PHP博客-青蛙不是癞蛤蟆-随笔分类-MPLS/VPN

MPLS-VPN的最佳解决方案

学习资料库 — Fri, 11 Aug 2006 05:22:00 GMT

通过建设虚拟专用网(VPN)，企业可以把公用Internet看成自己的专用WAN，用于连接远程办公室、开展电子商务、为客户提供支持并与供应商和其他商业伙伴沟通。
　　　　
　　早期建设的VPN使用永久虚电路(PVC)和隧道技术，并且获得了很大的成功。但是，随着连接范围的扩大，可扩展性和管理的问题越来越突出。可喜的是，多协议标记交换(MPLS)技术的出现让我们可以建设能够支持多种业务级别并且能够无限扩展的全互连IP VPN。
　　传统VPN面临的困难
　　　　
　　今天部署的大部分VPN属于两种基本模式，其中比较贵的一种模式，使用电信运营商网络中的第二层，例如帧中继或ATM PVC，建设点对点的网络。这种方法要求对闭合用户群的每一个地点分配一个唯一的标识，并且对哪些地点之间可以交换信息进行管理。由于每个地点必须与新增加的地点连接，就很难快速地添加大量新的地点，因为这需要利用服务供应商WAN建立全互连的虚拟电路连接并进行管理。
　　　　
　　另外一种VPN模式是在服务供应商网络边缘的路由器之间，建立点对点隧道的网络。用户和服务供应商的网络使用同一种IP协议，而且每个服务供应商的路由器必须对所有用户网络全部的路由信息进行维护。每个边缘路由器必须与所有其它路由器交换地址和链路以及设备状态的信息。每个路由器必须维护大量的路由信息，而且加入的新地点越多，路由信息的量越大，这样一来要做到高的可扩展性就很难。　　
　　
　　服务供应商使用PVC或隧道时必须对每个新用户定义一个新的网络拓扑，这样做代价很高，也正因如此，很多服务供应商并不认为目前应向小型和中型商业用户提供VPN业务。
　　　　
　　服务质量(QoS)是VPN的另一个难题。帧中继和ATM PVC可以通过对每个PVC进行缓冲的机制提供多种业务级别。但是，网络越大，对每个VPN中多个PVC的多种业务级别进行管理就越困难。如果使用隧道技术，就需要使用IP安全(IPSec)和通用路由封装(GRE)技术对VPN进行配置，而IPSec和GRE本身不足以支持QoS。
　　　　
　　建设大规模网络
　　　　
　　MPLS VPN技术在提供现有VPN网络所有能力的同时提供强有力的QoS能力。MPLS VPN在第三层实现，但并不使用隧道，因此可以无限扩展。另外，用户享受到的保密性与帧中继或ATM PVC所提供的相同，这是因为MPLS把路由信息的传播限于归属某个特定VPN的路由器的范围内。　　
　　
　　服务供应商采用Cisco的MPLS方案可以提供多种级别的业务，原因就在于Cisco MPLS标记包括流量优先级信息。IETF目前正在对优先级标记功能进行标准化。　　
　　
　　由于对路由方面知识的要求几乎为零，所以对最终用户而言，MPLS VPN的支持费用也要低一些。另外，相对于传统管理路由的方案，路由配置的工作量大大降低，所以服务供应商的运营费用也大大降低。
　　　　
　　“用户花在一个可管理的IP网络上的钱比他们花在帧中继上的要少。”Cisco多业务交换商业部总监Robert Redford说，“一个25节点可管理的IP VPN比帧中继网络的PVC部分费用节省83%。”这是因为，一方面不需要在每一对互相通信的VPN之间提供PVC并支付PVC的月租费，另一方面由于减轻了路由配置的工作量，运营费用也有所降低。
　　　　
　　Cisco MPLS VPN的第一个版本包括在Cisco IOS软件版本12.0中。服务供应商可在一个骨干网上支持一百万个地点，举例来说，网络覆盖1000个地点，每个地点1000个VPN；或者网络覆盖 100个地点，每个地点10,000个VPN。新的版本将能够支持一千万个以上的地点。　　
　　
　　由于整个网络中没有哪一个设备必须知道所有的VPN路由，所以可扩展性部分得到了保证。“这意味着不存在一个瓶颈点。”Cisco企业商业产品线MPLS资深产品经理 Ranjeet Sudan解释说，“用户端路由器只与本地POP的一个边缘路由器直接相连；边缘路由器只承载VPN路由，而核心设备无需知道VPN路由。” 　　
　　
　　路由器和交换机的作用　　
　　
　　在MPLS VPN里，服务供应商的骨干网是由边缘和核心标记交换路由器(LSR)组成的。边缘路由器与用户端路由器相连。用户端路由器运行标准的路由软件。两种设备之间使用IP互相通信。路由器之间使用外部边界网关协议(EBGP)、路由信息协议版本2(RIPv2)和静态路由来交换路由信息。另外，Cisco支持 MPLS的设备很快也能够支持开放最短路径优先(OSPF)协议。　　
　　
　　在服务供应商的网络里，边缘路由器使用 MPLS和多协议内部网关协议(MP-IBGP)相互通信并传播VPN信息。服务供应商的MPLS网络中的核心路由器与边缘路由器都使用普通的内部网关协议(IGP)，但核心路由器上不运行BGP，也不区分不同的VPN。由于核心路由器不必进行VPN寻址，服务供应商的网络可以不断扩展来支持更多、更大的 VPN。　　
　　
　　服务供应商的边缘路由器分别针对全局和VPN路由维护相应的路由表。全局路由表包括所有边缘和核心的路由，这些路由由在骨干网上运行的IGP提供。每个VPN 有一个VPN路由和转发(VRF)表，其中包括一个或多个直接相连的用户地点的信息。IP VPN编址方案保证即使IP地址重叠，全局的IP地址仍是唯一的。边缘路由器可以隔离不同的VPN的路由信息，从而支持多个用户VPN。
