JNCIP IS-IS 案例.doc

IS-IS case study在整个JNCIP-M的学习过程中，IS-IS的学习相比较OSPF来说的话是难很多，其实也不能说是难，而是配置比较麻烦，然后策略占的比重越来越多，比如汇总，泄露，重发布都开始需要运用到策略，并且对思路的要求也开始越来越高，而且，我相信大部分人对IS-IS协议的原理的理解也是远远低于OSPF的。并且ISIS在电信级核心网络中的部署是非常广泛，而juniper的M-T系列的路由器也是服务于运营商，其灵活度是可想而知。不过没关系，对于热忠于协议本身的技术人员来说，要有一点点挑战才好玩嘛。具体的区域level的分配拓扑图大家去书上找找吧，我美工不怎么好，所以就不画了。 1，lo0要通过IS-IS可达，所有的路由器的system-id要基于lo0设置，并且骨干里的lo0口不能注入到49.0002或者49.0001。2，骨干区域的路由必须汇总进到49.0001。3，R3和T1之间的子网必须当做IS-IS内部路由在IS-IS内发现，并且要保证在这条链路上没有任何IS-IS邻居可以建立。4，重发布10.0.5.0/24的子网，并且在区域49.0002里的路由器看到这条路由的时候他的metric至少要是100。5，R5和R6的level-1的优先级必须为06，保证R7当他邻居关系UP的时候，他不能成为伪结点。7，汇总所有的路由（内部和外部）进到骨干区域。9，所有的区域必须使用基于MD5的HELLO认证，密码为jnx。骨干区域同样也需要密码为jnx的明文lsp的认证。10，配置R6和R7通告一条IS-IS默认路由给OSPF路由器，并且保证OSPF路由器可以通过这些默认路由达到负载均衡。11，配置R6和R7重发布从OSPF路由器学到的OSPF路由进到IS-IS。12，除了R5，保证没有单点路由器和单点链路的鼓掌导致隔离R1，R2，或者OSPF路由器。13，配置基于带宽的最优路由，保证所有的快速以太网分自动分配的metric为5。14，没有静态路由和环路。15，设置49.0001里的level-1的preference为155。16，在R6，R7，和OSPF路由器之间不允许有次优路径。17，配置网络所有的LSP到3600秒后老化。18，在两台路由器之间，只允许建立一个邻居关系。19，你不能修改OSPF路由器的配置。在这个案例中当然OSPF路由器你是不能够修改的，并且OSPF的路由器对于你来说是一个黑匣子，实际上你是不应该看到配置的。 IS-IS case study 解析还是坚持一个原则，就是所有的配置步骤不用按照题目给的顺序，最好是把所有的需求都看完之后，有一个全局的概念，注意一些陷阱之类的东西，然后再按照自己的想法一步一步做下去，以免在做到后面的时候，发现有问题了，再来修改前面的配置，这样既耽误考试时间又影响自己的思路。下面我开始：1，lo0要通过IS-IS可达，所有的路由器的system-id要基于lo0设置，并且骨干里的lo0口不能注入到49.0002或者49.0001。13，配置基于带宽的最优路由，保证所有的快速以太网分自动分配的metric为5。17，配置网络所有的LSP到3600秒后老化。18，在两台路由器之间，只允许建立一个邻居关系。为什么我们先选择这几个需求去做呢？这是因为这些需求不会影响协议的选路和策略，算得上是基本配置，容易的我们先放在前面做了。要配置基本的ISIS你必须先把需要运行ISIS的接口配置上iso地址簇，然后在每个环回口配置上NET地址（原理不是必须，但是NET地址相当与OSPF的router-id所以选择一个比较稳定的接口），并且因为需求的关系，你必须确保每一个接口不要既运行level-1也运行level-2。下面拿R4为例：接口配置：为每个需要运行ISIS的接口加上ISO地址簇，为lo0口配置上NET。edit logical-routers r4lunsuilab# show interfaces fxp1 unit 224 vlan-id 224; family inet address 10.0.4.9/30; family iso; unit 245 vlan-id 245; family inet address 10.0.2.10/30; family iso; fxp2 unit 234 vlan-id 234; family inet address 10.0.2.6/30; family iso; lo0 unit 4 family inet address 10.0.3.4/32; family iso address 49.0002.0010.0000.3004.00; address 49.0003.0010.0000.3004.00; 注意一下为什么会有两个NET地址，这是因为书的作者为什么突出核心，而做了一个区域重叠，虚出来一个49.0003。实际上这是不需要的，因为我们知道ISIS的区域边界是在链路上。配置ISIS：在配置完接口以后，开始配置ISIS，注意，ISIS默认情况下的metric没有基于带宽计算的这一说法，任何链路的cost都是10。只要在配置了reference-bandwidth以后才会。默认与OSPF一样都100M，但是需求有要求让所有的快速以太网自动计算成5，那么我们需要将他配置成500M。