bgP后期教案.doc

r2(config)#access-list 1 per 192.168.1.0 0.0.0.255r2(config)#route-map aaa per 10r2(config-route-map)#match ip add 1r2(config)#router bgp 100r2(config-router)#nei 1.1.1.1 route-map aaa in只从1.1.1.1接受192.168.1.0的路由access-list 1 deny 192.168.1.0 0.0.0.255access-list 1 permit anyroute-map aaa permit 10 match ip address 1router bgp 200aggregate-address 192.168.0.0 255.255.248.0 suppress-map aaa summary-only as-set聚合过程中过滤，ACL的permit做聚合，deny不做聚合放行明细，即使加上summary-only也会放行192.168.1.0access-list 1 permit 192.168.1.0 0.0.0.255route-map aaa permit 10 match ip address 1router bgp 200 aggregate-address 192.168.0.0 255.255.248.0 summary-only neighbor 4.4.4.4 unsuppress-map aaa 把我本地抑制的路由传给4.4.4.4邻居，且是active! route-map aaa permit 10 set local-preference 120router bgp 200aggregate-address 192.168.0.0 255.255.248.0 summary-only attribute-map aaa聚合中修改汇总路由属性，注意尽量不和ACL连用注意：聚合时候route-map 和attmap是同一个意思access-list 1 deny 192.168.1.0 0.0.0.255access-list 1 permit any!route-map aaa permit 10 match ip address 1 set metric 66router bgp 200 neighbor 4.4.4.4 route-map aaa out不向4.4.4.4通告192.168.1.0，但通告其他的且同时修改metric为66access-list 1 permit 192.168.1.0 0.0.0.255router bgp 200distribute-list 1 in只允许192.168.1.0的路由进来access-list 1 permit 192.168.1.0 0.0.0.255router bgp 200nei 4.4.4.4 distribute-list 1 in只允许从4.4.4.4收满足ACL的permit流量路由？Access-list 1 per 172.168.1.0 0.0.0.255Acess-list 1 per 172.168.2.0 0.0.0.255Route-map aaa per 10 Match add 1Aggregate-add 172.168.1.0 255.255.255.0 as-set advertise-map aaa只通告ACL匹配的路由，且保留AS号码？Prefix-list过滤：Ip prefix-list aaa se 5 per 192.168.1.0/24 ge小于等于 le大于等于Router bgp 100 Nei 1.1.1.1 prefix-list aaa in/out过滤优先级出方向：route-map过滤-filter-list-prefix-list进方向：prefix-list -filte-list -route-map BGP过滤表达式 1、 字和元字符特殊字符 一个典型的AS_PATH过滤器如下所示： ip as-path access-list 83 permit 1_701_(_5646_|_1240).* 在关键字permit后面的字符串是一个正则表达式。2、 表1 关于AS_PATH访问列表的正则表达式元字符特殊字符 元字符特殊字符 匹配内容 . 任何单一字符，包括空格 在方括弧中罗列的任何字符 除了在方括弧中罗列的字符外任何字符（必须放置在字符列表之前） - （连字符）在由连字符所分隔的两个字符之间的任意字符 ? 字符或模式出现0次或1次 * 字符或模式出现0次或多次 + 字符或模式出现1次或多次 一行的开始 $ 一行的结束 | 或者 _ （下划线）相当于逗号 2、描述：匹配行的起始和结束 考虑下面的AP_PATH过滤器： ip as-path access-list 20 permit 850 凡是AS号码里面有8和5和0的都能匹配出来该匹配任何包含字符串850的AS_PATH。匹配的AS_PATH例如：（850），（235，850，155）和（3568，5850，310）等。无论是是属性中唯一的串或者属性中多个AS号中的一个甚至是属性中一个很大的AS号中的一部分，该匹配都成功。 假设你只想匹配包含唯一AS号850的AS_PATH，你必须描述行的开始和结束。使用补字号（）匹配行的开始，美元符（$）匹配行的结束： ip as-path access-list 20 permit 850$ -只匹配850AS这样表示表达式的开始紧接一个字符串850，然后紧接行的结束符。 