MPLS VPN的组成　　
　　
　　MPLS VPN模式支持网内所有地点之间的全互连通信。多个用户共享同一个IP骨干网时，可以用BGP的归属社区(community-of-interest) 属性指定属于同一个VPN的路由器。服务供应商可以设置策略来规定VPN网内的路由信息的传播只限于网内的路由器。
　　　　
　　用户端路由器只与服务供应商本地POP的路由器相连，而不是与VPN每一个其它的地点，相连POP的路由器只接收并保持与其直接相连的VPN的路由信息。所以用户在管理自己的VPN时会发现使用MPLS模式时路由配置非常简单。他们可以把服务供应商的骨干网当作到他们所有地点的缺省路由来使用，而不需要与非常复杂的、包括了大量第二层PVC或第三层路由表的网络打交道。
　　　　
　　编址方面的考虑
　　　　
　　很多用户都愿意使用专用的IP编址方案，而不使用全局IP编址方案，所以服务供应商需要有效地处理地址不唯一彼此重叠的问题。Cisco的解决方案是在每个用户的IP地址上加一个路由区分码(RD)。
　　　　
　　服务供应商可以独立地分配RD，但是他们需要把他们专用的自治系统(AS)号作为RD的一部分来保证每个RD的全局唯一性。用户采用这种方法就不必重新对他们的节点进行编号，服务供应商也不必使用地址翻译。
　　　　
　　分组的生命期
　　　　
　　在MPLS VPN里，当用户地点的路由器收到一个分组时，会在本地进行查表，如果找不到一个匹配，它就会把分组转交给它所能看到的唯一的一个路由器：服务供应商本地POP的路由器。用户不必运行MPLS软件。
　　　　
　　这个分组通过本地连接传送到服务供应商的网络，终接在接入路由器接口上。这个接口配置的RD用来标识用户特定的VPN以及与之相关的VRF表。
　　　　
　　与VPN IP地址相关的标记有两个：内勘昙怯糜诒晔禫PN而外部标记指示下一跳应该沿着服务供应商核心网络中哪一个合适的IGP路由前进。在核心网中，分组的转发全部使用逐跳(hop-to-hop)MPLS，这种方式与普通的逐跳(hop-to-hop)IP转发相似，但查表基于标记而不是基于IP地址。因此可以使用支持标记分配协议(LDP)的任何类型的路由器或ATM交换机。
　　　　
　　当接入路由器收到一个分组时，利用外部标记把它转发给另一个接入路由器。而当分组到达出口路由器时，路由器将外部标记移去，利用内部标记决定应当把分组发送到哪一个输出接口(即哪一个VPN)。
　　　　
　　使用两级标记提高了MPLS VPN的可扩展性。内部标记只携带IGP路由，而不携带VPN路由。只有边缘路由器携带VPN路由，而且他们只携带他们归属的VPN的路由。
　　　　
　　连接到Internet
　　　　
　　用户也许会希望把他们的VPN连到公众Internet。在MPLS VPN里，Internet路由表是单独处理的。Internet路由在服务供应商的边缘路由器的全局路由表里维护，外部路由不分配标记。
　　　　
　　指向某个Internet网关的缺省路由装在某个地点的VRF表里。这个缺省路由不是任何VPN的一部分。根据这个缺省路由转发的分组使用一个单独的标记，即使用IGP找到的对应Internet网关IP地址的路由。
　　　　
　　全局路由表并不了解用户路由，也不了解边缘路由器或用户路由器，但全局表里装有指向该接口的静态路由。这个路由重新传播到BGP4全局表里并把这个路由通知Internet网关。缺省路由指定的Internet网关并不需要与路由器直接相连，不同的VRF表可以对应不同的Internet网关。　　
　　
　　用户地点可以在另一个接口上使用专用EBGP会话从Internet接收或向Internet通报路由。服务供应商的边缘路由器把用户地点的路由导入全局路由表并通报给Internet。它同时把缺省路由或Internet路由告诉用户端路由器。
　　
　　
　　面向未来的可靠的网络　　
　　
　　随着企业对VPN连接需求的增长，无论企业网络管理者还是服务供应商都将寻求更简单也更经济的方式来应付网络的增长。Cisco的MPLS VPN解决方案是由已经或即将成为标准的软件构件所组成。　　
　　
　　这些解决方案的独到之处在于这些构件如何协同工作，从而造就了大规模的提供QoS的VPN。　　
　　
　　提供保密性：MPLS把路由信息的传播限于属于同一VPN的路由器之间，从而把第二层虚拟电路的保密性和第三层网络的全互连连接结合起来。
　　　　
　　CISCO IOS中的MPLS流量工程　　
　　
　　对服务供应商来说，利用流量工程来管理网络容量、提高IP网络的可靠性非常重要。MPLS提供了在第三层进行流量工程的能力。基于MPLS的IP流量工程建立在下面的Cisco IOS(r)软件机制上：
　　
　　
　　●链路状态内部网关协议，例如IS-IS，加以扩展用来在全局传播资源信息，并把流量自动路由到合适的LSP隧道。
　　
　　●MPLS流量工程路径计算模块，决定供LSP隧道使用的路径。
　　
　　●MPLS流量工程链路管理模块，管理链路并记录要传播的资源信息。
　　
　　●标记交换转发，根据基于资源的路由算法，向路由器提供类似第二层的管理流量跨越多跳的能力。

