本笔记系统梳理 H3CSE 高性能园区网全部核心考点，覆盖 VLAN 原理与扩展技术、STP/RSTP/MSTP 生成树体系、链路聚合 / VRRP/IRF/M-LAG 等高可靠方案、组播转发与路由协议、AAA 接入安全及运维管理技术，条理清晰，适配认证备考与网工技术复盘。

目录

H3CSE高性能园区网

vlan原理

vlan的技术原理

vlan信息的传播

相关命令

vlan扩展技术

Private VLAN

Super VLAN

相关命令

vlan路由

精确匹配转发

最长匹配转发

STP

注意事项

拓扑变更处理

RSTP

定义

与STP的区别

RSTP的快速收敛机制

RSTP的拓扑改变机制

网络直径

RSTP和STP的兼容

MSTP

STP/RSTP的缺陷

MSTP定义

MSTP基本概念

MSTP计算过程

MSTP中的P/A机制

MSTP配置要点

MSTP兼容性

相关命令

STP保护机制

BPDU保护

根桥保护

环路保护

TC保护

相关命令

高可性技术概述

可靠性标准

高可靠性技术分类

链路聚合

链路聚合原理

链路聚合模式

相关命令

Smart-link

定义

优势

原理

Monitor-link

相关命令

RRPP

定义

相关概念

工作机制

相关命令

VRRP

技术背景

定义

工作原理

VRRP接口监视

相关命令

IRF

定义

技术背景

优势

基本概念

工作流程

Master设备选举规则

堆叠拓扑结构

IRF堆叠协议热备份

IRF形成的必要条件

IRF堆叠报文转发

配置步骤

相关命令

MAD技术（多活检测技术）

产生背景

作用

基本原理

LACP MAD

BFD MAD

ARP/ND MAD

m-lag技术

产生背景

基本概念

DRCP协议

Keepalive机制

MAD机制

M-LAG系统建立及工作过程

M-LAG设备工作模式

配置一致性检查

M-LAG序列号校验

M-LAG报文认证

M-LAG流量转发

M-LAG接口障处理机制

设备故障处理机制

上行链路故障处理机制

M-LAG使用场景

BFD

定义

特点

不足

工作原理

组播概述

定义

组播关注的问题

解决方案

组播地址

组播模型

IGMP协议

定义

功能

IGMPv1

IGMPv2

IGMPv3

IGMP Snooping

组播VLAN

相关命令

组播转发机制

组播分发树

RPF机制

组播路由协议

常见组播路由协议

PIM-DM

PIM-SM

PIM-SSM

相关命令

AAA

AAA架构

工作模式

相关协议

接入控制和安全

接入控制

端口安全

SSH

定义

特征

连接建立流程

SSH2.0相比1.0增加了对SFTP的支持，可以在SSH的保护下进行文件传输

SNMP

定义

相关概念

版本

配置方法

相关命令

LLDP

定义

端口工作模式

报文发送模式

镜像技术

定义

分类

注意事项

相关命令

NTP

定义

作用

工作模式

NQA

定义

特点

工作机制

NQA典型应用

QinQ技术

技术背景

定义

技术优势

工作原理

QinQ报文结构

QinQ分类

VLAN透传功能

BPDU透传

VLAN Mapping

telmetry技术

技术背景

定义

Telemetry 对比 SNMP

Telemetry网络模型

Telemetry实现方式

gRPC协议

自由主题

vlan的划分方式

见NE-RS+笔记

---

H3CSE高性能园区网

vlan原理

vlan的技术原理

• 交换机对数据帧的处理

  • Access

    • 接收帧

      • 收到一个未携带tag的帧，打上该接口pvid的tag并接收

      • 收到一个已携带tag的帧

        • tag中的vlanid与pvid一致，则接收

        • tag中的vlanid与pvid不一致，则丢弃该帧

    • 发送帧

      • 剥离Tag后发送

  • Trunk

    • 接收帧

      • 收到一个未携带tag的帧，打上该接口pvid的tag并接收

      • 收到一个已携带tag的帧

        • tag中的vlan id存在于passing表中，则接收

        • tag中的vlanid不存在于passing表中，则丢弃

    • 发送帧

      • tag中的vlan id与pvid一致，则剥离tag井发送

      • tag中的vlan id与pvid不一致，则保留原tag并发送

  • Hybrid

    • 接收帧

      • 与trunk口一致

      • passing表=(tagged列表+untagged列表)和permit的交集

    • 发送帧

      • tag中的vlanid与pvid一致，则剥离tag并发送

      • tag中的vlanid与pvid不一致

        • tag的vlan id出现在tagged表中，则保留tag发送

        • tag的vlan id没有出现在tagged表中，则剥离tag发送

  • Passing表

    • 用于决定一个vlan的数据帧能否从该接口通过

    • 屈本机存在的vlan和接口permit的vlan的交集

• 细分主题 2

• 细分主题 3

vlan信息的传播

• MVRP协议

  • 定义

    • 多VLAN注册协议

    • 用于交换机之间动态学习VLAN信息

  • 注意点

    • MVRP会沿MSTP树单向传播到整个二层网络中

    • 只能用于传播VLAN信息本身，无法传播端口的VLAN信息

    • 只能用于传播VLAN信息本身，无法传播端口的VLAN信息

    • 需要手动配置放行TRUNK端口学习到的VLAN

  • 报文类型

    • Join

      • JoinEmpty

        • 向对方注册一个还未注册的Vlan

      • Joinin

        • 向对方注册一个已经注册的Vlan

    • New

      • MSTP中拓扑发生变化，用于声明该变化

    • Leave

      • 向对方注销一个Vlan

    • LeaveAll

      • MVRP运行时，启动LeaveAll计时器，计时器超时后，向对端发送LeaveAll消息

      • 在Leave计时器超时前收到对方某Vlan的Join消息，则该Vlan保留;否则注销该Vlan

  • 计时器

    • Periodic计时器

      • MVRP有消息要发出时不会立即发出，而会等到Periodic计时器超时后，将整个计时器周期内积攒的所有消息一并发出

      • 0或100厘秒

      • 默认100厘秒

    • Join计时器

      • 向对方发送Join消息后，启动Join计时器，超时后仍未收到对方关于同一Vlan的Join消息，则重发该Join消息

      • 大于20厘秒，小于1/2Leave计时器

      • 默认20厘秒

    • Leave计时器

      • 收到Leave消息或收发LeaveAl消息后，启动Leave计时器，如超时前又收到对方该Vlan的Join消息，则该Vlan不被注销;否则注销该Vlan

      • 大于2倍Join计时器，小于LeaveAll计时器

      • 默认60厘秒

    • LeaveAll计时器

      • 大于Leave计时器，最大32760厘秒

      • 默认1000厘秒

  • MVRP端口模式

    • Normal模式

      • 可传递和动态学习所有VLAN

      • 端口MVRP默认模式是Normal模式

    • Fixed模式

      • 只传递VLAN1和静态VLAN，不动态学习VLAN

    • Forbidden模式

      • 只传递VLAN1

  • 运行MVRP的实体是交换机的端口，而不是交换机

    • 只有接收到某VLAN注册消息的端口才会放行该VLAN，只是发出消息的端口不会放行

    • 在一台交换机上的任意端口上放行了动态学习的VLAN，该VLAN会自动变成静态VLAN

相关命令

• [h3c]mvrp global enable

  • 全局开启MVRP

• [h3c-GlgabitEtheret1/0/1]mvrp enable

  • 端口开启MVRP

• [h3c-GigabitEthemet1/0/1]mvrp registration 'fixed/forbidden/normal'

  • 配置端口MVRP模式

vlan扩展技术

Private VLAN

• 定义

  • 私有VLAN

  • 用于解决大规模园区网中，VLAN数量不够用的问题

• 原理

  • Primary VLAN连接上行设备

  • Secondary VLAN连接下行终端

  • 上行接口为Hybrid类型，缺省VLAN为Primary VLAN，放行Primary VLAN和所有Secondary VLAN剥离tag通过

  • 下行接口为Hybrid类型，缺省VLAN为本地SecondaryVLAN，放行Primary VLAN和本地Secondary VLAN剥离tag 通过

  • 对上行设备来说，Secondary VLAN不可见

• MAC地址同步技术

  • 各Secondary VLAN学习的MAC地址自动同步到Primary VLAN

  • Primary VLAN学习的MAC地址会自动同步到各Secondary VLAN

• Secondary Vlan之间的互通

  • 借助上层设备的三层接口开启本地代理ARP实现

  • 借助本地交换机Primary Vlan的三层接口开启本地代理ARP实现

    • 需要交换机开启L3域功能

Super VLAN

• 定义

  • 超级VLAN

  • 用于实现多个VLAN公用同一个三层Vlan接口与外部进行三层通讯，解决交换机Vlan虚接口不够用的问题

• 原理

  • Super VLAN只建立三层接口，不包含物理接口;不允许把物理口以Access加入到Super Vlan，也不允许Trunk口放行Super

  • Super VLAN包含若干Sub VLAN，为Sub VLAN提供三层转发服务

  • SubVLAN用于加入物理接口，连接终端，保留各自独立广播域

  • 所有Sub VLAN通过Super VLAN的三层接口与外部通讯

  • Sub VLAN间的三层互通通过代理ARP实现

相关命令

• [h3c-vian10]private-vlan primary

  • 当前VLAN配置为Primary VLAN

• [h3c-vlan10]private-vlan secondary 'vian-id'

  • 配置Secondary VLAN

• [h3c-GigabitEthernet1/0/1]port private-vlan 'vlan-id' promiscuous

  • 配置当前接口为上行接口

• [h3c-GigabitEthernet1/0/1]port private-vlan host

  • 配置当前接口为下行接口

• [h3c-vlan10]supervlan

  • 配置当前VLAN为Super VLAN

• [h3c-vlan10]subvlan 'vlan-id”

