JNCIP IBGP 案例.doc

IBGP case study当我们做到IBGP的case study的时候，就开始牵扯到一些网络设计的概念，这个时候跟备考者的经验和对协议的理解有着分不开的关系。而IBGP的设计基本上是属于联邦和路由反射器的设计，当然也是整个JNCIP考试中的另一个重点。也就是说你开始完成这个case study之前，你需要对BGP的这两种技术有着很深刻的理解。在这里我建议大家去仔细再仔细的看看internet架构和BGP设计这两本书的联邦和路由反器那几章，这对准备JNCIP-M的考试还是很有帮助的。在做IBGP case study之前，因为我们拿OSPF当IBGP case study的IGP我们需要先把OSPF case study的完整配置先加载好，然后再检验好OSPF，RIP的连通性。并且你需要记得在完成OSPF case study以后你的IGP是一个什么环境。下面是各台路由器上的静态路由请按照下列需求完成case study，你必须先加入OSPF case study的配置。1，设计两个联邦 AS65000 AS65001。2，在每个联邦里面使用路由反射器，你的设计必须严格的使用正好两个不同的Cluster IDs 并且不能超过3个路由反射器。3，抑制其中一个Cluster的反射。4，设计必须保证能容忍任何单接口或者链路失效或者是R3和R4任意一台路由器的失效。5，IBGP邻居关系建立必须基于loopback，C-BGP邻居关系建立必须使用物理接口。6，在其中一个Cluster上使用“jnx”密码进行BGP会话的认证。7，重发布每台路由器在需求上面显示的静态路由，并使用community保证所有路由器prefer R2的192.168.100/24 的IBGP路由，不能修改这条路由的默认local preference值。8，IBGP设计不能导致任何的黑洞路由和次优路由。19，在R6和R7上重发布RIP的汇总路由进IBGP。10，R5必须以IBGP负载均衡的方式显示RIP前缀。11，保证R1和R2从R3或者R4通过IBGP收到的RIP汇总路由，不能在R3或者R4上修改任何协议的preference值，并且在R1和R2上看到的BGP协议下一跳比如和R5上看到的一样。12，配置R7的BGP模式为passive，BGP的keepalive间隔为45秒，其他任何的会话keepalive间隔都不需要修改。注意：RIP汇总路由已经通过OSPF通告到R5上面，如果你不记得了可以看看OSPF case study的具体配置。IBGP case study解析：首先，我们要建立起IBGP的基本连接性，但是这里有一些设计上的问题，题目有一些强行要求的条件你必须达到，以我个人的经验IBGP的设计就是一个穷举的过程，当你思路种有多种设计的时候，可以尽量每一种设计都配置一次，然后测试测试再测试。最后选择出一个最好的设计方案，还有就是必须强调的，先把需求全看一遍，理清思路，然后慢慢跟着自己的思路一步一步做下去。下面我们先把基本的连通性做起来。1，设计两个联邦 AS65000 AS65001。2，在每个联邦里面使用路由反射器，你的设计必须严格的使用正好两个不同的Cluster IDs 并且不能超过3个路由反射器。3，抑制其中一个Cluster的反射。4，设计必须保证能容忍任何单接口或者链路失效或者是R3和R4任意一台路由器的失效。5，IBGP邻居关系建立必须基于loopback，C-BGP邻居关系建立必须使用物理接口。看上图，R1，R2，R3，R4属于子AS 65000，并且R3和R4担当路由反射器cluster-id 1.1.1.1。R5，R6，R7属于子AS 65001，然后R5成为路由反射器cluster-id 2.2.2.2。然后因为需求需要抑制一个cluster所以在2.2.2.2上抑制了，那么R6和R7之间没有通过R5来互相反射路由，所以，R6和R7之间需要建立起peer，最后CBGP连接在R3-R5，R4-R5之间。并且题目有要求，所以CBGP之间要使用物理接口来建立peer。两个CBGP连接是为了保证两个cluster之传递路由的冗余，因为从非客户的EBGP关系学来的路由在传给客户的时候是不会加上自己一的cluster-id属性。但是从非客户IBGP关系学来的路由还是会加上自己的cluster-id属性。而R5与R3，R4之间是EBGP关系，假如R3和R5之间的链路断了，因为cbgp都是用物理接口建立的peer，那么他们之间的peer关系也就段了，所以这时候当R5传递cluster 2.2.2.2的路由给R4的时候，R4并不会加上自己cluster ID发给R3。所以R3这时候并不会丢失R5传递过来的路由。首先我们先开始配置R1，R2的配置与R1类似。配置BGP：edit logical-routers r1 protocols bgplunsuilab# show group 65000 type internal; local-address 10.0.6.1; neighbor 10.0.3.3; neighbor 10.0.3.4;配置联邦成员和本地AS号：edit logical-routers r1lunsuilab# show routing-options autonomous-system 65000;confederation 65412 members 65000 65001 ;R1需要与R3和R4同时建立邻居，并且要使用环回口，另外R1属于子AS 65000联邦成为还有65001，并且使用65412 AS对外宣告。