H3CSE路由学习笔记

1、第一部分 OSPF一、OSPF基本概况，记住 4点。.由IETF制定。.L-S类型。.是一种 IGP。.目前使用 version2 （version3 针对 ipv6） 二、OSPF8个特点。.适用各种网络规模，最多支持几百台路由。.收敛快（原因采用了触发更新机制）。.无环（原因采用了 SPF算法，报文携带routerID）.引入区域机制（L-S路由算法共T提高 OSPF工作效率）。.等价路由（好处是实现负载均衡）。.路由分级（共四级，具有不同优先级，intra和inter是优先级10和extra1和extra2优先级150）。.支持验证（增强了路由协议本身的安全性）。.协议报文用组播发送。三

2、、OSPF6个重要概念。1.自治系统：用 AS表示，是一组使用相同路由协议交换路由信息的路由器集合。2.OSPF的路由计算过程：step0交互LSA每台路由器生成 LSDB （LSA-LSDB ） step将 LSDB转换成带权有向图step（LSDB-带权有向图）根据SPF算法计算出路由。（SPF计算 -路由表）（注意：此过程中每台路由器的LSDB是相同的，每台路由器计算出的路由是不同的。）3.routerID :作用是在 AS中唯一标识一台路由器本身是一个32bits无符号整数。4.OSPF5协议报文：hello报文（用来建立邻居关系，选举 DR/BDR ）DD报文（将自己LSDB描述给邻

3、居）LSR报文（向邻居请求自己需要的LS）LSU报文（向邻居发送对方需要的 LS）LSAck报文（对收到的LS进行确认）五、OSPF6种中LSA类型.type1：每个路由器产生，在本 area内传播.type2： DR产生，在本 area内传播.type3: ABR产生，通告给其他的 area.type4： ABR产生，通告给相关 area （到ASBR的路由）.type5: ASBR产生，通告给除了 STUB area （到AS外部的路由） .type7: NSSA的ASBR产生，仅在 NSSA area传播（到AS外部的路由） 六、邻居和邻接.在OSPF中路由器与路由器之间有两种关系分别是

4、邻居和邻接。.收到hello报文的路由器检查报文中的参数，如果双方一致就形成邻居关系。.当双方成功交换 DD报文，交换LSA达到LSDB同步后，建立邻接关系。 七、OSPF的area概念.area产生原因：路由器数量多导致每台LSDB变大，使路由器需要很到内存和很强CPU运算能力大规模网络中网络容易震荡且收敛很慢。.引入area后OSPF网络中的路由器有 4种：area内路由器区域边界路由器ABR骨干路由器自治系统边界路由器ASBR。.area划分原则：常规 area和骨干area物理直连，否则用 vlink解决。.vlink的另一作用：提供冗余链路（物理直连down,逻辑连接可使用）.STU

5、B area :该area不允许注入type5LSA ,故路由表大大减小。6.NSSA area：是 STUB area 的改进。7.OSPF 网络中路由的类型：intra-inter-type1 external-type2 external八、OSPF支持的网络类型.broadcast:用组播 224.0.0.5 224.0.0.6 发送协议报文，选举 DR/BDR。.NBMA :用单播发送协议报文，选举 DR/BDR ,手工指定邻居.P2P:组播224.0.0.5发送协议报文.P2MP:组播224.0.0.6发送协议报文九、OSPF中DR/BDR 的概念.DRother只与DR/BDR建

6、立邻接关系.broadcast和NBMA 类型接口才会选举 DR/BDR。.路由器优先级大于 0才可被选举为DR/BDR ,优先级相同时，routerID大的选为DR/BDR.DR是针对网段而言的，故以接口来区分。第二部分 BGP一、BGP概述：.是唯一的EGP.现在使用的是 version4.广泛应用于ISP或大型企业网。二、BGP的7个特点1.BGP的作用：控制路由传播和选择最佳路由（ IGP是发现和计算路由）2.BGP的协议报文用 TCP封装，端口号是 179.支持 CIDR（Classless Inter Domain Routing） 无类别域间路由选择.增量更新路由.无环路（通告路