学习资料库 2006-08-11 13:22 发表评论

MPLS 基础：MPLS－VPn 标签分析

学习资料库 — Fri, 11 Aug 2006 05:20:00 GMT

R1－－－(R2－－－R3－－－R4)－－R5
|__EBGP__|_____IBGP______|__EBGP_|
12.0/24 23.0/24 34.0/24 45.0/24

R2-R4是MPLs和MPLS-VPN域

R2和R4上的vrf:
ip vrf vpn1
rd 100:1
route-target export 100:1
route-target import 100:1

r4#sh ip vrf d
VRF vpn1; default RD 100:1; default VPNID
Interfaces:
    Serial2/0
Connected addresses are not in global routing table
Export VPN route-target communities
    RT:100:1
Import VPN route-target communities
    RT:100:1
No import route-map
No export route-map

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

两边ce学到的路由如下:

r1#sh ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       * - candidate default, U - per-user static route, o - ODR
       P - periodic downloaded static route

Gateway of last resort is not set

C    192.168.12.0/24 is directly connected, Serial1/0
     1.0.0.0/32 is subnetted, 1 subnets
C       1.1.1.1 is directly connected, Loopback0
O E2 192.168.45.0/24 [110/1] via 192.168.12.2, 00:27:32, Serial1/0
     5.0.0.0/32 is subnetted, 1 subnets
O E2    5.5.5.5 [110/65] via 192.168.12.2, 00:27:32, Serial1/0
O E2 192.168.56.0/24 [110/128] via 192.168.12.2, 00:27:32, Serial1/0

------------------------------------------------------------------------------------------
r5#sh ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       * - candidate default, U - per-user static route, o - ODR
       P - periodic downloaded static route

Gateway of last resort is not set

O E2 192.168.12.0/24 [110/1] via 192.168.45.4, 00:28:10, Serial2/0
     1.0.0.0/32 is subnetted, 1 subnets
O E2    1.1.1.1 [110/65] via 192.168.45.4, 00:28:10, Serial2/0
C    192.168.45.0/24 is directly connected, Serial2/0
     5.0.0.0/32 is subnetted, 1 subnets
C       5.5.5.5 is directly connected, Loopback0
C    192.168.56.0/24 is directly connected, Serial1/0

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

R2上的vpnv4路由如下

r2#sh ip b v all
BGP table version is 11, local router ID is 2.2.2.2
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network          Next Hop            Metric LocPrf Weight Path
Route Distinguisher: 100:1 (default for vrf vpn1)
*> 1.1.1.1/32       192.168.12.1            65         32768 ?
*>i5.5.5.5/32       4.4.4.4                 65    100      0 ?
*> 192.168.12.0     0.0.0.0                  0         32768 ?
*>i192.168.45.0     4.4.4.4                  0    100      0 ?
*>i192.168.56.0     4.4.4.4                128    100      0 ?

r2#sh ip rou vrf vpn1
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       * - candidate default, U - per-user static route, o - ODR
       P - periodic downloaded static route

Gateway of last resort is not set

C    192.168.12.0/24 is directly connected, Serial1/0
     1.0.0.0/32 is subnetted, 1 subnets
O       1.1.1.1 [110/65] via 192.168.12.1, 00:21:37, Serial1/0
B    192.168.45.0/24 [200/0] via 4.4.4.4, 00:17:34
     5.0.0.0/32 is subnetted, 1 subnets
B       5.5.5.5 [200/65] via 4.4.4.4, 00:17:34
B    192.168.56.0/24 [200/128] via 4.4.4.4, 00:17:34

r2#show ip cef detail

4.4.4.4/32, version 8, epoch 0, cached adjacency to Serial2/0
0 packets, 0 bytes
tag information set
    local tag: 201
    fast tag rewrite with Se2/0, point2point, tags imposed: {301}
via 192.168.23.3, Serial2/0, 3 dependencies
    next hop 192.168.23.3, Serial2/0
    valid cached adjacency
    tag rewrite with Se2/0, point2point, tags imposed: {301}

r2#sh ip cef vrf vpn1 detail

5.5.5.5/32, version 6, epoch 0, cached adjacency to Serial2/0
0 packets, 0 bytes
tag information set
    local tag: VPN-route-head
    fast tag rewrite with Se2/0, point2point, tags imposed: {301 405}
via 4.4.4.4, 0 dependencies, recursive
    next hop 192.168.23.3, Serial2/0 via 4.4.4.4/32
    valid cached adjacency
    tag rewrite with Se2/0, point2point, tags imposed: {301 405}

顶层标签是借用global中关于到4.4.4.4这条igp路由的标签

r2#sh ip b vpnv4 all tag
   Network          Next Hop      In tag/Out tag
Route Distinguisher: 100:1 (vpn1)
   1.1.1.1/32       192.168.12.1    205/notag
   5.5.5.5/32       4.4.4.4         notag/405
   192.168.12.0     0.0.0.0         206/aggregate(vpn1)
   192.168.45.0     4.4.4.4         notag/404
   192.168.56.0     4.4.4.4         notag/406

r2#sh tag f
Local Outgoing    Prefix            Bytes tag Outgoing   Next Hop
tag    tag or VC   or Tunnel Id      switched   interface
200    Pop tag     3.3.3.3/32        0          Se2/0      point2point
201    301         4.4.4.4/32        0          Se2/0      point2point
202    Pop tag     192.168.34.0/24   0          Se2/0      point2point
205    Untagged    1.1.1.1/32[V]     0          Se1/0      point2point
206    Aggregate   192.168.12.0/24[V]   \
                                     0

r3#sh tag f
Local Outgoing    Prefix            Bytes tag Outgoing   Next Hop
tag    tag or VC   or Tunnel Id      switched   interface
300    Pop tag     2.2.2.2/32        63         Se2/0      point2point
301    Pop tag     4.4.4.4/32        107        Se1/0      point2point

次末跳弹出

r4#sh tag f
Local Outgoing    Prefix            Bytes tag Outgoing   Next Hop
tag    tag or VC   or Tunnel Id      switched   interface
400    300         2.2.2.2/32        0          Se1/0      point2point
401    Pop tag     3.3.3.3/32        0          Se1/0      point2point
402    300         192.168.12.0/24[V]   \
                                     0          Se1/0      point2point
403    300         1.1.1.1/32[V]     0          Se1/0      point2point
404    Aggregate   192.168.45.0/24[V]   \
                                     0
405    Untagged    5.5.5.5/32[V]     0          Se2/0      point2point
406    Untagged    192.168.56.0/24[V]   \
                                     0          Se2/0      point2point
407    Pop tag     192.168.23.0/24   0          Se1/0      point2point

对于pe路由器的直连vpn路由是Aggregate操作

非直连vpn路由是Untagged操作

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

最后的测试效果：

r5#p 1.1.1.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 1.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 16/19/20 ms
r5#
r5#trac
r5#traceroute 1.1.1.1

