广域骨干网建设

已于 2024-02-13 10:31:59 修改
阅读量1.5k 收藏 32
点赞数 21
分类专栏： ensp实验 文章标签： 网络 网络协议 计算机网络 网络安全 tcp/ip 信息与通信 智能路由器
于 2024-02-12 22:38:35 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_72910567/article/details/136102509
版权

目录

项目背景

整体网络架构

项目现状

项目目标

需求一:配置广域骨干网 Underlay 网络

需求二:部署广域骨干网 MPLS

需求三:部署广域骨干网 VPN

需求四:配置广域骨干网 QoS

项目背景

随着公司业务发展与数字化转型的不断开展，2020年初在Z市建立了一个数据中心，将生产、订单管理、研发等 IT平台全部迁移数据中心。同时为了保证这些业务的服务质量，在总部园区(X市)、生产基地(Y市)、数据中心(Z市)间搭建企业广域骨干网，三者之间的业务数据直接通过广域骨干网传输至数据中心。同时为了节约成本，门店方问数据中心的数据通过Y市中转进入广域骨干网，并由广域骨干传输至数据中心。

公司由两大类业务，0A类业务与 R&D 类业务，各园区与门店的业务情况如下

业务类型X园区业务Y园区业务门店业务Z数据中心业务
OA类业务Employee业务OA管理业务Employee 业务OA后台业务
R&D类业务无R&D管理业务订单管理业务R&D后台业务

整体网络架构

广域骨干网主要用于承载 X 园区，Y 园区以及Z 数据中心之间的 0A 类与 R&D 类业务。

广域骨干网分别A和B两个平台，双平台互为备份，其中:A平面由X PE1、Y PE1、Z PE1组成，B平面由X PE2、Y PE2、Z PE2 组成。AB 平面拓扑如下图所示:

项目现状

骨干网设备的 IP 互联地址已预配，无需修改，具体 IP 地址规划如下:

项目目标

1.企业希望将该骨干网建立成一个统一承载、可靠性高的网络。
2.X、Y园区以及门店的 OÀ 类业务能与Z数据中心的 OA后台互通，Y园区的 R&D类业务能与Z数据中心的 R&D 后台互通。
3.请在了解需求并作出相应分析后完成本实验。

需求一:配置广域骨干网 Underlay 网络

1. 骨干网络 Underlay 通过 IS-IS 协议实现互联,所有骨干网设备之间只需要建立 IS-IS邻居。
2. 在设置 IS-IS 路由器级别、Cost 类型与接口类型的参数时，需要保证所有 IS-IS 路由器都运行在骨干区域，且能适应大规模网络,也需要保证 IS-IS 路由器能快速建立邻居关系(需要在2S 内建立邻居)
3.IS-IS NET 地址需要基于设备的 Router ID地址形成(比如环回口 1.0.0.1对应的系统 ID为（0010.0000.0001)，NET 地址 Area ID 统一为 49.0001
4. 为了保证 IS-IS 网络的安全,在形成邻居以及交互 LSP 时需要配置 MD5 认证，认证密码为 Huawei@123
5. IS-IS 网络在发生故障时，能够快速感知邻居中断，且需要保证在部分节点或链路故障时流量的中断时间都能小于 50ms
6. 由于 PE 设备之间的链路租用的是运营商链路，带宽较小，所以在配置 IS-IS Cost值时需要保证流量同平面优先在本平面基于最短路径转发，如果该路径失效，备份路径优先在 PE 上跨平面转发，以Y PE1 去往 Z PE1 的流量路径为例:

配置命令如下：

以X_PE1举例，其他5个PE只需修改network-entity字段

[X_PE1]
bfd
#
isis 1
 is-level level-2
 cost-style wide
 bfd all-interfaces min-tx-interval 10 min-rx-interval 10 frr-binding
 network-entity 49.0001.0010.0000.0001.00
 domain-authentication-mode md5 cipher Huawei@123
 frr
  loop-free-alternate level-2
#
interface GigabitEthernet0/0/0
 isis enable 1
 isis circuit-type p2p
 isis authentication-mode md5 cipher Huawei@123
 isis ppp-negotiation 2-way
 isis cost 1
#
interface GigabitEthernet0/0/1
 isis enable 1
 isis circuit-type p2p
 isis authentication-mode md5 cipher Huawei@123
 isis ppp-negotiation 2-way
 isis cost 100
#
interface GigabitEthernet0/0/2
 isis enable 1
 isis circuit-type p2p
 isis authentication-mode md5 cipher Huawei@123
 isis ppp-negotiation 2-way
 isis cost 100
#

结果验证:

1.在X_PE1上查看关于Z_PE1环回口路由的详细信息，截图并记录结果

说明:在前面的需求中，要求主链路故障后，优先跨平面，而此处 FRR 的备份链路是 G0/0/1 并没有跨平面，这点并无不妥。因为FRR的任务是先完成链路保护，保证流量不中断，等 isis 路由收敛之后，最优路径还是会切换到 G0/0/3 走跨平面。在下一步可以验证。