你还可以使用两个描述来匹配一个空的AS_PATH： ip as-path access-list 21 permit $（本地始发的） 在上述情况，正则表达式匹配行的开始紧接行的结束；如果行的开始与行的结束间存在任何字符则匹配不成功。 3、括弧：匹配字符集和 括弧是你能指定单字符的范围。例如： ip as-path access-list 22 permit 850123459$ 上述过滤器匹配包含单一AS号850，851，852，853，854，855或859的AS_PATH。 如果字符的范围连续，你可以只指定序列中开始和结束的字符： ip as-path access-list 22 permit 850-5$ 4、否定：匹配除字符集和外的其他字符 当在括弧中使用加字符时，将否定括弧中指定的范围。如果是正则表达式将匹配范围外的任何内容。例如： ip as-path access-list 24 permit 850-5$ -排除850855，其他的都可以匹配该过滤器除了多一个加字符以外与上一个过滤器类似，指定了“不是05”。该正则表达式将匹配856859范围内的单个AS号。 5、通配符：匹配任何单一字符 点（.）匹配任何单一字符。单一字符可能是一个空的。考虑下面过滤器： ip as-path access-list 24 permit 85. 该过滤器匹配一个由AS号850-859开始的AS-PATH。由于“.”可以匹配一个空格，AS号85也能匹配成功。 6、替代：匹配字符串集合中的一个 （|）用作表示一个“或”操作。即（|）任何一边的字都可以匹配。例如： ip as-path access-list 25 permit (851|852)$ 该过滤器匹配单个AS号：851或852的AS_PATH。你可以扩展“或”功能来作多于两个可能性的选择： ip as-path access-list 26 permit (851|852|6341|53)$ 7、选择字符：匹配一个可能存在也可能不存在的字符 问号（?）匹配字的0个或一个实例。例如 ip as-path access-list 27 permit (850)?$ 该过滤器匹配一个单一AS号850的AS_PATH或者匹配一个空的列表。注意这里的圆括弧，表示元字符“?”应用在整个AS号上。如果表达式使用850?，元字符特殊字符只应用在最后一个字符上。该表达式匹配85或者850。 8、重复：匹配许多字符的重复 你可以使用两个元字符特殊字符来匹配重复的词：星号（*）匹配0次或多次重复，加号（+）匹配1次或多次重复。例如 ip as-path access-list 28 permit (850)*$ 该过滤器匹配空的AS列表或包含0个或多个的AS号为850的。即AS路径可以是（850，850），（850，850，850）等。 下面的过滤器功能类似，只是要求列表中至少包含1 个AS号850。 ip as-path access-list 29 permit (850)+$ 9、分界线：描述多个字 分界线（_）用作描述分隔分别指定的一串字。例如假设你想匹配指定的AS_PATH(5610，148，284，13)。过滤器可以如下所示： ip as-path access-list 30 permit 5610_148_284_13$ -必须第一个是561014828413，严格按照顺序匹配，因为有行的开始与结束符号过滤器指定了行的开始与结束，只有AS_PATH（5610，148，284，13）才能匹配。下划线匹配行的开始、行的结束、逗号或空格。注意下面过滤器与上述过滤器的区别： ip as-path access-list 31 permit -5610_148_284_13_ -一个AS列表只要包含这几个即可，顺序没有关系在第二个过滤器中，只要求指定的序列包含在AS_PATH中，并不要求是唯一的属性。所以AS_PATH(5610，148，284，13)，AS_PATH(23，15，5610，148，284，13)和 AS_PATH(5610，148，284，13，3005)等都能匹配。 10、放到一起：一个复杂的例子 将多个元字符特殊字符混合是用来匹配一些复杂的字符串才能显示正则表达的真正威力。考虑下面的过滤器： ip as-path access-list 10 permit (550)+880|2304?_1805_.* 路由含义：$ 从本地as起源的路由2_ 所有从直接相连的位于as 2的邻居来的路由, 始发于2，没有经过其他AS的_3_ 经过as 3.* 所有2$ 源于as2中的邻居路由_300$ 300始发的12. 匹配12 120-129的Ip as-path access-list 1 deny _300_Ip as-path access-list 1 per .