edit logical-routers r4lunsuilab# show protocols isis reference-bandwidth 500m; lsp-lifetime 3600; interface all level 1 disable; interface fxp1.224 level 2 disable; 另外我已经把所有的接口放到level-2了，当然也就包括lo0，因为题目要求骨干的lo0口不能插入到level-1里面去，默认情况下，isis的level-1就等于OSPF的完全NSSA区域，level-2的路由是进不去的。LSP的最大老化时间就没啥好说的啦。题目要求每个链路只能有一个邻居的意思其实就是需要你自己去指定这些接口的level，因为默认情况下，这些接口是level-1-2的。下面的命令可以验证出这台路由器的接口level和metric。edit logical-routers r4lunsuilab# run show isis interface logical-router r4 IS-IS interface database:Interface L CirID Level 1 DR Level 2 DR L1/L2 Metricfxp1.224 1 0x2 lab.02 Disabled 50/50fxp1.245 2 0x3 Disabled lab.03 50/50fxp2.234 2 0x4 Disabled 0010.0000.3003.03 50/50lo0.4 0 0x1 Disabled Passive 0/0level-1的路由器配置拿R7为例。接口配置：edit logical-routers r7lunsuilab# show interfaces fxp1 unit 260 vlan-id 260; family inet address 172.16.40.6/30; unit 267 vlan-id 267; family inet address 10.0.8.2/30; family iso; fxp2 unit 257 vlan-id 257; family inet address 10.0.8.10/30; family iso; lo0 unit 7 family inet address 10.0.9.7/32; family iso address 49.0001.0010.0000.9007.00; ISIS配置：edit logical-routers r7lunsuilab# show protocols isis reference-bandwidth 500m; lsp-lifetime 3600; interface all level 2 disable; 同样接下来可以检查一下R7的接口ISIS的一些状态：edit logical-routers r7lunsuilab# run show isis interface logical-router r7 IS-IS interface database:Interface L CirID Level 1 DR Level 2 DR L1/L2 Metricfxp1.267 1 0x2 lab.02 Disabled 50/50fxp2.257 1 0x3 0010.0000.3005.03 Disabled 50/50lo0.7 0 0x1 Passive Disabled 0/0下面一条命令可以检查到骨干的路由器是否拥有所有路由器的lo0口的路由。lunsuilab# run show route protocol isis logical-router r3 | match /32 10.0.3.4/32 *IS-IS/18 00:23:00, metric 5010.0.3.5/32 *IS-IS/18 00:23:30, metric 5010.0.6.1/32 *IS-IS/15 00:23:05, metric 5010.0.6.2/32 *IS-IS/15 00:23:05, metric 5010.0.9.6/32 *IS-IS/18 00:22:57, metric 10010.0.9.7/32 *IS-IS/18 00:23:30, metric 100我们已经看到R3已经有所有lo0的路由，这就证明了我们之前的配置已经完成需求，下面我们开始做一些认证方面的需求。9，所有的区域必须使用基于MD5的HELLO认证，密码为jnx。骨干区域同样也需要密码为jnx的明文lsp的认证。下面我们拿R5来做一台level-1-2路由器的例子。edit logical-routers r5 protocols isislunsuilab# show reference-bandwidth 500m;lsp-lifetime 3600;level 2 authentication-key $9$cPdrK84oGUHm; # SECRET-DATA authentication-type simple; # SECRET-DATAinterface all level 1 disable; level 2 hello-authentication-key $9$km5FIRSyK8; # SECRET-DATA hello-authentication-type md5; # SECRET-DATA interface fxp1.256 level 2 disable; level 1 hello-authentication-key $9$OP5sIhrVb2gJD; # SECRET-DATA hello-authentication-type md5; # SECRET-DATA interface fxp1.257 level 2 disable; level 1 hello-authentication-key $9$rgkKWxJZji.5; # SECRET-DATA hello-authentication-type md5; # SECRET-DATA 注意下面这条命令的意思是，我所有的level-2都启用了LSP的认证，注意这时候同时也是起用了HELLO的认证。