说明：

参考阅读

本篇blog承接企业级网络架构配置细则(壹)，重点是对思路的整理于配置的逻辑的详细概述总结
关系此实验的详细配置内容请查看如下blog，如下细则采用的是VRF表分离，但大致内容都一样，后期会更新四个子接口绑定四张VRF表的细则
企业网“日字型”架构配置细则
MPLS 实验-VRF表分离（Huawei设备）

实验拓扑

一、交换层配置思路细则

1.1 核心层的互联地址

1、汇聚层交换机的互联链路是为了承载VLAN间通信，如果不存在的话VLAN间通信就会走接入层进行绕路，使接入层称为中转设备(汇聚层)

2、当汇聚和核心上下连对角多条线路出现故障的时候，需要用到这条线路，防止绕路时使接入层成为汇聚层

3、互联需要建立OSPF邻居

1.2 DHCP

1、两边同时配，池子切半
2、使用中继，即使用一个DHCP服务器，交换机就是一个中继设备

1.3 链路聚合的负载分担

过来的流量分布在聚合接口上，并不是简单的带宽叠加；

按照流分布，而不是包分布；一个流只能被分布在一个物理接口上的

某些属性，比如五元组（源目IP、源目MAC、协议等）

注意：

做链路聚合的负载分担时，分担流的内容越详细，匹配越精确，分担流量却准确

链路聚合的接口分布在同一个板卡、不同板卡、不同设备；若要分布在不同的设备上时存在堆叠、虚拟化（将两个设备合并为一个设备）、M-LAG

1.4 MSTP

Alternate port 为根端口做备份

Backup Port 为指定端口做备份，将来会成为指定端口

[SW1]stp instance 1 root primary

1.5 VRRP

为什么需要？

​ 1、设备的死机

​ 2、下联与互联交换机的接口down

​ 3、上联接口down

如果做的是OSPF则需要VRRP的条件唯一是设备的down

上行链路追踪：

​ 增加优先级使用情况：

​ 当做割接时，需要在短时间内将主网关切换到新网关上；当上行链路一旦启动，优先级增加，则实现切换。 优先级越大越优

抢占是抢占回来的时候，而不是丢掉失去的时候

dhcp enable 全局
进入int vlan2
dhcp select global
ip pool vlan2 全局
network
gateway-list
dns-list
excu

1.6 生成树增强

二层防环不会检查边缘端口，无法解决环路

所以一般都会把边缘端口与端口安全配合起来

端口安全

第一次接入的PC会与接口进行粘滞，对于其他接入的PC会进行惩罚(三种惩罚机制，默认shutdown)

解除关闭:

shutdown
undo shutdown

二、骨干配置思路细则

1、底层铺OSPF

略

2、建立IBGP

​ --R6建立路由反射器
​ --3489与R6进行IPV4的建邻
​ --建立VPNV4的邻居（R6做的时候直接用group就可完成、3489命令相同）

配置思路：3489与6建立IPV4邻居
bgp 1peer 10.1.6.6 as-number 1peer 10.1.6.6 connect-interface LoopBack0#ipv4-family unicastundo synchronizationpeer 10.1.6.6 enable3489与6建立VPNV4邻居
ipv4-family vpnv4undo policy vpn-targetpeer 10.1.6.6 enablepeer 10.1.6.6 advertise-community

注意：

在IBGP中建立VPNV4邻居时，一定要在CE、RR的ipv4-family vpnv4上undo policy vpn-target；若CE没有undo 则不能建立VPNV4邻居，若RR没有undo则不能反射传递VPNV4路由

3、骨干网铺设MPLS VPN

​ MPLSVPN不会影响原先的查表速度，还有带来诸多的好处，分离与隔绝技术

为了传递VPNV4+RD的路由
为了解决数据层面的路由黑洞(R5 R7没有起BGP进程)

MPLS配置
mpls lsr-id 10.1.9.9
mpls
mpls ldp
q 
进入接口
int e0/0/0
mpls
mpls ldp
int g0/0/0
mpls
mpls ldp
int e0/0/1
mpls
mpls ldp

4、PE起VRF表，并与CE建立EBGP邻居

​ 第一步 将四个AS的路由接收过来 利用RT

​ 第二步 将收到的路由给到各个AS

​ 第三步 传递VPNV4路由

5、路由引入

R1 R2上进行双点双向重发布

AS3、AS4将自己的路由宣告再BGP中

为了能让交换部分学到路由，需要在R1 R2的OSPF中下发默认

6、安全策略中心

问题：

概述：分部去总部的路由要经过数据策略中心，路径会两次通过一个AS

详细：AS3的路由想要去AS4，在安全策略中心兜一圈去到AS4内部的话，ASpath有AS3、AS1、AS5、AS1、AS4，这当然是不可能的，因为存在有AS path（用于防环）

