目录
一、Eth-trunk(以太通道或链路捆绑)
将多个以太网接口捆绑成一个逻辑接口。
作用:增加带宽、冗余、链路负载均衡
两个交换机双路由连接如果不做捆绑会有环路,生成树会丢弃一条链路。
两个路由器双路由连接不会有环路,但是需要在四个接口配置四个ip且两个路由不在同网段,浪费资源。
1.1、 链路聚合模式
- 手工负载分担模式(两台设备至少有一台不支持LACP协议情况下使用)
- LACP模式(LACP协议,需协商;M:N模式,M条链路处于活跃转发,N条链路作为非活跃备份,N可为0)
1.2、链路选举规则(选举活跃和备份)
1)系统优先级:设备优先级小者优先
通过系统优先级确定哪台设备为主动端
2)接口优先级:接口优先级小者优先
主动端根据自己接口的优先级确定活跃和备份,并告知对端设备
1.3、负载分担方式
逐流:按照源目ip、源目mac、协议区分发送至同一链路
逐包:每个报文按次序单独处理,多个物理链路均摊,但完整信息会被打散
1.4、配置流程
- 创建Eth-trunk
- 选择链路聚合模式
- 加入成员接口
设备一:
interface Eth-trunk0
mode lacp-static
trunkport g0/0/1
trunkport g0/0/2
port link-type trunk
port trunk allow-pass vlan 10
##负载均衡在用源目mac方式逐流
load-balance src-dst-mac
##查看Eth-trunk0有哪些接口
disp Eth-trunk0
##查看Eth-trunk0多大带宽
disp int Eth-trunk0
设备二:
interface Eth-trunk1
mode lacp-static
trunkport g0/0/1
trunkport g0/0/2
port link-type trunk
port trunk allow-pass vlan 10
##负载均衡在用源目mac方式逐流
load-balance src-dst-mac
或者在接口下配置Eth-trunk
int g0/0/1
Eth-trunk 1
port link-type trunk
port trunk allow-pass vlan 10
int g0/0/2
Eth-trunk 1
port link-type trunk
port trunk allow-pass vlan 10
二、vlan聚合
超级vlan(super-vlan)
作用:简化ip地址的管理和规划工作,主要用于isp。
网络规划如下图,在计算机A上ping 192.168.1.80,因为掩码都是24,所以判断目的ip与主机ip在同网段,会发起arp请求,但是vlan隔离了广播域,所以无法找到计算机B的mac地址,无法ping通。
如下图,vlanif类比路由器接口,路由器接口ip需要在不同网段,因此不同vlanif需要在不同网段,在设备上添加聚合vlan(超级vlan),将vlan10、20、30聚合到vlan100中,配置了超级vlan的交换机会认为标记为vlan10、20、30的流量同属于vlan100,然后给vlanif100配置网关ip,vlan10、20、30的流量共用一个网关。
因此,通过子vlan10、20、30隔离了客户A、B、C,而且没有做子网划分,节约了ip地址资源。
同时,也会引发一个问题:A客户使用192.168.1.64也能连接网络,因此需要在交换机上作ACL限制,A方向上的只允许1-63的ip地址访问接入。
如下图,计算机Aping计算机B,发现目的ip在同广播域,会发起arp请求,但vlan隔离了广播域,计算机B无法收到arp请求,但是网关会收到arp请求,在网关上开启arp代理功能,收到arp请求后,网关会把arp请求发送至超级vlan聚合的所有vlan下,网关收到arp应答后,会将网关自己的mac地址回复给计算机A。
核心交换机
vlan 10
##聚合vlan
aggregate-vlan
##聚合vlan3001、3002
access-vlan 3001 3002
int vlanif 10
ip add 192.168.1.254 24
##开启arp代理
arp-proxy inter-sub-vlan-proxy enable
接入交换机1
vlan 3001
完成端口透传
接入交换机2
vlan 3002
完成端口透传
三、MUX vlan(混合vlan)
主机规划在同网段在二层的前提下用MUX vlan控制流量转发,主要用于企业内网
主机规划在不同网段在三层的前提下用ACL控制流量转发。
作用:在企业网络中,各部门间相互独立,要求不允许互访,使用传统vlan技术能够实现,但需要消耗大量的vlan id,增加了维护量。
主vlan:可以与所有设备通信,只有一个
从vlan
隔离vlan:内部不通,和其他小组不通,与主vlan通
小组vlan:组内部可以通信,组间不通,与主vlan通
所有交换机:
vlan batch 10 20 30 40
vlan 40
##设置主vlan
mux-vlan
##设置从vlan为组vlan10 20
subordinate group vlan 10 20
##设置从vlan为隔离vlan30
subordinate separate vlan 30
SWB
int g0/0/3
p t a
p d v 40
##开启主vlan
port mux-vlan enable