edit logical-routers r5 protocols isislunsuilab# set level 2 authentication-type simple authentication-key jnx但是上我更详细的配置，所以HELLO认证还是依靠更详细的MD5认证。至于验证的话，你可以查看邻居关系（HELLO认证）因为HELLO和查看路由表（LSP认证）在ISIS里面认证信息是一种TLV（类型10）所以可以附带在任意一种ISIS数据包的TLV里面，所以如果LSP数据包里配置了认证的话，那么另外一台路由会读不出这样一个LSP，所以路由当然也就学习不到了。edit logical-routers r4lunsuilab# run show isis adjacency logical-router r4 Interface System L State Hold (secs) SNPAfxp1.224 0010.0000.6002 1 Down 0 0:a0:c9:13:7f:3fxp1.245 0010.0000.3005 2 Up 18 0:a0:c9:13:7f:3fxp2.234 0010.0000.3003 2 Up 7 0:a0:c9:20:e4:79上面两个R4的两个level-2邻居已经建立也就是说HELLO认证已经成功。lunsuilab# run show route protocol isis logical-router r4 | match /32 10.0.3.3/32 *IS-IS/18 00:46:53, metric 5010.0.3.5/32 *IS-IS/18 00:02:13, metric 50并且LSP的认证也成功了，因为学到了level-2的lo0口路由。下面我们拿R1做为level-1配置认证的例子：edit logical-routers r1 protocols isislunsuilab# show reference-bandwidth 500m;lsp-lifetime 3600;interface all level 2 disable; level 1 hello-authentication-key $9$7CdwgmPQz6A; # SECRET-DATA hello-authentication-type md5; # SECRET-DATA Level-1题目只要求做HELLO认证，所以还是比较轻松的。下面我可以查看一下R2的邻居关系，以验证level-1的HELLO认证。edit logical-routers r2lunsuilab# run show isis adjacency logical-router r2 Interface System L State Hold (secs) SNPAfxp2.212 0010.0000.6001 1 Up 6 0:a0:c9:20:e4:79fxp2.223 0010.0000.3003 1 Up 7 0:a0:c9:20:e4:79fxp2.224 0010.0000.3004 1 Up 8 0:a0:c9:20:e4:79从上面的结果已经说明我们的配置是正确的了，接下我们完成下面的需求：2，骨干区域的路由必须汇总进到49.0001。3，R3和T1之间的子网必须当做IS-IS内部路由在IS-IS内发现，并且要保证在这条链路上没有任何IS-IS邻居可以建立。要满足这个汇总需求等于是做汇总泄露了，这时候需要运用到策略，和定义一个aggregate 路由。下面给出R5的配置。创建aggregate 路由：edit logical-routers r5lunsuilab# show routing-options aggregate route 10.0.2.0/23;创建策略将这条aggregate路由通告给49.0001edit logical-routers r5lunsuilab# show policy-options policy-statement summ term 1 from protocol aggregate; route-filter 10.0.2.0/23 exact; to level 1; then accept; 注意那个to level 1，这个参数非常重要，他表示着一个方向，因为你如果不加这个参数的话，那么level-2的路由器也会收到这样一条汇总路由。然后应用到ISIS export去完成这个需求edit logical-routers r5lunsuilab# show protocols isis export summ;reference-bandwidth 500m;lsp-lifetime 3600;接下来可以做个简单的验证，在R6上查看有没有这条路由。