2.手工关闭X_PE1的 GEO/0/2后，通过XPE1的环回口。Tracert Z_PE1的环回口截图记录结果，记录结果后打开 X_PE1 的 GE0/0/2。

可以看到当 X→Z 的链路故障后，最优路径会切换到 G0/0/0，完成跨平面。G0/0/1依旧是 FRR 的备用链路。完成后重新打开接口

需求二:部署广域骨干网 MPLS

1 骨干网使用 LDP 构建 MPLS LSP

所有PE配置命令如下：

int l0
 isis enable 1
#
mpls lsr-id X.0.0.X(环回口地址）
mpls
mpls ldp
#
interface GigabitEthernet0/0/0
 mpls
 mpls ldp
#
interface GigabitEthernet0/0/1
 mpls
 mpls ldp
#
interface GigabitEthernet0/0/2
 mpls
 mpls ldp
#


2 为了保障网络可靠性，需要能端到端(PE 到 PE)的检査 MPLS LSP 的连通性，并确保MPLS 主路径发生故障时，流量能在50ms内切换到备路径

所有PE设备配置命令如下：

//部署 bfd+mpls
bfd
mpls-passive
#
mpls
mpls bfd enable
mpls bfd-trigger host
mpls bfd min-tx-interval 10 min-rx-interval 10

3 请确保当 MPLS 主路径上的链路恢复后，备用路径回切时，不会产生大量丢包

所有PE配置命令如下：

isis 1
 ldp-sync enable

结果验证:


1.通过命令在X_PE1,Y_PE1,Y_PE2 上査看 MPLS LSP 表项，截图记录结果。

   看到 BFD 基于 MPLS 的FEC 建立了动态会话即可

需求三:部署广域骨干网 VPN

1. X园区内有 Employee 业务，Y园区内有 0A 管理业务和 R&D 管理业务，Z 数据中心有0A 后台业务与 R&D后台业务，门店内有Employee 业务与订单管理业务。
2. 整网业务可被分为两大类，两大类业务流量需要实现端到端(即园区不同业务之间)隔离这两大类业务的基本规划如下:

业务类型X园区业务Y园区业务门店业务Z数据中心业务
OA类业务Employee业务OA管理业务Employee 业务OA后台业务
R&D类业务无R&D管理业务订单管理业务R&D后台业务

需求：

1. 0A 类业务:X 园区、门店的以及Y 园区的 0A 类业务可与Z 数据中心的 0A后台互通:X 园区可与Y 园区以及门店互通，但流量必须绕行Z 市数据中心的CE设备(Z Export1)
2. R&D 类业务:门店与Y 园区的 R&D 类业务可以与Z 数据中心的 R&D 后台互通。
3. 门店的 0A 类业务与 R&D类业务的流量先通过 SD-WAN网络将流量发往Y 市园区网络的Y _Export1,然后后再通过 Y_Export1 将数据发往Z市数据中心。

4. 所有 PE 设备(即骨干网)都属于 AS65000，PE与PE 之间使用 BGP VPNv4传递路由,X PE1与 X PE2 两台 PE 设备作为同级 RR 为全网反射 VPN 路由，配置 RR 时需要考虑 BGP 路由的更新效率和可靠性，注意，YPE与ZPE之间无需建立 BGP VPNv4 邻居。
5. 为了保障 BGP 邻居的安全性，请只在必要的PE之间建立 BGP 邻居，且需要防止非法的设备与 PE 建立 BGP 邻居

X_PE1和X_PE2的配置命令如下：

bgp 65000
 router-id X.0.0.X
 undo default ipv4-unicast
 group IBGP internal
 peer IBGP connect-interface LoopBack0
 peer IBGP password cipher Huawei@123
 peer 3.0.0.3 group IBGP
 peer 4.0.0.4 group IBGP
 peer 5.0.0.5 group IBGP
 peer 6.0.0.6 group IBGP
 #
 ipv4-family vpnv4
  reflector cluster-id 12
  undo policy vpn-target
  peer IBGP enable
  peer IBGP reflect-client
  peer 3.0.0.3 group IBGP
  peer 4.0.0.4 group IBGP
  peer 5.0.0.5 group IBGP
  peer 6.0.0.6 group IBGP
#

Y_PE1,Y_PE2.Z_PE1,Z_PE2配置命令如下：

bgp 65000
 router-id X.0.0.X
 undo default ipv4-unicast
 group RR internal
 peer RR connect-interface LoopBack0
 peer RR password cipher Huawei@123
 peer 1.0.0.1 group RR
 peer 2.0.0.2 group RR
 #
 ipv4-family vpnv4
  policy vpn-target
  peer RR enable
  peer 1.0.0.1 group RR
  peer 2.0.0.2 group RR
#