下面继续拿R4配置IBGP和CBGP示例。edit logical-routers r4lunsuilab# show routing-options autonomous-system 65000;confederation 65412 members 65000 65001 ;edit logical-routers r4 protocolslunsuilab# show bgp group 65000 type internal; local-address 10.0.3.4; cluster 1.1.1.1; neighbor 10.0.3.3; neighbor 10.0.6.1; neighbor 10.0.6.2; group c-bgp type external; neighbor 10.0.2.9 peer-as 65001; 配置一个内部叫65000的BGP组，其中cluster 1.1.1.1表示作为这组下的邻居RR，而CBGP的配置相当于一个EBGP的配置（在这里不需要multi-hop,因为是直连口）用物理接口与R5建立peer关系。记得R3和R4的配置差不多。下面再配置R5：edit logical-routers r5lunsuilab# show routing-options autonomous-system 65001;confederation 65412 members 65000 65001 ;edit logical-routers r5 protocols bgplunsuilab# show group 65001 type internal; local-address 10.0.3.5; cluster 2.2.2.2; no-client-reflect; neighbor 10.0.9.6; neighbor 10.0.9.7;group c-bgp type external; neighbor 10.0.2.2 peer-as 65000; neighbor 10.0.2.10 peer-as 65000; 其实R5的配置也与R3，R4类似，主要不同的地方在于R5用子AS号为65001，为65001这个组配置了一个cluster-id为2.2.2.2，但是注意no-client-reflect;这条命令的意思是说在这个cluster中关闭路由反射的功能，那么R6起源的路由将不会通过R5反射给R7，反之亦然。最后我们配置R6和R7。edit logical-routers r6lunsuilab# show routing-options aggregate route 192.168.0.0/22;autonomous-system 65001;confederation 65412 members 65000 65001 ;edit logical-routers r6 protocolslunsuilab# show bgp group 65001 type internal; local-address 10.0.9.6; neighbor 10.0.3.5; neighbor 10.0.9.7; 注意R6与R7也建立了邻居关系，不然的话可能会出现路由黑洞，因为R5已经抑制掉这个cluster的反射功能，所以为了保证路由的连通性，需要再将R6和R7之间的邻居关系给建立起来。接下来你需要确保邻居建立无误，确保邻居数量是期待的数量。edit logical-routers r3lunsuilab# run show bgp summary logical-router r3 Groups: 2 Peers: 4 Down peers: 0Table Tot Paths Act Paths Suppressed History Damp State Pendinginet.0 0 0 0 0 0 0Peer AS InPkt OutPkt OutQ Flaps Last Up/Dwn State|#Active/Received/Damped.10.0.2.1 65001 3 4 0 0 52 0/0/0 0/0/010.0.3.4 65000 59 60 0 0 28:40 0/0/0 0/0/010.0.6.1 65000 57 59 0 0 28:36 0/0/0 0/0/010.0.6.2 65000 57 59 0 0 28:32 0/0/0 0/0/0根据上面的信息我们知道没错，邻居正常，接下来我们去满足题目中关于认证的需求。6，在其中一个Cluster上使用“jnx”密码进行BGP会话的认证。题目要求我们在一个cluster里配置认证，那么我们选择的cluster 2.2.2.2 因为这里的配置两比较少，下面我们拿R5做例子，R6和R7的配置方法和R5是一样的，但是你必须保证在配置R5的时候，不要把认证信息也配置到R5的CBGP上，因为这样做的话没有满足题目需求。所以必须在R5的bgp 65001的组下配置认证，而不是在全局下配置。