  • 配置Sub VLAN

vlan路由

精确匹配转发

• 原理

  • 对数据包进行一次路由查表后，生成具体目的地址的转发表项

  • 后续报文直接根据此表项进行精确匹配转发

• 优点

  • 对每个目的IP生成转发表项，表项规模庞大

  • 精确匹配无需遍历整个表，大幅增加查表速度

• 缺点

  • 对每个目的IP生成转发表项，表项规模庞大

最长匹配转发

• 原理

  • 基于硬件的最长匹配的三层交换技术

  • 所有报文的转发都通过硬件快速匹配完成转发

STP

注意事项

• STP开销计算标准

  • 802.1d

  • 802.1t

  • Legacy

    • H3C的私有计算标准

    • 如果涉及到跨厂商的交换机对接STP，需要修改计算标准一致

• BPDU组播地址

  • 01-80-C2-00-00-00

• 配置BPDU只由根桥周期性发出，其他交换机只是转发该BPDU

• 非根网桥只会从根端口收到配置BPDU，只会从指定端口转发配置BPDU

• 根网桥上的所有端口一定都是指定端口，除非用一个物理段环接根桥

• Port ID

  • 格式

    • 优先级+端口索引号

    • 优先级0-240，必须是16的倍数，默认128

拓扑变更处理

• 1.交换机检测到拓扑结构变更

  • 交换机有端口转变为Forwarding状态，且该交换机至少包含一个指定端口

  • 交换机上有端口从Forwarding或Learning状态转变为Blocking

• 2.交换机向根桥发起TCN BPDU

• 3.沿途的非根网桥收到TCNBPDU后，会继续向根桥转发。并且在转发根桥的下一轮配置BPDU中，把TCA位置位，用于向下游交换机确认已经收到了TCN

• 4.根桥收到TCN BPDU后，在下一轮配置BPDU中，把TC位置位

• 5.所有交换机收到TC置位的BPDU后，MAC地址表老化时间缩短到15秒

RSTP

定义

• 快速生成树协议

• 与STP基本思想一致，可兼容STP运行

与STP的区别

• 减少了端口状态

  • Discarding

    • 不学习MAC地址，不转发数据

  • Learning

    • 发送BPDU，学习MAC地址，不转发数据

  • Forwarding

    • 发送BPDU，学习MAC地址，转发数据

• 增加了端口角色

  • 根端口

  • 指定端口

  • Alternate端口

    • 替代端口

    • 根端口的备份

  • Backup端口

    • 备份端口

    • 指定端口的备份

• BPDU格式的不同

  • BPDU Type为2

  • Protocol Version ID 为2

  • 使用了Flags字段的全部8位

  • 增加了Version1 Length字段

• BPDU处理方式的不同

  • 每台交换机自行从指定端口发送RST BPDU

  • RST BPDU老化时间为3个连续的Hello time

  • 阻塞状态的端口可以立即对收到的低优先级RST BPDU做出回应

• RSTP收敛速度更快

RSTP的快速收敛机制

• 边缘端口机制

  • 边缘端口通电后，可以直接进入转发状态，不进行STP运算

  • 边缘端口UP/DOWN，不会触发拓扑状态变更

  • 边缘端口收到BPDU，会转变为非边缘端口

• 根端口的快速切换

  • 根端口故障后，如果新的根端口对端的指定端口处于转发状态，则新的根端口立即进入转发状态

• 指定端口的快速切换口

  • P/A机制

    • 1.SW1新增链路或故障链路恢复，指定端口要进入转发状态之前，向对端SW2发送Proposal报文口

    • 2.SW2收到Proposal报文后，立即进行同步操作

      • 同步是指阻塞除收到Proposal报文和边缘端口以外的所有端口

      • 为了防止临时环路

    • 3.同步完成后，向对端SW1发送Agreement报文

    • 4.收到Agreement报文后，SW1的指定端口进入转发状态

    • 5.SW2上被同步阻塞的端口继续进行P/A流程，直至整个网络收敛

RSTP的拓扑改变机制

• 处理机制

  • 只有非边缘端口转变为Forwarding，才产生拓扑改变

  • 拓扑变更后，向所有其他指定端口和根端口发送TC置位BPDU

  • 收到TC置位BPDU，清除其他所有端口学习的MAC地址

• 注意

  • 由于每台交换机都可以主动发起RST BPDU，所以取消了TCN机制

网络直径

• 细分主题 1

• 细分主题 2

• 细分主题 3

RSTP和STP的兼容

• RSTP端口连续3次收到STP的BPDU，该端口自动切换模式为STP

• 切换到STP模式的端口丧失所有快速收敛特性

• STP交换机移除后，由RSTP模式切换为STP模式的端口扔运行在STP模式

MSTP

STP/RSTP的缺陷

• 所有VLAN共享一颗生成树

• 阻塞链路被完全浪费，无法实现不同VLAN在多链路上负载分担

MSTP定义

• 多生成树协议

• 基于实例计算出多颗生成树，实例间实现负载分担

MSTP基本概念

• MST域

  • 定义

    • 拥有相同MST配置标识的交换机构成的集合

    • 划分区域可加快收敛速度和方便管理

  • 相同域的必要条件

    • 域名

    • 修订级别

    • vlan与实例的映射关系

• IST

  • 内部生成树，默认存在

  • 每个MST域独立计算的内部生成树实例

• CST

  • 公共生成树，默认存在

  • 用来互联MST域的单生成树(把每个MST域作为一台交换机，计算出的生成树实例)

• CIST

  • 公共内部生成树，默认存在

  • CST+每个域的内部IST

  • 实例0

    • 默认所有VLAN都映射在实例0

• MST

  • 手动创建的生成树实例，只在一个区域内部有效

• CIST域根

  • 每个IST的根网桥

• CIST域根

  • 整个CIST的根网桥

• Master端口

  • CST的根端口

  • 单域MSTP中不可能存在Master端口

  • 多域MSTP中，根域不可能存在Master端口，其他域只有一个

MSTP计算过程

• 1.先选举出总根，再选举域根

• 2.CIST的计算和MST的计算时同步进行的

• 3.在对比优先级向量时，先对比外部向量，再对比内部向量

MSTP中的P/A机制

• 上游桥发送的Proposal报文中，P位和A位同时置位

• 下游收到P/A同时置位的报文后，进行同步操作

• 下游向上游发送Agreement报文A位置位，使上游指定端口快速进入转发状态

MSTP配置要点

• MST配置完成或修改MST配置后，一定要激活配置才能生效

MSTP兼容性

• 摘要侦听

  • 配置端口识别/发送MSTP报文格式

    • AUTO

      • 自动识别

    • dotls

      • 标准格式

    • Legacy

      • 与非标准格式兼容的格式

  • 摘要侦听

    • 其他厂商设备可能用私有密钥计算配置摘要

    • 开启摘要侦听使设备不再对比配置摘要，但会导致只要域名和修订级别一致，VLAN映射关系不一致也能属于同一域

    • 可全局开启，也可接口开启

• 配置No Agreement Check特性

  • P/A机制的问题

    • MSTP收到P/A位都置位的BPDU才会回复A位置位的BPDU

    • 一个RSTP端口连接一个MSTP端口，RSTP的指定端口快速切换时只会发出P位BPDU，导致MSTP不会回应A位BPDU

    • RSTP的指定端口仍然要等待30秒才能开始转发数据

  • 配置No Agreement Check特性后，MSTP不再检查Propsal报文中的A位是否置位

相关命令

• [h3c]stp-region-configuration 进入MST域配置模式

• [h3c-mst-region]region-name 'name' 配置MST域名

• [h3c-mst-region]revision-level 'level" 配置修订级别

• [h3c-mst-region]instance 'instance-id' vlan 'vlan-list‘ 配置实例和VLAN映射关系

• [h3c-mst-regionJactive region-configuration 激活MST配置

• [h3c]stp instance 'instance-id' root 'primary/secondary' 配置交换机为实例的主备根

• [h3c]display region-configuration 查看MST域配置

• [h3c-GigabitEthernet1/0/1]stp compliance 'auto/dotls/legacy' 配置MSTP报文格式

• [h3c]stp global config-digest-snooping 全局开启摘要侦听

• [h3c-GigabitEthernet1/0/1]stp config-digest-snooping 接口开启摘要侦听

• [h3c-GigabitEthernet1/0/1]stp no-agreement-check 配置No Agreement Check特性

STP保护机制

BPDU保护

• 技术背景

  • 当边缘端口收到BPDU后，将转换成非边缘端口，重新参与生成树计算

  • 使用PC伪造BPDU报文恶意攻击，将导致STP频繁重计算

• 解决方案

  • 开启BPDU保护后，边缘端口收到BPDU，则MSTP会关闭该端口

根桥保护

• 技术背景

  • 合法根网桥收到优先级更高的BPDU，将失去根网桥角色，并引起STP重计算

• 解决方案

  • 设置根桥保护的端口，一旦收到优先级更高的BPDU，则立即将端口设置为Listening状态，不再转发报文

环路保护

• 技术背景

  • 环形链路拥塞，导致没有及时收到BPDU报文，从而重新计算STP，开启阻塞端口，形成逻辑环路

• 解决方案

  • 配置环路保护的端口，当接收不到对端交换机的BPDU时，如端口参数了STP计算，则该端口进入Discarding状态

TC保护

• 技术背景

  • 使用PC伪造TC-BPDU发送，将导致交换机频繁清除MAC地址表，导致网络不稳定

• 解决方案

  • 设置交换机在收到TC-BPDU的10秒内，MAC地址表删除的最大次数

相关命令

• [h3c]stp bpdu-protectIon

  • 配置BPDU保护

• [h3c-GigabitEthernet0/0]stp root-protection

  • 配置根桥保护

• [h3c-GigabitEthernet0/0]stp loop-protection

  • 配置环路保护

• [h3c]stp tc-protection

  • 配置TC保护

高可性技术概述

可靠性标准

• 可靠性=MTBF/(MTBF+MTTR)

• MTBF

  • 平均无故障时间

• MTTR

  • 故障平均修复时间

• 可靠性99.999%以上，每年故障时间不超过5分钟

• 可靠性99.9999%以上，每年故障时间不超过30秒

高可靠性技术分类

• 链路备份技术

  • 链路聚合

  • RRPP

  • Smart-Link

• 设备备份技术

  • 设备自身备份技术

  • VRRP

• 堆叠技术

  • IRF

链路聚合

链路聚合原理

• 操作Key

  • 用于选择链路聚合成员端口的配置信息

  • 由参考端口的端口属性和第二类配置生成

  • 成员端口的端口属性和第二类配置与操作Key一致，端口才能被选中

• 参考端口

  • 用来选择聚合成员端口的标准端口

• 端口属性类配置

  • 包括速率、双工模式、链路状态(UP/DOWN)这三项配置，速率和双工模式会参与参考端口选举，链路状态会影响成员端口是否被选中

• 端口的第一类配置

  • 不参与操作Key计算的配置信息

  • MVRP、MSTP等

• 端口的第二类配置

  • 参与操作Key计算的配置信息

  • Vlan配置、端口类型、BPDUTunnel、端口隔离、端口属性、QinQ、Mac地址学习配置

链路聚合模式

• 静态聚合

  • 端口不与对端设备交互信息

  • 参考端口选举规则

    • 高速全双工>高速半双工>低速全双工>低速半双工

    • 端口ID小的优先

• 动态聚合

  • 端口使用LACP协议与对端交互信息

  • 参考端口选举规则

    • 设备ID小的优先

      • 设备ID=LACP优先级+MAC地址

      • LACP优先级默认为32768

    • 聚合端口ID小的优先

      • 端口ID=端口LACP优先级+端口编号

      • 端口优先级默认为32768

相关命令

Smart-link

定义

• 一种针对双上行组网的解决方案，实现了高效可靠的链路冗余备份和故障快速切换

• H3C和华为私有协议

优势

• 故障切换速度可达厘秒级

原理

• 运行机制

  • 双上行的两个端口组成一个Smart-link组，配置为主端口和副端口

  • 主端口链路故障，立即切换为副端口转发数据

• 保护VLAN

  • Smart-link组允许转发的VLAN

  • 以MST实例的形式进行映射

• 控制VLAN

  • FLUSH报文转发的VLAN

• FLUSH报文

  • 技术背景

    • 链路发生故障切换时，上行交换机学习的MAC地址仍然对应原接口

    • 需要通过流量来刷新正确的MAC地址记录，或者等待MAC地址记录自然老化

    • 需要通过流量来刷新正确的MAC地址记录，或者等待MAC地址记录自然老化

  • 解决方案

    • 链路发生故障切换时，Smart-link从新的链路上发送Flush报文

    • 收到Flush报文的交换机，会在接收报文的端口重新学习MAC地址记录

• Smart-link角色抢占模式

  • 默认主端口故障恢复后，不会发生角色抢占

  • 可通过配置使主端口自动抢占角色

• 注意

  • Smart-link、STP、RRPP同时只能运行一种

  • 配置Smart-link时，需要在相关接口上闭STP特性

Monitor-link

• 定义

  • 用于把上行链路的存活状态同步到下行链路

  • 使Smart-link可以感知到跨设备的链路故障

• 原理

  • 上行端口

    • 连接上层设备的端口

  • 下行端口

    • 连接Smart-link的端口

  • 当所有上行端口Down，自动关闭下行端口

  • 任意一个上行端口Up，自动开启下行端口

相关命令

• [h3c]smart-link group 'group-id'