edit logical-routers r6lunsuilab# run show route 10.0.2.0/23 logical-router r6 inet.0: 11 destinations, 11 routes (11 active, 0 holddown, 0 hidden)+ = Active Route, - = Last Active, * = Both10.0.2.0/23 *IS-IS/160 00:02:40, metric 60 to 10.0.8.6 via fxp2.256配置R3与T1之间的链路passive的话，就可以把这条链路当做ISIS内部路由被通台，当然同时也没有任何ISIS邻居可以在这条链路上建立。不过这之前记得先把这条链也加上iso地址簇，否则是通告不成功的。edit logical-routers r3 protocols isislunsuilab# show reference-bandwidth 500m;lsp-lifetime 3600;interface fxp1.230 passive; level 1 disable; 这里把他特意的指定level 1 disable是为了不影响之前我们配置的set interface all level 1 disable，下面我可以在其他的骨干路由器上查看这条路由的状态来验证我们的配置。edit logical-routers r5lunsuilab# run show route 172/8 logical-router r5 inet.0: 23 destinations, 23 routes (23 active, 0 holddown, 0 hidden)+ = Active Route, - = Last Active, * = Both172.16.0.12/30 *IS-IS/18 00:06:14, metric 100 to 10.0.2.2 via fxp2.235同样我可以查看关于这条路由的LSPedit logical-routers r5lunsuilab# run show isis database detail logical-router r5 | match 172 IP prefix: 172.16.0.12/30 Metric: 50 Internal Up上面我们已经可以看到R5上面已经把这条路由当做是internal的了。接下来我们完成后面的需求：4，重发布10.0.5.0/24的子网，并且在区域49.0002里的路由器看到这条路由的时候他的metric至少要是100。12，除了R5，保证没有单点路由器和单点链路的故障导致隔离R1，R2，或者OSPF路由器。完成这些需求，我们首先需要在49.0002里的路由器上配置wide-metrics，因为默认情况下路由在传递路由（TLV）的时候最多只能到63，而题目要求要别的路由器最少能看到是100。书上说R3，R4也要启动wide-metrics，这是不需要的，因为R3，R4能够最多读metric到1023所以就算你不配wide-metrics也是可以。当然你如果考试的时候觉得不塌实你还是可以敲上，HOHO！而且还需要做10.0.5.0/24前缀的重发布策略另外为了满足没有单点故障的需求，你需要同时在R1和R2上策略重发布。记住而且R1和R2的策略是一样的。edit logical-routers r1 protocols isislunsuilab# show export adv-dir;reference-bandwidth 500m;lsp-lifetime 3600;level 1 wide-metrics-only;interface all level 2 disable; level 1 hello-authentication-key $9$7CdwgmPQz6A; # SECRET-DATA hello-authentication-type md5; # SECRET-DATA 下面开始在R1上做重发布策。edit logical-routers r1 policy-optionslunsuilab# show policy-statement adv-dir term 1 from protocol direct; route-filter 10.0.5.0/24 exact; then metric 101; accept; 我们现在可以去R3看看结果，因为R3可以看到负载均衡，是否有两条路由达到冗余的效果，而且看看metric是否至少有100。edit logical-routers r3lunsuilab# run show route 10.0.5.0/24 logical-router r3 inet.0: 24 destinations, 24 routes (24 active, 0 holddown, 0 hidden)+ = Active Route, - = Last Active, * = Both10.0.5.0/24 *IS-IS/15 00:02:44, metric 151 to 10.0.4.2 via fxp1.223 to 10.0.4.14 via fxp2.213接下来我们需要注意一个非常重要的问题，当路由被重发布进来，到达level-1-2路由器的时候，如果路由的类型是internal的，那么level-1-2会自动发送给level-2，但是如果是external的时候，那么默认就不会发送给level-2，需要手动做策略才可以,或者是宽带度量值也能自动泄漏(因为宽带度量通过TLV135和TLV22进行定义，但是TLV135为内部路由TLV，所以一但你配置了宽带度量那么TLV135便会取代TLV130放到LSP中发送出去，那么所有的外部的路由都会当做内部路由也就是internal那么会自动泄露，并且优先级也就是内部的15或者18优先级）。