edit logical-routers r5 protocolslunsuilab# show bgp group 65001 type internal;local-address 10.0.3.5;authentication-key $9$ELeSlM2gJZjq; # SECRET-DATAcluster 2.2.2.2;no-client-reflect;neighbor 10.0.9.6;neighbor 10.0.9.7;你同样可以查看在子AS 65001邻居状态来检查上面的配置是否正确。接下来我们开始介绍下面的需求。7，重发布每台路由器在需求上面显示的静态路由，并使用community保证所有路由器prefer R2的192.168.100/24 的IBGP路由，不能修改这条路由的默认local preference值。 在我们把前面提到过的那些静态给配置好以后，然后在所有的路由上做一个export策略，先将这些路由给通告进BGP。下面是R1的策略的配置：edit logical-routers r1lunsuilab# show policy-options policy-statement ibgp term 1 from protocol static; route-filter 192.168.0.0/16 longer; then accept;在各台路由器上配置完export策略以后，你可以检查一下有没有重发布成功，edit logical-routers r4lunsuilab# .oute protocol bgp logical-router r4| match 192.168 | count Count: 7 lines上面的输出表示有7条192.168/16的路由，证明了你的export策略是成功的，接下来可以再去验证R3的重发布策略，可以另外使用使用terse关键字。edit logical-routers r5lunsuilab# run show route protocol bgp terse logical-router r5 inet.0: 31 destinations, 36 routes (31 active, 0 holddown, 0 hidden)+ = Active Route, - = Last Active, * = BothA Destination P Prf Metric 1 Metric 2 Next hop AS path* 192.168.10.0/24 B 170 100 10.0.2.2 (65000) I 10.0.2.10 B 170 100 10.0.2.2 (65000) I 10.0.2.10* 192.168.20.0/24 B 170 100 10.0.2.2 (65000) I 10.0.2.10 B 170 100 10.0.2.2 (65000) I 10.0.2.10* 192.168.30.0/24 B 170 100 10.0.2.2 (65000) I B 170 100 10.0.2.2 (65000) I* 192.168.40.0/24 B 170 100 10.0.2.10 (65000) I B 170 100 10.0.2.10 (65000) I* 192.168.60.0/24 B 170 100 10.0.8.5 I* 192.168.70.0/24 B 170 100 10.0.8.10 I* 192.168.100.0/24 B 170 100 10.0.2.2 (65000) I 10.0.2.10 B 170 100 10.0.2.2 (65000) I 10.0.2.10在完成基本的重发布之后，我们开始完成“所有路由器prefer R2的192.168.100/24 的IBGP路由，而且不能修改这条路由的local preference”的这个需求。默认情况下R1的router-id是10.0.6.1而R2的router-id为10.0.6.2，所以在R3和R4同过十条选路原则计算后会选择一条adv-router的RID比较小的那条路由，也就是R1的，自然R3和R4在通告这条路由的时候只会选择一条最优的通告出去，那么所有的路由都会选择R1的这条路由。但是这时候题目有一个提示，就是让你为R2通告的这两条路由按照AS号:路由器号打上不同的社团属性tag。然后其他的的路由器可以通告匹配这一样tag来调整preference，从而来优先选择这条路由。下面是R2的策略配置：edit logical-routers r2 policy-options policy-statement ibgplunsuilab# show term 1 from protocol static; route-filter 192.168.0.0/16 longer; route-filter 192.168.100.0/24 exact next term; then accept;term 2 from route-filter 192.168.100.0/24 exact; then community add r2; accept; edit logical-routers r2 policy-optionslunsuilab# show community r2 members 65412:2;接下来需要在R3和R4上面配置一个调整preference的策略，这个preference需要调整到小于170，因为从R1收到的这条路由的preference为170，而R2收到因为匹配了tag，然后调整到小于170导致R3和R4都会选择这条preference低的路由。