分局网络系统培训最终.doc

国家安全生产信息系统（“金安”工程）一期项目培训系列教材网 络 系 统 运 维 管 理 网络系统应用及维护培 训 手 册（编号：网络类 JA1WL001 2009）审核：“金安”工程一期项目办公室国家安全监管总局通信信息中心编制：中国电信集团系统集成有限责任公司20109年12月 北京 前 言国家安全生产信息系统（“金安”工程）一期项目网络系统的建设目标是扩充并形成各级安全生产监管和煤矿安全监察机构的局域网，建设国家安全生产监督和煤矿安全监察的广域专网。为使各省级煤监、安监局网络管理和运维人员具备对网络系统所属产品进行日常运维、及在产品出现异常后具备简单的故障排除能力，特编制本培训文档。 网络管理和运维人员可依照此文档，对网络系统进行简单维护和故障处理。如有问题，请及时与安全监管总局通信信息中心运维部门联系：网控中心：（010）64463710 IP电话：0108881、 0108882培训中心：（010）64464830 IP电话：0104831、 0104830目 录1网络系统总体概述11.1省煤监局及分局网络拓扑示意图11.2煤监局网络系统介绍21.2.1省局节点网络介绍错误！未定义书签。1.2.2煤监分局网络介绍21.3路由规划41.3.1路由协议41.4安监局网络系统介绍72网络系统日常检查72.1网络设备硬件日常检查72.1.1路由器硬件基本检查72.1.2交换机硬件基本检查82.2网络系统运行状态检查82.2.1路由器运行状态基本检查82.2.2交换机运行状态基本检查92.3路由状态检查102.3.1RIP的基本概念102.3.2RIP的启动和运行过程112.3.3配置RIP基本功能133网络系统常见故障和解决办法143.1硬件常见故障及解决143.2连通性故障及解决143.3路由故障及解决144附录 设备硬件指示灯说明16 “金安”工程一期项目网络系统使用培训手册1 网络系统总体概述1.1 省煤监局及分局网络拓扑示意图图1-1 网络拓扑29 1.2 煤监分局网络系统介绍省煤监局网络按功能特性，分为外网服务区、专网服务区、局域网内部区域几部分；按照物理位置可分为省节点网络接入和各地市网络接入。1.2.1 煤监分局网络介绍图1-2煤监分局拓扑结构图煤监分局结构相对比较简单，网络相关设备有1台路由器、1台交换机、1台防火墙。路由器上联通过专线与省煤监局连接。下联通过防火墙连接交换机，这台交换机是煤监分局专网的核心交换机，是连接办公区域PC和专网安全服务器。 专网防火墙作为路由器和交换机中间设备即是专网的安全使用，也做互联网接入使用分局局域网采用二层网络结构，上联路由器采用一台MSR20路由器，通过专线连接至省网R2路由器；核心层由一台S3600交换机组成，主要为局域网用户提供业务网关，为用户和服务器等业务提供网络接入接口。路由器下联端口通过子接口的方式将物理接口划分为3个子接口，分别为互联、服务器、IP电话接入端口，并为各个端口分配不同的VLAN号码，所有服务器、IP电话的网关均在R1上；煤监分局采用RIP路由协议和手动静态路由实现路由互联互通。煤监分局互联网接入介绍分局办公用户通过防火墙做nat访问互联网，在此需要在交换机上采用手动方式指定的默认路由，下一跳为防火墙FE4口地址。图1-3分局互联网接入图防火墙上新增FE3口设置公网地址，FE4口设置内网地址连接核心交换机，由防火墙完成xx煤监局用户上网的地址转换工作（NAT）。核心交换机上配置默认路由指向防火墙FE4口，这样办公用户即可通防火墙访问互联网地市节点互联网出口为用户提供互联网接入，外网出口连接至地市节点防火墙上，防火墙为内网用户提供PAT和为服务器提供外网服务发布功能。地市专网服务区为用户提供专网业务接入，专网服务器连接至地市核心交换机下，网关设置在地市接入路由器R1上，服务器跨网段访问通过防火墙进行安全过滤和规则设置，保护专网数据的安全。