  • 创建Smart-link组

• [h3c-smlk-group1]protected-vlan reference-instance 'instance-list'

  • 配置保护VLAN

• [h3c-smlk-group1]flush enable control-vlan 'vlan-id'

  • 配置控制VLAN

• [h3c-smlk-group1]port'port-name' 'primary/secondary'

  • Smart-link视图下配置端口角色

• [h3c-GigabitEthernet1/0/1]port smart-link group 'group-id' 'primary/secondary'

  • 接口视图下配置端口角色

• [h3c-smlk-group1]preemption mode role

  • 开启角色抢占

• [h3c-GigabitEthernet1/0/1]smart-link flush enable control-vlan 'vlan-id'

  • 上行交换机配置控制VLAN

• [h3c]monitor-link group 'group-id'

  • 创建Monitor-link组

• [h3c-mtlk-group1]port'port-name''uplink/downlink'

  • 配置端口角色

RRPP

定义

• 快速环网保护协议

• 应用于以太环网的链路层协议

• H3C、华为私有协议

• RRPP与STP、Smart-link冲突

相关概念

• RRPP域

  • 共同运行同一个RRPP协议的网络范围

  • 可以通过创建不同的域来保护不同VLAN，从而实现流量负载

• 主环

  • 主要环结构

  • 主环和子环的健康状态检测都在主环上进行

• 子环

  • 和主环相连的其他环结构

• 节点

  • 定义

    • 运行RRPP的交换机

  • 分类

    • 主节点

      • 负责环网的健康状态检测

    • 传输节点

      • 主环上除主节点外的其他节点

    • 边缘节点

      • 子环上和主环相交的节点在子环上的角色

    • 辅助边缘节点

      • 子环和主环相交的另一个节点在子环上的角色

• 端口角色

  • 主端口

    • 主节点上的主端口周期性发起Hello报文，默认处于转发状态

    • 传输节点上的主端口接收或发送Hello报文，处于转发状态

  • 副端口

    • 主节点上的副端口通过接收Hello报文来判断环网健康状态，默认处于阻塞状态

    • 传输节点上的副端口接收或发送Hello报文，处于转发状态

  • 边缘端口

    • 边缘节点和辅助边缘节点上只连接子环的端口

  • 公共端口

    • 边缘节点和辅助边缘节点上连接主环和子环的端口

工作机制

• Polling机制

  • 主节点的主端口周期性发送Hello报文

  • 传输节点转发该报文

  • 如主节点副端口能够周期性接收到Hello报文，判断为环网正常，超出周期未收到，则判断环网故障

  • 检测到环网故障，主节点立即开启副端口

• 链路状态变化通知机制

  • 环网故障后，故障所在节点立即向主节点发起Link-down报文

  • 主节点收到Link-down报文后，立即开启副端口

  • Polling机制实际上是对链路状态变化通知机制的补充

• 子环状态检测机制

  • 子环主节点的主端口周期性发送Hello报文

  • Hello报文分别沿主环链路和主环与子环相交的链路转发

  • 只有子环和主环相交的链路和某一条主环链路同时故障，才会导致子环主节点的副端口无法收到Hello报文

  • 子环故障后，子环主节点立即开启副端口

  • 该机制会导致多子环环境产生环路

• 主环上子环协议报文通道状态检测机制

  • 正常情况下，边缘节点周期性沿主环链路和主环与子环相交的链路发送Edge-hello报文，该报文会被辅助边缘节点接收

  • 当子环和主环相交的链路和某一条主环链路同时故障，辅助边缘节点无法收到Edge-hello报文，立即沿子环链路发送Major-fault报文

  • 边缘节点收到Major-fault报文后，立即阻塞所有边缘端口

  • 阻塞完成后，子环主节点开启副端口

  • 该机制会造成部分设备成为孤岛设备

• 环组

  • 如果有多个子环，每个子环都会在边缘和辅助边缘节点通过收发Edge-hello、Major-fault等报文来进行状态检测，增加设备性能负担

  • 可以在边缘和辅助边缘节点上把多个子环加入到一个环组

    • 边缘节点上只有子环ID最小的才能发送Edge-hellg报文

    • 辅助边缘节点上任意子环收到Edge-hello报文，都会通知其他子环

• 拓扑状态变化

  • 环网健康时，处于Complete状态

  • 链路故障

    • 传输节点链路故障，主节点收到Link-down报文后，切换至Failed状态，并放开副端口;主节点发送Common-Flush-FDB报文刷新其他交换机表项

    • 如Link-down报文未被主节点收到，主节点的副端口无法收到Hello报文，同样会切换至Failed状态，并进行后续操作

  • 链路恢复

    • 当传输节点链路恢复，传输节点状态切换至Preforwarding状态，，阻塞刚刚恢复的端口

    • 主节点的副端口收到Hello报文，状态切换至Complete，阻塞副端口

    • 主节点从主端口发送Complete-Flush-FDB报文

    • 传输节点收到Complete-Flush-FDB报文后，状态切换到Link-Up状态，放开临时阻塞的端口，并刷新表项

    • 传输节点在Preforwarding状态下，一定时间内接收不到主节点的Complete-Flush-FDB报文，也会自动放开阻塞端口

相关命令

VRRP

技术背景

• 终端设备只能配置一个网关

• 多网关冗余环境下，用户只能自行更改配置来实现故障切换

定义

• 虚拟路由器冗余协议

• 将多个网关设备加入到备份组中，形成一台虚拟网关

工作原理

• VRRP协议报文使用组播发送，组播地址224.0.0.18

• 一个VRRP备份组会选举出一个主网关和若干备份网关

• VRRP选举规则

  • 优先级大的优先

    • 优先级默认是100

    • 可配置的范围0-254

    • 备份组中，某个网关设备真实IP与虚拟IP一致，则该网关优先级自动变为255，成为主网关

  • IP地址大的优先

    • 如果主备角色还未确定，IP地址大的优先成为Master

    • 如果主备角色已经确定，IP地址不影响角色选举

• VRRP角色切换条件

  • 当前的主网关设备故障，导致备份网关无法接收到心跷报文

  • 工作在抢占模式，备份组中出现优先级更高的网关设备

    • VRRP默认工作在抢占模式

VRRP接口监视

• 技术背景

  • 如果网关设备的上行链路故障，而网关本身正常，不会导致角色切换，但发往本网关的数据已经无法连通外部网络

• 解决方案

  • VRRP监视上行接口状态，当上行接口Down，主动降低本网关优先级，以触发角色抢占

相关命令

• [h3c-vlan-interface10]vrrp vrid 'vrid' virtual-ip 'ip-address'

  • 配置VRRP虚拟IP地址

• [h3c-vlan-interface10]vrrp vrid 'vrid' priority 'priority'

  • 配置VRRP优先级

• [h3c]track 'tracker-id' interface 'port-name

  • 配置接口监视

• [h3c-vlan-interface10]vrrp vrid 'vrid' track 'tracker-id' reduced 'priority'

  • VRRP中调用接口

IRF

定义

• 智能弹性架构

• H3C的堆叠技术

• 通过把多台物理交换机虚拟成一台逻辑设备来提高可靠性和性能

技术背景

• 盒式设备成本低廉，缺乏不中断的业务保护，无法应用于重要的场合

• 框式分布式设备具有高可用性、高性能、高端口密度的优点，经常被应用于一些重要场合。

优势

• 大幅简化配置管理

• 提高整体设备性能

• 设备扩展简便

• 大幅提高设备可靠性

• 消除逻辑环路，无需再运行任何防环机制

基本概念

• IRF角色

  • Master设备

    • 负责管理整个RF系统的设备

  • Standby设备

    • 作为主设备的备份设备，当主设备故障，系统会自动从从设备中选举一个新的设备接替工作

  • 注意

    • 一个RF中同时只能存在一台Master设备，其他设备都是Standby

• IRF逻辑端口

  • 一种专用于IRF成员设备之间进行连接的逻辑接口

  • 每台成员设备上可以配置两个IRF端口

  • IRF端口需要和物理接口绑定后才能生效

• IRF物理端口

  • IRF成员设备之间进行连接的物理接口

  • 只能是二层以太网接口

  • 可转发IRF相关协议报文

• IRF域

  • 也称IRF Domain，一个RF系统对应一个RF域

• Member ID

  • IRF域中每台物理成员设备的设备编号

• Active ID

  • IRF域中Master设备的Member ID

工作流程

• 1.建立物理连接

• 2.通过向所有逻辑堆叠口发送Hello报文来收集堆叠组的拓扑信息

• 3.选举Master设备

  • 选举失败的设备会自动重启，重启完成后成为Slave设备

• 4.进入到RF的维护阶段

Master设备选举规则

• 1.优先级大的优先

  • 优先级默认为1，优先级取值：1-32，数字越大，优先级越高

• 2.系统运行时间长的优先

  • 运行时间的度量精度为10分钟

  • 如果设备启动时间间隔小于等于10分钟，则认为它们的运行时间相同

• 3.MAC地址小的优先

• 注意：当前主设备优先，即在原来的堆叠系统中新增设备，此时不会抢占原来系统中的主设备角色

堆叠拓扑结构

• 链形堆叠

  • 堆叠线路中断会导致堆叠分裂，引起网络冲突

  • 优点：扩展性强

  • 缺点：可靠性较差，容易导致堆叠分裂

• 环形堆叠

  • 通过堆叠线缆首尾连接IRF的设备

  • 优点：可靠性更高

  • 缺点：扩展性较差，没有多余的堆叠线缆进行扩展

• 注意事项

  • IRF系统对于协议报文都会集中交给Master设备处理，Master设备处理完后会同步给当前RF系统中其他的成员设备；

  • IRF系统中转发数据包是分布式处理；

IRF堆叠协议热备份

• 堆叠组内的所有交换机会自动同步配置文件，但是成员交换机运行过程中产生缓存表项并不包含在配置文件中

• 热备份机制会自动把运行过程中的缓存表项进行同步，比如邻居表、协议路由表、ARP表等

IRF形成的必要条件

• 1.物理堆叠口接口必须是万兆以上的接口

• 2.一台设备上最多有2个逻辑堆叠口

• 3.一台设备的1号堆叠口必须连接到另一台设备的2号堆叠口

• 4.所有堆叠的物理设备的操作系统版本必须一致

IRF堆叠报文转发

• 如果主设备收到报文时，主设备处理后再同步给其他所有设备，从对应的设备的接口转发

• 如果备份设备收到报文时，交给主设备处理，主设备处理后再同步给其他所有设备，从对应的设备的接口转发

• 对于三层报文，不管它在堆叠系统内部穿过了多少成员设备，在度量值上只增加1，表现为只经过了一个网络设备

• 对于组播报文，每个成员设备会根据需要复制报文，保证设备间只有一份报文发送

配置步骤

• 1.更改设备编号

• 2.保存配置，手动重启更改了设备ID的交换机

• 3.手动Shutdown要加入到逻辑堆叠口中的物理口

• 4.创建虚拟堆叠口，并加入相应的物理口

• 5.手动开启物理口

• 6.保存配置

• 7.激活IRF配置

相关命令

• [h3c]irf-port 'member-id/port-id'