解决：

存在以下两种解决方案

1、汇总路由进入AS时会将明细路由所携带的AS-Path清洗掉，即做出汇总，建议直接汇总为缺省，直接在策略中心上下发一条默认路由

2、建邻时配置allow-as-loop，substitute-as

说明：allow是允许接收存在自己AS-Path的路由；sub是允许发送存在AS-Path重复的路由;可以理解为强买强卖

在安全策略中心上向每个邻居发一条默认，这条默认路由是由AS5产生的，并没有经过AS1

7、静态路由(总去分)

1、R1 R2上配置一条去往10网段的静态；

2、在互联网路由器上对EBGP邻居做出下发默认，此时R3 R4的EBGP邻居R1 R2就会学习到这条由互联网路由器下发的默认路由；将其在OSPF中下发一下，即SW1和SW2就会学习到

8、NAT

思路分析：

1、数据中心上创建一个回环并宣告，即这个环回代表着公网，宣告的意义在于，这个环回要与互联网相通，即需要互联网的回包

2、数据中心上连接互联网的子接口调用nat

部署：

第一步 互联网上向自己的EBGP邻居下发一个默认，这样数据中心的EBGP邻居R8就会收到默认并利用SVI传给策略中心，即数据中心要知道如何去互联网(根据默认去)

第二步 数据中心将自己的环回宣告，这个环回代表着公网，宣告的意义在于，这个环回要与互联网相通，即需要互联网的回包

第三步 部署NAT；

分析部署位置：1、在数据中心上连接R8的互联网子接口调用，因为去互联网的流量是从这个口出去的2、使用ACL抓取流量，然后在子接口调用即可

此时，全网可达；接下来进行选路的优化，即互备分流

三、重点：互备分流(选路)

3.1 需求

3.1.1 需求一

总部–>分支的流量走R3；去互联网的流量走R4；且互备

3.1.2 需求二

分支–>总部的流量走R8；去互联网的流量走R9；且互备

3.2 部署

3.2.1 对于需一的拆分

1、R3作为总/分部间通信的路由器

通过R3去分支，那么就在R2的OSPF内将静态重发布的cost改的比R1重发布时的大即可；

2、通过R4去互联网，在R2下发默认时修改cost，但是由于EBGP>IGP，则R1去互联网优选的是R3;

策略修改，R1上对R3这个EBGP邻居传递来的去往互联网的缺省的cost增大

3.2.1.1 实现第一个子问题

R1、R2上写两条去往10网段的静态路由;将此静态重发布给OSPF R1的cost小，R2的大

1、静态的书写
[R1]ip route-static 10.0.0.0 255.0.0.0 10.2.13.2
[R2]ip route-static 10.0.0.0 255.0.0.0 10.2.24.2
2、重发布
[R1-ospf-1]import-route static cost 10
[R2-ospf-1]import-route static cost 20

3.2.1.1 实现第二个子问题

增大R3传递给R1的去往互联网的默认路由的cost，这样R1就只能乖乖的从R2去R4然后中转去互联网了

1、制作策略
[R1-route-policy]di th
#
route-policy upcostR3 permit node 10apply cost 10
#
return
2、调用
[R1-bgp]peer 10.2.13.2 route-policy upcostR3 import

3.2.2 对于需二的拆分

1、R8作为分/总部间通信的路由器

分部2去总部的路由要这样走 R9--R8--数据中心--R3--总部
所以要修改数据中心下发给R9的默认，使其cost大，这样R9就会从R8去往数据中心

2、R9作为去互联网的路由器

去互联网的路由是由互联网路由器下发默认出来的，而数据中心匹配的默认路由是R8(BGP选路出来的结果)，通过修改策略让其走R9，毕竟R9是互联网路由器么

3.2.2.1 实现第一个子问题

R9上

分部–>总部匹配的是由AS5下发的默认路由

查看R9上的路由，可见于预期不符

解决：在数据中心上R9这个邻居下发默认时将cost增大，小优，即优选去R8的路由

1、制作策略
[Data-center-route-policy]di th
[V200R003C00]
#
route-policy upcostR9 permit node 10 apply cost 10 
#
return
2、调用
[Data-center-bgp]peer 10.5.94.2 default-route-advertise route-policy upcostR9 

