路由管理和二层广播风暴抑制的方法

1、一级分行路由管理和二层广播风暴抑制的建议信息技术部网络管理室信息技术部安全内控室目 录一、路由管理与控制建议31.1措施一31.2措施二41.3措施三41.4措施四51.5措施五61.6措施六61.7措施七6二、二层广播风暴抑制管理与控制建议62.1核心区交换机配置72.1.1 全局配置命令72.1.2 核心交换机光纤互联端口配置72.2业务后台区汇聚交换机配置82.2.1 全局配置命令82.2.2 区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口配置命令82.2.3 区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口命令82.3业务后台区接入交换机配置82.3.1 全局配置

2、命令82.3.2 业务后台区接入交换机服务器接入端口配置命令82.3.3 业务后台区接入交换机服务器接入端口配置命令92.3.4 业务后台区接入交换机上连区域汇聚交换机的端口配置命令92.3.5 业务后台区接入交换机上连区域汇聚交换机的端口配置命令92.4业务前台区汇聚交换机配置10全局配置命令10区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口配置命令10区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口配置命令102.5业务前台区接入交换机配置10全局配置命令10业务前台区接入交换机终端接入端口或hub接入端口配置命令10业务前台区接入交换机终端接入端口或hub接入端口配

3、置命令11业务前台区接入交换机上联区域汇聚交换机端口配置命令11业务前台区接入交换机上联区域汇聚交换机端口配置命令112.6办公区汇聚交换机配置12全局配置命令12区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口配置命令12区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口配置命令122.7办公区接入交换机配置12全局配置命令12办公区接入交换机终端接入端口配置命令13办公区接入交换机终端接入端口配置命令13办公区接入交换机服务器接入端口配置命令13办公区接入交换机服务器接入端口配置命令14办公区接入交换机上连汇聚交换机端口，办公区接入交换机互联端口配置命令14办公区接入交换

4、机上连汇聚交换机端口，办公区接入交换机互联端口配置命令14一、路由管理与控制建议一级分行路由管理和控制主要目的，是针对一级分行所辖网络中因非规范化配置或人为误操作，可能对分行网络系统安全生产造成重要影响的路由控制与管理策略进行强化。通过对一级分行网络的现状和过往故障进行分析，计划采用技术手段对一级分行所辖网络进行过滤和分发控制，具体技术控制措施以下图为模型进行阐述：如上图所示，路由控制与管理相关措施如下所列：1.1 措施一一级分行所辖分支机构（含二级分行、支行、网点等）上联路由器做路由过滤，仅向一级分行汇聚路由器发布该机构所属网段的路由前缀。参考配置（应用于ZHRT-28-01）：定义路由过滤

5、控制列表（配置参考）：ip prefix-list Route-into-YJFH seq 10 permit 10.XX.XX.0/24ip prefix-list Route-into-YJFH seq 20 permit 99.XX.XX.0/24注：此控制列表只允许此网点的一个C类地址路由转发，如果该网点分配有多个C类地址，可以扩大允许路由转发的地址范围定义EIGRP路由协议：router eigrp XXdistribute-list prefix Route-into-YJFH out FastEthernet0/0/路由过滤应用在上联接口network 10.0.0no auto

6、-summary1.2 措施二一级分行下联各分支机构的汇聚路由器上对所辖各分支机构做路由过滤，仅接受该分支机构所属网段的路由前缀。参考配置（应用于DWRT-76-01）：定义路由过滤控制列表（配置参考）：ip prefix-list Route-from-XXZH seq 10 permit 10.XX.XX.0/24ip prefix-list Route-from-XXZH seq 20 permit 99.XX.XX.0/24注：此控制列表只允许接受此网点的一个C类地址路由，如果该网点分配有多个C类地址，可以扩大允许路由转发的地址范围定义EIGRP路由协议（配置参考）：router ei