*Router bgp 200Nei 3.3.3.3 filter-list 1 out(给3.3.3.3通告路由时候过滤掉经过AS300的路由Ip as-path access-lsit 1 per 65530$Route-map aaa per 10 Match as-path 1 Set metric 100Route bgp 100Aggregate-add 172.16.0.0 255.255.0.0 as-set advertise-map aaa聚合时只允许65530存在条件路由写两个ACL，当满足其中一个ACL，通告另外一个ACL的路由，其他都抑制,即当exist-map路由在BGP路由表中时才会通告advertis-map的路由access-list 1 per 1.1.1.0 0.0.0.255access-list 2 per 2.2.2.0 0.0.0.255rou-map aaa per 10 match ip add 1route-map bbb per 10 match ip add 2router bgp 200 nei 6.6.6.6 advertise-map aaa exist-map bbbBGP community公共:No-export-收到这个标记的路由不会将它传给下一个EBGP邻居（联邦假性质EBGP邻居不包含在内）No-advertise-收到这个标记的路由不传给任何BGP邻居包含EBGP和IBGPInternal-可以发给任何BGP邻居Local-AS-同NO-export，但是他比no-export厉害之处是联邦内的EBGP邻居都不会传过去私有的：自定义的标签，32比特，有两种形式：1-1232-XX.XX，如采用第二种标记方式，“R1(config)#ip bgp-community new-format案例：1， no-exportaccess-list 1 per 5.5.5.0 0.0.0.255route-map aaa per 10 match ip add 1 set comm. No-exportroute-map aaa per 9999凡是没有匹配ROUTE-MAP的路由默认丢弃，所以使用9999放行其他的默认流量router bgp 200 nei 4.4.4.4 send-comm nei 4.4.4.4 route-map aaa outr4通过show ip bgp comm查看从R5收到的带有community的路由r4使用show ip bgp 44.44.44.0 查看其携带的具体community具体数值2， 也可以在network宣告时候用route-map带有这些属性3， 私有属性应用（也属于标准属性范围）Access-list 1 per 100.1.1.0 0.0.0.2555Route-map aaa per 10 Match ip add 1 Set comm. 123Route-map aaa per 9999Router bgp 200 Nei 4.4.4.4 send-comm Nei 4.4.4.4 route-map aaa outR4查看收到的community-show ip bgp comm.R4查看具体的comm数值-show ip bgp 100.1.1.0R4匹配收到路由为123的改变这条路有的MED为123Ip community-list 5 per 123Route-map aaa per 10 Match comm. 5 Set metric 123Route-map aaa per 9999Router bgp 200Nei 5.5.5.5 route-map aaa in4， AN:NN使用Access-list 1 per 100.1.1.0 0.0.0.255Route-map aaa per 10 Match ip add 1 Set comm. 4:123Route-map aaa per 9999Rouer bgp 200 nei 5.5.5.5 send-comm additive-如设置多个comm数值，第二个会把第一个冲掉，第三个会把第二个冲掉，在设置第二个数值时候，打上这个不会冲掉第一个数值 nei 5.5.5.5 route-map aaa out Nei 4.4.4.4 send-comm全局：ip bgp-comm new-format(双方都尽量打开支持这种格式的属性，一放开启也可以，但是显示格式不一样)对方用ip community-list 5 per an:nn-route-map调用且修改MED数值-bgp中out方向或in方向应用双AS配置解决邻居指错问题+客户可以有两个AS+客户迁移不用重写配置只需重写邻居即可R4-r5-r6As4 as5 as6nei r5 remote 5 nei r4 remote 100 nei r5 remote 5 nei r6 remote 6 这样R5指R4邻居时候指错了，怎么办？R4做配置nei 5.5.5.5 local-as 100 no-perpend-R5发路由给R4时候虚假的AS和真正的AS一块更新100 4，且R4不会再把虚假的AS100给R4身后的ASR1()nei 18.1.1.8 local-as 210 no-perpend replace-as dual-asno-perpend-R9出现210 200，且不会吧210给其他AS了replace-as-R8只发现210，且邻居正常建立no-perpend replace-as dual-as-全部使用，R8即可与200建立也可以和210建立邻居，即R1同时使用两个AS号码*注意，R9始终认为R1是AS200 联邦解决IBGP水平分割问题解决共有AS不够用问题，但现在用32比特解决了。