验证查看：

R8上

在数据中心上对于R8这个邻居，增大其入向的PV

1、制作策略
[Data-center-route-policy]di th
[V200R003C00]
#
route-policy upPVR8 permit node 10 apply preferred-value 200
#
return
2、调用
[Data-center-bgp]peer 10.5.82.2 route-policy upPVR8 import 
[Data-center-bgp]peer 10.5.83.2 route-policy upPVR8 import
[Data-center-bgp]peer 10.5.84.2 route-policy upPVR8 import

验证查看

3.2.2.2 实现第二个子问题

首先做出R9为互联网路由器，数据中心的默认路由是由互联网下发出来的，默认优选的是R8，需要修改为R9

分析：

​ 在不能影响分部去总步的路由下部署策略，直接抓取这条默认路由，对R9这个EBGP邻居调用策略(增大PV)，这样匹配默认路由就会优选R9；另外从R9去互联网时会走R4过去，因为优选AS内部IGP的Metric最小的路由；即R9到R4小于R9到R3，这个天然优势，则R4就是一个互联网路由器

具体：
1.抓取路由
[Data-center]ip ip-prefix R9_int index 10 permit 0.0.0.0 0
2.制作策略
[Data-center-route-policy]di th
[V200R003C00]
#
route-policy R9_int permit node 10 if-match ip-prefix R9_int apply preferred-value 300
#
route-policy R9_int permit node 20 
#
return
3.对R9邻居的互联网子接口的入向调用策略
[Data-center-bgp]peer 10.5.96.2 route-policy R9_int import

验证查看：

另：

R9与安全策略中心建邻、子接口绑定VPN-instance
int g0/0/1.2
dot1q termination vid 2
arp broadcast enable 
ip binding vpn-instance toAS2
ip add 10.5.92.2 24int g0/0/1.3
dot1q termination vid 3
arp broadcast enable 
ip binding vpn-instance toAS3
ip add 10.5.93.2 24int g0/0/1.4
dot1q termination vid 4
arp broadcast enable 
ip binding vpn-instance toAS4
ip add 10.5.94.2 24int g0/0/1.6
dot1q termination vid 6
arp broadcast enable 
ip binding vpn-instance toAS6
ip add 10.5.96.2 24ip vpn-instance toAS2  
ipv4-family
route-distinguisher 12:22
vpn-target 12:22 export-extcommunity
vpn-target 3:3 4:4 import-extcommunityip vpn-instance toAS3 
ipv4-family
route-distinguisher 12:33
vpn-target 12:33 export-extcommunity
vpn-target 8:8 import-extcommunityip vpn-instance toAS4
ipv4-family
route-distinguisher 12:44
vpn-target 12:44 export-extcommunity
vpn-target 9:9 import-extcommunityip vpn-instance toAS6
ipv4-family
route-distinguisher 12:66
vpn-target 12:66 export-extcommunity
vpn-target 3:6 4:6 import-extcommunityint g0/0/1.2
dot1q termination vid 2
arp broadcast enable 
ip add 10.5.92.1 24int g0/0/1.3
dot1q termination vid 3
arp broadcast enable 
ip add 10.5.93.1 24int g0/0/1.4
dot1q termination vid 4
arp broadcast enable 
ip add 10.5.94.1 24int g0/0/1.6
dot1q termination vid 6
arp broadcast enable 
ip add 10.5.96.1 24bgp 5peer 10.5.92.2 as-number 1 peer 10.5.93.2 as-number 1 peer 10.5.94.2 as-number 1 peer 10.5.96.2 as-number 1 #ipv4-family unicastundo synchronizationnetwork 100.1.1.0 255.255.255.0 peer 10.5.92.2 enablepeer 10.5.92.2 default-route-advertisepeer 10.5.83.2 enablepeer 10.5.92 default-route-advertisepeer 10.5.84.2 enablepeer 10.5.94.2 default-route-advertisepeer 10.5.86.2 enable
#
returnipv4-family vpn-instance toAS2peer 10.5.92.1 as-number 5#ipv4-family vpn-instance toAS3peer 10.5.93.1 as-number 5#ipv4-family vpn-instance toAS4peer 10.5.94.1 as-number 5              #ipv4-family vpn-instance toAS6peer 10.5.96.1 as-number 5

peer 10.5.92.2 enable
peer 10.5.92.2 default-route-advertise
peer 10.5.83.2 enable
peer 10.5.92 default-route-advertise
peer 10.5.84.2 enable
peer 10.5.94.2 default-route-advertise
peer 10.5.86.2 enable

return

ipv4-family vpn-instance toAS2
peer 10.5.92.1 as-number 5

ipv4-family vpn-instance toAS3
peer 10.5.93.1 as-number 5

ipv4-family vpn-instance toAS4
peer 10.5.94.1 as-number 5

ipv4-family vpn-instance toAS6
peer 10.5.96.1 as-number 5