int g0/0/4
p t a
p d v 40
##开启主vlan
port mux-vlan enable
SWC
int g0/0/1
p t a
p d v 10
##开启主vlan
port mux-vlan enable
int g0/0/2
p t a
p d v 10
##开启主vlan
port mux-vlan enable
其他与pc连接端口同理
四、QinQ
802.1q in 802.1q,純二层通信
作用:
- 解决不同企业进入运营商公网后使用运营商vlan进行区分,isp无需管企业内部的vlan规划。
- 企业内VLAN多,运营商只需要用一个vlan打标,扩展VLAN支持的空间。
基础qinq
所有vlan打一个VLAN标签,如内部VLAN10、20、30都打外部VLAN100标签
灵活qinq
内部vlan与外部vlan一一映射,如内部VLAN10打外部vlan100标签,内部VLAN20打外部 vlan200标签
五、VRRP
VRRP:虚拟路由器冗余协议,通过把几台路由设备联合组成一台虚拟的“路由设备”,使用一定的机制保证当主机的下一跳路由设备出现故障时,及时将业务切换到备份路由设备,从而保持通讯的连续性和可靠性。
单网关:只有一个网关
问题:如上图
当网关路由器坏掉之后,更换路由器,网关ip不变,但是网关mac已更改,而计算机arp缓存表中对应网关ip的mac还是旧mac,此时无法与外界通信(因为局域网你的计算机想要与外界通信第一步是找网关,此时目的mac为旧网关mac,数据包到达交换机后无法转发),需要在计算机上输入arp -d清空缓存表。
VRRP:虚拟路由器冗余协议,通过把几台路由设备联合组成一台虚拟的“路由设备”,使用一定的机制保证当主机的下一跳路由设备出现故障时,及时将业务切换到备份路由设备,从而保持通讯的连续性和可靠性。
VRRP路由器:运行VRRP协议的路由器,如R1和R2。VRRP是配置在路由器的接口上的,而且也是基于接口来工作的。
VRID: 一个VRRP组由多台协同工作的路由器(的接口)组成,使用相同的VRID(虚拟路由器标识符)进行标识。
虚拟路由器:属于同一个VRRP组的路由器之间交互VRRP协议报文并产生一台虚拟“路由器”。该路由器并非真实存在的物理设备,而是由VRRP虚拟出来的逻辑设备,一个VRRP组中只能出现一台Master路由器。
虚拟IP地址及虚拟MAC地址:虚拟路由器拥有自己的IP地址以及MAC地址,其中IP地址由网络管理员在配置VRRP时指定,一台虚拟路由器可以有一个或多个IP地址,通常情况下用户使用该地址作为网关地址。而虚拟MAC地址的格式是“0000-5e00-01xx”,其中xx为VRID。
Master路由器:“Master路由器”在一个VRRP组中承担报文转发任务。在每一个VRRP组中,只有Master路由器才会响应针对虚拟IP地址的ARPRequest。Master路由器会以一定的时间间隔周期性地发送VRRP报文,以便通知同一个VRRP组中的Backup路由器关于自己的存活情况。
Backup路由器:也被称为备份路由器。Backup路由器将会实时侦听Master路由器发送出来的VRRP报文,它随时准备接替Master路由器的工作。
Priority:优先级值是选举Master路由器和Backup路由器的依据,优先级取值范围0-255(只有虚拟ip与接口ip相同时强制优先级255),值越大越优先,值相等则比较接口IP地址大小,大者优先。
VRRP报文:组播报文,组播地址224.0.0.18,1s周期,3s超时,
VRRP抢占模式(Preempt Mode):
- 抢占模式(默认激活):如果Backup路由器激活了抢占功能,那么当它发现Master路由器的优先级比自己更低时,它将立即切换至Master状态,成为新的Master路由器
- 非抢占模式:如果Backup路由器没有激活抢占功能,那么即使它发现Master路由器的优先级比自己更低,也只能依然保持Backup状态,直到Master路由器失效。
但是外网的远端端口断开后不影响内网发送vrrp报文,所以不会自动切换,需要追踪外网端口状态。
六、BFD
BFD:双向转发检测
第三方检测机制,链路状态down/up
构造BFD会话,双方互相发送BFD报文
通过会话down/up状态反应链路状态并通知vrrp
链路故障后,vrrp根据BFD的检测,降低优先级
如果R3为运营商路由器,运营商不一定会配合双向检测BFD,因此需要单臂回声BFD。
单臂回声通过源目mac检测,往返报文源目ip都是自己,因此只能检测直连路由器。
OSPF+BFD
- OSPF发现邻居
- OSPF把邻居参数告知BFD模块
- BFD根据OSPF邻居建立BFD会话(双向)
- BFD检测会话状态
- BFD发现会话down,通知OSPF模块
- OSPF改变邻居关系
七、NAT
地址分类
- A类:0开头,0-127
- B类:10开头,128-191
- C类:110开头,192-223
- D类:1110开头,224-239
- E类:1111开头,240-255
A、B、C可作为主机地址用
私网地址
- A类:10.0.0.0/8
- B类:172.16.0.0/16-172.31.0.0/16
- C类:192.168.0.0/24-192.268.0.0/24
NAT:地址转换技术
静态NAT:手动配置,私网公网一一映射,不能节约公网地址,开放服务器(内网服务器可被公网主机访问)
int g0/0/0