  • 创建IRF堆叠口

• [h3c-irf-port1/1]port group interface 'port-id'

  • 物理口加入到堆叠口

• [h3c]irf member 'member-id' renumber 'new-member-id'

  • 物理口加入到堆叠口

• [h3c]irf-port-configuration active

  • 激活IRF配置

MAD技术（多活检测技术）

产生背景

• IRF设备分裂后产生的两个或多个IRF堆叠拥有相同的IP地址等三层配置，从而引起地址冲突，进而导致用户业务转发异常

作用

• 提供IRF分裂检测

  • 检测出网络中同时存在多个IRF，对其进行相应的处理，尽量降低IRF分裂对业务的影响

• 提供IRF冲突处理

  • IRF分裂后，通过分裂检测机制IRF会检测到网络中存在其他处于正常工作状态的IRF，预防环路问题

基本原理

• MAD检测

  • IRF分裂后，通过检测机制检查网络中是否存在正常工作状态的IRF

  • 检测到不正常的IRF会迁移到Recovery状态后会关闭该RF中所有成员设备上除保留端口以外的其他所有物理端口

  • 注意

    • 保留端口可通过mad exclude interface命令配置

      • [Swl]mad Eexclude interface GigabitEthernet 1/0/1

• 检测机制

  • LACP MAD, BFD MAD, ARP/ND MAD

  • 同一IRF中可以配置一个或多个检测机制

  • 部署多个检测机制前，不同型号设备存在限制

• 分裂后判定哪个RF是正常的

  • BFD MAD和LACP MAD

    • 比较两个IRF的健康状态

      • 健康状态好的优先

        • 健康值数字越小，设备健康状态越好，健康值最小为0，每故障一次健康值加1

      • 可以通过display system health命令查看健康状态

    • 比较两个IRF中成员设备的数量

      • 成员设备数量多的优先

    • 比较IRF成员编号ID大小

      • 主设备成员编号小的优先

  • ARP MADFND MAD

    • 比较两个IRF的健康状态

      • 健康状态好的优先

    • 比较IRF成员编号ID大小

      • 主设备成员编号小的优先

• MAD故障恢复

  • 1.IRF链路故障导致IRF分裂引起多Active冲突

  • 2.等待IRF链路修复后，系统会自动重启处于Recovery状态的IRF

  • 3.原Recovery状态IRF设备身份加入原正常工作状态的IRF且将强制关闭的接口自动恢复

LACP MAD

• 定义

  • 在LACP协议报文扩展字段定义一个新的TLV用于交互IRF的Domain ID和Active ID

• 工作原理

  • 成员设备收到LACP报文后，会比较DomainID和ActiveID

  • 如果DomainID不同，表示报文来自不同IRF，不需要进行MAD处理

  • 如果DomainID相同，ActiveID也相同，表示没有发生多Active冲突

  • 如果DomainID相同，Active ID不同，表示IRF分裂，检测到多Active冲突

• 优点

  • 检测速度快

  • 利用现有的动态链路聚合，组网即可实现，无需占用额外接口

• 缺点

  • 需要使用H3C设备作为中间设备，华三私有技术

• 适用场景

  • IRF适用聚合链路和上行设备或下行设备链接

BFD MAD

• 定义

  • 需要在接口上配置MADIP而且还需要在该接口开启BFDMAD检测功能

  • 每个成员设备都需要配置MADIP且必须处于同一网段

• 工作原理

  • IRF正常时

    • 只有主设备上配置的MADIP生效，BFD会话处于DOWN状态

  • IRF分裂时

    • 分裂的多个IRF中主设备的MAD IP均会生效，BFD会话被激活，BFD会话处于UP状态，此时检测到冲突

  • IRF分裂后

    • 细分主题 1

  • BFDMAD检测功能的VLAN接口绑定的二层以太网接口上，请关闭生成树协议（模拟器很怕环路，千万别关，不然设备死机）

• 优点

  • 检测速度较快

  • 使用中间设备使，无需为H3C设备

• 缺点

  • 需要专用的链路和三层接口，这些接口不能再传输普通业务流量，只能用于BFD检测

• 适用场景

  • 对组网没有特殊要求

  • 如果不使用中间设备，仅适用于成员设备较少且物理距离比较近的组网环境

ARP/ND MAD

• 定义

  • 通过扩展ARP报文/ND报文实现，通过报文中未使用的字段来交互IRF的Domain ID和Active ID

• 工作原理

  • 如果DomainID不同，表示报文来自不同IRF，不需要进行MAD处理

  • 如果DomainID相同，ActiveID也相同，表示没有发生多Active冲突

  • 如果DomainID相同，Active ID不同，表示IRF分裂，检测到多Active冲突

• 优点

  • 可以不使用中间设备

  • 使用中间设备时，无需为H3C设备

  • 无需占用额外接口

• 缺点

  • 检测速度较慢

  • 必须和生成树协议配合使用

• 适用场景

  • 使用了生成树但没有使用链路聚合的组网环境

m-lag技术

产生背景

• 早期的组网方式是MSTP+VRRP，实现链路和设备的主备，网络的收敛速度在秒级，显然速度比较慢

• 早期的组网方式是MSTP+VRRP，实现链路和设备的主备，网络的收敛速度在秒级，显然速度比较慢

  • 堆叠的优势：简化线路，简化网络拓扑结构，简化配置

  • 堆叠的问题

    • -要求做堆叠的设备型号一样、操作系统版本一致，线缆要求万兆

    • 系统升级时需要所有成员设备同时升级，升级过程中业务会中断至少2秒左右

• M-LAG技术可以解决业务中断问题

基本概念

• M-LAG主设备

  • 配置M-LAG且为Primary状态的设备

• M-LAG备设备

  • 配置M-LAG且为Primary状态的设备

  • 建议配置M-LAG的设备类型、版本保持一致

• peer-link链路

  • 用于M-LAC协议报文及传输数据流量的链路

  • 可以是聚合链路，也可以是Tunnel隧道，但不能直接的是某一个物理接口

  • 一个M-LAG系统只有一条Peer-link链路

• peer-link接口

  • Peer-Link链路对应的接口

  • 一台M-LAG设备只能有一个peer-link接口

• keepalive接口

  • 用于检测M-LAG邻居状态

  • 一条三层互通链路

• M-LAG组

  • M-LAC设备上相同编号的M-LAC接口属于同一个M-LAC组

• M-LAG接口

  • M-LAG主备设备与外部设备相连的二层聚合接口

  • 需要使用动态聚合

DRCP协议

• 定义

  • distribute relay control protocol data unit。分布式聚合控制协议数据单元

  • M-LAG系统通过在peer-link链路上运行DRCP来交互分布式聚合信息，以确定两台设备是否可以自称M-LAG系统

  • DRCP协议通过交互DRCPDU报文交互信息

• 交互方式

  • 两端M-LAG设备定期交互DRCP报文

  • 当本端设备收到对端DRCP报文后，会判断DRCP报文中的M-LAG系统配置是否和本端一致，一致则两端可以组成M-LAG系统

• DRCP超时时间

  • 定义

    • 超过一定时间没有收到对方的DRCPU报文，则认为对端M-LAG设备Peer-link接口已经失效

  • 短时间

    • 每1秒发送1个DRCPDU，超过3秒没收到，则无法和对端同步数据

      • 慎用，容易误检测

  • 长时间

    • 每30秒发送1个DRCPDU，超过90秒没收到，则无法和对端同步数据

      • 默认用长时间

• DRCP报文协议的参数

  • M-LAG系统里的设备这些参数配置必须一致（M-LAG系统的mac地址、m-lag系统优先级、系统的编号）

Keepalive机制

• 定义

  • M-lag设备通过Keepalive链路检测邻居状态

  • 基于UDP，源目端口号为6400

• 检测机制

  • 在Keepalive超时时间内，本端设备收到对端的Keepalive报文

    • 如果peer-link链路down，则为认peer-link链路故障，设备启动Keepalive hold timeout计时器

    • 如果peer-link链路UP，则M-LAG系统正常工作

  • 在Keepalive超时时间内，本端设备未收到对端的Keepalive报文

    • 如果Peer-link链路DOWN，则认为对端M-lag设备状态DOWN

      • 启动Keepalive hold timeouti计时器

      • 计时器超时后，主设备上如有UP状态的M-LAG接口，则本端仍为主设备，否则角色变为None角色

      • 计时器超时后，备设备升级为主设备，此后只要本设备上存在UP状态的M-LAG接口，则保持为主设备，否则角色变为None角色

    • 如果Peer-link链路UP，则认为Keepalive链路DOWN，此时双方设备正常工作，同时输出日志，提醒用户检查Keepalive链路

MAD机制

• 作用

  • peer-link链路故障后，备设备可能无法正常转发流量，为了避免备设备继续转发流量，造成冲突，需要使用MAD机制来检测分裂

• 原理

  • M-LAG分裂时，将备设备上部分接口置为M-LAG MAD DOWI状态，仅允许 M-LAC口、peer-link等接口转发流量，避免流量错误转发

  • 如果希望有特殊用途的接口（如：Keepalive口）保持UP，可以配置为保留接口

• 不被置于M-LAG MAD down状态的接口

  • M-LAG保留接口

    • 系统保留

      • peer-link接口

      • peer-link接口所对应的二层聚合接口的成员接口

      • M-LAG口

      • 管理以太网接口

    • 用户配置保留

  • 配置了强制端口UP功能的接口

• peer-link故障恢复

  • 故障恢复后，为防止丢包，备设备尽可能在恢复时间内完成表项（ARP、MAC）同步，其后设备上处于M-LAG MAD DOWN状态的接口将恢复为UP

• M-LAG MAD down保持功能

  • 当peer-ink 链路故障，而keepalive链路正常时，主设备正常工作，备设备会关闭除保留接口外的所有接口

  • Peer-link链路故障时 keepalive链路也故障后，备设备会解除M-LAC MAD DOWN状态，并升级为主设备，使网络中的两台设备都作为主设备转发流量，引起网络故障

  • 开启M-LAG MAD DOWN保持功能后，备设备上的接口会一直处于M-LAC MAD DOWN状态，不参与流量转发

M-LAG系统建立及工作过程

• 1.在Peer-link 链路上定期发送 DRCP报文进行协商。如果两端M-LAG接口编号相同，则组成 M-LAC系统

• 2.配对成功后，两端设备选举除主备角色，并进行配置一致性检查

  • 选举方式

    • peer-link链路UP时，设备角色通过peer-link链路计算

    • peer-link链路故障，keepalive链路正常工作时，设备角色通过keepalive链路计算

    • peer-link链路和keepalive链路都故障，根据本端M-LAC设备上M-LAC接口状态决定设备角色

  • 选举规则

    • 比较设备所有M-LAG口状态，有可工作M-LAG口的优先

      • 如果设备通过peer-link链路计算角色，则不对比该条

    • 比较计算前的角色，如有一端为Primary，一端为None，则Primary优先

    • 比较M-LAC MADDOWN状态，一端存在M-LAC MAD DOWN接口，一端不存在，则不存在的一端优先

    • 对比设备健康值，小的优先

      • 健康值代表设备无故障运行的时间，默认为0，发生故障时会增加

    • 对比角色优先级，高的优先

    • 对比设备MAC地址，小的优先

• 3.两端设备通过Keepalive链路周期性发送Keepalive报文检测邻居状态

• 4.M-LAC系统开始工作后，两端设备实时同步对端信息，确保某台设备故障不影响流量转发

M-LAG设备工作模式

• M-LAG系统工作模式

  • 作为M-LAG系统成员参与报文转发

• 独立工作模式

  • 脱离M-LAG系统，独自转发报文

  • 当peer-link 和Keepalive链路均处于DOWN状态时，备设备会立即或经过一段时间后切换到独立模式运行

  • M-LAG设备在独立工作模式下，聚合接口发送的LACP报文中携带的M-LAG系统参数还原为聚合接口的LACP 系统 MAC地址和LACP系统优先级。这将导致只有一边聚合接口的成员端口被选中。只有被选中的端口所在设备转发流量

