IGP高级特性---OSPF多进程+防火墙虚拟系统引流

• ospf多进程，在同一台路由器上可以运行多个不同的ospf进程，他们互不影响，彼此独立，不同进程之间的路由交互相当于不同路由协议之间的路由交互
• 路由器的一个接口只能属于一个ospf进程
• OSPF进程号为本地属性，对外部设备不影响，本端接口需要绑定vpn实例，对端设备按需绑定vpn实例
• 不使用实例创建也是可以建立正常邻居关系，但是共同都属于一个路由表，不能做到独立分开
• 在根区域配置不同进程的ospf，邻居建立成功以后只有根区域可以访问其他区域，其他区域不能互访，需要互相引入进程

实验步骤

        1.配置所有接口地址，并且运行ospf

        2.配置R1,R2到R3接口、R3到R4接口ospf进程，并且宣告接口   PS：正常宣告

        3.配置R3的多进程ospf且绑定vpn实例

实验配置

        1.省略配置各个互联接口，业务地址，ospf宣告。

        2.配置R1，R2的ospf进程宣告互联地址和route-id

                

R1
#
ospf 1 router-id 10.0.1.1 
 area 0.0.0.0 
  network 10.0.0.1 0.0.0.0 
  network 10.0.1.1 0.0.0.0 
  network 10.0.11.0 0.0.0.255 
  network 10.0.12.0 0.0.0.255 
  network 10.0.13.0 0.0.0.255 
  network 10.0.14.0 0.0.0.255 
#

#
R2
#
 area 0.0.0.0 
  network 10.0.0.5 0.0.0.0 
  network 10.0.2.2 0.0.0.0 
  network 10.0.21.0 0.0.0.255 
  network 10.0.22.0 0.0.0.255 
  network 10.0.23.0 0.0.0.255 
  network 10.0.24.0 0.0.0.255 
#

        3.配置R3的多进程

                1.）分别配置vpn实例，并且设置rd值。

#
ip vpn-instance AR1
 ipv4-family
  route-distinguisher 100:1
#
ip vpn-instance AR2
 ipv4-family
  route-distinguisher 100:2
#

                2.）配置R3的ospf，并且增加带有实例的ospf进程

#
ospf 1 router-id 10.0.13.3 vpn-instance AR1   //和R1建立vpn实例关系
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。
 area 0.0.0.0 
  network 10.0.0.2 0.0.0.0 
  network 10.0.12.3 0.0.0.0 
#
ospf 2 router-id 10.0.23.3 vpn-instance AR2   //和R2建立vpn实例关系
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。
 area 0.0.0.0 
  network 10.0.0.6 0.0.0.0 
  network 10.0.23.3 0.0.0.0 
#
ospf 4 router-id 10.0.34.3 //和R4建立正常邻居关系
 area 0.0.0.0 
  network 10.0.0.9 0.0.0.0 
  network 10.0.34.3 0.0.0.0 
#

                3.）配置接口绑定实例，此操作会使原来配置的ip地址丢失，需要重新配置ip

#
interface GigabitEthernet0/0/0
 ip binding vpn-instance AR1
 ip address 10.0.0.2 255.255.255.252 
#
interface GigabitEthernet0/0/1
 ip binding vpn-instance AR2
 ip address 10.0.0.6 255.255.255.252 
#

               4.）等待邻居建立，查看邻居建立和路由表项

增加防火墙使得AR1和AR2 可以访问到R4

 通过二层接口进行引流   创建2个vlan，一个vlan用于参与进vpn-AR1路由表，一个用于根路由表。共4个vlan用于两条vpn。10和20用于绑定，11和21用于加入路由表

配置R3和FW的vlanif接口地址，均放行trunk 接口，透传vlan

        R3需要增加二层板卡，增加24口的即可

        FW需要将接口更改为二层接口，使用portswitch命令即可

R3
#
interface Vlanif10
 ip address 10.0.0.14 255.255.255.252 
#
interface Vlanif11
 ip address 10.0.0.18 255.255.255.252 
#
interface Vlanif20
 ip address 10.0.0.22 255.255.255.252 
#
interface Vlanif21
 ip address 10.0.0.26 255.255.255.252 
#

FW    

interface Vlanif10
 ip address 10.0.0.13 255.255.255.252
#
interface Vlanif11
 ip address 10.0.0.17 255.255.255.252
#
interface Vlanif20
 ip address 10.0.0.21 255.255.255.252
#
interface Vlanif21
 ip address 10.0.0.25 255.255.255.252
#

配置步骤

        1.路由器增加配置

                1.1.绑定vlanif10、20接口，并且将接口加入到对应的ospf实例进程中

#
interface Vlanif10
 ip binding vpn-instance AR1
 ip address 10.0.0.14 255.255.255.252 
#
interface Vlanif20
 ip binding vpn-instance AR2
 ip address 10.0.0.22 255.255.255.252 
#
ospf 1 router-id 10.0.13.3 vpn-instance AR1
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。
 area 0.0.0.0 
  network 10.0.0.14 0.0.0.0 
#
ospf 2 router-id 10.0.23.3 vpn-instance AR2
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。
 area 0.0.0.0 
  network 10.0.0.22 0.0.0.0 

                1.2.将剩余vlanif 11、21接口加入本地ospf中

             

#
ospf 4 router-id 10.0.34.3 
 area 0.0.0.0 
 network 10.0.0.18 0.0.0.0 
 network 10.0.0.26 0.0.0.0 
#

        2.防火墙配置

                2.1 启用防火墙的vlan，启用三层vlanif接口，不做ip配置

                2.2 启用防火墙虚拟系统，配置AR1和AR2两个虚拟系统，并且配置vlan地址

#
vsys name AR1     //创建虚拟系统AR1并且绑定vlan 10和11
 assign vlan 10
 assign vlan 11
#
vsys name AR2 
 assign vlan 20
 assign vlan 21
#

                

                2.3 进入虚拟系统配置安全区域，vlan10和20分别作为两个虚拟系统的trust区域，11和21作为untrust区域，并且更改安全策略

switch vsys AR1
#
#
firewall zone trust

 add interface Vlanif10
#
firewall zone untrust

 add interface Vlanif11
#

[FW-AR1]security-policy    //测试环境下更改防火墙策略为全放行
[FW-AR1-policy-security]default  action permit

                2.4 配置防火墙ospf实例

#
ospf 1 router-id 1.1.1.1 vpn-instance AR1
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。
 area 0.0.0.0
  network 10.0.0.13 0.0.0.0
  network 10.0.0.17 0.0.0.0
#
ospf 2 router-id 2.2.2.2 vpn-instance AR2
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。
 area 0.0.0.0
  network 10.0.0.21 0.0.0.0
  network 10.0.0.25 0.0.0.0
#

然后等待邻居建立，查询R4上的路由表，得到全局网络的路由表明细

在R1进行带源测试