TS1 Summary v3.0.doc

This is an new update.1、R22的loopback 0要能telnet R23的loopback 0,R22和R23之间已经配置好做了ospf区域验证。R22预配:interface Serial1/0 ip address 52 encapsulation frame-relay ip ospf message-digest-key 1 md5 cisco (ospf md5 区域认证) no frame-relay inverse-arp (预配的时候关闭自动映射，所以要手工配置map) frame-relay lmi-type cisco (本链路有效) frame-relay map ip 22 broadcast(对端地址、本地DLCI号、broadcast学习ospf路由)(预配：map 的IP地址和DLCI号是错误的，22和23反了） ip ospf network broadcast（ip ospf network point-to-point）两边必须一样！R23：预配 interface Serial1/0 ip address 52 encapsulation frame-relay ip ospf message-digest-key 1 md5 cisco no frame-relay inverse-arp clock rate 128000 （时钟在路由器上配置！show controllers serial 1/0） frame-relay map ip 23 broadcast ip ospf network broadcast（ip ospf network point-to-point）FR预配： frame-relay switchinginterface Serial1/0 （接r22） encapsulation frame-relay frame-relay lmi-type cisco frame-relay intf-type dce 错误点：FR 缺DCE配置 frame-relay route 22 interface Serial1/1 23 interface Serial1/1 (接r23) encapsulation frame-relay frame-relay lmi-type ansi frame-relay intf-type dce frame-relay route 23 interface Serial1/0 22错误点：在R22和R23各打上对方映射（因为预配有no frame-relay inverse-arp），然后在R23，R22，FRSW上尽量打clock rate，他会自动起来的。还有记住LMI是本链路有效的，就比如R22和FR之间可以是ANSI, FR和R23可以CISCO，所以你不必去删除R22和FR的lmi-type cisco。Show frame-realy routeShow frame-realy pvcShow frame-realy mapClear frame-realy inarp 2、要求R19的loopback 0 能够telnet R16的loopback 0 接口R19是DHCP服务器，R17 R18是客户端，在R19上面有个COPP 策略，对于UDP的流量给DROP了，改成transmit。然后在R17，R18 先把端口SHUTDOWN，然后依次在R17 R18 no shut (R17获取到地址再NO SHUTDOWN R18的) 原因1: DHCP POOL 没有配置或者配置错误 R19: ip dhcp pool DHCP Network 6 52（改为48） Default-router 9 Domain-name interface e0/0 ip address 9 48 R17 and R18: key chain KEY key 1 key-string cisco interface e1/0 ip address dhcp ip authentication mode eigrp 90 md5 -重新配置 ip authentication key-chain eigrp 90 KEY -重新配置 原因2 : COPP DORP UDP access-list 100 permit udp any anyclass-map udp match access-group 100policy-map udpdrop class udpDropControl Plane Service-policy outputshow policy-map control-planeExtended IP access list 100 10 permit icmp any any (77 matches)Extended IP access list 101 10 permit eigrp any any (873 matches)Extended IP access list 102 10 permit tcp any anyExtended IP access list 103 5 deny udp any any eq bootpc 6 deny udp any any eq bootps (2 matches)10 permit udp any any (68 matches)Control Plane Service-policy input: testR19#show access-lists 103Extended IP access list 1035 deny udp any any eq bootpc (2 matches)6 deny udp any any eq bootps (12 matches)10 permit udp any any (68 matches)原因3: EIGRP 认证没有配置,或者配置错误 Service password-encyptionSolution：检查发现R19，R18，R17之间的eigrp 200的neighbor 没有正常建立，原因在于R19作为DHCP server 为R17、R18分配的IP地址掩码与自身接口掩码不匹配。