6. PE 侧 VPN 实例已预配，预配规划如下:

请根据 OA类与 R&D 类的业务需求，规划并配置 VPN 实例的 RD 与 RT 

一般情况下，RD 只在本地有效。但是在后面的需求中要部署 VPN-FRR,这要求Z PE1和ZPE2的 vpnv4路由交叉到同一个实例中，所以在设计 RD 值时建议 Z PE1 和Z PE2 的 RD 值不要重复。下表可作为参考:

 

配置命令如下：

X_PE1:
ip vpn-instance OA
  route-distinguisher 1:1
  vpn-target 12:3 export-extcommunity
  vpn-target 3:12 import-extcommunity
#
X_PE2:
ip vpn-instance OA
  route-distinguisher 1:2
  vpn-target 12:3 export-extcommunity
  vpn-target 3:12 import-extcommunity
#
Y_PE1:
ip vpn-instance OA
  route-distinguisher 2:1
  vpn frr route-policy VPN_FRR
  vpn-target 12:3 export-extcommunity
  vpn-target 3:12 import-extcommunity
#
ip vpn-instance R&D
  route-distinguisher 2:11
  vpn-target 2:3 export-extcommunity
  vpn-target 3:2 import-extcommunity
#

Y_PE2:
ip vpn-instance OA
  route-distinguisher 2:2
  vpn-target 12:3 export-extcommunity
  vpn-target 3:12 import-extcommunity
#
ip vpn-instance R&D
  route-distinguisher 2:22
  vpn-target 2:3 export-extcommunity
  vpn-target 3:2 import-extcommunity
#
Z_PE1:
ip vpn-instance OA_In
  route-distinguisher 3:1
  vpn-target 12:3 import-extcommunity
#
ip vpn-instance OA_Out
  route-distinguisher 3:11
  vpn-target 3:12 export-extcommunity
#
ip vpn-instance R&D
  route-distinguisher 3:111
  vpn-target 3:2 export-extcommunity
  vpn-target 2:3 import-extcommunity
#
Z_PE2:
ip vpn-instance OA_In
  route-distinguisher 3:2
  vpn-target 12:3 import-extcommunity
#
ip vpn-instance OA_Out
  route-distinguisher 3:22
  vpn-target 3:12 export-extcommunity
#
ip vpn-instance R&D
  route-distinguisher 3:222
  vpn-target 3:2 export-extcommunity
  vpn-target 2:3 import-extcommunity
#

7. CE 与 PE 互联的地址未配置，请基于以下规划配置地址: 

 配置 CE与 PE的互联接口时，需要保证业务能端到端隔离

X_Export1:
interface GigabitEthernet0/0/0
 ip address 10.20.1.1 255.255.255.252 
#
interface GigabitEthernet0/0/1
 ip address 10.20.1.5 255.255.255.252 
#

X_PE1:
interface GigabitEthernet1/0/0
 ip binding vpn-instance OA
 ip address 10.20.1.2 255.255.255.252 
#

X_Export2:
interface GigabitEthernet0/0/0
 ip address 10.20.1.9 255.255.255.252 
#
interface GigabitEthernet0/0/1
 ip address 10.20.1.6 255.255.255.252 
#

X_PE2:
interface GigabitEthernet1/0/0
 ip binding vpn-instance OA
 ip address 10.20.1.10 255.255.255.252 
#

Y_Export1:
interface GigabitEthernet0/0/1.10
 dot1q termination vid 10
 ip binding vpn-instance vpn2
 ip address 10.20.2.1 255.255.255.252 
 arp broadcast  enable 
#
interface GigabitEthernet0/0/1.20
 dot1q termination vid 20
 ip binding vpn-instance vpn3
 ip address 10.20.2.5 255.255.255.252 
 arp broadcast  enable  
#
interface GigabitEthernet0/0/2.10
 dot1q termination vid 10
 ip binding vpn-instance vpn2
 ip address 10.20.2.9 255.255.255.252 
 arp broadcast  enable 
#
interface GigabitEthernet0/0/2.20
 dot1q termination vid 20
 ip binding vpn-instance vpn3
 ip address 10.20.2.13 255.255.255.252 
 arp broadcast  enable 
#
vpn2对应的是OA业务，vpn3对应的是R&D业务
Y_PE1:
interface GigabitEthernet1/0/0.10
 dot1q termination vid 10
 ip binding vpn-instance OA
 ip address 10.20.2.2 255.255.255.252 
arp broadcast  enable 
#
#
interface GigabitEthernet1/0/0.20
 dot1q termination vid 20
 ip binding vpn-instance R&D
 ip address 10.20.2.6 255.255.255.252 
arp broadcast  enable 
#


Y_PE2:
interface GigabitEthernet1/0/0.10
 dot1q termination vid 10
 ip binding vpn-instance OA
 ip address 10.20.2.10 255.255.255.252 
arp broadcast  enable 
#
#
interface GigabitEthernet1/0/0.20
 dot1q termination vid 20
 ip binding vpn-instance R&D
 ip address 10.20.2.14 255.255.255.252 
arp broadcast  enable 
#

