10.2.111.111
[SwitchA-ospf-1-area-0.0.0.0]network 10.2.101.1 0.0.0.0 [SwitchA-ospf-1-area-0.0.0.0]network 10.2.2.100 0.0.0.0 [SwitchA-ospf-1-area-0.0.0.0]network 10.2.3.100 0.0.0.0
查看结果(以SwitchA为例)
配置VRRP备份组
# 在SwitchA和SwitchB上创建VRRP备份组1,配置SwitchA的优先级为120,抢占延时为10秒,作为Master设备;SwitchB的优先级为缺省值,作为Backup设备。
interface Vlanif2 ip address 10.2.2.100 255.255.255.0 vrrp vrid 1 virtual-ip 10.2.2.254 vrrp vrid 1 priority 120 vrrp vrid 1 preempt-mode timer delay 10 vrrp vrid 1 track interface GigabitEthernet0/0/5 reduced 30 quit interface Vlanif3 ip address 10.2.3.100 255.255.255.0 vrrp vrid 2 virtual-ip 10.2.3.254
interface Vlanif3 ip address 10.2.3.101 255.255.255.0 vrrp vrid 1 virtual-ip 10.2.3.254 vrrp vrid 1 priority 120 vrrp vrid 1 preempt-mode timer delay 10 vrrp vrid 1 track interface GigabitEthernet0/0/5 reduced 30 quit interface Vlanif2 ip address 10.2.2.101 255.255.255.0 vrrp vrid 1 virtual-ip 10.2.2.254
骨干网
P、PE之间配置OSPF,实现骨干网的IP连通性。
PE、P上配置MPLS基本能力和MPLS LDP,建立MPLS LSP公网隧道,传输VPN数据。
PE1和PE2之间配置MP-IBGP,交换VPN路由信息。
P、PE之间配置OSPF,实现骨干网的IP连通性。
配置OSFP(R3为例)
[r3-ospf-1-area-0.0.0.0]network 10.1.0.0 0.0.255.255
PE、P上配置MPLS基本能力和MPLS LDP,建立MPLS LSP公网隧道,传输VPN数据。配置MPLS LDP(R3为例)
[r3]mpls lsr-id 10.1.3.3 Info: Mpls starting, please wait... OK! [r3]mpls [r3-mpls]quit [r3]mpls ldp [r3-mpls-ldp]quit [r3]interface G0/0/0 [r3-GigabitEthernet0/0/0]mpls [r3-GigabitEthernet0/0/0]mpls ldp [r3-GigabitEthernet0/0/0]quit [r3]interface Eth0/0/0 [r3-Ethernet0/0/0]mpls [r3-Ethernet0/0/0]mpls ldp [r3-Ethernet0/0/0]quit
在PE设备上配置VPN实例,将CE接入PE
以R1为例子
ip vpn-instance AS2 ipv4-family route-distinguisher 3:3 vpn-target 3:3 export-extcommunity vpn-target 12:2 12:22 import-extcommunity [r3]interface Ethernet0/0/1 [r3-Ethernet0/0/1] ip binding vpn-instance AS2
R8 作为中转路由器将数据汇聚向AS5的安全策略中心
ip vpn-instance AS3 ipv4-family route-distinguisher 8:8 vpn-target 8:8 export-extcommunity vpn-target 12:3 12:33 import-extcommunity ip vpn-instance toAS2 ipv4-family route-distinguisher 12:2 vpn-target 12:2 export-extcommunity vpn-target 3:3 4:4 import-extcommunity ip vpn-instance toAS3 ipv4-family route-distinguisher 12:3 vpn-target 12:3 export-extcommunity vpn-target 8:8 import-extcommunity ip vpn-instance toAS4 ipv4-family route-distinguisher 12:4 vpn-target 12:4 export-extcommunity vpn-target 9:9 import-extcommunity ip vpn-instance toAS6 ipv4-family route-distinguisher 12:6 vpn-target 12:6 export-extcommunity vpn-target 3:6 4:6 import-extcommunity
创建四个子接口用来接收Vpnv4路由
以g0/0/1.2为例子
interface GigabitEthernet0/0/1.2 dot1q termination vid 2 ip binding vpn-instance toAS2 ip address 10.5.2.1 255.255.255.0 arp broadcast enable
在PE与CE之间建立EBGP对等体关系,引入VPN路由
# 配置CE1。CE2、CE3和CE4的配置与CE1类似,详见配置文件。
[R4]
ipv4-family vpn-instance AS2 peer 10.2.24.1 as-number 2 ------------------------------------------ bgp 2 peer 10.2.1.1 as-number 2 peer 10.2.1.1 connect-interface LoopBack0 peer 10.2.24.2 as-number 1 # ipv4-family unicast undo synchronization import-route ospf 1 peer 10.2.1.1 enable peer 10.2.1.1 next-hop-local peer 10.2.24.2 enable
在PE之间建立MP-IBGP对等体关系
R6为反射器
bgp 1 group IBGP internal peer IBGP connect-interface LoopBack0 peer 10.1.3.3 as-number 1 peer 10.1.3.3 group IBGP peer 10.1.4.4 as-number 1 peer 10.1.4.4 group IBGP peer 10.1.8.8 as-number 1 peer 10.1.8.8 group IBGP peer 10.1.9.9 as-number 1 peer 10.1.9.9 group IBGP # ipv4-family unicast undo synchronization peer IBGP enable peer IBGP reflect-client peer 10.1.3.3 enable peer 10.1.3.3 group IBGP peer 10.1.4.4 enable peer 10.1.4.4 group IBGP peer 10.1.8.8 enable peer 10.1.8.8 group IBGP peer 10.1.9.9 enable peer 10.1.9.9 group IBGP # ipv4-family vpnv4 undo policy vpn-target peer IBGP enable peer IBGP reflect-client peer IBGP advertise-community peer 10.1.3.3 enable peer 10.1.3.3 group IBGP peer 10.1.4.4 enable peer 10.1.4.4 group IBGP peer 10.1.8.8 enable peer 10.1.8.8 group IBGP peer 10.1.9.9 enable peer 10.1.9.9 group IBGP
R3,R4,R8,R9为反射器客户端(配置相同)
bgp 1 peer 10.1.6.6 as-number 1 peer 10.1.6.6 connect-interface LoopBack0 peer 10.1.6.6 advertise-community