修改完R19的DHCP pool以后，需要让R17，R18重新通过DHCP获得新的IP地址方法两种：1：shutdown 并且no shutdown R17、R18的E1/0接口重新获得IP地址。2：通过接口命令下“no ip address dhcp”并且“ip address dhcp”来重新获得IP3：要注意一下保证R17获得的地址为7/29，R18获得的地址为8/29原因在于：R17router eigrp 200 network 7 network 7 no auto-summaryR18router eigrp 200 network 8 network 8 no auto-summary4：如果地址获得不正确会导致Eigrp通告失败。R17、R18重新获得地址以后，接口下的Eigrp的认证命令自动会取消，需要重新认证。R17/R18key chain cisco key 1 -注意检查下密钥ID一致 key-string cisco -密钥是否相同interface Ethernet0/0 ip address dhcp ip authentication mode eigrp 200 md5 ip authentication key-chain eigrp 200 ciscoR19、R17、R18有认证，再重新获得IP的时候接口认证会掉落，补上去，注意检查下key string 密钥和key id5、通过ip dhcp excluded-address控制第一个地址的获取。变种1：EIGRPR16 need to ping R19 9,but it doesnt work , fix this problem and make it can ping each other.原因：R16与R19上使用了自动汇总，导致不连续的子网。R16：Router eigrp 200Auto-summaryR17：Router eigrp 200Auto-summaryR18：Router eigrp 200Auto-summary 不要NO掉R19：Router eigrp 200Auto-summary解法：在所有运行了EIGRP的设备上show run | b r ei，发现Auto-summary。3、NTPR16作为R17和R18的NTP server ，但是时间无法同步，要求时区一致。Solution：检查发现NTP配置有问题，三台设备上做了NTP的认证，可是所有经过7级加密的密钥在三台设备上完全一致的（即便密钥相同，但不同设备经过7级加密以后生产的密钥串是一定不同的）R16show running-config | include clockclock timezone BJ 8 HK 8 PST -8 -根据初始配置选择，保证三台设备一致ntp authentication-key 1 md5 0822455D0A16 7 -no掉当前key 1，重新配置ntp authenticate -可能没有初始配置ntp masterR17clock timezone BJ 8 HK 8 PST -8 -根据初始配置选择，保证三台设备一致ntp authentication-key 1 md5 02050D480809 7 -no掉当前key 1，重新配置ntp authenticate -可能没有配置ntp trusted-key 1 -非初始配置，自己添加ntp clock-period 17179883 -如果修改配置之前就存在，直接no掉ntp server 6 key 1ntp source Loopback0（ntp server 9 key 1 source Loopback0）R18clock timezone BJ 8 HK 8 PST -8 -根据初始配置选择，保证三台设备一致ntp authentication-key 1 md5 02050D480809 7 -no掉当前key 1，重新配置ntp authenticate -可能没有配置ntp trusted-key 1 -非初始配置，自己添加ntp clock-period 17179883 -如果修改配置之前就存在，直接no掉ntp server 6 key 1ntp source Loopback0（ntp server 9 key 1 source Loopback0）NOTE：1：no掉当前某些命令时候严禁复制粘贴的方法2：修改完成后，需要一定时间才可以同步，此时可以先做其他题目。