Z_Export1:

interface GigabitEthernet0/0/1.10
 dot1q termination vid 10
 ip binding vpn-instance OA
 ip address 10.20.3.1 255.255.255.252 
 arp broadcast  enable 
#
interface GigabitEthernet0/0/1.11
 dot1q termination vid 11
 ip binding vpn-instance OA
 ip address 10.20.3.5 255.255.255.252 
 arp broadcast  enable 
#
interface GigabitEthernet0/0/1.20
 dot1q termination vid 20
 ip binding vpn-instance R&D
 ip address 10.20.3.9 255.255.255.252 
arp broadcast  enable 
#
interface GigabitEthernet0/0/2.10
 dot1q termination vid 10
 ip binding vpn-instance OA
 ip address 10.20.3.13 255.255.255.252 
 arp broadcast  enable 
#
interface GigabitEthernet0/0/2.11
 dot1q termination vid 11
 ip binding vpn-instance OA
 ip address 10.20.3.17 255.255.255.252 
 arp broadcast  enable 
#
interface GigabitEthernet0/0/2.20
 dot1q termination vid 20
 ip binding vpn-instance R&D
 ip address 10.20.3.21 255.255.255.252 
 arp broadcast  enable 
#
Z_PE1:

interface GigabitEthernet1/0/0.10
 dot1q termination vid 10
 ip binding vpn-instance OA_In
 ip address 10.20.3.2 255.255.255.252
arp broadcast  enable  
#
interface GigabitEthernet1/0/0.11
 dot1q termination vid 11
 ip binding vpn-instance OA_Out
 ip address 10.20.3.6 255.255.255.252 
arp broadcast  enable 
#
interface GigabitEthernet1/0/0.20
 dot1q termination vid 20
 ip binding vpn-instance R&D
 ip address 10.20.3.10 255.255.255.252 
arp broadcast  enable 
#

Z_PE2:

interface GigabitEthernet1/0/0.10
 dot1q termination vid 10
 ip binding vpn-instance OA_In
 ip address 10.20.3.14 255.255.255.252
arp broadcast  enable  
#
interface GigabitEthernet1/0/0.11
 dot1q termination vid 11
 ip binding vpn-instance OA_Out
 ip address 10.20.3.18 255.255.255.252 
arp broadcast  enable 
#
interface GigabitEthernet1/0/0.20
 dot1q termination vid 20
 ip binding vpn-instance R&D
 ip address 10.20.3.22 255.255.255.252 
arp broadcast  enable 
#

8. X园区，Y园区，门店的 0A 类与 R&D类业务的网段可查看《传统园区改造与升级》与《云管理园区与分支互联网络新建》项目。Z 数据中心 LAN 侧业务网段未配置，请根据规划部署

Z_Export1:
#
interface LoopBack0
 ip binding vpn-instance OA
 ip address 10.3.101.254 255.255.255.0 
#
interface LoopBack1
 ip binding vpn-instance R&D
 ip address 10.3.99.254 255.255.255.0 
#
interface LoopBack2
 ip binding vpn-instance R&D
 ip address 10.3.100.254 255.255.255.0 
#

9. CE与 PE之间使用 BGP 协议传递路由，其中X 园区出口所在 AS 为65001，Y 园区出口所在 AS 为 65003，Z 数据中心出口所在区为 65004。

X_Export1和X_Export2的配置如下：

X_Export1:
//根据需求，只需要传Employee的路由，不需要传Guest的路由
ip ip-prefix Guest permit 10.1.101.0 24
ip ip-prefix Guest permit 10.1.102.0 24
ip ip-prefix Guest permit 10.1.103.0 24
ip ip-prefix Guest permit 10.1.104.0 24
ip ip-prefix Guest permit 10.1.105.0 24
#
  route-policy toBGP deny node 10
  if-match ip-prefix Guest
  route-policy toBGP permit node 100
#
bgp 65001
 router-id 10.1.0.1
 peer 10.20.1.2 as-number 65000 
 peer 10.20.1.2 password cipher Huawei@123 
 import-route ospf 1 route-policy toBGP
 #


X_Export2：
ip ip-prefix Guest permit 10.1.101.0 24
ip ip-prefix Guest permit 10.1.102.0 24
ip ip-prefix Guest permit 10.1.103.0 24
ip ip-prefix Guest permit 10.1.104.0 24
ip ip-prefix Guest permit 10.1.105.0 24
#
  route-policy toBGP deny node 10
  if-match ip-prefix Guest
  route-policy toBGP permit node 100
#
bgp 65001
 router-id 10.1.0.2
 peer 10.20.1.10 as-number 65000 
 peer 10.20.1.10 password cipher Huawei@123 
 peer 10.20.1.10 route-policy MED import 
 import-route ospf 1 route-policy toBGP
 #

 X_PE1和X_PE2的配置如下：

X_PE1:
bgp 65000
  ipv4-family vpn-instance OA
  peer 10.20.1.1 as-number 65001
  peer 10.20.1.1 password cipher Huawei@123
#