Type escape sequence to abort.
Tracing the route to 1.1.1.1

1 192.168.45.4 32 msec 20 msec 32 msec
2 192.168.34.3 [MPLS: Labels 300/205 Exp 0] 40 msec 20 msec 20 msec
3 192.168.12.2 [MPLS: Label 205 Exp 0] 20 msec 20 msec 28 msec
4 192.168.12.1 20 msec * 20 msec

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
r1#p 5.5.5.5

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 5.5.5.5, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 20/20/20 ms
r1#trace
r1#traceroute 5.5.5.5

Type escape sequence to abort.
Tracing the route to 5.5.5.5

1 192.168.12.2 20 msec 28 msec 28 msec
2 192.168.23.3 [MPLS: Labels 301/405 Exp 0] 28 msec 20 msec 20 msec
3 192.168.45.4 [MPLS: Label 405 Exp 0] 20 msec 20 msec 20 msec
4 192.168.45.5 20 msec * 20 msec

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

最后是各台路由器的配置：

r1#sh ru
Building configuration...

Current configuration : 722 bytes
!
version 12.2
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname r1
!
!
clock timezone CET 1
ip subnet-zero
no ip domain lookup
!
!
!
!
interface Loopback0
ip address 1.1.1.1 255.255.255.255
!
interface Ethernet0/0
no ip address
shutdown
!
interface Serial1/0
ip address 192.168.12.1 255.255.255.0
!
interface Serial2/0
no ip address
shutdown
!
interface Serial3/0
no ip address
shutdown
!
router ospf 1
router-id 1.1.1.1
log-adjacency-changes
passive-interface Loopback0
network 0.0.0.0 255.255.255.255 area 0
!
ip classless
no ip http server
!
!
!
!
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
login
!
end

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
r2#sh ru
Building configuration...

Current configuration : 1524 bytes
!
version 12.2
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname r2
!
!
clock timezone CET 1
ip subnet-zero
no ip domain lookup
!
!
ip vrf vpn1
rd 100:1
route-target export 100:1
route-target import 100:1
ip cef
mpls label range 200 299
tag-switching tdp router-id Loopback0
!
!
!
interface Loopback0
ip address 2.2.2.2 255.255.255.255
!
interface Ethernet0/0
no ip address
shutdown
!
interface Serial1/0
ip vrf forwarding vpn1
ip address 192.168.12.2 255.255.255.0
!
interface Serial2/0
ip address 192.168.23.2 255.255.255.0
tag-switching ip
!
interface Serial3/0
no ip address
shutdown
!
router ospf 1
router-id 2.2.2.2
log-adjacency-changes
passive-interface Loopback0
network 2.2.2.2 0.0.0.0 area 0
network 192.168.23.0 0.0.0.255 area 0
!
router ospf 22 vrf vpn1
log-adjacency-changes
redistribute bgp 1 subnets
network 192.168.12.0 0.0.0.255 area 0
!
router bgp 1
no synchronization
bgp router-id 2.2.2.2
bgp log-neighbor-changes
neighbor 4.4.4.4 remote-as 1
neighbor 4.4.4.4 update-source Loopback0
no auto-summary
!
address-family ipv4 vrf vpn1
redistribute ospf 22 match internal external 1 external 2
no auto-summary
no synchronization
exit-address-family
!
address-family vpnv4
neighbor 4.4.4.4 activate
neighbor 4.4.4.4 send-community both
no auto-summary
exit-address-family
!
ip classless
no ip http server
!
!
!
!
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
login
!
end

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

r3#sh ru
Building configuration...

Current configuration : 842 bytes
!
version 12.2
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname r3
!
!
clock timezone CET 1
ip subnet-zero
no ip domain lookup
!
ip cef
mpls label range 300 399
tag-switching tdp router-id Loopback0
!
!
!
interface Loopback0
ip address 3.3.3.3 255.255.255.255
!
interface Ethernet0/0
no ip address
shutdown
!
interface Serial1/0
ip address 192.168.34.3 255.255.255.0
tag-switching ip
!
interface Serial2/0
ip address 192.168.23.3 255.255.255.0
tag-switching ip
!
interface Serial3/0
no ip address
shutdown
!
router ospf 1
router-id 3.3.3.3
log-adjacency-changes
passive-interface Loopback0
network 0.0.0.0 255.255.255.255 area 0
!
ip classless
no ip http server
!
!
!
!
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
login
!
end

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
r4#sh ru
Building configuration...

Current configuration : 1542 bytes
!
version 12.2
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname r4
!
!
clock timezone CET 1
ip subnet-zero
no ip domain lookup
!
!
ip vrf vpn1
rd 100:1
route-target export 100:1
route-target import 100:1
ip cef
mpls label range 400 499
tag-switching tdp router-id Loopback0
!
!
!
interface Loopback0
ip address 4.4.4.4 255.255.255.255
!
interface Ethernet0/0
no ip address
shutdown
!
interface Serial1/0
ip address 192.168.34.4 255.255.255.0
tag-switching ip
!
interface Serial2/0
ip vrf forwarding vpn1
ip address 192.168.45.4 255.255.255.0
tag-switching ip
!
interface Serial3/0
no ip address
shutdown
!
router ospf 1
router-id 4.4.4.4
log-adjacency-changes
passive-interface Loopback0
network 4.4.4.4 0.0.0.0 area 0
network 192.168.34.0 0.0.0.255 area 0
!
router ospf 44 vrf vpn1
log-adjacency-changes
redistribute bgp 1 subnets
network 192.168.45.0 0.0.0.255 area 0
!
router bgp 1
no synchronization
bgp router-id 4.4.4.4
bgp log-neighbor-changes
neighbor 2.2.2.2 remote-as 1
neighbor 2.2.2.2 update-source Loopback0
no auto-summary
!
address-family ipv4 vrf vpn1
redistribute ospf 44 match internal external 1 external 2
no auto-summary
no synchronization
exit-address-family
!
address-family vpnv4
neighbor 2.2.2.2 activate
neighbor 2.2.2.2 send-community both
no auto-summary
exit-address-family
!
ip classless
no ip http server
!
!
!
!
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
login
!
end

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
r5#sh ru
Building configuration...