在一个大的共有AS里建立多个私有的AS，类似于NAT思路上图中如不用联邦产生的问题：1，R3从自己的IBGP学到的路由不给R42，R2从R5学到R1的路由AS-PATH里面有自己的AS号码，出于环路保护的原因丢弃解决方案：全互联 RR反射器 联邦注意：联邦内部不会比较EBGP优于IBGP的 联邦内部也不会比较AS-PATH的 联邦内部路由器之间算然是EBGP关系，但不会修改下一条属性为自己的，需手动 联邦内部私有AS号码不会传出共有AS外的，只在联邦内传递 联邦内部如有水平分割可用RR或全互联R1()#router bgp 64512 Bgp confederation idmtifier 1-公共AS号码是谁 Bgp confederation peers 64513-于64513同处于一个联邦，在同一个AS1中 nei 15.1.1.5 remote 5 nei 2.2.2.2 remote 64513 nei 2.2.2.2 ebpg-m nei 2.2.2.2 next-hop-seif nei 3.3.3.3 remote 64512 nei 3.3.3.3 next-hop-seif路由进入联邦所有属性只有AS-PAHT会变，其他的都不会变化Bgp后门链路AS1与AS2存在多种业务流量，R1和R3有一些特殊流量直线传输，于是R1于R3采用OSPF，R3将33.1.1.0宣告进ospf，同时确保冗余还把33.1.1.0宣告进BGP里面，可是这是R1从EBGP学到33.1.1.0的AD为20，从OSPF学到的是110，走R2的bgp网络了，怎么办？R1() #router bgp 1Net 33.1.1.0 mask 255.255.255.0 backdoor-R1上把33.1.1.0变成本地产生的，于是AD为200了重分发注意点：BGP路由数量巨大，重分发进IGP危险，就算是执行重分发也是重分发EBGP路由和本地路由，但IBGP路由是不会重分发进去的如需重分发IBGP路由，需开启Router bgp 200 Bgp redistribute-internal不能将默认重分发进BGP中任何协议重分发进BGP的metric不变，当做MED使用任何协议重分发进OSPF，metre默认是20任何协议重分发进RIP，默认跳数无穷大重分发过滤：Access-list 1 per 192.168.1.0 0.0.0.255Route-map aaa Match ip add 1 Set MED 99Router bgp 200 Redistribute ospf 100 route-map aaa汇总造成次优选路问题R1去192.168.1.0一般走R3，可通过MED修改。可是R3一旦做汇总后给R1，掩码变小，范围变大，这样R1收到去往192.168.1.0有两个相关的路由，一个是汇总，一个是从R2收到的明细，这样R1下次去192.168.1.0走R2了解决办法：R3不做汇总Ibgp非等价负载均衡R4:Router bgp 200 Maximum-path ibgp 5 Bgp dmzlink-bwR1;Rouer bgp 200 Bgp dmzlink-bw Nei 17.1.1.7 dmzlink-bw Nei 18.1.1.8 dmzlink-bw Nei 4.4.4.4 send-community extend-这个带宽值传给R4，以扩展属性传R2:Rouer bg 200 Bgp dmzlink-bw Nei 27.1.1.7 dmzlink-bw Nei 4.4.4.4 send-community extend-.R1查看：show ip bgp 8.8.8.8发现从R8，R7收到的路由带宽分别是：12500K，从R2收到的没有，因为我对于R2没有开启这个功能R4查看：show ip bgp 8.8.8.8从R1学到的是12500K，从R2学到的是193K Show ip route 8.8.8.0显示比例是60;1BGP路由抖动惩罚机制只有从EBGP邻居收到的浮动路由才能执行处罚机制，可针对所有路由，也可以针对具体的路由Suppress-最大惩罚数值，-默认2000.惩罚执行开始数值，到达这个数值路由抑制，抑制多长时间那？不确定，看你态度了。你如果在7.5分钟内老实，我下降惩罚数值，一直降到重用数值在开始更新Max-suppress-惩罚最大时间。默认60分钟。如果惩罚数值很高，最后老实了，经过多个半周期仍没有降到重用数值，不能无限制抑制他吧Haif-life-半衰期。默认15分钟惩罚数值减低一半Reuse-重用数值，默认750.降低到这个数值路由又开始通告Per-flap-1000,路由DOWN掉又起来加数值1000，这个数值无法配置，这个数值下降程度受半衰期时间控制，例如我当前数值是2000，半衰期是15分钟，在7.5分钟之后你如果老实这个惩罚之降到1000Router bgp 1 Bgp dampening 10-对所有从EBGP收到的路由生效，且指定半衰期为10分钟 OR Bgp dampening route-map aaa-针对具体路由条目Route-map aaa per 10 Match ip add 10 Set dampening 15 750 3000 3015-半衰期750-重用数值3000-最大惩罚之也是惩罚开始数值30-最大惩罚时间如果路由被抑制：show ip bgp 10.1.1.0发现：*d-这条路由我还有，但是不传h-这条路有消失了，但我仍然保留下来证据history entry-历史有过浮动的dampen fo: penalty 954 flapped 1 eimeis in 00:00:24 当前惩罚数值 浮动几次 还有多长时间开始启用ORF出router过滤AS2向AS1说你不能给我发什么路由，能发什么路由的路由，例如电信想做过滤自己又不想做。