X_PE2:
bgp 65000
  ipv4-family vpn-instance OA
  peer 10.20.1.9 as-number 65001
  peer 10.20.1.9 password cipher Huawei@123
#

Y_Export1的配置如下：

Y_Export1:
bgp 65003
 ipv4-family vpn-instance vpn2 
  peer 10.20.2.2 as-number 65000 
  peer 10.20.2.2 password cipher Huawei@123
  peer 10.20.2.10 as-number 65000 
  peer 10.20.2.10 password cipher Huawei@123
 #
 ipv4-family vpn-instance vpn3 
  peer 10.20.2.6 as-number 65000 
  peer 10.20.2.6 password cipher Huawei@123 
  peer 10.20.2.14 as-number 65000 
  peer 10.20.2.14 password cipher Huawei@123
#

Y_PE1和Y_PE2的配置如下： 

Y_PE1:
bgp 65000
  ipv4-family vpn-instance OA
  peer 10.20.2.1 as-number 65003
  peer 10.20.2.1 password cipher Huawei@123
#
  ipv4-family vpn-instance R&D
  peer 10.20.2.5 as-number 65003
  peer 10.20.2.5 password cipher Huawei@123
#

Y_PE2:
bgp 65000
  ipv4-family vpn-instance OA
  peer 10.20.2.9 as-number 65003
  peer 10.20.2.9 password cipher Huawei@123
#
  ipv4-family vpn-instance R&D
  peer 10.20.2.13 as-number 65003
  peer 10.20.2.13 password cipher Huawei@123
#

Z_Export1的配置如下：

bgp 65004
 ipv4-family vpn-instance OA 
  network 10.3.101.0 255.255.255.0 
  peer 10.20.3.2 as-number 65000 
  peer 10.20.3.2 password cipher Huawei@123
  peer 10.20.3.6 as-number 65000 
  peer 10.20.3.6 password cipher Huawei@123
  peer 10.20.3.14 as-number 65000 
  peer 10.20.3.14 password cipher Huawei@123
  peer 10.20.3.18 as-number 65000 
  peer 10.20.3.18 password  cipher Huawei@123
 #
 ipv4-family vpn-instance R&D 
  network 10.3.99.0 255.255.255.0 
  network 10.3.100.0 255.255.255.0 
  peer 10.20.3.10 as-number 65000 
  peer 10.20.3.10 password cipher Huawei@123
  peer 10.20.3.22 as-number 65000 
  peer 10.20.3.22 password cipher Huawei@123 
#

Z_PE1和Z_PE2的配置如下：

不要文忘记allow-as-loop这条命令

Z_PE1:
bgp 65000
 ipv4-family vpn-instance OA_In 
  peer 10.20.3.1 as-number 65004 
  peer 10.20.3.1 password cipher Huawei@123
 #
 ipv4-family vpn-instance OA_Out 
  peer 10.20.3.5 as-number 65004 
  peer 10.20.3.5 password cipher Huawei@123
  peer 10.20.3.5 allow-as-loop 
 #
 ipv4-family vpn-instance R&D 
  peer 10.20.3.9 as-number 65004 
  peer 10.20.3.9 password cipher Huawei@123
#

Z_PE2:
bgp 65000
 ipv4-family vpn-instance OA_In 
  peer 10.20.3.13 as-number 65004 
  peer 10.20.3.13 password cipher Huawei@123
 #
 ipv4-family vpn-instance OA_Out 
  peer 10.20.3.17 as-number 65004 
  peer 10.20.3.17 password cipher Huawei@123
  peer 10.20.3.17 allow-as-loop 
 #
 ipv4-family vpn-instance R&D 
  peer 10.20.3.21 as-number 65004 
  peer 10.20.3.21 password cipher Huawei@123
#

 10. 骨干网上的流量统一通过 MPLS 隧道承载，具体规划如下:

11. X 园区与 Y 园区 LAN 侧使用 OSPF 打通内部网络，X与Y园区的 LAN 侧网络需要能够基于从 BGP 继承来的 Cost 值选择主备路径。Z 数据中心的 LAN 侧网络为直连网络无需部署OSPF
12. 为了提高X园区可靠性在X Export1与X Export2 之间也需要部署 OSPF,注意不要产生环路或次优
13. 为了增强 0A 类业务的可靠性，需保证当 Z PE1 出现故障，发往Z园区的 0A 类流量迅速发往 Z PE2。

X园区的设备配置命令如下：

注意X_Export2比X_Export1多了一个修改MED的路由策略，用来满足X园区的选路问题

X_Export1:
route-policy tag2 deny node 10 
  if-match tag 2
route-policy tag2 permit  node 100
#
ospf 1 router-id 10.1.0.1 
 default cost inherit-metric
 filter-policy route-policy tag2 import
 import-route  bgp  tag 1
 area 0.0.0.0 
  network 10.1.0.0 0.0.255.255 
  network 10.20.1.5 0.0.0.0 
#