7、grp XXdistribute-list prefix Route-from-XXZH in GigabitEthernet1/24.100/路由过滤应用在下联该网点的（子）接口network 10.0.0eigrp router-id 10.XX.255.X /定义eigrp router-idno auto-summary1.3 措施三一级分行下联各分支机构的汇聚路由器向核心交换机做路由过滤，严禁向核心交换机发布该一级分行所分配IP地址段以外各类路由前缀。参考配置（应用于DWRT-76-01）：定义路由过滤控制列表（配置参考）：ip access-list standard route-

8、filter permit 10.XX注：此控制列表只允许此一级分行下联路由器向分行核心交换机转发匹配一级分行B类IP地址的路由，如果该一级分配有多个B类地址，可以扩大允许路由转发的地址范围定义路由过滤route-map：route-map Route-into-CORE permit 10 match ip address route-filter定义EIGRP路由协议（配置参考）：router eigrp XXdistribute-list prefix Route-into-CORE out GigabitEthernet1/23/路由过滤应用在与核心交换机的互联接口network 10

9、.0.0eigrp router-id 10.XX.255.X /定义eigrp router-idno auto-summary1.4 措施四一级分行灾备机房指向总行的汇总路由，子网掩码必须大于.0/9，且该汇总路由平时不得进行配置，仅在需要启用灾备机房时进行配置。参考配置（应用于ZBRT-38-02）：定义指向总行的汇总路由（配置参考）：ip route 10.0.0.0 255.0.0.0 10.XX.XX.XX /定义10.0.0.0/8的静态路由指向ZBRT-38-01定义前缀列表配置（配置参考）：ip prefix-list static-to-eigrp seq 10 permi

10、t .0/8定义静态路由重分发route-map配置（配置参考）：route-map static-to-eigrp permit 10 match ip address prefix-list static-to-eigrp 定义EIGRP路由协议（以下EIGRP配置只有在启用灾备机房时才进行配置写入，正常情况下此设备EIGRP协议应关闭）（配置参考）：router eigrp XXredistribute static route-map static-to-eigrp /只重分发匹配route-map的静态路由network 10.0.0no auto-summary1.5 措施五尚未完

11、成一级分行同城双活实施分行，主机房与备份机房之间必须关闭路由邻居关系，备份机房与一级分行所辖各分支机构之间的路由邻居关系也必须关闭。参考配置（应用于ZBRT-38-02）no router eigrp XX /关闭EIGRP动态路由协议interface fastEthernet0/1 /关闭连接网点备份线路的接口shutdown参考配置（应用于ZBRT-38-01）interface fastEthernet0/0 /关闭连接深圳数据中心灾备线路的接口shutdown1.6 措施六所有运行EIGRP路由协议的路由器，必须关闭路由自动汇总；参考配置：router eigrp XXno auto

12、-summary1.7 措施七采用运营商进行线路传输参数切换实现通讯线路灾备切换的分行必须和运营商就线路切换流程达成科学、合理、可靠的切换流程，必要时应将灾备机房下联汇聚路由器广域网端口物理关闭。二、二层广播风暴抑制管理与控制建议一级分行二层广播风暴抑制管理和控制主要目的，是针对一级分行所辖网络中因非规范化配置或人为误操作，可能对分行网络系统安全生产造成重要影响的广播控制与管理策略进行强化，主要是对一级分行内部的局域网安全配置全面部署，预防广播风暴、光纤线路单通、VLAN database混乱等灾难性故障的发生。通过对一级分行网络的现状和过往故障进行分析，计划采用技术手段对一级分行所辖网络进行

13、过滤和分发控制，具体技术控制措施以下图为模型进行阐述：2.1 核心区交换机配置2.1.1 全局配置命令 vtp mode transparent udld aggressive udld message time 72.1.2 核心交换机光纤互联端口配置 int gigabitEthernet X/Y udld port aggressive2.2 业务后台区汇聚交换机配置2.2.1 全局配置命令 vtp mode transparent udld aggressive udld message time 72.2.2 区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口配置命令 Cat