让联通自己想办法，通过BGP第5个包传过去As1:Router bgp 1 Nei 12.1.1.2 capability orf prefix-list receiveAs2:Ip prefix-list aaa per 1.1.2.0-只允许1.1.2.0进来，但是让对方过滤Router bgp 2 Nei 12.1.1.1 cap orf prefix-list send-让对方过滤1.1.1.0 Nei 12.1.1.1 prefix aaa in-自己这一方必须开启过滤功能Show ip bgp nei 12.1.1.2查看能力协商值R1用shwo ip bgp nei 12.1.1.2 adv查看R1有没有给R2发1.1.1.0，没有，说明过滤不在AS2上执行的Show ip bgp nei 12.1.1.2 routes -从12.1.1.2收到几条路由Route-map扩展Ip policy-list aaa per/deny Match Roue-map bbb per 10 Match policy-list aaa Confinue 20-满足上面条件执行20下面的行为 Set .192.168.1.1和192.168.2.1-R1-R3R3配置：access-list 1 permit 192.168.1.0 0.0.0.255ip policy-list aaa permit match ip address 1route-map aaa permit 10 match policy-list aaa continue 30!route-map aaa permit 20 set weight 8888!route-map aaa permit 30 set weight 7777r3(config)#do show ip bgpBGP table version is 3, local router ID is 3.3.3.3Status codes: s suppressed, d damped, h history, * valid, best, i - internal, r RIB-failure, S StaleOrigin codes: i - IGP, e - EGP, ? - incomplete Network Next Hop Metric LocPrf Weight Path* 192.168.1.0 13.1.1.1 0 7777 100 i* 192.168.2.0 13.1.1.1 0 8888 100 ir3(config)#*正常route-map 下面可以同时match很多个条件在执行一个set语句R1:Ip as-path access-list 1 per _200$ 路由源自于200Ip prefix-list aaa per 0.0.0.0/0 我只收默认路由Route-map aaa per 10 Match as-path 1 Match ip add prefix-list aaa Set weight 200Route-map aaa per 20 Match ip add prefix-list aaa Set weight 100Router bgp 213 Nei r2 route-map aaa in Nei r3 route-map aaa in温和刷新R1：Router bgp 1 Nei 1.1.1.1 soft-reconfig inbound-从1.1.1.1学到的路由放进自己内存，确保内存够大，只针对EBGP邻居生效Clear ip bgp nei 1.1.1.1-这时不去1.1.1.1要路由了，从自己内存拿出来即可Show ip bgp nei 1.1.1.1发现有type=2(soft) type=128(老的硬清)Nsf技术控制层重启，数据转发层继续转发数据，我要重启前告诉对方这段时间我不给你发keeplive报文了，你把你我之间的TCP保持住Router bgp 100 Bgp graceful-restart restart-time-你等我多长时间，我在这个时间重启完成NSR技术-我制造假象让对方认为我控制层没有问题SSOGRES实现两块引擎热备BGP优化1， bgp的keeplive调整router bgp 100 time bgp 10 302,如何确定收敛已完成r3#show ip bgp nei 13.1.1.1BGP neighbor is 13.1.1.1, remote AS 100, external link BGP version 4, remote router ID 1.1.1.1 BGP state = Established, up for 00:01:19 Last read 00:00:19, last write 00:00:19, hold time is 180, keepalive interval is 60 seconds Neighbor capabilities: Route refresh: advertised and received(old & new) Address family IPv4 Unicast: advertised and received Message statistics: InQ depth is 0 OutQ depth is 0 Sent Rcvd Opens: 1 1 Notifications: 0 0 Updates: 0 1 Keepalives: 3 3 Route Refresh: 0 0 Total: 4 5 Default minimum time between advertisement runs is 30 seconds For address family: IPv4 Unicast BGP table version 2, neighbor version 2/0-如果相同则说明收敛完成 Output queue size: 0 Index 1, Offset 0, Mask 0x2 1 update-group