X_Export2:
route-policy tag1 deny node 10 
  if-match tag 1
route-policy tag1 permit  node 100
#
route-policy MED permit node 10 
 apply cost 20 

bgp 65001
 peer 10.20.1.10 route-policy MED import 
 #
ospf 1 router-id 10.1.0.2 
 default cost inherit-metric
 filter-policy route-policy tag1 import
 import-route bgp tag 2
 area 0.0.0.0 
  network 10.1.0.0 0.0.255.255 
  network 10.20.1.6 0.0.0.0 
#


X_PE1:
ip ip-prefix Z_PE1 permit 5.0.0.5 32
#
route-policy VPN_FRR permit node 10 
 if-match ip next-hop ip-prefix Z_PE1 
 apply backup-nexthop 6.0.0.6
#
ip vpn-instance OA
  vpn frr route-policy VPN_FRR

Y园区的设备配置命令如下：

Y_Export1:
bgp 65003
 ipv4-family vpn-instance vpn2 
  peer 10.20.2.2 preferred-value 10 
 #
 ipv4-family vpn-instance vpn3 
  peer 10.20.2.14 preferred-value 10 
#
ospf 2 
 default cost inherit-metric
#
ospf 3 
 default cost inherit-metric
#

Y_PE1:
ip ip-prefix Z_PE1 permit 5.0.0.5 32
#
route-policy VPN_FRR permit node 10 
 if-match ip next-hop ip-prefix Z_PE1 
 apply backup-nexthop 6.0.0.6
#
ip vpn-instance OA
  vpn frr route-policy VPN_FRR
#

Z园区设备配置命令如下 ：

Z_Export1:
bgp 65004
 ipv4-family vpn-instance OA 
  peer 10.20.3.2 preferred-value 10
#
 ipv4-family vpn-instance R&D 
  peer 10.20.3.22 preferred-value 10
#


14. PE之间的链路使用了运营商的传输专线，运营商告知传输专线(即不同园区 PE之间的互联链路)的L2 MTU 值为 1400，请设置合适的MPLS MTU，保证企业园区之间以最高效率传递大包，同时报文不会被丢弃(不考虑 QoS 的影响) 

所有PE设备配置命令如下：

int g0/0/0
 mpls mtu 1382
int g0/0/1
 mpls mtu 1382
int g0/0/2
 mpls mtu 1382

15. 结果验证:
1. 在Z PE1 与Z PE2 上査看 OA 类与 R&D 类业务的 VPN 路由，截图记录结果。
2. 在Y PE1上査看Z 数据中心中 0A类与 R&D类业务的 VPN 路由 Verbose 信息，截图记录结果.在X Export1 上 Tracert 门店的 0A 类业务(10.100.2.1)，截图记录结果。


16.  隐藏需求:合理部署X T1 FW1的策略，满足前面的各种访问需求

[X_T1_FW1-Employee]
security-policy
rule name X_to_Y&Z
 source-zone trust
 destination-zone untrust
  destination-address 10.100.2.0 mask 255.255.255.0
  destination-address 10.3.101.0 mask 255.255.255.0
  destination-address range10.2.31.0 10.2.35.255
  destination-address range10.2.41.0 10.2.45.255
  destination-address range10.2.51.0 10.2.55.255
  action permit
#
rule name Y&Z_to_X
 source-zone untrust
 destination-zone trust
  source-address 10.100.2.0 mask 255.255.255.0
  source-address 10.3.101.0 mask 255.255.255.0
  source-address range10.2.31.0 10.2.35.255
  source-address range10.2.41.0 10.2.45.255
  source-address range10.2.51.0 10.2.55.255
  action permit
#

需求四:配置广域骨干网 QoS

1. Y园区的 R&D 类业务是公司最重要的业务，R&D类业务主要包括研发业务和生产业务

2. 这两种业务的流量从Y 园区的Y Export1发往Z 数据中心Z Export1 的过程中需要保证 SLA。为了方便后期维护，需要在Y Export1 上部署限速，打标，在企业广域骨干网设备上部署拥塞管理和拥塞避免功能。
3. Y 园区的生产部的流量是公司的关键流量，用于监控生产安全，控制生产进程。Y 园区生产类业务需要的最大带宽为 100M，同时需要保证生产流量有较低时延。生产流量一般会使用 DSCP EF 标注。 

4. Y 园区的研发部的流量是公司的核心流量，用于研发新产品，共享研发成果。R&D类业务需要保障尽量少丢包。但是该业务对时延不敏感，研发业务总体流量在 300M左右。由于研发业务存在较多的 TCP流量,因此需要保证网络发生拥塞时不会产生 TCP 全局同步。研发流量一般会使用 DSCP AF41 标注