地市局域网采用二层网络结构，上联路由器采用一台MSR20路由器，通过专线连接至省网R2路由器；核心层由一台S3600交换机组成，主要为局域网用户提供业务网关，为用户和服务器等业务提供网络接入接口。R1下联端口通过子接口的方式将物理接口划分为4个子接口，分别为互联、服务器、IP电话和视频会议接入端口，并为各个端口分配不同的VLAN号码，所有服务器、IP电话和视频会议的网关均在R1上；地市节点采用RIP路由协议和手动静态路由实现路由互联互通。1.3 路由规划煤监省局省通过专线和各地市分局局点互联，网络数据转发主要依靠路由选取路径。目前省内各局点路由主要涉及互联网业务路由和专网网段路由，数据转发过程中要正确选路，并且能充分发挥路由动态备份功能。结合网络现有环境和网络规模进行路由选择。1.3.1 路由协议煤监分局省内主体网络采用动态路由协议，根据网络规模选用RIP V2路由协议，并针对各节点互联网出口路由和特殊地址采用静态路由协议，实现网络路由灵活控制和维护。图 1-42 路由协议(1) 静态路由 分省局静态路由分局静态路由主要是做在分局核心交换机，作用是做互联网的出口路由分局办公用户通过互联网防火墙做nat访问互联网，在此需要在交换机上采用手动方式指定的默认路由，下一跳为防火墙FE4口地址。省局静态路由主要包括专网出口路由、黑洞路由、互联网出口路由和互联网VPN移动用户路由和外网DMZ路由。省局节点到达国家及其他省节点通过国家政务外网提供的VPN进行互联，路由协议无法在VPN内进行透传，在此采用手动方式指定/8的路由，下一跳为省局路由器网关地址。由于省内所有地址本次并未全部使用，如果存在目的地为本局点的报文，数据将会传递到本省局点，但由于此路由在省内并不存在，故最终还将依靠10网段的静态路由发回上游路由器，如此就会产生路由环路。为了解决此问题，在R1上设置本省内所有地址的路由下一跳为null0口，如不存在明细路由，则在省出口路由器R1上直接丢弃，避免路由环路。省局连接互联网通过手动指定缺省路由进行设定，下一跳为外网防火墙地址。省局连接VPN拨号设备的路由由于VPN设备对路由协议的支持，再此也采用静态路由手工指定。省局连接防火墙DMZ区域的路由同样由于设备对于路由协议的支持，采用静态路由手工指定。静态路由主要集中在省局核心交换机和R1出口路由器上，同时需要将这些静态路由在发布到动态路由协议中，通过动态路由协议发布到其他设备上。 地市局点静态路由地市静态路由主要包括互联网出口路由，互联网路由通过在S1上静态手动设定，并将此路由发布到动态路由协议中。(2) RIP协议参数各节点全网运行RIP V2路由协议，各设备只在互联端口运行RIP路由协议，并设置版本为V2，对于其他接口，关闭RIP路由协议。各节点RIP协议全局参数如下：RIP版本：V2自动聚合：关闭发布网段： (3) 路由协议优化RIP路由协议优化，主要针对协议报文流量优化。省局节点R1和R2有两条互联接口，其中和防火墙互联的接口流量都需经过防火墙设备，且到R1和R2两条链路的设备跳数均为1，针对各地市发布上来的路由条目，在R1上会存在两条等值的负载均衡路由，同样对专网出口路由在R2上也存在两台等值的负载均衡路由，对于各地市节点和省以外节点的路由将会一部分通过省局专网防火墙，一部分通过R2直接转发至R1，由于防火墙是基于状态检测的，对于此类报文转发将会认为是攻击报文，进行过滤。为了解决R1、R2负载均衡路由问题，在R1、R2下联端口上，将RIP的metric值加1，避免负载均衡路由的产生。省局S1存在一条缺省路由，各地市局点S1同样存在一条缺省路由，而两条路由都同时发布到RIP路由协议中。对于R2来说，由于在R2下联出口的开销加1，根据RIP路由协议的计算方法，在R2上将会出现多条等值的负载均衡路由，到达省局S1的缺省路由开销为2，到达地市S1的缺省路由开销仍然为2。