配置一致性检查

• 定义

  • M-LAG系统建立过程中通过配置一致性检查，来确保两端M-LAG设备配置匹配，不影响报文转发

• Type1类型配置

  • 会影响M-LAG系统转发的配置。Type1配置不匹配，则将备设备上的M-LAG口置为DOWN状态

  • 全局Type1配置

    • peer-link端口链路类型

    • peer-link接口 PVID

    • STP功能和模式

      • 全局 STP是否开启，VLAN内STP是否开启

      • 仅当STP模式为PVST时，才检查VLAN内STP功能

    • MST域配置

  • M-LAG接口Type1配置

    • 聚合组工作模式

    • 接口STP功能

    • 接口链路类型

    • 接口 PVID

• Type2类型配置

  • 仅影响业务模块配置。Type 2配置不匹配，备设备上M-LAG口依然UP，不影响M-LAG系统正常工作。由Type 2类型配置对应业务模块决定是否关闭该业务功能，其他业务模块不受影响

  • 全局Type 2配置

    • peer-link接口所属VLAN

      • 先比较携带Tag的VLAN，再比较未携带Tag的VLAN

    • VLAN接口处于UP状态，且peer-link接口加入该VLAN

    • VLAN接口状态 UP/DOWN

    • VLAN接口的IPV4地址

  • M-LAG接口Type 2配置

    • 接口所属 VLAN

    • M-LAG接口上的端口速率作为优先选择参考端口功能

    • M-LAG接口上的选择选中端口时忽略端口速率功能

• 延时恢复计时器

  • 为避免设备M-LAG口震荡，设备在延迟恢复计时器一半时间后进行配置一致性检查

  • 延时恢复计时器用于设置设备作为备设备加入M-LAG系统时进行MAC地址表项等信息同步的最大时间

  • 计时器超时前，业务口状态为M-LAGMADDOWN，超时后，接口UP

  • 默认30秒

M-LAG序列号校验

• 作用

  • 防止重放攻击，攻击者截取DRCP/Keepalive报文在发送给对端来伪装身份，致使M-LAC可能出现分裂

• 原理

  • 开启M-LAC序列号检验功能后，如果M-LAC设备本次收到的M-LAC报文的序列号与已经收到的M-LAC报文序列号相同，或小于上次收到的报文序列号，则认为发生重放攻击，丢弃序列号校验失败的报文

M-LAG报文认证

• 通过Hash计算来保障M-LAG报文的完整性

M-LAG流量转发

• BUM流量

  • 从非 M-LAG业务口收到的BUM流量

    • 在同一广播域内，M-LAG设备将向所有相连设备转发

    • 从peer-ink 口收到的 BUM流量，由于peer-link与M-LAC组成员存在单向隔离机制，流量不会向M-LAC口转发

  • 从M-LAG口收到的BUM流量

    • 下游/上游设备会将BUM流量以负载分担的方式向两台M-LAG设备转发

    • 在同一广播域内，M-LAC设备将向所有相连设备转发

    • 从peer-link口收到的BUM流量，由于peer-link与M-LAC组成员存在单向隔离机制，流量不会向M-LAG口转发

• 单播流量

  • 从非M-LAC业务口收到的单播流量

    • 如果目的MAC地址学习在M-LAG接口上，按照本地转发优先原则转发

      • 本地优先转发原则指当接收流量的M-LAG设备上存在对应转发表项，在该设备上转发流量，不向peer-ink口转发

    • 如果目的MAC地址学习在本地单挂接口，直接从该接口转发

    • 如果目的MAC地址学习在对端设备的单挂口，从peer-link接口转发

  • 从M-LAG口收到的单播流量

    • 下游/上游设备会将BUM流量以负载分担的方式向两台 M-LAG设备转发

    • 下游/上游设备会将BUM流量以负载分担的方式向两台 M-LAG设备转发

      • 本地优先转发原则指当接收流量的M-LAG设备上存在对应转发表项，在该设备上转发流量，不向peer-ink口转发

    • 如果目的MAC地址学习在本地单挂接口，直接从该接口转发

    • 如果目的MAC地址学习在对端设备的单挂口，从peer-link接口转发

M-LAG接口障处理机制

• M-LAG接口的某一端成员端口故障后，对于下游设备，聚合口仍存活，上行的流量只从未故障的一侧转发

• 下行流量仍然会两边发送，在M-LAG设备间通过peer-link链路绕行

设备故障处理机制

• 主设备故障后，主设备上的聚合链路DOWN，不再转发流量。备设备升级为主设备，流量只从备设备转发;主设备恢复后，成为备设备

• 备设备故障后，M-LAG系统主备状态不变，备设备上的聚合链路DOWN，主设备UP，流量只从主设备转发

上行链路故障处理机制

• 上行链路故障不影响 M-LAG流量转发。由于外网侧的转发相关表项两端设备会通过peer-link链路自动同步，故障所在设备收到的上行流量会从peer-link口转发至非故障设备向上转发

• 可配置Monitor-link将上行端口和M-LAG成员端口关联，使M-LAC口连接设备的上行流量一定是从未故障设备上行的，提高转发效率

M-LAG使用场景

• 单级M-LAG的场景

  • M-LAG系统作为纯二层设备使用

  • 上行和下行都配置为M-LAC接口

  • M-LAG接口与peer-link口透传用户VLAN

• 多级M-LAG的场景

  • M-LAG系统作为纯二层设备与另外一个M-LAC系统对接

  • M-LAG接口与peer-link 口透传用户VLAN

  • 需要在两个M-LAC系统间配置STP来消除环路

• M-LAG与VRRP结合场景

  • 汇聚部署 M-LAC，接入和汇聚间使用链路聚合，M-LAG上分别为VLAN配置不同IP地址，并配置VRRP

  • 两台M-LAG设备都作为VRRP的Master

• M-LAC与双活网关结合场景

  • 两台M-LAG设备都作为VRRP的Master

  • M-LAG两端设备配置相同的VLAN接口MAC和IP地址

  • peer-link链路上需要取消静态MAC地址检查，避免M-LAG故障时上行流量绕行

  • M-LAG设备间需要额外配置VLAN用于三层互通

  • 细分主题 5

BFD

定义

• 双向转发检测

• RFC588O

• 通过在建立会话的通道上周期性发送检测报文，如果某个系统在足够长的时间内未收到对端的检测报文，则认为在这条相邻系统的双向通道的某个部分发生了故障

特点

• 各协议通用

• 在控制与转发平面分离的情况下，运行于系统转发平面

• 本身无发现机制，依靠被服务的上次协议通知其该与谁建立会话

• 作为一个简单的Hello服务，提供信号给上层协议，由上次协议进行相应处理

• 提供毫秒级检测速度

不足

• 只能提供路由器之间的故障检测，无法提供主机间或应用程序间的检测

• 无法提供足够的拥塞检测和避免功能

• 链路开销大

• 专用的报文封装格式，需要专用硬件或软件支持

工作原理

• BFD会话建立

  • 流程

    • 1.上层协议通过自己的Hello机制发现邻居并建立连接

    • 2.上层协议在建立新邻居关系时，将邻居的参数及检测参数都通告给BFD

    • 3.BFD根据收到的参数进行计算并建立邻居

  • 会话建立的三次握手

    • 1.收到上层应用或协议通知后，发送状态为DOWN的BFD控制报文

    • 2.收到DOWN状态的控制报文后，本地会话状态由DOWN迁移到INIT，随后发送Sta字段填充2的BFD控制报文，向对端表明会话状态为INIT

    • 3.收到对端状态为INT的控制报文后，本地会话状态由INIT迁移到UP，随后发送Sta字段填充为3的控制报文，表明会话状态为UP

    • 双方状态都UP后，BFD会话建立成功，开始链路状态检测

• BFD会话状态变化

  • 当超过一定时间未收到对端检测报文后，BFD会话变为DOWN状态，并通告上层协议，使上层协议做出相应动作

• BFD单跳与多跳检测

  • 单跳检测

    • 两个直连设备之间进行IP连通性检测

  • 多跳检测

    • 两个相隔多跳设备之间的链路状态检测

• BFD报文方式

  • echo报文

    • 封装在端口3785的UDP报文中

    • 目的IP地址为发送接口的地址，源IP地址可自行配置，一般配置为一个不存在的IP地址

    • BFD本身不对BFDecho报文格式进行定义，只要求发送方能通过报文内容区分会话

    • 本端发送echo报文建立BFD会话，对链路进行检测，对端不建立BFD会话，只需要把收到的echo报文转发回本端。如果检测时间内没有收到对端转发回的echo报文，则认为会话down

  • 控制报文

    • 单跳检测封装在端口UDP3784的UDP报文中

    • 多跳检测封装在端口UDP4784的UDP报文中

    • 链路两端通过周期性发送控制报文建立BFD会话，对链路进行检测

• BFD会话建立方式

  • 双方主动模式

  • 一方主动，一方被动模式

  • 主动：指无论是否收到对端的检测报文，都会主动发出检测报文;被动指只有收到对端的检测报文，才会发出本端的检测报文

• BFD会话检测模式

  • 异步模式

    • 双方相互周期性发送BFD控制报文，如果某端在检测时间内没收到对端发来的控制报文，就宣布会话Down

  • 查询模式

    • 只有本端的 BFD会话工作在查询模式时，本端设备会向对端发送D 比特位置的BFD控制报文，对端(缺省为异步模式)收到读报文后将停止周期性发送BFD控制报文

    • 两端都是异步模式时，一旦一个BFD会话建立起来后，系统就停止发送控制报文，除非某个系统需要显式验证连接性，才会连续发送P比特位置1的BFD控制报文，如果在检测时间内没有收到对端回应的F比特位置1的报文，就认为会话DOWN;如果在检测时间内收到对端回应的F比特位置1的报文，就认为链路连通，停止发送报文，等待下一次触发查询