nat static global 外网地址(直连链路网络号中除了自己和对端接口的公网地址) inside 内网地址
动态NAT:内网访问外网,分配一个临时地址池,将公网地址标记位in use或not use,并发私网数量小于等于公网数量,节约了一部分公网地址。(ping测时每一个ping包都会单独拿一个地址)
网络地址端口转换(NAPT或PAT):内网访问外网,既转换地址又转换端口,将私网看作是一台大电脑,每台主机代表一个程序(端口),大量节约公网地址。(不同主机私网ip+端口映射到同公网ip+不同端口,单个ip由65535个端口)
一般PAT与动态NAT结合使用(利用PAT的端口映射和动态NAT的地址池结合)。
##创建地址池
nat address-group 地址池编号 起始地址 结束地址
##规定地址转换规则
acl number 2000
rule permit source 源地址
##接口关联acl与地址池,配置上no-pat为不进行端口转换
int g0/0/0
nat outbound 2000 address-group 地址池编号 (no-pat)
easy IP:与NAPT类似,不同的是没有地址池,使用接口地址作为NAT转换的公有地址,适用于不具备固定公网ip的场景
##规定地址转换规则
acl number 2000
rule permit source 源地址
##接口关联acl
int g0/0/0
nat outbound 2000
NAT sever:静态NAPT,公网地址+端口与私网地址+端口一一映射,开放服务器端口(只有被映射的服务器端口才能被公网主机访问)
int g0/0/0
nat sever global 外网地址 inside 内网地址
NAT是直接替换ip,不是做ip二次封装。
内网地址不确定的用acl。
如果公网地址池用完了怎么办?需要购买新的公网IP但是之前已经配置好了互联地址和网段,无法修改。
int g0/0/0
nat server global 100.1.1.1 inside 192.168.1.1
在nat设备上配置新地址的映射关系运营商侧路由器,需要手动添加静态路由:
ip route-static 100.1.1.1 32 12.1.1.1(指向NAT设备)
八、ACL
ACL(Access control list),访问控制列表,是一套规则,由一系列permit或deny语句组成的、有序规则的列表。
ACL应用
- 匹配IP流量(IP五元组:源目ip、源目端口、协议类型)
- 在Traffic-filter(流量过滤)中被调用
- 在NAT(Network Address Translation)中被调用
- 在路由策略中被调用
- 在防火墙的策略部署中被调用
- 在QoS中被调用
- 其他.....
acl number 2000(acl编号)
##5为规则编号,缺省值为5,如添加规则时未设置编号,则默认按5的步长增加
rule 5 deny source 10.1.1.1 0.0.0.0(ipv4+通配符,通配符中0表示匹配,1表示随机匹配)
rule 10 permit source 10.1.1.0 0.0.255
rule 11 permit source 20.1.1.0 0.0.0.255
匹配原则:一旦命中立即 停止匹配
因此,越精确的就在前面
分类 | 编号范围 | 规则定义描述 |
基本ACL | 2000-2999 | 仅使用报文的源IP地址分片信息和生效时间段信息来定义规则 |
高级ACL | 3000-3999 | 可使用IPv4报文的源IP地址、目的IP地址、IP协议类型、ICMP类型、TCP源/目的端口号、UDP源/目的端口号、生效时间段等来定义规则 |
二层ACL | 4000-4999 | 使用报文的以太网帧头信息来定义规则,如根据源MAC地址、目的MAC地址二层协议类型等 |
用户自定义ACL | 5000-5999 | 使用报文头、偏移位置、字符串掩码和用户自定义字符串来定义规则 |
用户ACL | 6000-6999 | 既可使用IPv4报文的源IP地址或源UCL(User Control List)组,也可使用目的IP地址或目的UCL组、IP协议类型、ICMP类型、TCP源端口/目的端口、UDP源端口/目的端口号等来定义规则 |
分类
- 数字型ACL:acl number 2000
- 命名型ACL:acl name to sever basic/adv
ACL的匹配位置
区分入方向(inbound)和出方向(outbound)流量
同一个口,同一个方向,只能写一个ACL
acl number 3000
rule 5 deny ip source 192.168.1.10
##允许192.168.1.2通过tcp协议访问服务器192.168.2.1的网页端口(80或www)
rule 9 permit tcp source 192.168.1.2 0 destination 192.168.2.1 0 destination-port eq www
rule 10 deny ip source 192.168.1.2 0 destination 192.168.2.1 0
##允许ip协议的所有流量
rule 100 permit ip
#入端口入方向按acl 3000进行流量过滤
int g0/0/0
traffic-filter inbound acl 3000
dis acl 3000