7、由时携带ASN）.具有丰富路由策略.易于扩展三、BGP的4个小概念1.BGP Speaker2.peer3.group4.IBGP 和 EBGP四、BGP的协议报文总结1.BGP有5中协议报文，它们有相同报文头。2.open报文：TCP连接建立后发送的第一个报文，用于建立BGP peer间的邻居关系.update报文：用于在 peer间交换路由信息。.notification报文：BGP检测到错误状态时，向 peer发送该报文，之后 BGP连接中断.keepalive报文：周期性向peer发送，保持连接有效性（该报文只有报文头）.route-refresh报文：用来要求 peer重新发送指定地

8、址的路由信息。五、BGP路由属性总Z（这是 BGP最具特色的地方，也是最重要的地方）1.路由属性是一组参数，对特定路由进行描述，让BGP对路由过滤和选择2.BGP的路由属性分为4类：必遵可选过渡非过渡3.最常用的几个 BGP路由属性列举：origin属性：该属性定义了路由信息的来源，共3个属T值IGPBGPINCOMPLETEas-path属性：该属性按次序记录了某条路由从本地到目的地址所经过的所有AS编号，BGP将一条路由通告到其它 AS时，便把本地 ASN加在as-path列表的最前面。（通常BGP 不会接受as-path列表中包含本地 ASN的路由，从而避免了环路）next-hop属性：

9、BGP把产生的路由发送给所有邻居时，将路由信息的下一跳属性设置为自己与对端连接的接口地址；BGP把接收到的路由发送给 EBGP邻居时，将该路由信息的下一跳属性设置为本地与对端连接的接口地址；BGP把从EBGP邻居得到的路由发送给IBGP邻居时，不改变下一跳属性，如果配置了负载分担，路由被发给旧GP邻居时则会修改。MED属性：BGP路由器通过不同 EBGP邻居得到相同目的地的路由时，其它条件相同 时，有限选择MED值小的作为最佳路由。local-pref属性：该属性仅在 旧GP邻居间交换，不通告Z其他 AS;当BGP路由器通过 不同 旧GP邻居得到相同目的地但下一跳不同的多条路由时，优先选择lo

10、cal-pref值较高的路由。community属性：该属性简化路由策略的应用和降低维护管理的难度。 六、BGP的选路策略，共3中情况情况1:接收路由的策略（首先丢弃下一跳（NEXT_HOP ）不可达的路由；优选Preferred-value 值最大的路由；优选本地优先级（ LOCAL_PREF ）最高的路由；优选聚合路由；优选 AS 路径（AS_PATH）最短的路由；依次选择 ORIGIN类型为IGP、EGP、Incomplete的路由； 优选MED值最低的路由；依次选择从EBGP、联盟、旧GP学来的路由；优选下一跳 Cost值最低的路由；优选CLUSTER_LIST 长度最短的路由； 优选

11、ORIGINATOR_ID 最小的路由； 优选Router ID最小的路由器发布的路由；优选地址最小的对等体发布的路由。）情况2:发布路由的策略（存在多条有效路由时，BGP发言者只将最优路由发布给对等体； BGP发言者只把自己使用的路由发布给对等体；BGP发言者从EBGP获得的路由会向它所有BGP对等体发布（包括 EBGP对等体和 旧GP对等体）；BGP发言者从 旧GP获得的路由 不向它的 旧GP对等体发布；BGP发言者从 旧GP获得的路由发布给它的 EBGP对等体（关 闭BGP与IGP同步的情况下，旧GP路由被直接发布；开启 BGP与IGP同步的情况下，该 IBGP路由只有在IGP也发布了这

12、条路由时才会被同步并发布给EBGP对等体）；连接一旦建立，BGP发言者将把自己所有的 BGP路由发布给新对等体。） 情况3:应用了负载分担后时的选路 七、BGP和IGP的同步问题 1.IBGP路由加入路由表前并发布给 EBGP邻居前，会先检查IGP路由表，只有IGP叶有改 目的路由是，认为是同步的，才会发布路由给 EBGP邻居。否则是不同步，不加入不发布。 八、大规模BGP网络面临的问题 1.路由聚合：支持自动聚合和手动聚合，手动聚合可以控制聚合路由属性，以及决定是否发 布具体路由。.路由衰减.路由反射器.联盟第三部分路由策略 一、路由策略概述，共 3点 1.作用：为了改变流量的路径而修改路由