因为我们之前已经配置了wide-metrics，所以这时候10.0.5.0/24的前缀会自动的注入到level-2里面去。现在我们可以看看R5是否有收到这条路由。edit logical-routers r5lunsuilab# run show route 10.0.5.0/24 logical-router r5 inet.0: 24 destinations, 24 routes (24 active, 0 holddown, 0 hidden)+ = Active Route, - = Last Active, * = Both10.0.5.0/24 *IS-IS/18 00:11:41, metric 113 to 10.0.2.2 via fxp2.235 to 10.0.2.10 via fxp2.245接下来我继续我们的需求：5，设置R5和R6的level-1的优先级必须为06，保证R7当他邻居关系UP的时候，他不成为伪结点。15，设置49.0001里的level-1的preference为155。当R5和R6的优先级都设置为0的时候，又需要让R7不成为伪结点，这时候不仅需要把R7的优先级设置为0，而且还需要将R7的mac地址改到比R5和R6更小。这是因为ISIS不像OSPF一样优先级设置为0就不参加选举，ISIS还会继续比较SNAP，也就是MAC。 另外题目还要求R5，R6，R7的preference设置为155。edit logical-routers r7 protocols isislunsuilab# show reference-bandwidth 500m;lsp-lifetime 3600;level 1 preference 155;interface all level 2 disable; level 1 hello-authentication-key $9$tkPu01h7NbwgJ; # SECRET-DATA hello-authentication-type md5; # SECRET-DATA priority 0; 因为逻辑路由，用的VLAN，dot1.q子接口，所以MAC地址是改不了的。下面是改MAC地址的命令。editlunsuilab# set interfaces fxp1 mac 00:00:00:00:00:11这实验用逻辑看不出实验效果，所以只能是靠想象咯。或者找几台cisco的路由做做吧！一样。不过可以看看R7的邻居状态信息，也可以看出一点东西。edit logical-routers r7lunsuilab# run show isis adjacency detail logical-router r7 0010.0000.9006 Interface: fxp1.267, Level: 1, State: Up, Expires in 26 secs Priority: 0, Up/Down transitions: 1, Last transition: 02:48:57 ago Circuit type: 1, Speaks: IP, IPv6, CLNS, MAC address: 0:a0:c9:13:7f:3 Topologies: Unicast Restart capable: Yes LAN id: lab.02, IP addresses: 10.0.8.10010.0000.3005 Interface: fxp2.257, Level: 1, State: Up, Expires in 6 secs Priority: 0, Up/Down transitions: 3, Last transition: 01:55:04 ago Circuit type: 1, Speaks: IP, IPv6, CLNS, MAC address: 0:a0:c9:20:e4:79 Topologies: Unicast Restart capable: Yes LAN id: 0010.0000.3005.03, IP addresses: 10.0.8.9edit logical-routers r7lunsuilab# run show isis interface logical-router r7 IS-IS interface database:Interface L CirID Level 1 DR Level 2 DR L1/L2 Metricfxp1.267 1 0x2 lab.02 Disabled 50/50fxp2.257 1 0x3 0010.0000.3005.03 Disabled 50/50lo0.7 0 0x1 Passive Disabled 0/0既然看不出什么效果，我就接着做下面的需求：19, 你不能修改OSPF路由器的配置。10，配置R6和R7通告一条IS-IS默认路由给OSPF路由器，并且保证OSPF路由器可以通过这些默认路由达到负载均衡。11，配置R6和R7重发布从OSPF路由器学到的OSPF路由进到IS-IS。12，除了R5，保证没有单点路由器和单点链路的鼓掌导致隔离R1，R2或者OSPF路由器。16，在R6，R7，和OSPF路由器之间不允许有次优路径。这个实验到这里，应该算到了最核心的地方，也是最难的地方，这里如果理解那么绝对是工程师的水平，不过在这之前，我希望大家还是先把TCP/IP路由技术卷一好好看看。