Check：通过“show ntp status”来检查ntp 是否完成同步4、bgp路由表问题：要求4个pe路由器要求看到其他3个pe路由器环回口在show ip bgp表里面有2条，就是说要收到r1 r2路由show mpls ldp nei 查看mpls的邻居状态show ip bgp vpnv4 all summary 查看VPNv4邻居建立show ip bgp summary 查看 ipv4 邻居建立Show ip ospf int briShow bgp vpnv4 un all suVrf的配置查看Show bgp vpnv4 un all 错误点: 1、R4的MPLS protocol tdp改成mpls protocol ldp2、R20 的 接口没有通告进ospf3、多台BGP路由器开启了同步，关闭即可4、R4 可能被全局下被关了ip cef5、R4的remot-as邻居指错6、router-id mpls router-id loop 0 force 7、每台路由器的loopback口要可达8、R4和R5的VPNv4地址族没有建立9、单个PE上,接口上的vrf与重分发的vrf名字大小写不一致10、重分布路由到BGP时没有subnet正向思维：1、直连2、IGP route3、bgp nei rr route4、Mpls 协议Show mpls int5、Vrf rt rd 倒进 导出路由6、vrf IGP BGP7、Pe ceDebug ip ospf eventsDebug ip ospf helloDebug ip ospf adjDebug ip ospf packetOspf 邻居建立的条件：rid Hello deadtime areaID area flag mask(broadcast nbma)authenticationMturouter eigrp 90 no auto-summary address-family ipv4 vrf CE1 network no auto-summary autonomous-system 90 （必须要指对方(CE)AS号否则建立不了邻居） redistribute bgp 123 metric 1500 100 255 1 1500 show mpls ldp parameters area 1 virtual-link authentication message-digest(虚链路认证) area 1 virtual-link message-digest-key 1 md5 cisco VPN site-A1与VPN site-A2无法ping通（PE为R4,R5）VPN site-B1与VPN site-B2无法ping通（PE为R3,R6）Solution：检查backbone所有设备配置R3router bgp 3 no synchronization bgp log-neighbor-changes neighbor remote-as 3 neighbor update-source Loopback1 neighbor remote-as 3 neighbor update-source Loopback1.1：P-PE之间的LDP邻居没有建立（R1、R2上联到R3的接口没有起mpls ip）2：vpnv4邻居建立异常3：Rd、RT出错4：PE的双向重分布异常5：PE-CE之间路由不可达6: RR问题额外故障点：7：承载BGP的IGP路由协议故障（链路认证等）8：基础的L2故障9：S接口PPP类型 没有no peer-neighbor routeNOTE:1：R3上BGP中对所有neighbor的建立都使用的更新源为loopback 1，需要改为loopback 02：R1/R2上通过“show tag-switch tdp neighbor”或者“show mpls ldp neighbor”检查发现存在邻居没有建立，原因是发现某些接口下存在“mpls ip”没打。show mpls interfaces检查可直接发现哪个口没有敲。3：除以上错误外，注意检查PE上route-target 是否可以相匹配。Check：按照题目需求做site与site之间ping测试关于MP-BGPMPLS：rd：路由区分符，区分不同的CE端rt：路由对象，import表示接收哪些rd，而export表示发出哪些rd比如说，C网A有rd 100：1和200：1，那么C网B中，如果rt设置为import 100：1和200：1，那么两个rd来的路由都可以注入到C网B中，而export则是表示允许发出哪些路由，比如允许接收100：1和200：1，但是只能发出200：1的，那就是import 100：1import 200：1export 200：1MP-BGP：为了实现虚拟路由转发，需要在BGP下启用vpnv4地址簇，命令为address-family vpnv4然后有neighbor x.x.x.x active，这条命令是激活到邻居的vpn通道neighbor x.x.x.x send-community extend，因为vrf使用的rt是扩展的community属性，所以要向邻居发送扩展的community属性同时，在PE上，要进行C网路由和BGP路由的重分布，需要启用ipv4虚拟路由转发的地址簇，命令为address-family ipv4 vrf vpn_nameredistribute ospf yy vrf vpn_name match inter e 1 e 2，这条命令与BGP下意思是一样的如果ospf有sham-link，那么需要把sham-link使用的32bit环回口宣告在这个地址簇下TS1中的这个MP-BGP，使用的是RR，其中R1和R2是RR考虑到路由条目是通过vpn通道传递的，那么RR应该在vpnv4地址簇下做，命令为：address-family vpnv4neighbor x.x.x.x active（不要忘记激活，如果BGP的ipv4地址簇下使用的是peer-group，那么在vpnv4地址簇中，还是需要对peer-group中的每个邻居单独写一条激活vpnv4通道的命令）neighbor x.x.x.x route-reflector-client本题附加故障（已知出现在HK rack38机架TS1+中）：R6与R7的OSPF邻居翻动排除OSPF故障 1.不匹配的参数使用debug ip ospf adj命令能够看到大多数的不匹配问题。（1）hello/dead间隔不匹配匹配才可以形成邻居。（2）不匹配的认证类型OSPF下有MD5和纯文本认证。