• BFD状态机

  • Down状态

    • 本端会话已经关闭或刚刚建立，表示转发路径不可用，与BFD会话联动的上层应用需要采取适当的措施，例如主备路径切换等

    • 会话保持在INIT状态，直到收到对端状态为DOWN状态的控制报文，本端进入到INIT状态;收到对端状态为INIT的报文，本端进入到UP状态

  • INIT状态

    • 本端已经可以与对端通信，且本端希望会话进入UP状态

    • 会话将保持在INIT状态，直到收到一个状态为INIT或UP的BFD控制报文才会变为UP状态;如果检测超时，会进入到DOWN状态

  • UP状态

    • 本端会话已经建立成功。UP状态表示转发路径可用

    • 会话保持在UP状态，如果被管理 DOWN，则进入到AdminDown状态;如果对端通告DOWN状态报文或检测超时，则会话进入到DOWN状态

  • AdminDown 状态

    • 代表会话被管理DOWN，将导致对端进入DOWN状态，直到本地系统退出管理DOWN状态

组播概述

定义

• 点到多点的通讯模式

组播关注的问题

• 如何标识接收者

  • 组播地址

• 终端设备如何加入/离开组播组

  • IGMP

• 组播组成员信息如何维护

  • IGMP

• 组播数据如何转发

  • 组播分发树

• 组播转发路径如何建立

  • 组播路由协议

解决方案

• 组播地址

  • 标识组播接收者

• 组播分发树

  • 定义组播数据转发方式

• 组播路由协议

  • 定义组播数据转发方式

• IGMP

  • 定义终端设备加入/离开组播组

  • 维护组播组成员信息

组播地址

• 地址范围

  • 224.X.X.X-239.X.X.X

• 地址分类

  • 本地协议预留地址

    • 224.0.0.0-224.0.1.255

  • 用户组播地址

    • 224.0.2.0-238.255.255.255

  • 本地管理地址

    • 239.0.0.0-239.255.255.255

  • 组播MAC地址

    • 239.0.0.0-239.255.255.255

• 因为组播IP地址第5-9位不映射到组播MAC地址，所以某些组播IP对应的组播MAC会有重复

  • 通过组播IP来判断是否是本机所需要的报文

组播模型

• ASM

  • 任意信源组播

  • 不区分组播源，所有组播源共享同一个组播信息表

• SSM

  • 指定信源组播

  • 区分组播源，每个组播源维护独立的组播信息表

IGMP协议

定义

• 组播组管理协议

功能

• 管理主机加入和离开组播组

• 维护本地组播组信息表

IGMPv1

• 主机加入

  • 1.路由器向开启了IGMP的端口发送查询报文，询问该接口下有没有组播接收者

  • 2.收到查询报文的主机，如果希望接收某个组的组播，则向路由器回复report报文，把希望加入的组播组地址通告给路由器;如果不希望接收任何组播，则不回复

  • 3.收到report报文后，路由器就会在本地建立组播组信息表，记录该组的(*、G)表项，后续将会向收到report报文的接口转发该组组播

• 主机离开

  • 默默离开

  • 当路由器在后续的查询报文中没有收到某个组的Report报文时，路由器将会把该组的(*、G)表项删除，不再转发该组组播

• 查询器选举

  • 一个网段中只能有一个路由器负责处理组播，该路由器就是查询器

  • GMPv1没有查询器选举机制，只能依靠上层组播路由协议选举

• 成员报告抑制机制

  • 主机以组播224.0.0.1的地址发送eport报文，该报文也会被其他主机接收

  • 收到该report报文的主机会启动计时器(10秒);在该计时器时间内，如果本机也希望加入该组播组，不会重复发送report报文

• 主机希望加入某个组播组，不用等到路由器发送查询报文，会直接向路由器发送Report报文

IGMPv2

• 主机加入

  • 默默离开

  • 当路由器在后续的查询报文中没有收到某个组的Report报文时，路由器将会把该组的(*、G)表项删除，不再转发该组组播

• 主机离开

  • 1.主机主动向路由器发送Leave报文，通告希望离开的组播组地址

  • 2.路由器收到leave报文后，会发送指定组查询报文，询问该网段内是否还有主机希望接收该组的组播

  • 3.如网段内还有该组接收者，则该接收者会向路由器回复membership-report报文，通告路由器本机还希望接收该组播;如果不希望接收该组播，则不回复

  • 4.如接收到membership-report报文，则不对组播组信息表做任何操作;如没有接收到任何报文，则删除该组播组信息

• 查询器选举

  • 自动选举

  • IP地址小的优先

• 成员报告抑制机制

  • 与IGMPV1一致

IGMPv3

• 主机上维护的组播信息

  • (组地址、过滤模式、源列表)

  • 主机通过发送membership-report报文向路由器通告本机当前组播信息状态、过滤模式

• 路由器上维护的组播信息

  • 组状态

    • (组地址、组定时器、过滤模式、源列表)

  • 源列表

    • (源地址、源定时器)

• 主机加入

  • 1.路由器发送普遍查询报文

  • 2.收到普遍查询报文的主机，如果希望加入某个组播组，就会发送membership-report报文;报文格式会包含组地址、源过滤模式、源列表

  • 3.路由器收到report报文后，会根据报文的汇总信息，生成相应的组播信息表项

• 主机离开

  • 离开某个组播源

    • 1.主动向路由器发送membership-report报文、报文会包含希望变更的组播组地址、源过滤模式的变化、离开的源地址

    • 2.路由器收到该报文后，会发送指定组查询报文，询问是否还有其他主机希望继续接收该组播源在该组播地址发送的组播

    • 3.如果未收到回复，路由器则在组状态中根据过滤模式调整该组播源;如果收到，则不做任何操作

  • 离开某个组播组

    • 1.主动向路由器发送membership-report报文;报文包含希望离开的组播组地址和TO_IN(NULL)硝息

    • 2.路由器收到该报文，会发送指定组查询报文，询问是否还有其他主机希望继续接收该组播

    • 3.如果未收到回复，路由器则删除该组播组的信息记录;如果收到，则不做任何操作

• 查询器选举

  • 自动选举

  • IP地址小的优先

• 取消成员报告抑制机制

IGMP Snooping

• 用于在交换机上建立二层组播信息

• 二层交换机在不使能IGMP Snooping的情况下，默认把组播报文当做广播处理

• 工作原理

  • 开启IGMP Snooping后，交换机会把收到普遍查询报文的接口设置为路由器接口

  • 交换机只会把从路由器端口收到的组播报文转发至成员端口;从非路由器端口收到的组播报文丢弃

  • 交换机从某个端口收到GMP Report报文后，就自动把该端口加入到组播转发表的成员端口

  • 交换机只会把Report报文从路由器端口转发，所以其他主机不会收到Report报文，不会触发成员报告抑制机制

组播VLAN

• 路由器只把组播报文转发至二层交换机的组播Vlan

• 二层交换机在该组播Vlan的所有子Vlan中复制组播报文

相关命令

• [h3c]multicast routing-enable

  • 开启组播路由功能

• [h3c]igmp

  • 进入IGMP视图

• [h3cligmp version 'version'