13、信息.应用场合：路由发布时路由接收时路由引入时.实现方法：step定义匹配规则 step将匹配规则应用到需要的场合二、路由策略实现用到的过滤器(1.2.6是通用的，3.4.5是BGP专用的).ACL.地址前缀.as-path访问列表.团体属性列表.扩展团体属性列表.route-policy第四部分 AAA和radius一、AAA知识点，4点.AAA=authentication、authorization、accounting (认证、授权、计费)：认证是确认远端 访问用户的身份是否合法授权是对不同用户赋予不同权限，限制用户可以使用的服务计费是记录用户使用网络服务中的所有操作，包括使用的服务类

14、型、起始时间、数据流量等， 不仅是计费手段，也对网络安全起监视作用。.AAA 是C/S架构，一般radius或hwtacacs规定NAS与server如何传递用户信息。.3个A可以搭配使用。二、radius 概述.radius=remote authentication dial-in user service (远程认证拨号用户服务).radius是分布式、C/S架构的信息交互协议.radius基于UDP, 1812为认证端口、1813为计费端口.radius最早用于拨号接入，后来用于以太网接入、ADSL接入三、radius服务器通常维护3个数据库 1.users：用户名、口令、协议、ip地

15、址 2.clients:共享密钥、ip地址 3.dictionary :属性和属性值 四、radius客户端和服务器端交互机制，共3点.radius客户端和服务器之间认证消息的交互通过共享密钥保证安全，网络不传输共享密钥。用户密码在网络上加密传输。.radius服务器支持多种方法认证用户(如基于 PPP的PAPCHAP ).radius服务器可以为其它类型认证服务器提供代理五、radius消息交互流程，共 9步Step0用户发起连接请求，向 RADIUS客户端发送用户名和密码。StepRADIUS 客户端根据获取的用户名和密码，向 RADIUS服务器发送认证请求包 (Access-Reques

16、t),其中的密码在共享密钥的参与下由MD5算法进行加密处理。Ste陪RADIUS服务器对用户名和密码进行认证。 如果认证成功，RADIUS服务器向RADIUS 客户端发送认证接受包 (Access-Accept);如果认证失败，则返回认证拒绝包(Access-Reject)。 由于RADIUS协议合并了认证和授权的过程， 因此认证接受包中也包含了用户的授权信息。StepRADIUS客户端根据接收到的认证结果接入/拒绝用户。如果允许用户接入，则RADIUS客户端向 RADIUS服务器发送计费开始请求包( Accounting-Request) o Step RADIUS服务器返回计费开始响应包(

17、 Accounting-Response ),并开始计费。Step用户开始访问网络资源。Step用户请求断开连接，RADIUS客户端向RADIUS服务器发送计费停止请求包（Accounting-Request ）。Step RADIUS 服务器返回计费结束响应包（ Accounting-Response ）,并停止计费。Step用户结束访问网络资源。第五部分VPN一、VPN特点，共3点.VPN是利用现有公共网络，通过资源配置形成的逻辑上的网络。.VPN为特定企业或用户群专用。.VPN不是简单的高层业务。二、VPN的优势，共5点.为用户建立可靠的安全连接.提高网络资源利用率.VPN应用灵活.满足

18、移动业务需求.MPLS-VPN能构建具有QoS的VPN三、VPN网络结构描述，共 3点.若干site组成VPN.所有site属于一个企业是intranet VPN.所有site分属不同企业是 Extranet VPN四、VPN如何来组建逻辑网络，共 2点.呼叫连接过程由ISP得NAS与VPN服务器共同完成。.POP=point of presence服务器（位于ISP得边缘，直接接用户）五、VPN的本质，共4点.VPN=隧道+加密.隧道分为二层隧道和三层隧道.二层隧道一般终止在用户侧设备，三层隧道一般终止在ISP网关；三层隧道比二层隧道更安全更容易扩展更可靠.二层隧道和三层隧道可独立使用，也可

19、配置使用，这样更更全更佳的性能六、VPDN总结，共2点.VPDN=virtual private dial network 虚拟私有拨号网：指利用公共网络（ ISDN或PSTN）的 拨号功能及接入网来实现VPN.VPDN有两种实现方式： NAS通过隧道协议，与 VPDN网关建立通道客户机直接与 VPDN网关建立隧道七、L2TP总结.协议背景：PPP协议定义了一种封装技术，可在二层点到点链路传输多种协议数据包，用户与NAS间运行PPP协议，二层链路端点与 PPP会话点驻留在相同硬件设备上；L2TP提供了对PPP链路层数据包的通道（tunnel）传输支持，允许二层链路端点和PPP会话点驻留在不同设