为避免R2上出现多条负载均衡的缺省路由，再此将R2连接各地市节点端口的RIP进端口开销加1，避免产生多条负载均衡的缺省路1.4 安监局网络系统介绍图1-4 网络拓扑安监局网络系统与煤监局逻辑结构一致，物理结构一致，配置及要求与煤监局基本一致。除了数量上如图1-4所示省安监局比省煤监局少台路由器。因为省安监局利用当地电子政务网实现上至国家下至地市的网络传输，省级节点与当地政务网机房的连接通道通常是一条百兆的光纤，上下行的通道都在一条物理链路上实现，因此省安监局不再需要将上、下行路由器分开，故取消一台下行路由器。这样除配置上需要把安监局省局的R1配置增加R2的下联端口配置、去除与R2互联口配置，其余与煤监局配置完全一致。从维护的角度来看，安监局按照煤监局维护即可。2 网络系统日常检查对于网络系统建议每周能对网络系统的运行状况做定时检查，每月对网络设备的硬件情况做定时检查。2.1 网络设备硬件日常检查设备日常硬件检查主要是查看设备面板指示灯，指示灯含义具体见附录 路由器硬件基本检查图 2-1MSR 20-20前面板图图2-1路由器前面板图(1) 电源指示灯（PWR）(2) 系统指示灯（SYS）(3) ESM指示灯（ESM）MSR 20-20后面板图图2-2路由器后面板图(1) SIC插槽2(2) SIC插槽1(3) 接地端子(4) 电源插座(5) 电源开关(6) 固定以太网口0（LAN0）(7) 固定以太网口1（LAN1）(8) 配置口（CON）(9) 备份口（AUX）(10) USB 接口(11) CF卡AR 46-40路由器前面板有5个槽位，0槽位为主控板插槽，14槽位为智能接口卡插槽。 平时路由器硬件检查工作就是直接查看路由器主控板上的指示灯，主控板主要完成协议处理、低速数据包转发、接口控制、故障检测等功能，是产品的核心部分。系统中的状态监控信息，如风扇运转、电源工作状态以及系统工作状态可以直接通过主控板指示灯来指示 2.1.2 交换机硬件基本检查S3600-28TP-SI以太网交换机前面板提供有24个固定的10Base-T/100Base-TX自适应以太网端口、2个1000Base-X SFP口、2个10/100/1000Base-T自适应以太网端口和1个Console口= 图2-3 交换机面板图2S3600-52P-SI以太网交换机前面板提供有48个固定的10Base-T/100Base-TX自适应以太网端口，以及4个1000Base-X SFP口，其前面板如下图，平时我们对交换机硬件做检查就是直接查看面板指示灯。(1): 百兆以太网端口状态指示灯(2): Console口(3): 7段数码显示灯(4): 端口状态指示灯模式切换按钮(5): 端口状态模式指示灯(6): 交流电源指示灯(7): 1000Base-X SFP口状态指示灯2.2 网络系统运行状态检查对网络系统的运行情况做状态检查就是登录上相应的网络设备，然后使用命令查看网络设备的负载，运行情况并定期对相应设备配置文件做备份保存。2.2.1 路由器运行状态基本检查首先登录到相应的路由器上执行以下命令telnet 10.x.x.x登录用户名：ctsi登录密码：ctsi88登录特权模式：super 特权密码：ctsi88常用检查命令：display cpu-usage history查看当前设备的cpu过去60分钟的利用率，超过40%就需要注意检查内部网络情况，看是否有存在病毒等；display memory查看当前设备的内存利用率，超过50%就需要查看内部网络情况，看是否有存在病毒等；display ip interface brief查看当前设备的接口状态，如果接口状态出现down，查看是否连接该接口线路出现问题；Display power查看当前设备的电源情况是否是normal；Display ip routint-table查看当前设备的路由表。