Current configuration : 736 bytes
!
version 12.2
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname r5
!
!
clock timezone CET 1
ip subnet-zero
no ip domain lookup
!
!
!
!
interface Loopback0
ip address 5.5.5.5 255.255.255.255
!
interface Ethernet0/0
no ip address
shutdown
!
interface Serial1/0
ip address 192.168.56.7 255.255.255.0
!
interface Serial2/0
ip address 192.168.45.5 255.255.255.0
!
interface Serial3/0
no ip address
shutdown
!
router ospf 1
router-id 5.5.5.5
log-adjacency-changes
passive-interface Loopback0
network 0.0.0.0 255.255.255.255 area 0
!
ip classless
no ip http server
!
!
!
!
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 0 4
login
!
end

学习资料库 2006-08-11 13:20 发表评论

MPLS流量工程实验OSPF 之二

学习资料库 — Fri, 11 Aug 2006 05:12:00 GMT

用OSPF实现基本MPLS 流量工程
MPLS Basic Traffic Engineering Using OSPF Configuration

Verify：

首先我们来看看在pesaro上面隧道有没有建立，使用show mpls tr tu
pesaro#sh mpls traffic-eng tunnels brief
                                        Signalling Summary:
    LSP Tunnels Process:            running
    RSVP Process:                   running
    Forwarding:                     enabled
    Periodic reoptimization:        every 3600 seconds, next in 3054 seconds
    Periodic auto-bw collection:    disabled
TUNNEL NAME                      DESTINATION      UP IF     DOWN IF   STATE/PROT

pesaro_t158 10.10.10.4 - Se2/0.3 up/up

pesaro_t159 10.10.10.4 - Se2/0.3 up/up

pescara_t1 10.10.10.6 Se2/0.3 - up/up

pescara_t3 10.10.10.6 Se2/0.3 - up/up

Displayed 2 (of 2) heads, 0 (of 0) midpoints, 2 (of 2) tails
pesaro#
可以看到pesaro上面有4条隧道建立了"pesaro_t158 ,up/up"。我们在看一下t158的详细信息，用sh mpls tr tu tu 158命令查看。
pesaro#sh mpls tr tu tu 158

Name: pesaro_t158 (Tunnel158) Destination: 10.10.10.4
Status:
Admin: up Oper: up Path: valid Signalling: connected

path option 1, type explicit low (Basis for Setup, path weight 780)

Config Parameters:
Bandwidth: 158 kbps (Global) Priority: 2 2 Affinity: 0x0/0xFFFF
Metric Type: TE (default)
AutoRoute: enabled LockDown: disabled Loadshare: 158 bw-based
auto-bw: disabled

InLabel : -
OutLabel : Serial2/0.3, 23
RSVP Signalling Info:
Src 10.10.10.6, Dst 10.10.10.4, Tun_Id 158, Tun_Instance 19
RSVP Path Info:
My Address: 10.10.10.6
Explicit Route: 10.1.1.21 10.1.1.10 10.1.1.1 10.1.1.14
10.10.10.4
Record Route: NONE
Tspec: ave rate=158 kbits, burst=1000 bytes, peak rate=158 kbits
RSVP Resv Info:
Record Route: NONE
Fspec: ave rate=158 kbits, burst=1000 bytes, peak rate=158 kbits
Shortest Unconstrained Path Info:
Path Weight: 585 (TE)
Explicit Route: 10.1.1.21 10.1.1.5 10.1.1.14 10.10.10.4
History:
Tunnel:
Time since created: 9 minutes, 49 seconds
Time since path change: 8 minutes
Current LSP:
Uptime: 8 minutes
Selection: reoptimation
Prior LSP:
ID: path option 1 [18]
Removal Trigger: label reservation removed
pesaro#
可以看到为隧道158保留了158k的带宽。另外我们还可以用sh ip rsvp interface 来看看pesaro与pomerol相连接的接口上的保留带宽。
pesaro#sh ip rsvp int
interface    allocated i/f max flow max sub max
Se2/0.3      317K       512K     512K     0
Se2/0        0          0        0        0
pesaro#
因为在pesaro上有2条隧道一条保留158，一条保留159，所以158+159=317k,也就是说pesaro s2/0.3口上已经有317k的带宽被保留了。
接下来我们在看看隧道建立后mpls 的转发表使用sh mpls for detail
pesaro#sh mpls for detail
Local Outgoing    Prefix            Bytes tag Outgoing   Next Hop
tag    tag or VC   or Tunnel Id      switched   interface
16     16          10.1.1.0/30       0          Se2/0.3    point2point
MAC/Encaps=4/8, MRU=1500, Tag Stack{16}
94B18847 00010000
No output feature configured
Per-packet load-sharing
17     Pop tag     10.1.1.4/30       0          Se2/0.3    point2point
MAC/Encaps=4/4, MRU=1504, Tag Stack{}
94B18847
No output feature configured
Per-packet load-sharing
18     Pop tag     10.1.1.8/30       0          Se2/0.3    point2point
MAC/Encaps=4/4, MRU=1504, Tag Stack{}
94B18847
No output feature configured
Per-packet load-sharing
19     17          10.10.10.2/32     0          Se2/0.3    point2point
MAC/Encaps=4/8, MRU=1500, Tag Stack{17}
94B18847 00011000
No output feature configured
Per-packet load-sharing
20     Pop tag     10.10.10.3/32     0          Se2/0.3    point2point
Local Outgoing    Prefix            Bytes tag Outgoing   Next Hop
tag    tag or VC   or Tunnel Id      switched   interface
MAC/Encaps=4/4, MRU=1504, Tag Stack{}
94B18847
No output feature configured
Per-packet load-sharing
21     18          10.1.1.12/30      0          Se2/0.3    point2point
MAC/Encaps=4/8, MRU=1500, Tag Stack{18}
94B18847 00012000
No output feature configured
Per-packet load-sharing
22     19          10.10.10.1/32     0          Se2/0.3    point2point
MAC/Encaps=4/8, MRU=1500, Tag Stack{19}
94B18847 00013000
No output feature configured
Per-packet load-sharing
23     Pop tag     10.10.10.4/32     0          Tu159      point2point
MAC/Encaps=4/8, MRU=1500, Tag Stack{22}, via Se2/0.3
94B18847 00016000
No output feature configured
Per-destination load-sharing, slots: 0 2 4 6 8 10 12 14
Pop tag     10.10.10.4/32     0          Tu158      point2point
MAC/Encaps=4/8, MRU=1500, Tag Stack{23}, via Se2/0.3
94B18847 00017000
Local Outgoing    Prefix            Bytes tag Outgoing   Next Hop
tag    tag or VC   or Tunnel Id      switched   interface
No output feature configured
Per-destination load-sharing, slots: 1 3 5 7 9 11 13 15
pesaro#
我们可以看到到10。10。10。4有2条转发条目，一条是tu158，一条是tu159。
我们在看看其他有用的命令。sh mpls tr tu summary 是看隧道的建立情况汇总，另外一个是sh mpls tr tu brief这个是看看隧道比较详细的信息，一般用来
查看隧道有没有建立，rsvp的工作情况等，比较常用。
pesaro#sh mpls tr tu sum
Signalling Summary:
LSP Tunnels Process:            running
RSVP Process:                   running
Forwarding:                     enabled
Head: 2 interfaces, 2 active signalling attempts, 2 established
5 activations, 3 deactivations
Midpoints: 0, Tails: 2
Periodic reoptimization:        every 3600 seconds, next in 2873 seconds
Periodic auto-bw collection:    disabled
pesaro#
pesaro#sh mpls tr tu brief
Signalling Summary:
LSP Tunnels Process:            running
RSVP Process:                   running
Forwarding:                     enabled
Periodic reoptimization:        every 3600 seconds, next in 2842 seconds
Periodic auto-bw collection:    disabled
TUNNEL NAME                      DESTINATION      UP IF     DOWN IF   STATE/PROT