router ospf 1area 0 authentication message-digest（3）不匹配的区域ID区域信息在OSPF的HELLO分组中发送。不同，不会形成邻接。（4）不匹配的短截/传输/NSSA区域选项当OSPF与一个邻居交换HELLO分组时，它所交换的一项内容是由8比特表示的可选能力。选项字段之一是E比特，即OSPF短截标志。当E比特置0时，该路由关联的区域是一个短截区域，外部LSA不允许进入这个区域。2.OSPF状态问题成为邻居的路由器不保证交换链路状态更新。一旦路由器决定与一个邻居形成邻接，它就开始交换其链路状态数据库的一份完整拷贝。（1）OSPF陷入ATTEMPT仅对neighbor语句的NBMA网络有效。陷入ATTEMPT是指一台路由器试图通过发送它的HELLO来联系邻居但是它没有收到响应。show ip ospf neighbor查看。原因：错误配置neighbor；NBMA上的单播连通性断了，这可能是由错误的DLCI，访问列表或转换单播的NAT引起的。（2）OSPF陷入INITINIT状态表示路由器收到来自邻居的HELLO分组，但是双向通信并没有建立 .原因：。 一方访问列表阻止了HELLO；。 一方的多播能力失效（一个交换机故障）；。 仅在一方启用了认证；。 一方的frame-relay map/dialer map语句缺少了broadcast关键字。 一方的HELLO在第2层丢失了。（3）OSPF陷入2-WAY双向状态是指路由器在HELLO分组的邻居字段中见到了自己的路由器ID.类似于所有路由器的优先级都为0，则不会发生选举，所有路由器停留在双向状态中。解决：确保至少一台路由器具有一个至少为1的IP OSPF优先级。（4）OSPF陷入EXSTART/EXCHANGE在EXSTART或EXCHANGE状态的OSPF邻居正处于尝试交换DBD（数据库描述）分组的过程中。原因：。 不匹配的接口MTU。 邻居上重复的路由器ID。 无法用超过特定MTU 长度进行PING。 断掉的单播连通性，它可能是因为错误的DLCI，访问列表或转换单播的NAT（5）OSPF陷入LOADING邻居没有应答或邻居的应答从未到达本地路由器，路由器也会陷入LOADING状态。常有%OSPF-4-BADLSA控制台信息。原因：。 不匹配的MTU。 错误的链路状态请求分组3.点到点链路的一方是无编号的interface s0ip unnumbered loopback0解决：双方都需要成为一个有编号点到点链路或一个无编号点到点链路。4.ABR没有产生一个类型4的汇总LSA类型4的汇总LSA的一个功能是宣告到其他区域的ASBR的可达性。如果同一个区域中存在ASBR则不需要类型4的LSA.show ip ospf database external 命令的输出显示在路由器的外部OSPF数据库中是否存在路由。show ip ospf database asbr-summary 命令的输出显示路由是否有类型4的LSA.检查R是否真是ABR.如果是，则产生类型3或类型4的汇总LSA.show ip ospf5.转发地址不能通过区域内或区域间路由获知当OSPF获得一条外部LSA时，它在将该路由装入路由选择表之前要确定转发地址可通过一条OSPF区域内或区域间路由获知。如果转发地址不能通过区域内或区域间路由获知，OSPF不会将路由装入路由选择表中。有可能的解决：。 不在ABR上进行汇总。 在ASBR上过滤再分布入OSPF中的直接子网router ospf 1redistribute rip subnets6.路由汇总问题两种类型汇总：。 可执行在ABR上的区域间路由汇总。 可执行在ASBR上的外部路由汇总（1）区域间汇总router ospf 1area 3 range x.x.x.0 通过show ip ospf可以查看（2）外部汇总router ospf 1summary-address x.0.0.0 7.CPUHOG问题产生在：。 邻居形成过程。 LSA刷新过程8.SPF计算和路由翻动只要拓扑有变化，OSPF就运行SPF算法再次计算最短路径优先树。，可能引起链路的不稳定。原因：。 区域内的接口翻动。 区域内的邻居接口翻动。 重复的路由器ID使用show ip ospf命令可查看在一个给定区域中SPF算法运行的次数；使用debug ip ospf monitor来隔离一个翻动的LSA；使用show log命令显示由接口引起的翻动。解决：。 修复正在翻动的链路。 重新定义区域边界5、R4,R1,R2,R5,R8 运行OSPFV3，R8已经打上ipv6 address auto-config. 需求R8要 ping 通R4的lo 200.错误点：R8连R5的接口 没有通告到OSPFV3里面。 R4的loobpack 0 接口也没有通告在R5上启用ipv6 unicast-routing，R8会通过无状态化配置，自动分配到地址。没加ospfv3进程，沿途查找。 6、EEM(有预配)R27的接口E1/0shut down掉，需要触发EEM事件，执行no shutdown动作错误点：eem触发条件语句interface change state to down改成interface ethernet0/1 changed state to administratively down 在另一台设备上复制粘贴！