member Sent Rcvd Prefix activity: - - Prefixes Current: 0 1 (Consumes 52 bytes) Prefixes Total: 0 1 Implicit Withdraw: 0 0 Explicit Withdraw: 0 0 Used as bestpath: n/a 1 Used as multipath: n/a 0 Outbound Inbound Local Policy Denied Prefixes: - - Bestpath from this peer: 1 n/a Total: 1 0 Number of NLRIs in the update sent: max 0, min 0 Connections established 1; dropped 0 Last reset neverConnection state is ESTAB, I/O status: 1, unread input bytes: 0Connection is ECN Disabled, Mininum incoming TTL 0, Outgoing TTL 1Local host: 13.1.1.3, Local port: 59918Foreign host: 13.1.1.1, Foreign port: 179Connection tableid (VRF): 0Enqueued packets for retransmit: 0, input: 0 mis-ordered: 0 (0 bytes)Event Timers (current time is 0x31D68):Timer Starts Wakeups NextRetrans 6 1 0x0TimeWait 0 0 0x0AckHold 4 1 0x0SendWnd 0 0 0x0KeepAlive 0 0 0x0GiveUp 0 0 0x0PmtuAger 0 0 0x0DeadWait 0 0 0x0Linger 0 0 0x0ProcessQ 0 0 0x0iss: 368904907 snduna: 368905010 sndnxt: 368905010 sndwnd: 16282irs: 257648202 rcvnxt: 257648357 rcvwnd: 16230 delrcvwnd: 154SRTT: 125 ms, RTTO: 1409 ms, RTV: 1284 ms, KRTT: 0 msminRTT: 128 ms, maxRTT: 308 ms, ACK hold: 200 msStatus Flags: active openOption Flags: nagleIP Precedence value : 6Datagrams (max data segment is 1460 bytes):Rcvd: 7 (out of order: 0), with data: 4, total data bytes: 154Sent: 7 (retransmit: 1, fastretransmit: 0, partialack: 0, Second Congestion: 0), with data: 4, total data bytes: 102 Packets received in fast path: 0, fast processed: 0, slow path: 0 fast lock acquisition failures: 0, slow path: 0r3#show int f0/0FastEthernet0/0 is up, line protocol is up Hardware is DEC21140, address is ca00.0c1c.0000 (bia ca00.0c1c.0000) Internet address is 13.1.1.3/24 MTU 1500 bytes, BW 100000 Kbit, DLY 100 usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation ARPA, loopback not set Keepalive set (10 sec) Half-duplex, 100Mb/s, 100BaseTX/FX ARP type: ARPA, ARP Timeout 04:00:00 Last input 00:00:54, output 00:00:05, output hang never Last clearing of show interface counters never Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0 Queueing strategy: fifo Output queue: 0/40 (size/max)-如果都是0说明没有更新流量，收敛完成 5 minute input rate 0 bits/sec, 0 packets/sec 5 minute output rate 0 bits/sec, 0 packets/sec 26 packets input, 3764 bytes Received 7 broadcasts, 0 runts, 0 giants, 0 throttles 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored 0 watchdog 0 input p