pesaro_t158 10.10.10.4 - Se2/0.3 up/up

pesaro_t159 10.10.10.4 - Se2/0.3 up/up

pescara_t1 10.10.10.6 Se2/0.3 - up/up

pescara_t3 10.10.10.6 Se2/0.3 - up/up

Displayed 2 (of 2) heads, 0 (of 0) midpoints, 2 (of 2) tails
pesaro#
下面让我们来tracroute 一下，看看隧道的工作情况。
pesaro#traceroute 10.10.1.4

Type escape sequence to abort.
Tracing the route to 10.10.10.4

1 10.1.1.21 [MPLS: Label 23 Exp 0] 108 msec 244 msec 700 msec
2 10.1.1.5 [MPLS: Label 16 Exp 0] 484 msec
10.1.1.10 [MPLS: Label 20 Exp 0] 332 msec
10.1.1.5 [MPLS: Label 16 Exp 0] 112 msec
3 10.1.1.1 [MPLS: Label 17 Exp 0] 136 msec
10.1.1.14 328 msec
10.1.1.1 [MPLS: Label 17 Exp 0] 432 msec
pesaro#
可以看到有2条到10。10。10。4的条目，这与我们所与其的结果吻合。如果我们把pomerol与pulliac相连的接口shutdown会有什么现象出现？请大家自己做实验的时候自己观察。
在来看看ospf的链路状态数据库，由于输出比较长，我截取一部分。
pesaro#sh ip ospf database opaque-area

OSPF Router with ID (10.10.10.6) (Process ID 9)

Type-10 Opaque Link Area Link States (Area 9)

LS age: 714
Options: (No TOS-capability, DC)
LS Type: Opaque Area Link
Link State ID: 1.0.0.0
Opaque Type: 1
Opaque ID: 0
ising Router: 10.10.10.1
LS Seq Number: 80000009
Checksum: 0x5C7
Length: 140
Fragment number : 0

MPLS TE router ID : 10.10.10.1

    Link connected to Point-to-Point network
Link ID : 10.10.10.4
Interface Address : 10.1.1.13
Neighbor Address : 10.1.1.14
Admin Metric : 195
Maximum bandwidth : 64000
Maximum reservable bandwidth : 64000
Number of Priority : 8
Priority 0 : 64000       Priority 1 : 64000
Priority 2 : 44250       Priority 3 : 44250
Priority 4 : 24375       Priority 5 : 24375
Priority 6 : 24375       Priority 7 : 24375
Affinity Bit : 0x0
IGP Metric : 195

Number of Links : 1

LS age: 779
Options: (No TOS-capability, DC)
LS Type: Opaque Area Link
Link State ID: 1.0.0.0
Opaque Type: 1
Opaque ID: 0
Advertising Router: 10.10.10.2
LS Seq Number: 80000003
Checksum: 0xA316
Length: 140
Fragment number : 0

MPLS TE router ID : 10.10.10.2

    Link connected to Point-to-Point network
Link ID : 10.10.10.3
Interface Address : 10.1.1.10
Neighbor Address : 10.1.1.9
Admin Metric : 195
Maximum bandwidth : 64000
Maximum reservable bandwidth : 64000
Number of Priority : 8
Priority 0 : 64000       Priority 1 : 64000
Priority 2 : 64000       Priority 3 : 64000
Priority 4 : 64000       Priority 5 : 64000
Priority 6 : 64000       Priority 7 : 64000
Affinity Bit : 0x0
IGP Metric : 195

Number of Links : 1

LS age: 715
Options: (No TOS-capability, DC)
LS Type: Opaque Area Link
Link State ID: 1.0.0.0
Opaque Type: 1
Opaque ID: 0
Advertising Router: 10.10.10.3
LS Seq Number: 80000007
Checksum: 0x5019
Length: 140
Fragment number : 0