Y_Export1配置命令如下：

Y_Export1:
acl  3000  
 rule 5 permit ip source 10.2.21.0 0.0.0.255 
 rule 10 permit ip source 10.2.22.0 0.0.0.255 
 rule 15 permit ip source 10.2.23.0 0.0.0.255 
 rule 20 permit ip source 10.2.24.0 0.0.0.255 
 rule 25 permit ip source 10.2.25.0 0.0.0.255 
#
acl number 3001  
 rule 5 permit ip source  10.2.11.0 0.0.0.255 
 rule 10 permit ip source 10.2.12.0 0.0.0.255 
 rule 15 permit ip source 10.2.13.0 0.0.0.255 
 rule 20 permit ip source 10.2.14.0 0.0.0.255 
 rule 25 permit ip source 10.2.15.0 0.0.0.255 
#
traffic classifier Production
 if-match  acl 3000
#
traffic behavior Production
 car cir 100000 
 remark dscp ef
#
traffic classifier R&D
 if-match  acl 3001
#
traffic behavior R&D
gts cir 300000 
remark dscp af41
#
traffic policy Qos
 classifier Production behavior Production
 classifier R&D behavior R&D 
#
interface GigabitEthernet0/0/1.20
 traffic-policy  Qos outbound 
#
interface GigabitEthernet0/0/2.20
 traffic-policy  Qos outbound 
#

所有PE配置命令如下：

drop-profile AF41
wred dscp
  dscp af41 low-limit 50 high-limit 80 discard-percentage 50
#
traffic classifier AF41 
 if-match mpls-exp 4 
#
traffic behavior AF41
 queue af bandwidth 300000
 drop-profile AF41
#

traffic classifier EF 
 if-match mpls-exp 5 
#
traffic behavior EF
 queue llq bandwidth 100000 
#
traffic policy Qos
 classifier EF behavior EF
 classifier AF41  behavior AF41 
#
int g0/0/0
traffic-policy qos outbound 
int g0/0/1
traffic-policy qos outbound 
int g0/0/2
traffic-policy qos outbound