预配：event manager applet cisco event syslog pattern Interface Loopback0, changed state to down action 1.0 cli command enable action 2.0 cli command config t action 3.0 cli command inter Loopback0 （注意接口要统一） action 4.0 cli command no shu7、R20 loopback 0 要ping通R26的错误点：1 、R26重分发rip到ospf缺subnet 2 、R20没用通告lo口，network进IGP（貌似那部分是OSPF）R24:router ospf 1area 1 nssa -可能为非初始配置，自己添加network area 1R26R25:router ospf 1area 1 nssa -可能为非初始配置，自己添加network 0 area 1变种1：R22不能ping通R26 RIP下的主机（loopback1接口）原因：RIP重发布进OSPF时调用了route-map，并且接口匹配错误。R26：route-map xxx permit 10match interface E0/0route-map xxx deny 20解法：增加一条match lo1的route-map就可以了。（R26： route-map xxx permit 15 match interface loopback 1）变种2：中间21和24用的静态map，但是map反了. r25上也是错的，但是25不影响需求，所以不改25的也可以。R21上重发布路由，route-map使用prefix-list来匹配，但是prefix-list匹配错了。8、r14上 ping so lo 0 要成功 R14 要 ping 通R8（直连）， R14 和R8之间分别接了SW2，SW1。错误点：SW1，SW2上show vtp sta ,show vtp pass, 两边的vtp pass不一样，导致不同步，SW1是SERVER,R8是在VLAN 78，R14是VLAN 114，按交换的VLAN表配置。参考交换物理图 和 vlan 逻辑图。9、TELNETR14无法使用自己的环回口telnet R7的回环口。原因：R10上policy-map下有2个drop动作，1个是conform-action drop，1个是exceed-action drop阻止了telnet的流量（！注意，需求明确要求只能在一台设备上修改现有配置，并且只能修改一行现有配置）show access-listsshow class-mapshow policy-mapshow policy-map interfaceR10:access-list 100 permit tcp any any eq telnetclass-map match-all telnet match access-group 100policy-map telnetclass telnetpolice rate percent 1conform-action drop (正常情况下的流量 drop)exceed-action drop（特殊情况下的流量 drop）解法：R10：policy-map telnetclass telnetpolice rate percent 1no conform-action drop conform-action tranmitexceed-action drop10、R15 R16之间Eigrp neighbor 无法建立Solution：检查发现R15，R16之间存在的ppp chap 认证。因为认证失败导致链路协议up down正确配置如下：R15aaa new-modelaaa authentication ppp EIGRP localusername EIGRPR16 password ciscointerface Serial1/0 encapsulation ppp ppp authentication chap EIGRP ppp chap hostname EIGRPR15 ppp chap password ciscoR16aaa new-modelaaa authentication ppp EIGRP localusername EIGRPR15 password ciscointerface Serial1/0 encapsulation ppp ppp authentication chap EIGRP ppp chap hostname EIGRPR16 ppp chap password ciscoNOTE：1：接口下设置的发送hostname 一定是与自己相关的，比如EIGRPR15，不能发送EIGRPR16，R16不能发送EIGRPR15（取决于对面所写username）。2：全局的username一定是对端发送的hostname。3：接口下设置的password实际上无效，不用处理。4：如果初始配置中没有启用AAA，那么接口下通过“ppp authentication chap”开启chap认证。Check：检查R15,R16之间是否可以ping通，以及neighbor建立。11、NATR20 telnet R23的下面的某个地址.要求在R20 telnet 3转换到 S1/0 地址 R20 telnet 3 80 转换到loopback 地址产生要求的NAT表要跟需求的表是一样的（题目有表的），R22是做NAT 路由器根据给的一个nat转换表来补充相应的命令 （接口 ip nat outside ，inside） 错误点 1:NAT策略已经有预配而且应该是正确的 2:R22连接pc28的口ip nat outside 3:连接R20的接口缺ip nat inside注意的一点是千万不要在R22 的loobpack 打ip nat outside.