MPLS TE router ID : 10.10.10.3

Link connected to Point-to-Point network
Link ID : 10.10.10.2
Interface Address : 10.1.1.9
Neighbor Address : 10.1.1.10
Admin Metric : 195
Maximum bandwidth : 64000
Maximum reservable bandwidth : 64000
到此，我们的mpls-te ospf实验就做到这里，其他好多有趣的命令和一些命令输出就看大家自己的了。
需要注意的是如果你的机器性能比较低，那么你所模拟的设备可能会出现
pomerol#
*Mar 6 15:56:10.723: %LDP-5-NBRCHG: LDP Neighbor 10.10.10.6:0 (2) is DOWN (Disc
overy Hello Hold Timer expired)
pomerol#
*Mar 6 15:56:18.247: %LDP-5-NBRCHG: LDP Neighbor 10.10.10.6:0 (2) is UP
pomerol#
等信息，不影响以上实验效果。

参考文献：
www.cisco.com/go/mpls
http://www.ietf.org/html.charters/mpls-charter.html
Requirements for Traffic Engineering Over MPLS (RFC 2702)
Multiprotocol Label Switching Architecture (RFC 3031)
MPLS Basic Traffic Engineering Using OSPF Configuration Example
Cisco Press 的《Traffic Engineering with MPLS》
By Eric Osborne CCIE #4122, Ajay Simha CCIE #2970
ISBN : 1-58705-031-5
等。

学习资料库 2006-08-11 13:12 发表评论

MPLS流量工程试验设备准备之三

学习资料库 — Fri, 11 Aug 2006 05:11:00 GMT

帧中继交换机的8串口互连的配置

# Virtual Interface List
IF:S2/0:udp:10001:127.0.0.1:10009
IF:S2/1:udp:10002:127.0.0.1:10010
IF:S2/2:udp:10003:127.0.0.1:10011
IF:S2/3:udp:10004:127.0.0.1:10012
IF:S2/4:udp:10005:127.0.0.1:10013
IF:S2/5:udp:10006:127.0.0.1:10014
IF:S2/6:udp:10007:127.0.0.1:10015
IF:S2/7:udp:10008:127.0.0.1:10016

# DLCI switching between all serial port,bescase the s0 prot is not esay to route ,so i use the number 9 as 0!
###s2/0> all serial port
VC:S2/0:901:S2/1:109
VC:S2/0:902:S2/2:209
VC:S2/0:903:S2/3:309
VC:S2/0:904:S2/4:409
VC:S2/0:905:S2/5:509
VC:S2/0:906:S2/6:609
VC:S2/0:907:S2/7:709

####s2/1> all serial port
VC:S2/1:109:S2/0:901
VC:S2/1:102:S2/2:201
VC:S2/1:103:S2/3:301
VC:S2/1:104:S2/4:401
VC:S2/1:105:S2/5:501
VC:S2/1:106:S2/6:601
VC:S2/1:107:S2/7:701

######s2/2>pulligny
VC:S2/2:209:S2/0:902
VC:S2/2:201:S2/1:102
VC:S2/2:203:S2/3:302
VC:S2/2:204:S2/4:402
VC:S2/2:205:S2/5:502
VC:S2/2:206:S2/6:602
VC:S2/2:207:S2/7:702

#####s2/3> all serial prot
VC:S2/3:309:S2/0:903
VC:S2/3:301:S2/1:103
VC:S2/3:302:S2/2:203
VC:S2/3:304:S2/4:403
VC:S2/3:305:S2/5:503
VC:S2/3:306:S2/6:603
VC:S2/3:307:S2/7:703

###s2/4> all serial prot
VC:S2/4:409:S2/0:904
VC:S2/4:401:S2/1:104
VC:S2/4:402:S2/2:204
VC:S2/4:403:S2/3:304
VC:S2/4:405:S2/5:504
VC:S2/4:406:S2/6:604
VC:S2/4:407:S2/7:704

###s2/5> all serial prot
VC:S2/5:509:S2/0:905
VC:S2/5:501:S2/1:105
VC:S2/5:502:S2/2:205
VC:S2/5:503:S2/3:305
VC:S2/5:504:S2/5:405
VC:S2/5:506:S2/6:605
VC:S2/5:507:S2/7:705

####s2/6> all serial prot
VC:S2/6:609:S2/0:906
VC:S2/6:601:S2/1:106
VC:S2/6:602:S2/2:206
VC:S2/6:603:S2/3:306
VC:S2/6:604:S2/4:406
VC:S2/6:605:S2/5:606
VC:S2/6:607:S2/7:706
####s2/7> all serial prot
VC:S2/7:709:S2/0:907
VC:S2/7:701:S2/1:107
VC:S2/7:702:S2/2:207
VC:S2/7:703:S2/3:307
VC:S2/7:704:S2/4:407
VC:S2/7:705:S2/5:507
VC:S2/7:706:S2/6:607

这个配置是为以后的实验准备的，在MPLS-TE实验中暂时用不到，mpls-vpn中会用到。

本人才疏学浅，有语句不通之处请海涵。

学习资料库 2006-08-11 13:11 发表评论

MPLS流量工程实验OSPF 之一

学习资料库 — Fri, 11 Aug 2006 05:10:00 GMT

用OSPF实现基本MPLS 流量工程
MPLS Basic Traffic Engineering Using OSPF Configuration
?