14、alyst37系列交换机 int gigabitEthernet X/0/Y switchport mode trunk udld port aggressive /光口才需要配置，电口不需要配置,下同 区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口命令Catalyst49、45、65系列交换机 int gigabitEthernet X/Y switchport mode trunk udld port aggressive 2.3 业务后台区接入交换机配置 全局配置命令 vtp mode transparent spanning-tree uplinkfast udld agg

15、ressive udld message time 72.3.2 业务后台区接入交换机服务器接入端口配置命令Catalyst37系列交换机 int gigabitEthernet X/0/Y switchport mode access storm-control broadcast level pps 500 250 storm-control multicast level pps 500 250 storm-control action trap spanning-tree bpduguard enable2.3.3 业务后台区接入交换机服务器接入端口配置命令Catalyst49系列交换

16、机int gigabitEthernet 1/X switchport mode access storm-control broadcast level 1.50 storm-control multicast level 1.50 storm-control action trap spanning-tree bpduguard enable2.3.4 业务后台区接入交换机上连区域汇聚交换机的端口配置命令Catalyst37系列交换机 int gigabitEthernet X/0/Yswitchport mode trunk udld port aggressive2.3.5 业务后台区

17、接入交换机上连区域汇聚交换机的端口配置命令Catalyst49系列交换机 int gigabitEthernet 1/Xswitchport mode trunk udld port aggressive2.4 业务前台区汇聚交换机配置2.4.1全局配置命令 vtp mode transparent udld aggressive udld message time 72.4.2区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口配置命令 Catalyst37系列交换机 int gigabitEthernet X/0/Y switchport mode trunk udld port a

18、ggressive /光口才需要配置，电口不需要配置,下同2.4.3区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口配置命令Catalyst49、45、65系列交换机 int gigabitEthernet X/Y switchport mode trunk udld port aggressive 2.5 业务前台区接入交换机配置2.5.1全局配置命令 vtp mode transparent udld aggressive udld message time 72.5.2业务前台区接入交换机终端接入端口或hub接入端口配置命令 Catalyst37系列交换机int gigabit

19、Ethernet X/0/Y switchport mode access storm-control broadcast level pps 500 250 storm-control multicast level pps 500 250 storm-control action trap spanning-tree bpduguard enable2.5.3业务前台区接入交换机终端接入端口或hub接入端口配置命令Catalyst49系列交换机 int gigabitEthernet 1/X switchport mode access storm-control broadcast le

20、vel 1.50 storm-control multicast level 1.50 storm-control action trap spanning-tree bpduguard enable2.5.4业务前台区接入交换机上联区域汇聚交换机端口配置命令 Catalyst37系列交换机 int gigabitEthernet X/0/Y switchport mode trunk udld port aggress2.5.5业务前台区接入交换机上联区域汇聚交换机端口配置命令 Catalyst49系列交换机 int gigabitEthernet 1/X switchport mode t

21、runk udld port aggress2.6 办公区汇聚交换机配置2.6.1全局配置命令 vtp mode transparent udld aggressive udld message time 72.6.2区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口配置命令 Catalyst37系列交换机 int gigabitEthernet X/0/Y switchport mode trunk udld port aggressive /光口才需要配置，电口不需要配置,下同2.6.3区域汇聚交换机与接入交换机互联端口，汇聚交换机之间互联端口配置命令Catalyst49、45、6

22、5系列交换机 int gigabitEthernet X/Y switchport mode trunk udld port aggressive 2.7 办公区接入交换机配置2.7.1全局配置命令 vtp mode transparent udld aggressive udld message time 72.7.2办公区接入交换机终端接入端口配置命令Catalyst37系列交换机 int gigabitEthernet 1/0/X switchport mode access storm-control broadcast level pps 500 250 storm-control multicast level pps 500 250 storm-control action trap spanning-tree bpduguard enable2.7.3办公区接入交换机终端接入端口配置命令Catalyst49系列交换机int gigabitEthernet 1/X switchport mode access storm-control broadcast level 1.50 storm-control