验证：telnet outside globe地址 23 ，telnet outside globe 地址 80 就会出现希望的nat转换表Show ip nat translationsR22 预配：ip nat pool cisco 2 2(这个地址是R22的loobpack地址)netmask ip nat inside source route-map telnet interface s1/0（接其他外部设备接口）overloadip nat inside source route-map web pool ciscoroute-map telnet permit 10 match ip address 10route-map web permit 10 match ip address 20access-list 10 per R20access-list 20 per R20R22#show ip nat translations Pro Inside global Inside local Outside local Outside globaltcp :30408 0:30408 3:80 3:80tcp :54254 0:54254 3:23 3:23（错误！）access-list 100 permit tcp 0 host 3（目的地址） eq telnet access-list 101 permit tcp 0 host 3（目的地址）eq www ip nat pool s1/0 （s1/0地址） prefix-length 24 ip nat pool lo0 2 2(lo0地址) prefix-length 24 ip nat inside source list 100 pool s1/0 ip nat inside source list 101 pool lo0注意 INSIDE OUTSIDE 方向 不用POOL的时候就是简明表项R22#show ip nat translations Pro Inside global Inside local Outside local Outside globaltcp :18335 0:18335 3:23 3:23tcp 2:36018 0:36018 3:80 3:80R15没有到达0(目的IP)的路由!12、PBR用R11，R12的loopback0为源ping R8的loopback 0，要求路径为R9R7R8Solution：在R9上初始配置中有PBR，但是配置有错误，需要进行修改R9route-map for11 permit 10 match ip address 101 set ip next-hop x.x.x.x（R7连接R9的以太口IP地址）初始配置错误route-map for12 permit 10 match ip address 101 set ip next-hop x.x.x.x（R7连接R9的以太口IP地址）初始配置错误access-list 101 permit ip host 1 host -list 101初始配置有误access-list 101 permit ip host 2 host interface Ethernet 0/2ip policy route-map for11 -检查接口调用是否正确interface Ethernet 0/3ip policy route-map for12 -检查接口调用是否正确13、rate-limit 限制率以R5的loopback 0为源，R4的loopback 0为目的。做ping ，每个包大小为46Byte ，连续ping100个包，成功率为97%，要求找出原因，并且使得成功率为100%Solution：检查发现，中间节点R1存在CAR的配置对以上流量做了速率限制导致丢包。简单说就是直接把drop改成transmitR1interface Ethernet2/0 （连接R4的接口）rate-limit output access-group 101 8000 1500 2000 conform-action transmit exceed-action dropaccess-list 101 permit ip host host 将接口的CAR no 掉 ，并且重新配置。R1interface Ethernet2/0 （连接R4的接口）rate-limit output access-group 101 8000 1500 2000 conform-action transmit exceed-action transmitaccess-list 101 permit ip host host Check：按照题目要求从R5发起扩展ping，检查是否成功率100%这题上说了可以用“any way”解决，那直接改成transmit就好了！我的做法是改参数为80000 15000 2000014、KRONR27的OSPF邻居处于不稳定状态, UP/DOWN,不停的翻滚，要求1条命令解决。原因：存在Kron R27：kron occurrence ospfcounter in 1 recurring （1分钟） policy-list Xkron policy-list Xcli clear ip ospf countercli clear counterscli clear ip ospf processcli yes解法：通过“show kron schedule ”查看 kron的状态，还有这台设备logging console没开，不过可以用show log看到信息。单独删除map下面的 cli clear ip os pro题目需求是不能删除所有的policy，那唯一的选择就是删除cli clear ip ospf p了logging console,可以看到进程被清。sh kron sc检查是否还会清除OSPF邻居。15、以R14的lo