注意，调整preference只需要在R3和R4上面配置就可以了，因为R3和R4只会想R5通告active的路由。所以R5，R6，R7当然也只会选则R2的这条路由。下面是R3的配置，R4和R3的配置一样：edit logical-routers r3lunsuilab# show policy-options policy-statement prefer-r2 term 1 from community r2; then preference 20; edit logical-routers r3lunsuilab# show policy-options community r2 members 65412:2;edit logical-routers r3lunsuilab# show protocols bgp group 65000 type internal;local-address 10.0.3.3;import prefer-r2;export ibgp;cluster 1.1.1.1;neighbor 10.0.3.4;neighbor 10.0.6.1;neighbor 10.0.6.2;这里我有个和书上不同的地方，import 策略书上是应用到了全局上面，而我这一应用到了组65000里面，我认为我这样做会更加精确一些。下面可以查看一下R3的路由表。edit logical-routers r3lunsuilab# run show route 192.168.100/24 logical-router r3 inet.0: 32 destinations, 36 routes (32 active, 0 holddown, 0 hidden)+ = Active Route, - = Last Active, * = Both192.168.100.0/24 *BGP/20 00:04:27, localpref 100, from 10.0.6.2 AS path: I to 10.0.4.2 via fxp1.223 to 10.0.4.14 via fxp2.213 BGP/170 00:40:13, localpref 100, from 10.0.6.1 AS path: I to 10.0.4.14 via fxp2.213这时候可以看到R3因为preference的原因选择了来自于R2（另外可以从from 10.0.6.2看出）的路由。那么很自然R2只会通告这条路由给R5，那么所有的路由器都选择从R2去到192.168.100.0/24网络。接下来看看R5的路由表：edit logical-routers r5lunsuilab# run show route 192.168.100.0/24 logical-router r5 inet.0: 31 destinations, 36 routes (31 active, 0 holddown, 0 hidden)+ = Active Route, - = Last Active, * = Both192.168.100.0/24 *BGP/170 00:09:37, localpref 100 AS path: (65000) I to 10.0.2.2 via fxp2.235 to 10.0.2.10 via fxp2.245 BGP/170 00:09:37, localpref 100, from 10.0.2.10 AS path: (65000) I to 10.0.2.2 via fxp2.235 to 10.0.2.10 via fxp2.245不过从上面的信息我们看出去什么R5到底有没有选择起源于R2的路由的，我们需要换一种方式来查看这条路由。edit logical-routers r5lunsuilab# run show route 192.168.100.0/24 logical-router r5 detail inet.0: 31 destinations, 36 routes (31 active, 0 holddown, 0 hidden)192.168.100.0/24 (2 entries, 1 announced) *BGP Preference: 170/-101 Next-hop reference count: 8 Source: 10.0.2.2 Next hop: 10.0.2.2 via fxp2.235, selected Next hop: 10.0.2.10 via fxp2.245 Protocol next hop: 10.0.6.2 Indirect next hop: 863e200 131080 State: Local AS: 65001 Peer AS: 65000 Age: 10:44 Metric2: 400 Task: BGP_65000.10.0.2.2+179 Announcement bits (3): 2-KRT 3-BGP.0.0.0.0+179 4-Resolve tree 1 AS path: (65000) I Communities: 65412:2 Localpref: 