2.2.2 交换机运行状态基本检查首先登录到相应的交换机上执行以下命令telnet 10.x.x.x登录用户名：ctsi登录密码：ctsi88登录特权模式：super 特权密码：ctsi88常用检查命令：display cpu查看当前设备的cpu过去5分钟的利用率，超过50%就需要注意检查内部网络情况，看是否有存在病毒等；display memory查看当前设备的内存利用率，超过70%就需要查看内部网络情况，看是否有存在病毒等；display ip interface brief查看当前设备的接口状态，如果接口状态出现down，查看是否连接该接口线路出现问题；Display power查看当前设备的电源情况是否是normal；Display ip routint-table查看当前设备的路由表。2.3 路由状态检查2.3.1 RIP的基本概念RIP（Routing Information Protocol，路由信息协议）是一种较为简单的内部网关协议（Interior Gateway Protocol，IGP），主要用于规模较小的网络中，比如校园网以及结构较简单的地区性网络。由于RIP的实现较为简单，在配置和维护管理方面也远比OSPF和IS-IS容易，因此在实际组网中仍有广泛的应用。RIP是一种基于距离矢量（Distance-Vector，D-V）算法的协议，它通过UDP报文进行路由信息的交换，使用的端口号为520。RIP使用跳数来衡量到达目的地址的距离，跳数称为度量值。在RIP中，路由器到与它直接相连网络的跳数为0，通过一个路由器可达的网络的跳数为1，其余依此类推。为限制收敛时间，RIP规定度量值取015之间的整数，大于或等于16的跳数被定义为无穷大，即目的网络或主机不可达。RIP的路由数据库每个运行RIP的路由器管理一个路由数据库，该路由数据库包含了到所有可达目的地的路由项，这些路由项包含下列信息：(1) 目的地址：主机或网络的地址。(2) 下一跳地址：为到达目的地，需要经过的相邻路由器的接口IP地址。(3) 出接口：本路由器转发报文的出接口。(4) 度量值：本路由器到达目的地的开销。(5) 路由时间：从路由项最后一次被更新到现在所经过的时间，路由项每次被更新时，路由时间重置为0。(6) 路由标记（Route Tag）：用于标识外部路由，在路由策略中可根据路由标记对路由信息进行灵活的控制。关于路由策略的详细信息，请参见“IP路由分册”中的“路由策略配置”。2.3.2 RIP的启动和运行过程RIP启动和运行的整个过程可描述如下：(1) 路由器启动RIP后，便会向相邻的路由器发送请求报文（Request message），相邻的RIP路由器收到请求报文后，响应该请求，回送包含本地路由表信息的响应报文（Response message）。(2) 路由器收到响应报文后，更新本地路由表，同时向相邻路由器发送触发更新报文，通告路由更新信息。相邻路由器收到触发更新报文后，又向其各自的相邻路由器发送触发更新报文。在一连串的触发更新广播后，各路由器都能得到并保持最新的路由信息。(3) RIP在缺省情况下每隔30秒向相邻路由器发送本地路由表，运行RIP协议的相邻路由器在收到报文后，对本地路由进行维护，选择一条最佳路由，再向其各自相邻网络发送更新信息，使更新的路由最终能达到全局有效。同时，RIP采用老化机制对超时的路由进行老化处理，以保证路由的实时性和有效性。RIP的版本RIP有两个版本：RIP-1和RIP-2。RIP-1是有类别路由协议（Classful Routing Protocol），它只支持以广播方式发布协议报文。RIP-1的协议报文无法携带掩码信息，它只能识别A、B、C类这样的自然网段的路由，因此RIP-1不支持不连续子网（Discontiguous Subnet）。