5. 剩余业务的流量不做特殊保障
6. QoS 业务的参数请根据需求自行规划

时光里的雨
关注
  • 21
    点赞
  • 踩
  • 32
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 3
    评论
专栏目录
通过静态LSP、LDP LSP、MPLS TE三种方式实现总部与分支的互通
qq_53108686的博客
12-26 1993
通过静态LSP、LDP LSP、MPLS TE三种方式实现总部与分支的互通
华为设备MPLS LDP配置命令
Tony_long7483的博客
05-14 3426
华为设备MPLS LDP配置命令
玩转华为ENSP模拟器系列 | 配置动态BFD检测LDP LSP示例
COCO_gsta的博客
05-10 1218
素材来源：华为路由器配置指南 一边学习一边整理试验笔记，并与大家分享，侵权即删，谢谢支持！ 附上汇总贴：玩转华为ENSP模拟器系列 | 合集_COCOgsta的博客-CSDN博客_ensp实验大全 目标 介绍配置动态BFD检测LDP LSP的配置过程，包括在各设备以及各接口使能MPLS、MPLS LDP，以及在源端和宿端上使能BFD能力。 组网需求 MPLS LDP越来越多的应用在运营商的网络中，运营商对MPLS LDP网路可靠性要求也越来越高，BFD for LDP能够为LDP LSP提供快速
MPLS SR TE（流量工程）基于ENSP PRO
最新发布
qq_63540264的博客
05-16 1045
本次实验为SR-MPLS TE，基于Adjacency Segment路由转发以灵活控制路径。未启用TE时，CE1与CE2通信默认通过IGP选择最小开销路径（PE1-PE2）。我们调整PE1-PE2链路COST，使PE1-P-PE2成为IGP最优路径。再通过TE控制流量基于Adjacency Segment转发，指定CE1-CE2路径为PE1-P-PE2。
MPLS技术学习-静态BFD检测静态LSP学习
wangli的博客
01-08 3873
一、实验拓扑 二、拓扑介绍   本实验中两台PE设备有主备两条链路，要实现MPLS网互通，需要配置4条LSP，每个方向需要配置2条LSP静态路由，主用链路是经过P_1的链路，备用链路是经过P_2的链路，主用链路的LSP命名为LSP1、LSP2，备用链路的LSP命名为LSP3、LSP4。 三、实验背景       BFD是一种链路快速检测机制，BGP协议通过引入BFD与BGP联动功能，利...
MPLS 基础知识
weixin_44260459的博客
11-18 1万+
MPLS简介 多协议标签交换MPLS（Multiprotocol Label Switching）是一种IP（Internet Protocol）骨干网技术。MPLS在无连接的IP网络上引入面向连接的标签交换概念，将第三层路由技术和第二层交换技术相结合，充分发挥了IP路由的灵活性和二层交换的简捷性。 MPLS起源于IPv4（Internet Protocol version 4），其核心技术可扩展到多种网络协议，包括IPv6（Internet Protocol version 6）、IPX（Intern
IGP高级特性-BFD联动FRR
Ddfgxfgg的博客
02-22 811
OSPF联动BFD实现与FRR状态绑定
华为设备配置动态BFD检测LDP LSP
Tony_long7483的博客
05-15 511
华为设备配置动态BFD检测LDP LSP
网络基础简单了解（总结）
honest_gg的博客
12-20 2723
骨干网（广域网）（WAN）——城域网（MAN）——局域网（LAN） 目前主要关注点在局域网 常见网络拓扑结构： 全网状——冗余性最强 ——>（不会因为某条线路出现问题而断网，搭建成本高） 部分网状——重要的节点是网状（节省成本） 组合型（以后发展方向） 网络基本功能： 1、实现通讯 2、资源共享 数据：在计算机领域各种信息的载体 数据传输： 大部分应用程序所产生的数据需要在不同的设备之间传递 模型： ...
MPLS CE PE骨干网络视频课程
02-20
此课程主要介绍MPLS CE PE的网络配置及理论知识点，以MPLS CE PE网络架构为主要根本点，层层讲解MPLS CE PE二层、三层、标签、数据传输层、数据控制层等内容重点，详细阐述MPLS CE PE中PE 、CE之间的关系，多种路由协议间路由信息传递。此MPLS CE PE对项目交付有大的帮助，在从事南方电网城域主骨干网项目割接时，几乎都回应了我视频上所有的知识点，配置的重点上也几乎相似，项目实用性较强，此割接项目涉及到CISCO设备为主。
建立多级广域骨干网实例
03-04
通过对中国农业银行内蒙古分行全自治区广域骨干网络的总体设计，其中包括对主干网络的设计、网络安全的设计以及IP语音功能的加入，思科系统公司圆满地满足了中国农业银行内蒙古分行对于网络规划和建设的要求。其中最为关键的是多级主干数据网络方案的设计，对于实现多层次多业务的地区具有重要的借鉴意义。思科公司为中国农业银行内蒙古分行建立了一个集先进性、安全性、高可靠性于一身的高水平广域网平台，完全满足了中国农业银行新一代业务系统的要求。
MPLS LDP基础
曹世宏的博客
05-29 5万+
MPLS LDP简介 标签分发协议LDP（Label Distribution Protocol）是多协议标签交换MPLS的一种控制协议，相当于传统网络中的信令协议，负责转发等价类FEC（Forwarding Equivalence Class）的分类、标签的分配以及标签交换路径LSP（Label Switched Path）的建立和维护等操作。LDP规定了标签分发过程中的各种消息以及相关处理过...
MPLS网络架构和详解
wsasy12345的博客
02-14 6340
MPLS网络的架构以及详解 MPLS简介 MPLS（Multiprotocol Label Switching，多协议标签交换）起源于IPv4（Internet Protocol version 4，因特网协议版本4），最初是为了提高转发速度而提出的，其核心技术可扩展到多种网络协议，包括IPv6（Internet Protocol version 6，因特网协议版本6）、IPX（Interne...
MPLS基础
weixin_34194087的博客
10-21 5717
1.1  MPLS简介 MPLS（Multiprotocol Label Switching，多协议标签交换）是一种新兴的IP骨干网技术。MPLS在无连接的IP网络上引入面向连接的标签交换概念，将第三层路由技术和第二层交换技术相结合，充分发挥了IP路由的灵活性和二层交换的简捷性。 MPLS广泛应用于大规模网络中，它具有以下优点： 在MPLS网络中，设备根据短而定长的标签转发报文，省去了通...
MPLS技术原理
热门推荐
曹世宏的博客
08-25 5万+
BGP/MPLS IP简介 BGP/MPLS IP [Virtual Private Network]是一种L3[Virtual Private Network]（Layer 3 Virtual Private Network）。它使用BGP（Border Gateway Protocol）在服务提供商骨干网上发布[Virtual Private Network]路由，使用MPLS（Multiprotocol Label Switch）在服务提供商骨干网上转发[Virtual Private Network
华为设备OSPF配置命令
Tony_long7483的博客
02-12 1万+
华为设备OSPF配置命令
bfd简介
zyd_15221378768的博客
07-20 2万+
    BFD（双向转发检测） 一、背景 1、IGP路由的收敛时间构成： （1）. 失效链路检测时间。 （2）. 报告拓扑变化的新LSA/LSP的泛洪时间。 （3）. 各路由器的路由表计算时间（包括SPF计算时间和路由表计算及线卡FIB更新时间）。   2、一般路由协议的慢Hello机制，故障检测只是其功能之一。比如ospf协议hello报文作用: （1）、  发现 OSPF ...
c++socket广域网
10-08
c语言的socket可以在广域网中使用。通过使用socket函数创建一个socket描述字，并且使用bind函数给它赋予一个具体的地址，可以使用connect函数连接到广域网上的另一个socket。在广域网中，可以使用TCP协议进行可靠的数据传输，也可以使用UDP协议进行不可靠但是速度更快的数据传输。
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

时光里的雨

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值