100 Router ID: 10.0.3.3 BGP Preference: 170/-101 Next-hop reference count: 8 Source: 10.0.2.10 Next hop: 10.0.2.2 via fxp2.235, selected Next hop: 10.0.2.10 via fxp2.245 Protocol next hop: 10.0.6.2 Indirect next hop: 863e200 131080 State: Inactive reason: Router ID Local AS: 65001 Peer AS: 65000 Age: 10:44 Metric2: 400 Task: BGP_65000.10.0.2.10+179 AS path: (65000) I Communities: 65412:2 Localpref: 100 Router ID: 10.0.3.4这时候R5收到两条BGP路由，一条来自R3一条来自R4，再仔细看看这两条路的 protocol next hop我们会发现是10.0.6.2，而10.0.6.2正是R2的lo0口，自然也就是R2的RID。那么在时候这个需求我们已经完成了。不过你需要再验证一下，在R2失效以后其他路由器会不会自动再选择R1通告过来的那条路由，这是为了避免单点故障。下面我将R2上的这条路由删除。edit logical-routers r2lunsuilab# delete routing-options static route 192.168.100.0/24 discard edit logical-routers r2lunsuilab# commit commit complete这时候我们看看其他路由器的路由表：edit logical-routers r7lunsuilab# run show route 192.168.100.0/24 detail logical-router r7 inet.0: 30 destinations, 31 routes (30 active, 0 holddown, 0 hidden)192.168.100.0/24 (1 entry, 1 announced) *BGP Preference: 170/-101 Next-hop reference count: 6 Source: 10.0.3.5 Next hop: 10.0.8.9 via fxp2.257, selected Protocol next hop: 10.0.6.1 Indirect next hop: 85d1100 131075 State: Local AS: 65001 Peer AS: 65001 Age: 1:29 Metric2: 500 Task: BGP_65001.10.0.3.5+179 Announcement bits (2): 2-KRT 6-Resolve tree 1 AS path: (65000) I Localpref: 100 Router ID: 10.0.3.5我们看到这时候其他的路由已经自动的选择了R1通告出来的这条路由了。接下来我开始继续完成接下来的需求。9，在R6和R7上重发布RIP的汇总路由进IBGP。相对来说在个需求是很简单的，只需要在R6和R7做一个简单的策略，然后再在BGP里export，而且aggregate已经在OSPF的需求里面已经做过了。下面是R6的配置，R7的配置与R6相同：edit logical-routers r6 policy-optionslunsuilab# show policy-statement ibgp term 1 from protocol static; route-filter 192.168.0.0/16 longer; then accept;term 2 from protocol aggregate; route-filter 192.168.0.0/22 exact; then accept;在完成以上配置以后，我们现在去R5上面看看这些RIP的汇总路由。edit logical-routers r5lunsuilab# run show route 192.168.0.0/22 logical-router r5 inet.0: 31 destinations, 38 routes (31 active, 0 holddown, 0 hidden)+ = Active Route, - = Last Active, * = Both192.168.0.0/22 *OSPF/150 00:01:01, metric 0, tag 0 to 10.0.8.5 via fxp1.256 to 10.0.8.10 via fxp1.257 BGP/170 00:01:01, localpref 100, from 10.0.9.6 AS path: I to 10.0.8.5 via fxp1.256 BGP/170 00:01:01, localpref 100, from 10.0.9.7 AS path: I to 10.0.8.10 via fxp1.257因为之前在OSPF case study的需求中应该将这条汇总路由重发布给了R5，所以在时候R5选择的是从OSPF学到的这条路由。