RIP-2是一种无类别路由协议（Classless Routing Protocol），与RIP-1相比，它有以下优势：(1) 支持路由标记，在路由策略中可根据路由标记对路由进行灵活的控制。(2) 报文中携带掩码信息，支持路由聚合和CIDR（Classless Inter-Domain Routing，无类域间路由）。(3) 支持指定下一跳，在广播网上可以选择到最优下一跳地址。(4) 支持组播路由发送更新报文，减少资源消耗。(5) 支持对协议报文进行验证，并提供明文验证和MD5验证两种方式，增强安全性。2.3.3 配置RIP基本功能 system-viewRouterA rip /建立并进入RIP视图RouterA-rip-1 version 2 /配置全局RIP版本为v2RouterA-rip-1 undo summary /关闭RIP-1自动路由聚合功能RouterB-rip-1 network /在10网段接口上使能rip,换句话说就是广播网络“”的RIP协议信息3 网络系统常见故障和解决办法3.1 硬件常见故障及解决检查所有设备电源，设备电源是否打开。电源线连接是否正确，供电需求是否匹配；设备间网线的连接是否正确，设备的状态灯是否正常闪烁；查看设备相关端口指示灯是否正常闪烁；使用dis ip interface 命令查看设备相关端口状态，是否人为关闭端口。3.2 连通性故障及解决当硬件状态都正常时，请进行ping路径检查。ping检查是逐步从近至远开始测,一步一步逐步排查。分局首先检查本地线路，即ping测试至本地路由器是否可达。检查本地线路无误后请检查至省局线路，即ping测试至省局R2的互联地址，如不通请联系当地电信检查省局专线业务。通后请ping ，如不通请联系省局运维人员检查省局路由。上述检查没有问题，请联系我方技术人员。省局首先ping测试至政务外网的互联地址，即省局R1路由器上10.1.2.X网段端口的对端地址。如不通，请联系当地电信检查至政务外网专线业务。通后请使用ping a 10.1.2.X ，如不通，请联系当地信息中心检查政务外网至总局网络。分局首先ping测试至省局R2的互联地址，如不通，请联系当地电信检查省局专线业务。通后请ping ，如不通，请联系省局运维人员检查省局路由。3.3 路由故障及解决在链路正常的情况下路由表中找不到到达对端地址的路由。RIP启动后，必须使用network命令使能相应的接口。如果对接口的工作状态单独进行了配置，应确认没有抑制相关接口或禁止其收发RIP报文。执行display current-configuration命令，检查RIP的配置 ，执行display rip命令，检查是否抑制了相关RIP接口。如果在对端路由器上配置的是组播方式发送RIP报文，在本地路由器上也应该配置为组播方式，我们设计的标准配置为接口下为RIP-2组播，需要保证两端一致。 interface GigabitEthernet0/0/1.4 rip version 2 multicast4 附录 设备硬件指示灯说明5连接路由器到配置终端搭建本地配置环境，如下图所示，只需将配置口电缆的RJ45一端与路由器的配置口相连，DB9一端与微机的串口相连；图4-1 通过Console口进行本地配置设置配置终端的参数(1)选择连接端口。在进行本地配置时，如下图所示，连接时使用一栏选择连接的串口（注意选择的串口应该与配置电缆实际连接的串口一致）。图4-2 本地配置连接端口设置(2)设置串口参数。如下图所示，在串口的属性对话框中设置波特率为9600，数据位为8，奇偶校验为无，停止位为1，流量控制为无，按确定按钮，返回超级终端窗口。图4-3 串口参数设置(3 配置超级终端属性。在超级终端中选择文件/属性/设置一项，进入下图所示的属性设置窗口。选择终端仿真类型为VT100或自动检测，按确定按钮，返回超级终端窗口。图4-4 终端类型设置6路由器主控板指示灯及按钮含义指示灯或按钮含义RUN（绿色）RPU系统运行指示灯。