20、备上，且采用包交换进行信息交互，扩展了PPP模型。.术语：LAC=L2TP accessconnectrator （具有PPP端系统和L2TP协议处理能力的设备） LNS=L2TP network server （PPP端系统处理L2TP协议服务器端的设备）.PPP帧和控制通道及数据通道间的关系：PPP帧在不可靠的L2TP数据通道上传输，控制消息在可靠的L2TP控制通道内传输。.tunnel和session： tunnel连接定义了一个 LNS和LAC对；session连接复用在tunnel之上， 用于表示承载在 tunnel连接中的每个 PPPsession过程；同一对 LAC和LNS间可建

21、立多个 L2TP tunnel, tunnel由一个控制连接和一个或多个session组成；session连接必须在tunnel建立成功后进行，每个session对应于LAC和LNS间的一个PPP数据流；控制消息和 PPP数据报文都在tunnel上传输。.控制消息和数据消息：控制消息用于隧道和会话的建立、维护、传输控制；数据消息用于 封装PPP帧在隧道上传输；控制消息和数据消息共享相同的报文头。.L2TP的两种tunnel模式：远程拨号用户发起直接由LAC客户发起。.L2TP隧道和会话建立过程：（用户端PC发起呼叫连接请求 PC和LAC进彳T PPP LCP 协商LAC对PC提供的用户信息进行

22、 PAP或CHAP认证LAC将热证信息（用户名、密 码）发送给radius服务器进行认证radius服务器认证该用户；如果认证通过则返回该用户 对应的LNS地址等相关信息且 LAC准备发起tunnel连接请求LAC向指定LNS发起tunnel 连接请求LAC向指定LNS发送CHAP challenge信息，LNS会送该 challenge响应消息 CHAP response并发送 LNS 侧的 CHAP challenge,LAC 返回该 challenge 的响应消息 CHAP response隧道验证通过 LAC将用户 CHAPresponse response identfier和PPP

23、协商参数传 送给LNSLNS将介入请求信息发送给radius服务器进行认证（11） radius服务器认证该请求信息，如果认证通过则返回响应信息（12）若用户在LNS配置强制本端 CHAP认证，则LNS对用户进行认证，发送 CHAP challenge ,用户侧回应 CHAP response （13） LNS再次将 接入请求信息发送给 radius服务器进行认证（14） radius服务器认证该请求信息，如果认证 通过则返回响应信息；验证通过，用户访问企业内部资源。八、GRE总结，共6点。.GRE=generic routing encapsulation （通用路由封装）：是对某些网络层协

24、议（如 ip和IPX ） 的数据报文进行封装，使被封装的数据报文能在另一网络层协议（如 ip）中传输。.GRE是VPN的三层隧道协议。.tunnel是一个虚拟点到点连接，可以看成仅支持点到点连接的虚拟接口。.报文在tunnel中传输，必须经历 2个处理过程： encapsulationde-encapsulation.GRE的使用：多协议的本地网通过单一协议骨干网传输扩大步跳数受限协议（如IPX）的网络工作范围将不连续子网连接用于组建VPN与IPsec结合使用。.GRE的配置：必须先创建tunnel虚拟接口，然后在tunnel接口上配置其它功能特性 （删 除tunnel接口同时接口所有配置也被

25、删除）目前 comware不支持GRE对IPX的封装。 九、IPsec总结1.IPsec概述：由IETF制定IPsec是特定通信方在ip层通过加密与数据源验证等来保证 数据传输的私有性、完整性、真实性和放重放IPsec通过AH和ESP实现安全，通过IKE自动协商交换密钥、建立和维护SAAH提供数据源验证、数据完整性校验、报文放重放功能ESP提供AH所有功能外，还提供对ip报文加密。AH和ESP可单独使用也可搭配使用更安全。2.安全联盟SA：IPsec在对等体间提供安全通信通过SA, IPsec能对不同数据流提供不同安全级别，专业说法叫“控制对等体间安全服务的粒度” SA是IPsec对等体间对某