不然的话很难理解，不过你没看过也没事，我会写得很清楚的！首先，你需要和OSPF建立起邻居关系才能学到他的路由，因为逻辑路由器子接口不支持monitor traffic interface。所以这个需要我们再脱离开这个实验，用两个主接口，对接起OSPF。OSPF判断黑匣子的方法：第一步：建立一个traceoptions的文件和一个需要trace的一个flagprotocols ospf traceoptions file ospf; flag hello detail; flag error detail; area 0.0.0.3 interface fxp1.0 authentication simple-password $9$8JpXdbYgoGjH; # SECRET-DATA interface lo0.0; edit protocolslunsuilab# run monitor start ospfNov 26 21:41:18 OSPF packet ignored: authentication failure from 24.1.1.4Nov 26 21:41:22 OSPF periodic xmit from 24.1.1.2 to 224.0.0.5 (IFL 65)Nov 26 21:41:25 OSPF packet ignored: authentication failure from 24.1.1.4上面说明对方配置了认证。如果你看到上面的信息，那么恭喜你区域ID你猜对了（在新版本的JUNOS上，在区域匹配的情况下如果HELLO包里面的认证不匹配的话，那么是看不到里面更多的信息的，比如区域ID和时间这些很重要，因为直接影响到OSPF邻居的建立）那么可以再monitor traffic一下接口lunsuilab# run monitor traffic interface fxp1 detail Listening on fxp1, capture size 96 bytes21:44:09.383760 Out VID 0: 200 IP (tos 0xc0, ttl 1, id 2483, offset 0, flags none, proto: OSPF (89), length: 64) 24.1.1.2 224.0.0.5: OSPFv2, Hello (1), length: 44 Router-ID: 2.2.2.2, Area 0.0.0.3, Authentication Type: unknown (1)123 Options: External Hello Timer: 10s, Dead Timer 40s, Mask: 255.255.255.0, Priority: 128 Designated Router 24.1.1.221:44:10.793702 In VID 0: 200 IP (tos 0xc0, ttl 1, id 57120, offset 0, flags none, proto: OSPF (89), length: 64) 24.1.1.4 224.0.0.5: OSPFv2, Hello (1), length: 44 Router-ID: 4.4.4.4, Area 0.0.0.3, Authentication Type: unknown (1)jnx123! Options: none Hello Timer: 8s, Dead Timer 32s, Mask: 255.255.255.0, Priority: 128 Designated Router 24.1.1.4这下就可以看到一些计时器和区域ID，另外蓝色部分就是密码哦！ 这下认证成功了，就可以monitor ospf看一些更详细的信息，比如选项位什么的。选项位也是个很重要的bit，因为NSSA区域和STUB就是靠这个bit识别的。Nov 26 21:49:39 OSPF periodic xmit from 24.1.1.2 to 224.0.0.5 (IFL 65)Nov 26 21:49:44 OSPF rcvd Hello 24.1.1.4 - 224.0.0.5 (fxp1.0, IFL 0x41)Nov 26 21:49:44 Version 2, length 44, ID 4.4.4.4, area 0.0.0.3Nov 26 21:49:44 checksum 0x0, authtype 1Nov 26 21:49:44 mask 255.255.255.0, hello_ivl 8, opts 0x0, prio 128Nov 26 21:49:44 dead_ivl 32, DR 24.1.1.4, BDR 0.0.0.0Nov 26 21:49:44 OSPF packet ignored: area stubness mismatch from 24.1.1.4Nov 26 21:49:47 OSPF periodic xmit from 24.1.1.2 to 224.0.0.5 (IFL 65)那们现在就知道邻居的密码，区域ID，各种计时器，区域类型，有了在和些信息建立邻居就是一件很容易的事情了。这个需要大家多做做实验练习练习。接下来我们回到case study中来，因为上面已经讲过了OSPF的黑匣子，所以为了实验方便我现在把OSPF做为最简单的配置，下面是配置。edit logical-routers ospflunsuilab# s