闪烁表示CPU正常运行，常亮或常灭表示CPU故障。但在系统启动过程中，该指示灯会点亮一下，然后灭，直到系统完全启动后才闪烁。FAN风扇运行指示灯。常亮表示风扇正常工作。PWR1电源模块1运行指示灯。常亮表示电源模块正常，灭表示电源模块不在位或故障。PWR2电源模块2运行指示灯。常亮表示电源模块正常，灭表示电源模块不在位或故障。ALM（红色）RPU系统故障指示灯。亮表示CPU收到告警信号，如电源、风扇告警（如温度过高）。FAN风扇故障指示灯。亮表示风扇不在位或发生堵转。PWR1电源模块1故障指示灯。亮表示电源模块1故障。PWR2电源模块2故障指示灯。亮表示电源模块2故障。ECARD（绿色）加密卡指示灯。灯灭表示板内没有安装加密扣卡；灯亮表示板内安装了加密扣卡，并且初始化完成；灯闪表示板内加密扣卡正在收发数据。CF（绿色）CF卡指示灯。灯灭表示没有安装CF卡；灯亮表示安装了CF卡；灯闪表示CF卡正在读写数据，此时不能拔出CF卡，否则可能导致CF卡数据损坏。RESET主控板硬件复位按钮。（连续按35秒即可重启路由器）10/100/1000M接口指示灯LINK（绿色）灯灭表示链路没有连通，灯亮表示链路已经连通。ACT（黄色）灯灭表示没有数据收发，灯闪烁表示有数据收发。交换机指示灯说明指示灯面板标识状态含义交流电源指示灯PWR绿色常亮交换机已经正常启动绿色闪烁（1Hz）系统正在上电自检或者下载软件红色常亮系统上电自检失败、故障黄色闪烁（1Hz）部分端口上电自检失败、部分功能失效灭交换机断电模式指示灯Mode速率模式绿色常亮10/100M端口速率，千兆SFP端口或者千兆SFP作为Fabric端口的速率信息双工模式黄色常亮10/100M的双工模式，千兆SFP端口或者千兆SFP作为Fabric端口的双工信息7段数码显示灯Unit上电自检过程中PWR指示灯绿色闪烁显示正在自检的自检项（19）上电自检失败PWR指示灯黄色闪烁闪烁测试失败的自检项PWR指示灯红色常亮软件加载PWR指示灯绿色闪烁软件加载过程中小短线顺时针方向旋转显示风扇故障PWR指示灯红色常亮显示“F”Unit idButton不按下显示Fabric的unit id，如果独立工作，则显示为“1”10Base-T/ 100Base-TX端口指示灯-速率模式绿色亮端口100Mbit/s连接闪烁端口接收或者发送数据黄色亮端口10Mbit/s连接闪烁端口接收或者发送数据黄色闪烁（3Hz）端口上电自检失败灭端口没有连接双工模式绿色亮端口为全双工闪烁端口接收或者发送数据黄色亮端口为半双工闪烁端口接收或者发送数据黄色闪烁（3Hz）端口上电自检失败灭端口没有数据1000Base-X SFP端口指示灯-速率模式绿色亮端口1000Mbit/s连接闪烁端口接收或者发送数据黄色闪烁（3Hz）端口上电自检失败灭端口没有连接双工模式绿色亮端口为全双工闪烁端口接收或者发送数据黄色闪烁（3Hz）端口上电自检失败灭端口没有连接PoE模式绿色闪烁（3Hz）端口上电自检失败灭1000Base-X SFP端口被配置为Fabric模式指示灯-速率模式绿色亮端口连接好，而且设备处于IRF环状模式闪烁端口接收或者发送数据黄色亮端口连接好，而且设备处于IRF链状模式闪烁端口接收或者发送数据绿色闪烁（3Hz）Fabric故障黄色闪烁（3Hz）端口上电自检失败灭未连接好双工模式绿色亮端口为全双工模式闪烁端口接收或者发送数据黄色闪烁（3Hz）端口上电自检失败灭未连接好PoE模式灭黄色闪烁（3Hz）端口上电自检失败MSR 20-20路由器前面板指示灯说明指示灯正常运行时含义PWR电源指示灯：灯亮表示电源接通灯灭表示电源没有接通SYS系统运行状态指示灯：灯绿色快速闪烁表示系统正在启动灯绿色慢速闪烁表示系统正常运行灯黄色快速闪烁表示系统出现故障灯常灭表示系统工作不正常ESMESM模块指示灯：灯绿色慢速闪烁表示系统正在启动灯绿