  • 配置IGMP版本

• [h3c-GigabitEthernet0/0]igmp enable

  • 接口开启IGMP

• [h3c]igmp-snooping

  • 创建IGMP协议

• [h3c-vlan10]igmp-snooping enbale

  • 接口在该vlan中使能igmp-snooping

• [h3c]multicast-vlan 10

  • 创建组播vlan

• [h3c-mvlan-10]subvlan 12 3

  • 设置组播vlan的子vlano

组播转发机制

组播分发树

• 定义

  • 组播数据在网络中的转发路径

  • 由组播路由协议建立

• 分类

  • SPT

    • 最短路径树

    • 为每个组播源分别建立一条到达接收者的最短路径

    • 可保证组播转发低延迟口

    • 口需要维护的路径数量太多

  • RPT

    • 共享树

    • 建立一条所有组播源到所有接收者的共享路径

    • 只需要维护少量的组播路径

    • 无法保证每个组播源到接收者是最优路径

RPF机制

• 定义

  • 逆向路径转发

• 作用

  • 用于避免组播数据的重复发送

  • 用于避免组播路径环路，通过RPF把组播路径修剪成树形路径

• 工作机制

  • 组播数据包到达路由器后，执行RPF检查

  • 如果数据包是在到达组播源的最优路径上到达，则RPF检查成功，数据包被转发

  • 如果RPF检查失败，则丢弃数据包

  • RPF检查基于单播路由表，如果单播路由存在等价路由，则RPF选择下一跳IP地址大的

组播路由协议

常见组播路由协议

• DVMRP

  • RIP组播版本

  • 具有RIP的所有缺陷

• MOSPF

  • OSPF组播版本

  • 要求单播使用OSPFv2

• PIM

  • 协议无关组播

  • 对单播路由来源无要求

  • 端口:UDP103

  • 组播地址:224.0.0.13

PIM-DM

• 定义

  • PIM密集模式

  • 假定网络中组播接收者较多，且分部于大部分设备上，采用推的方式分发组播数据

  • 适用于小规模组播网络

• 邻居发现机制

  • PIM路由器之间周期性发送Hello报文来发现、建立和维护邻居关系

  • 只有网段中IGMP版本是v1，Hello报文才选举查询器

• 运行机制

  • 扩散

    • 1.组播源发起组播，沿途路由器以广播方式，把组播包进行扩散

    • 2.沿途路由器创建（S,G）表项

      • S为组播源

      • G为组播组地址

      • 一个(S，G)表项包含一个入接口和若干出接口

        • 入接口是通过RPF检测的接收组播的接口

        • 入接口是通过RPF检测的接收组播的接口

    • 3.路由器把(S，G)表项中的入接口设置为接收组播的接口，其他所有连接了PIM邻居的接口设置为出接口

  • 剪枝

    • 1.如果网段内部没有组播接收者，则DR向入接口发起Prune报文

    • 2.上游路由器收到Prune报文后，把收到报文的接口从(S，G)表项中的出接口删除

    • 3.如剪枝后本路由器的(S，G)表项中没有出接口了，将继续向上游接口发送Prune报文进行剪枝

      • 上游邻居必须是PIM邻居

  • 加入

    • 1.一个网段中有多个下游路由器，其中一个下游路由器向上游发起剪枝，该Prune报文会同时被另一个下游路由器接收

    • 2.如果另外一个下游路由器中存在接收者，感知到有其他下游路由器正在剪枝后，则向上游发起Join报文，请求上游继续发送组播

    • 3.上游路由器收到Join报文后，不会删除出接口

  • 扩散-剪枝-加入周期性进行，形成组播源到接收者之间的SPT

  • 嫁接

    • 1.当路由器中出现组播接收者时，向上游发送Graft报文

    • 2.上游收到Graft报文后，把收到报文的接口添加到(S，G)表项的出接口，并回复Graft ACK消息

  • 断言

    • 1.一个网段中存在多台上游路由器，连接到下游路由器的同一个接口，会导致相同组播报文重复发送，而且无法被RPF机制选出唯一

    • 2.通过断言机制选举唯一组播数据转发者

    • 选举机制

      • 到组播源的单播路由的优先级较高者获胜

      • 到组播源的单播路由度量值较小者获胜

      • 本地接口IP地址较大者获胜

  • 状态刷新机制

    • 如果组播源仍活跃，组播源一侧的路由器周期性会发送State Refresh报文，刷新重置扩散周期计时器，降低扩散频率

PIM-SM

• 定义

  • PIM稀疏模式

  • 采取拉的方式，根据接收者的需求，在组播接收者和组播源之间建立组播分发树

  • 适用于任何规模的网络

  • 无论网段中的IGMP协议是什么版本，都通过Hello报文选举查询器

• 邻居发现机制

  • 与PIM-DM相同

• 运行机制

  • 加入

    • 1.接收者一侧的DR中如果存在组播接收者，则根据单播路由表向RP发起Join报文

      • RP为汇聚点

      • 自行配置路由器作为RP

    • 2.沿途路由器建立(*，G)表项

      • *代表任意组播源

      • G为组播组地址

      • 一个(*，G)表项包含一个入接口和若干出接口

        • 入接口为发送Join报文的接口

        • 出接口为收到Join报文的接口

  • 通过加入过程，形成RP到每个组播接收者的RPT

  • 组播源注册

    • 1.组播源一侧的DR把第一个组播数据包封装为单播形式的Register报文发送至RP

    • 2.RP收到Register报文后，解封出原始组播报文，根据RPT转发组播

    • 3.RP向组播源一侧的DR发起Join报文

    • 4.沿途路由器建立(S，G)表项

      • 入接口为发送Join报文的接口

      • 出接口为收到Join报文的接口

  • 通过组播源注册，形成RP到组播源一侧DR的SPT

  • 组播源停止注册

    • 1.RP以单播形式向组播源发起Register Stop报文

    • 2.组播源一侧DR收到后，停止以单播封装组播数据包，按照SPT转发组播数据

  • RPT向SPT切换

    • 1.接收者一侧DR接收到组播后，感知到了组播源，于是向组播源发起Join报文

    • 2.沿途路由器建立(S，G)表项

    • 3.此时，网络中会同时存在由组播源到接收者的两条路径，一条经过RP，一条直接从组播源到接收者

    • 4.路由器对组播报文进行RPF检测，如SPT入接口优于RPT入接口，则向RPT入接口发起Prune报文

    • 5.最终形成组播源到接收者的SPT

  • RP

    • 配置方式

      • 静态指定

      • 自动选举

        • 通过BSR选举

          • 优先级高的优先

          • 计算Hash值大的优先

          • C-RP的IP地址大的优先

          • RP并不由BSR选举，而是由BSR把所有C-RP的信息收集完整后，发送给所有路由器，所有路由器自行选举出唯一的RP

        • BSR的选举

          • C-BSR优先级高的优先

          • C-BSR的IP地址大的优先

        • 一个组播组的RP和BSR可以使同一台路由器的同一个接口

        • 动态选举RP通过Bootstrap协议

PIM-SSM

• 组播接收者通过IGMPV3感知到组播源地址

• 接收者一侧DR向组播源发起Join报文，建立SPT

相关命令

• [h3c]multicast routing

  • 全局开启组播路由功能

• [h3c]pim

  • 创建PIM进程

• [h3c-GigabitEthernet0/0]pim 'dm/sm'

  • 接口使能PIM，并指定PIM模式

• [h3c-pim]static-rp 'ip-address

  • 配置静态RP

• [h3c-pim]c-rp 'ip-address'

  • 配置候选RP

• [h3c-pim]c-bsr 'ip-address'

  • 配置候选BSR

• [h3c]display multicast routing-table

  • 查看组播路由表

AAA

AAA架构

• Authentication

  • 用户验证

• Autheorization

  • 授权

• Accounting

  • 计费

工作模式

• 本地验证

  • 用户身份验证过程发生在接入设备上

• 远程验证

  • 用户身份验证过程发生在指定的AAA服务器上

  • 可以实现对网络中所有接入点进行集中统一的身份认证

相关协议

• RADIUS

  • 使用UDP1812和1813端口传输数据

  • 验证和授权发生在同一台服务器上，不可分离

• TACACS+

  • 使用TCP传输

  • 比RADIUS的安全级别更高

    • Radius只对报文头部加密

    • TACACS+对报文整体密

  • TACACS+可以对用户命令行的级别进行授权，Radius不行

  • 验证、授权、计费可独立运行在不同服务器上

接入控制和安全

接入控制

• 802.1X

  • 相关概念

    • 受控端口/非受控端口

      • 受控端口

        • 用于传输数据的逻辑子接口，身份认证未通过时，该端口不会转发数据;身份认证通过后，可以传输数据

      • 非受控端口

        • 用于传输802.1X认证报文，无论身份认证是否通过，该端口都可以转发802.1X报文

    • 授权/非授权

      • 强制授权模式

        • 端口始终处于被授权可以连通的状态

      • 强制非授权

        • 端口始终处于不可认证的状态

      • 自动识别

        • 身份认证未通过时，端口处于非授权状态;当身份认证通过时，端口自动切换到授权状态

    • 单向/双向受控

      • 单向受控

        • 只允许用户接收帧，不允许用户发送帧

      • 双向受控

        • 用户可以同时接收和发送帧

  • 基于端口验证

    • 该端口下只要一台客户端通过验证，则该端口下连接的所有客户端都能访问网络

    • 只要一台客户端中断连接，该端口下所有连接的客户端都会中断

  • 基于MAC地址验证

    • 一个端口下的所有客户端都保留独立的连接，彼此互不影响

  • 身份认证触发方式

    • 客户端触发

      • 由客户端自己主动发起身份认证请求

    • 设备端触发

      • 某些特殊情况下，客户端无法主动发起认证请求

      • 设备端会以30秒为周期发起询问，客户端感知到设备端后，再向设备端发起认证请求

  • 远程身份认证方式

    • EAP中继

      • 客户端通过EAP协议和设备端交互，设备端把该报文继续以EAP协议中继转发给Radius服务器

      • 客户端和设备端，设备端和服务端都是使用EAP协议来封装报文

    • EAP终结

      • 客户端通过EAP协议和设备端交互，设备端把客户端的报文的内容提取出来，重新封装为CHAP/MD5/PAP认证

      • 客户端和设备端使用EAP协议来封装报文，设备端和服务端使用CHAP/MD5/PAP验证来进行报文传输

  • Guest VLAN

    • 用户未验证或未通过验证，可访问Guest VLAN中的资源

  • Dynamic VLAN

    • 用户通过验证后，客户端所属的VLAN

• MAC地址验证

  • 客户端无需专用拨号客户端，使用方便

  • 用户名格式

    • MAC地址作为用户名

    • 创建普通用户名

  • 支持Guest VALN和Dynamic VLAN

端口安全

• MAC地址学习类型

  • noRestrictions

    • 端口安全关闭，学习MAC地址没有限制

  • autolearn

    • 通过了身份验证的MAC地址会学习到安全MAC地址列表中

    • 如果端口学习到的MAC地址达到了允许学习的MAC地址数量上限，就不再添加新的安全MAC地址

    • 只有源MAC为安全MAC地址或静态MAC地址的帧才允许通过该端口

  • secure

    • 不再学习新的安全MAC地址，只有源MAC为安全MAC地址或静态MAC地址的帧才允许通过该端口

• 配置端口可学习的MAC地址最大数量

• NeedToKnow特性

  • 只有源MAC为安全MAC地址或静态MAC地址的帧才允许通过该端口

• 入侵检测

  • 检查数据帧的源MAC地址，源MAC地址不是安全MAC地址则做出相应惩罚措施

SSH

定义

• 一种安全的远程登录协议

• 基于TCP 22端口传输

特征

• 支持数据加密和数字签名

连接建立流程

• 1.版本号协商

• 2.密钥和算法协商

• 3.身份认证

• 4.会话请求和建立

• 5.会话交互阶段

SSH2.0相比1.0增加了对SFTP的支持，可以在SSH的保护下进行文件传输

SNMP

定义

• 简单网络管理协议

• 提供从网络设备中收集信息的方法，也为设备向网络管理端报告问题和错误提供方法

• 端口号:UDP161、UDP162

相关概念

• NMS

  • 网络管理站

  • 用于统一管理网络设备的服务器

• Agent

  • 代理器

  • 接受NMS远程管理的网络设备

• MIB

  • 管理信息库

  • 用于记录网络设备的各种参数属性

• OID

  • 用于描述MIB中某一个属性的路径信息

版本

• SNMPV1

  • 使用团体名来区分拥有权限的NMS

    • 团体字

      • 读团体字

        • 读取设备信息和设备报错需要的密码

      • 写团体字

        • 配置设备需要的密码

  • 报文类型

    • Get

    • GetNext

    • Set

    • Trap

    • GetResponse

  • 特点

    • 所有操作都是原子性的。返回的报文中只要有一条属性错误，整个报文都会出错

    • 能够表达的错误状态有限

    • 不支持NMS之间的通讯

    • Trap报文格式存在缺陷

    • 基于团体名的安全性，安全性有限

• SNMPv2c

  • 同样基于团体名的安全机制

  • 请求和响应报文与V1一致

  • 除了Set操作，其他操作都是非原子性的，某一条属性错误，不会影响其他属性的传递

  • 增加了GetBulk报文，可以一次请求多个OID

  • 可以表达更多的错误状态

  • 支持更丰富的数据类型

  • Trap报文格式与其他报文格式统一了

  • 支持NMS之间的通讯

• SNMPv3

  • 特点

    • 支持身份验证

    • 支持报文加密

    • 支持访问控制

配置方法

• 1.配置SNMP读团体字并绑定ACL配置允许管理的主机

• 2.配置SNMP写团体字并绑定ACL配置允许管理的主机

• 3.配置SNMP工作版本

• 4.配置SNMP告警

相关命令

• [h3c]snmp-agent community read 123456 acl 2000

• [h3c]snmp-agent community write 654321 acl 2000

• [h3c]snmp-agent sys-info version v2c

• [h3c]snmp-agent target-host trap address udp-domain 10.1.0.100 params securityname 123456

LLDP

定义

• 链路层发现协议

• 用于跨厂商设备之间互相发现各自的设备参数、设备性能、相关配置信息

• 应用场景

  • 获取相邻设备的连接情况

  • 配合SNMP来自动建立网络拓扑图

端口工作模式

• TXRX

  • 可以发送和接收LLDP报文

• TX

  • 只能发送LLDP报文

• Rx

  • 只能接收LLDP报文

• Disable

  • 不能发送和接收LLDP报文

报文发送模式

• 快速发送

• 周期发送

• 通过令牌桶发送

• LLDP重初始化延时发送

镜像技术

定义

• 将指定端口的报文或符合指定规则的报文复制到目的端口

• 利用镜像技术，可进行网络监管

分类

• 端口镜像

  • 本地端口镜像口

    • 将设备的一个或多个源端口的报文复制到本设备的一个目的端口，用于报文的分析和监视

  • 远程端口镜像

    • 镜像组的源端口和目的端口在不同的设备上

• 流镜像

  • 将指定的数据包复制到用户指定的目的地，进行网络检测和故障排除

注意事项

• 一个镜像组可以包含多个源端口，但只能包含一个目的端口

• 远程镜像Vlan必须是静态创建的Vlan

• 远程镜像Vlan不要有其他数据经过

• 在对源端口进行双向镜像时，最好关闭远程镜像Vlan的MAC地址自动学习功能

相关命令

• [h3c]mirroring-group 'group-id' local

  • 创建本地镜像组

• [h3c]mirroting-group 'group-id' mirroring-port 'port-name' 'inbound/outbound/both'

• [h3c]mirroring-group 'group-id' monitor-port 'port-id'

  • 配置目的端口

NTP

定义

• 网络时钟同步协议

作用

• 日志信息、调试信息记录

• 计费系统

• 多个系统协同处理

• 备份服务器和客户端之间进行增量备份

工作模式

• C/S模式

• 对等体模式

• 广播模式

• 组播模式

NQA

定义

• 网络质量分析，通过发送探测报文，对网络性能或服务质量进行分析，为用户提供网络性能参数

• 延时抖动、HTTP总延时、DHCP获取地址的延时、TCP连接延时、FTP连接延时和文件传输速度等

• 利用NQA的检测结果，用户可以及时了解网络性能状态，并针对不同的网络性能，进行不同处理;或利用NQA检测结果对网络故障进行诊断和定位

特点

• 支持多种测试类型

  • NQA是对Ping功能的扩展和增强,支持ICMP、UDP、Voice、TCP、DLSw、SNMP、HTTP、FTP、DHCP、DNS、Path-jitter等多种测试类型