26、些 要素的定SA是单向的（两个对等体间双向通信，至少需要两个SA）SA由三元组来标识（ 目的ip地址安全协议号AH或ESP）SA有生存周期，计算方式有两种（时间 和流量）。3.IPsec的操作模式有2种：传输模式（AH或ESP被插入到ip头之后所有传输层协议之 前或所有其他IPsec协议之前）隧道模式（AH或ESP插入在原始ip头之前，另外生成一 个新头放在AH或ESP之前）隧道模式的安全性优于传输模式但性能不及传输模式。4.验证算法和加密算法：验证算法（有两种MD5和SHA-1 ;用于完整性验证判断报文在传输过程中是否被篡改；验证算法通过杂凑函数接受任意长的消息输入，产生固定长度输出的算法，

27、输出信息称为消息摘要；MD5输入任意长度产生128bits摘要，SHA-A输入小于2 的 64 次方 bits 产生 160bits 摘要）加密算法（DES=data encryption standard 使用 56bits 的 密钥对64bits明文加密；3DES=Triple DES 使用3个56bits密钥对明文加密； AES=advanced encryption standard -comware 实现了 128bits/192bits/256bits 密钥长度的 AES 算法）。5.IPsec的2种协商方式：手工方式（manual）IKE自动协商手工方式配置复杂且IPsec一些高

28、级特性（如定时更新密钥）不被支持；IKE只需配置好IKE协商安全策略信息由IKE自动协商来创建和维护SA对等体设备数量少或小型静态环境使用手工配置SA;大中型动态网络环境中使用IKE协商建立SA。6.加密卡：加密/解密、认证算法一般比较复杂，占用大量CPU资源，影响路由器整体处理效率模块化路由可以使用加密卡，以硬件方式完成IPsec运算；提高了路由器工作效率也提高了 IPsec处理效率。第六部分QoS一、QoS概述，共5点.QoS是网络转发分组的服务能力.传统 ip 网络 QoS是 FIFO （best-effort）.现今的ip网络要承载新业务（视频语音等业务），对带宽和延迟、抖动要求较高.

29、延迟、抖动主要是拥塞引起的.流量管理的5种技术：流分类流量监管流量整形拥塞管理拥塞避免 二、流分类总结，共 6点.流分类是对流量进行分类，是实现QoS的基础.流分类可使用TOS或根据源地址、目的地址、MAC地址、ip协议或端口号灯信息对流进行分类.一般的分类依据都局限在封装报文的头部信息，使用报文内容作为分类标准比较少见。.一般在网络边界对报文分类，同时设置报文ip头TOS字段的优先级位。这样在网络内部直接使用ip优先级作为分类标准，队列技术也可使用这个优先级对报文进行不同的处理。下游网络可选择接受上游网络的分类结果，也可按自己的标准重新进行分类。.当报文进入网络时依据承诺速率进行监管，流出结

30、点前进行整形，拥塞时的队列调度管理，拥塞加剧时采取拥塞避免.TOS和DSCP:TOS有8bits ,前3bits是ip优先级，取值范围是 0-7;后3-6bits是TOS 优先级，取值范围是 0-15。重新定义 TOS域，称为DS域。DSCP优先级使用前6bits , 取值范围0-64,后2bits保留。三、令牌桶.令牌桶是流量评估机制，或者说是评估流量是否超标的手段.令牌桶是存放一定数量令牌的容器。系统按设定的速度向桶中放置令牌，当桶中令牌满时，多出的令牌溢出，桶中令牌不再增加。.通常一个令牌关联一个比特的转发权限。.简单评估（CIRCBS） :CIR承诺信息速率；CBS承诺突发尺寸，设置的

31、突发尺寸必须大于 最大报文长度。.复杂评估（c桶和e桶，CIRCBSPIREBS ） IR峰值信息速率；EBS超出突发尺寸。 四、流量监管总结，共 4点.流量监管是监督进入网络某一流量规格，将流量限制在合理范围。.如果发现某个链接流量超标，流量监管可选择丢弃报文，或重新设置报文的优先级。.流量监管广泛用于监管进入Internet ISP的网络流量。.监管动作：转发（比如对评估结果“符合”的报文继续转发）丢弃（比如对评估结果 为“不符合”的报文进行丢弃）改变优先级并转发（比如对评估结果为“符合”的报文将 之标记为其它的优先级后再进行转发）改变优先级进入下一级监管 （比如对评估结果为“符合”的报文