再看看下面的需求。10，R5必须以IBGP负载均衡的方式显示RIP前缀。我们已经可以看到R5分别通过BGP从R6，R7学到两条相同的路由，但是因为OSPF的外部preference要比IBGP的preference低，虽然在IGP层面在R5已经到RIP汇总是负载均衡的，而且就算你在BGP上启动了multipath，还是无法满足上面这需求。所以在我们不做修改的情况下第10个需求是没有被达到，因此我们需要调整一下协议的preference来使得这条BGP路由变成active的。下面的R5的配置完成了这一需求。edit logical-routers r5 protocols bgplunsuilab# show group 65001 type internal; local-address 10.0.3.5; authentication-key $9$ELeSlM2gJZjq; # SECRET-DATA export ibgp; cluster 2.2.2.2; no-client-reflect; multipath; neighbor 10.0.9.6; neighbor 10.0.9.7;edit logical-routers r5 protocols ospflunsuilab# show external-preference 171;reference-bandwidth 1g;上面的配置是修改的OSPF的preference，当然你同样可以修改IBGP的preference比OSPF外部preference更低，这样也是可以满足需求的。下面我们去R5验证这些路由是否有负载均衡和变成active。edit logical-routers r5lunsuilab# run show route 192.168.0.0/22 logical-router r5 inet.0: 31 destinations, 38 routes (31 active, 0 holddown, 0 hidden)+ = Active Route, - = Last Active, * = Both192.168.0.0/22 *BGP/170 00:15:11, localpref 100, from 10.0.9.6 AS path: I to 10.0.8.5 via fxp1.256 to 10.0.8.10 via fxp1.257 BGP/170 00:15:11, localpref 100, from 10.0.9.7 AS path: I to 10.0.8.10 via fxp1.257 OSPF/171 00:00:07, metric 0, tag 0 to 10.0.8.5 via fxp1.256 to 10.0.8.10 via fxp1.257从上面红色部分的信息我们就已经能够知道已经满足了负载均衡的需求，下面我继续完成其他的需求：11，保证R1和R2从R3或者R4通过IBGP收到的RIP汇总路由，不能在R3或者R4上修改任何协议的preference值，并且在R1和R2上看到的BGP协议下一跳比如和R5上看到的一样。因为R3和R4也已经通过OSPF学到RIP的汇总路由，所以就算是R5通过BGP传递过来的RIP汇总路由在R3和R4还是inactive的，所以R3和R4并不会将这条路由传递给R1和R2。而且你不能在全局修改任何协议的preference，并且就算你在R3和R4重发布OSPF的这条RIP汇总，你也不能满足需求，因为这样子做的话，这条BGP路由的协议下一跳将会改变。最好的办法是，配置advertise-inactive这样一个功能，这条命令的功能是可以使得BGP路由去传递那些因为某些原因而被沦落到inactive的路由，而且在传递的过程中就像正常的BGP路由器一样传递，而且在我们这个case中，R3和R4在传递R5发送过来的路由的时候本来就不会改变协议下一跳。所以只需要配置这样一条命令，我们的需求就达到了。下面是R3的配置，R4当然也需要加上这样一条命令来实现这个小功能。edit logical-routers r3lunsuilab# show protocols bgp group 65000 type internal; local-address 10.0.3.3; advertise-inactive; import prefer-r2; export ibgp; cluster 1.1.1.1; neighbor 10.0.3.4; neighbor 10.0.6.1; neighbor 10.0.6.2;完成这个需求感觉上是很简单的，但是我们还是要确保一下R3和R4是否还是优选OSPF的路由，同时确定R1和R2在收到这些路由的时候协议下一跳没有被改变。下面看看R3和R4的路由表。edit logical-routers r3lunsuilab# run show route 192.168.0.0/22 logical-router r3 inet.0: 32 destinations, 37 routes (32 active, 0 holddown, 0 hidden)+ = Active Route, - = Last Active, * = Both192.168.0.0/22 *OSPF/150 00:0