• 支持多测试组并发

  • DHCP只支持一个组同时测试

• 支持联动功能

工作机制

• ICMP-echo测试

  • 通过发送ICMP报文来判断目的地的可达性、计算网络相应时间和丢包率

  • 与Ping对比

    • ICMP-echo测试发送的ICMP报文TTL缺省为20，在复杂环境中，可手动修改TTL值

    • ICMP-echo测试支持多种测试参数，如指定测试的下一跳地址来测试指定路径

  • 原理

    • NQA客户端根据设置的探测时间及频率向目的IP地址发送ICMP-echo request报文

    • 目的地址收到后，回复ICMP echo reply报文

    • NQA客户端根据收到的ICMPechoreply报文的接收情况计算除到达目的IP地址的响应时间、丟包率，从而反映当前网络性能及网络情况

  • ICMP-echo测试成功的前提是目的设备能够正确响应ICMP echorequest报文

• ICMP-jitter测试

  • 用于获得网络单向和双向的延时抖动，从而判断网络是否可以承载实时性业务

  • 原理

    • 源端以一定的时间间隔向目的端发送探测报文，并记录报文发送时间

    • 目的端收到探测报文后，打上时间戳，并把带有时间戳的报文发送给源端

    • 源端收到后，根据报文上的时间戳，计算出延时抖动，从而反映出网络状况

    • 延时抖动=相邻两个报文的目的端接收时间间隔-这两个报文的发送时间间隔

  • ICMP-jiter使用协议规定的ICMP timestamp报文，该报文曾被国际攻防组织定义为攻击报文，某些防火墙会过滤该报文导致测试失败

• UDPecho测试

  • 主要用于探测网络可达性和延时，要求对端必须开启 NQA Server，并在Server 上打开对应的UDP端口

  • 原理

    • NQA客户端根据配置的探测时间和频率向目的端发送UDP报文

    • 目的端收到后，直接使用该报文进行回复

    • NQA客户端根据接收到UDP报文的情况，计算出到达目的IP地址所需的时间及丢包率

• HTTP测试

  • 主要用于测试 NQA客户端是否可以与指定的HTTP服务器建立连接，以及从HTTP服务器获取数据所需的时间，从而判断HTTP服务器的连通性和性能

  • 支持操作类型

    • GET

      • 从HTTP服务器获取数据

    • POST

      • 向HTTP服务器提交数据

    • RAW

      • 向HTTP服务器发送RAW 请求

  • 原理

    • NQA客户端向HTTP服务器发送指定请求类型，接收到回应消息后，计算测试的时间

• 联动功能

  • NQA可以在监测模块，Track模块和应用模块间建立关联，实现这些模块之间的联动动作。NQA作为监测模块，对 NQA探测结果进行监测，当连续探测失败达到一定次数时，就通过Track模块触发应用模块进行相应处理

  • 可联动的应用模块

    • VRRP

    • 多机备份

    • 静态路由

    • 接口备份

    • 流量重定向

    • WLAN

    • Smart Link

• 阈值告警机制

  • NQA通过创建阈值告警项，并在阈值告警项中配置监测的对象、阈值类型及触发的动作，来实现阀值告警功能

  • 支持的阈值类型

    • 平均值

      • 监测一次测试中所有探测结果的平均值，平均值不在指定范围，则该监测对象超出阈值

    • 累计数目

      • 监测一次测试中探测结果不在指定范围内的累计数目，累计数目达到或超过指定值，则该监测对象超出阈值

    • 连续次数

      • 监测探测结果连续不在指定范围内的次数，达到或超过指定值，则该监测对象超出阈值

  • 支持的触发动作

    • none

      • 只在本地记录监测结果，监测结果可通过显示命令查看

    • trap-only

      • 在本地记录监测结果，当阈值告警项的状态改变时，还可以通过SNMP功能向网络管理系统发送Trap消息

    • trigger-only

      • 在本地记录监测结果，当阈值告警项的状态改变时，触发其他模块联动

  • 阈值告警项状态

    • none

      • 只在本地记录监测结果，监测结果可通过显示命令查看

    • trap-only

      • 在本地记录监测结果，当阈值告警项的状态改变时，还可以通过SNMP功能向网络管理系统发送Trap消息

    • trigger-only

      • 在本地记录监测结果，当阈值告警项的状态改变时，触发其他模块联动

NQA典型应用

• NQA联动 VRRP

  • 通过 NQA联动Track项实现VRRP对上行链路的监控

  • 相对BFD，NQA可实现单向远端故障监测

• NQA联动静态路由

  • 通过在NQA、Track模块和静态路由之间建立联动，实现静态路由有效性的实时判断

QinQ技术

技术背景

• 大型局域网或城域网中VLAN数量不够用

• 某些企业的多个分之机构需要通过运营商网络来透传VLAN信息

定义

• 8021Q in 802.1Q

• 一种简易的实现基于VLAN的二层VPN技术

• 将一层VLAN Tag封装到私网报文上，使报文携带两层VLANTag穿越运营商网络，从而使运营商能够利用一个VLAN来为包含多个VLAN的用户网络提供服务

技术优势

• 缓解公网VLAN 资源不足，使私网VLAN可以重复使用

• 隔离公网与私网VLAN

• 用户不感知公网VLAN，维护管理简便

工作原理

• 用户私网报文携带自身私网VLANTag进入运营商网络

• 运营商设备为该报文再封装一个公网VLAN Tag，不同用户的报文封装上不同的公网VLAN;运营商设备根据公网VLan tag在其网络上转发数据

• 报文离开运营商网络前剥离掉公网VLANTag，使之还原为原始私网报文，发送至另一侧用户网络

QinQ报文结构

• 目的MAC地址

• 源MAC地址

• Service VLAN Tag

  • 私网VLAN Tag

• Customer VLAN Tag

  • 公网VLAN Tag

• DATA

• FCS

QinQ分类

• 基本QinQ

  • 无论该端口收到的报文是否携带VLAN Tag，设备都会为其打上本端口PVID的Tag

  • 如果收到携带VLANTag的帧，则该帧会形成双Tag帧;如果收到未携带Tag的帧，则该帧会形成只携带一层Tag的帧

• 灵活QinQ

  • 对于从同一个端口收到的报文，可以根据Customer VLAN的不同，打上不同Service VLAN的Tag

  • 可根据报文内层VLAN Tag的802.1P优先级来标记外层VLAN Tag的802.1P优先级

VLAN透传功能

• 在基本QinQ中，可以配置不为用户私网报文添加公网VLAN Tag，而直接传输用户私网VLAN报文

• 适用于企业专线业务

• 注意事项

  • 配置VLAN透传功能时，需要在报文传输路径的所有端口上都配置允许透传VLAN通过

  • 配置了用户侧端口对指定VLAN报文进行透传后，不要在该端口上对在这些VLAN再进行修改报文VLAN的相关配置

  • 同一接口上透传VLAN和VLAN映射表中的外层VLAN 不允许相同

BPDU透传

• 技术背景

  • BPDU使用组播发送，会导致运营商网络连接的所有用户的私有网络都运行在同一个STP下，造成网络混乱

• 技术原理

  • PE(运营商边缘设备)收到BPDU后，把目的MAC地址从0180-C200-0000修改为特殊的组播MAC地址，一般默认修改为010F-E200-0003，使得运营商网络设备把BPDU当作普通数据帧进行传输

  • BPDU离开运营商网络前，PE将目的MAC地址还原为0180-C200-0000，转发至指定用户的网络

VLAN Mapping

• VLAN映射，也称VLAN转换，通过配置映射关系，实现对报文VLANID的修改，或添加指定VLAN Tag

• 1:2映射

  • 为本身携带有一层VLAN Tag的报文添加指定的外层VLAN Tag，使报文携带两层VLAN Tag

  • 主要用于实现QinQ，应用更广泛

telmetry技术

技术背景

• 当今网络的运维面临着如下挑战

  • 超大规模

  • 快速定位

  • 精细监控

• 传统的网络监控手段(SNMP、CLI、日志)已无法满足网络需求

  • SNMP和CLI主要采用“拉模式”获取数据。

  • SNMPTrap仅上报事件和告警，监控的数据内容极其有限。

定义

• Telemetry是一项监控设备性能和故障的远程数据采集技术。它采用“推模式”及时获取丰富的监控数据，可以实现网络故障的快速定位，从而解决上述网络运维问题。

Telemetry 对比 SNMP

• SNMP采用拉模式，每次获取数据都需要单独处理;Telemetry采用推模式，只需要一次订阅请求和一次解析请求，效率较高

• SNMP采集周期为秒级，Telemetry为亚秒级

• SNMP基于UDP，Telemetry可以采用TCP传输

• Telemetry可以将设备上多种采集数据打包一并上传给网管，进一步减少网关与设备间交互次数

• Telemetry 采集的信息会携带时间戳信息，网管进行数据分析时可以通过时间戳来确认采集数据的发生时间，避免网络延迟对采样数据的影响

• SNMP采用MIB定义数据结构，Telemetry采用YANG模型描述的数据结构

• SNMP采集会打断设备工作节奏，Telemetry上报数据时，设备可以调整自己的工作节奏，来进行相应信息的上报，不至于因为网管导致设备CPU高

Telemetry网络模型

• 网络设备

  • 接受监控管理的设备，设备通过gPRC，INT，ERSPAN等方式定时上传数据到采集器

• 采集器

  • 用于接收和保存网络设备上报的监控数据

• 分析器

  • 用于分析采集器接收到的监控数据，对数据进行处理，并以图形化界面将分析结果展现给用户

• 控制器

  • 通过NETCONF等方式向设备下发配置，实现对网络设备的管理

  • 为网络设备下发配置，对网络设备的转发行为进行调整;控制设备对哪些数据进行采样和上报

Telemetry实现方式

• 基于 gRPC的 Telemetry

  • 可采集设备的接口流量统计、CPU、告警等数据后，经过Protocol Buffer编码，实时上给采集器进行接收和存储

• 基于INT的Telemetry

  • 主要用于采集报文经过的路路径和报文传输时延等数据平面信息。INT监控粒度为单个数据可以实现完整的网络状态实时监控

• 基于 ERSPAN 的 Telemetry

  • ERSPAN是一种端口报文镜像技术，能够将端口上的报文镜像后，封装为协议号OxEGRE报文，并发送到远端监控设备

gRPC协议

• 协议分层

  • TCP传输层

    • TCP提供面向连接的、可靠的数据链路。

  • TLS(Transport Layer Security，传输层安全)传输层

    • 该层是可选的，设备和采集器可以基于TLS协议进行通道加密和双向证书认证，实现安全通信。

  • HTTP 2.0应用层

    • gRPC承载在HTTP2.0协议上，利用了该协议的首部数据压缩、单TCP连接支持多路请求、流量控制等性能增强特性。

  • gRPC层

    • :定义了RPC(Remote Procedure Call，远程过程调用)的协议交互格式。

  • 内容层

    • 用于承载编码后的业务数据

• 网络架构

  • gRPC网络采用客户端/服务器模型，使用HTTP2.0协议传输报文

  • gRPC网络的工作机制如下

    • 服务器通过监听指定服务端口来等待客户端的连接请求。

    • 用户通过执行客户端程序登录到服务器。

    • 客户端调用proto文件提供的gRPC方法发送请求消息。

    • 服务器回复应答消息

自由主题

vlan的划分方式

见NE-RS+笔记

XMind: ZEN - Trial Version