32、将之标记为其它的优先级后在进入下一级监管）进入下一级监管（流量监管可以逐级堆叠，每级关注和监管更具体的目标）五、流量整形总结，共 3点.流量整形是主动调整流量输出速率的措施。典型应用时基于下游网络结点的TP指标来控制本地流量的输出。.整形和监管的区别是整形对监管中需要丢弃的报文进行缓存，当令牌桶中有足够令牌，均 匀向外发送这些报文。另外，整形会增加延迟，而监管几乎不引入额外的延迟。.举例：RA向RB发送报文，RB要又RA发送来的报文进行监管， 对超出的流量直接丢弃。 为了减少报文无谓丢失，可在RA的出口对报文进行整形处理，将超出的流量缓存起来，当可以继续发送时再发送。六、拥塞管理总结，共 3点

33、.分组到达速度大于接口发送分组的速度就产生拥塞；如果没有足够空间存储这些分组，就 会丢失，丢失的分组会导致发送该分组的设备因超时而重传，这样讲导致恶性循环。.拥塞管理的本质是党拥塞发生时指定资源调度策略决定报文转发次序的机制。主要靠各种队列机制完成。.QP=fair queuing公平队列：不同队列获得公平调度机会，从总体上均衡各个流的延迟 短报文和长报文获得公平的调度，如果不同队列间同时存在多个长报文和短报文等待发送， 应当估计短报文的利益，让短报文优先获得调度，从而总体上减少各个流的包文件的抖动。.WFQ加权公平队列： WFQ计算报文调度次序时增加了优先权的考虑，高优先权的报文获 得调度的

34、机会多于低优先级的报文。在出队时，WFQ按流的优先权分配每个流占有出口带宽。优先权的数值越小，所得带宽越小。七、拥塞避免总结，共 5点.拥塞避免（congestion avoidance）是一种流控机制，通过监视网络资源（如队列或内存缓 冲区）的使用情况，在拥塞有加剧的趋势时，主动丢弃报文，通过调整网络流量解除网络过载。.传统丢包策略是tail-drop （尾部丢弃），当队列的长度达到最大值后，所有新来的报文都被 丢弃。将引发TCP全局同步现象。.TCP全局同步：当队列同时丢弃多个 TCP连接的报文时，将造成多个 TCP连接同时进入 拥塞避免和慢启动状态以降低并调整流量，而后又同时出现流量高峰

35、，如此反复，使网络流量不停震荡。.RED （random Early detection）随机早期检测：每个队列都有上下限队列长度小于下 限不丢弃报文队列长度超过上限，丢弃所有来到的报文队列长度介于上下限之间，开始随机丢弃到来的报文，队列越长丢弃概率越高，但有一个最大丢弃概率。.WRED （weigted random Early detection ）加权随机早期检测：生成的随机数是基于优先权 的，它引入ip优先权区别丢弃策略，考虑高优先权报文利益，使其被丢弃的概率相对较小。第七部分IPV6 一、ipv6概述1.ipv6是网络层第二代标准协议。2.由IETF制定。3.ipv6与ipv4最显著

36、的变化时地址长度增加到128bits,报文格式也有较大变化。二、ipv6的特点，共8点.简化的报文头：ipv6基本报文头固定40字节，是ipv4不含可选字段报文头的 2倍（ipv6 将ipv4报文头某些字段裁剪或移到扩展报头部分，提高了转发效率） 。.充足的地址空间：超过 3.4乘10的38次方个地址。.层次化地址结构：有利于路由快速查找和路由汇聚。.地址自动配置：无状态地址自动配置（还有有状态地址自动配置DHCPV6和手工配置）。.内置安全性：ipv6直接将IPsec作为扩展报头，提供端到端的安全。.支持QoS:基本报头的flow label字段允许设备对某一流中报文进行识别并提供特殊处理。.增强的邻居发现机制：ipv6没有了 ARP,通过ICMPv6实现同样功能。.灵活的扩展报头：提高处理效率增强灵活性增强扩展性三、ipv6的地址表不.用“冒号十六进制”表示法。.每组前导0可省略。.连续多组全0用:代替，但每个地址只能出现一次。4.ipv6地址=前缀+接口标识四、ipv6