介绍

本文是关于使用帧中继和OSPF作为IGP来建立MPLS网络环境从而实现流量工程。下面的例子中建立了2条动态隧道和2条静态隧道。

必要条件
懂的基本MPLS 操作、OSPF、电脑知识。

MPLS流量工程试验设备准备之一

MPLS流量工程试验设备准备之二

设备和IOS 版本

Cisco IOS? Software Releases 12.4(5a)
用dynamips 模拟的Cisco 7206VXR? 6 台一台用以作为帧中继交换机

注意！！
以下的设备和其配置是基于试验环境，如果你的网络是生产环境，请注意你所敲进的命令对现有网络环境是否有影响。

物理连接拓扑图

逻辑拓扑图（DLCI）

IP地址及隧道示意图

以下是设备的配置文件，关键地方我会进行注释！

Pesaro

Current configuration:
version 12.4
hostname Pesaro
ip cef /*必须启用思科的快速转发
mpls traffic-eng tunnels /*启用MPLS-TE
interface Loopback0

?ip address 10.10.10.6 255.255.255.255
interface Tunnel158
ip unnumbered Loopback0
tunnel destination 10.10.10.4
tunnel mode mpls traffic-eng
tunnel mpls traffic-eng autoroute announce
tunnel mpls traffic-eng priority 2 2
tunnel mpls traffic-eng bandwidth 158
tunnel mpls traffic-eng path-option 1 explicit name low

interface Tunnel159
ip unnumbered Loopback0
tunnel destination 10.10.10.4

?tunnel mode mpls traffic-eng
tunnel mpls traffic-eng autoroute announce
tunnel mpls traffic-eng priority 4 4
tunnel mpls traffic-eng bandwidth 159
tunnel mpls traffic-eng path-option 1 explicit name straight
interface Serial0/0
no ip address
encapsulation frame-relay
interface Serial0/0.1 point-to-point
bandwidth 512
ip address 10.1.1.22 255.255.255.252
tag-switching ip
mpls traffic-eng tunnels
frame-relay interface-dlci 603??
ip rsvp bandwidth 512 512
router ospf 9
network 10.1.1.0 0.0.0.255 area 9
network 10.10.10.0 0.0.0.255 area 9
mpls traffic-eng area 9
mpls traffic-eng router-id Loopback0
ip classless

ip explicit-path name low enable

?next-address 10.1.1.21

?next-address 10.1.1.10

?next-address 10.1.1.1

?next-address 10.1.1.14

ip explicit-path name straight enable

?next-address 10.1.1.21

?next-address 10.1.1.5

?next-address 10.1.1.14

end

--------------------------------------------------------------

Pescara

Current configuration:

version 12.4

hostname Pescara

ip cef

mpls traffic-eng tunnels

interface Loopback0

?ip address 10.10.10.4 255.255.255.255

interface Tunnel1

?ip unnumbered Loopback0

?no ip directed-broadcast

?tunnel destination 10.10.10.6

?tunnel mode mpls traffic-eng

?tunnel mpls traffic-eng autoroute announce

?tunnel mpls traffic-eng priority 5 5

?tunnel mpls traffic-eng bandwidth 25

?tunnel mpls traffic-eng path-option 2 dynamic

interface Tunnel3

?ip unnumbered Loopback0

?no ip directed-broadcast

?tunnel destination 10.10.10.6

?tunnel mode mpls traffic-eng

?tunnel mpls traffic-eng autoroute announce

?tunnel mpls traffic-eng priority 6 6

?tunnel mpls traffic-eng bandwidth? 69

?tunnel mpls traffic-eng path-option 1 dynamic

interface Serial0/1

?no ip address

?encapsulation frame-relay

interface Serial0/1.1 point-to-point

?bandwidth 512

?ip address 10.1.1.14 255.255.255.252

?mpls traffic-eng tunnels

?
tag-switching ip

?frame-relay interface-dlci 401??

?ip rsvp bandwidth 512 512

router ospf 9

?network 10.1.1.0 0.0.0.255 area 9

?network 10.10.10.0 0.0.0.255 area 9

?mpls traffic-eng area 9

?mpls traffic-eng router-id Loopback0

end

-----------------------------------------------------------------

Pomerol

Current configuration:

version 12.4

hostname Pomerol

ip cef

mpls traffic-eng tunnels

interface Loopback0

?ip address 10.10.10.3 255.255.255.255

interface Serial0/1

?no ip address

?encapsulation frame-relay

interface Serial0/1.1 point-to-point

?bandwidth 512

?ip address 10.1.1.6 255.255.255.252

?mpls traffic-eng tunnels

?
tag-switching ip

?frame-relay interface-dlci 301??

?ip rsvp bandwidth 512 512

interface Serial0/1.2 point-to-point

?bandwidth 512

?ip address 10.1.1.9 255.255.255.252

?mpls traffic-eng tunnels

?
tag-switching ip

?frame-relay interface-dlci 302??

?ip rsvp bandwidth 512 512

interface Serial0/1.3 point-to-point

?bandwidth 512

?ip address 10.1.1.21 255.255.255.252

?mpls traffic-eng tunnels

?
tag-switching ip

?frame-relay interface-dlci 306??

?ip rsvp bandwidth 512 512

router ospf 9

?network 10.1.1.0 0.0.0.255 area 9

?network 10.10.10.0 0.0.0.255 area 9

?mpls traffic-eng area 9

?mpls traffic-eng router-id Loopback0

ip classless

end

----------------------------------------------------------------

Pulligny

Current configuration:

version 12.4

hostname Pulligny

ip cef

mpls traffic-eng tunnels

interface Loopback0

?ip address 10.10.10.2 255.255.255.255

interface Serial0/1

?no ip address

?encapsulation frame-relay

interface Serial0/1.1 point-to-point

?bandwidth 512

?ip address 10.1.1.2 255.255.255.252

?mpls traffic-eng tunnels

?
tag-switching ip

?frame-relay interface-dlci 201??

?ip rsvp bandwidth 512 512

interface Serial0/1.2 point-to-point

?bandwidth 512

?ip address 10.1.1.10 255.255.255.252

?mpls traffic-eng tunnels

?
tag-switching ip

?frame-relay interface-dlci 203??

?ip rsvp bandwidth 512 512

router ospf 9

?network 10.1.1.0 0.0.0.255 area 9

?network 10.10.10.0 0.0.0.255 area 9

?mpls traffic-eng area 9

?mpls traffic-eng router-id Loopback0

ip classless

end

---------------------------------------------------------------

Pauillac

!

version 12.4
!

hostname pauillac

ip cef

mpls traffic-eng tunnels

interface Loopback0

?ip address 10.10.10.1 255.255.255.255

interface Serial0/0

?no ip address

?encapsulation frame-relay

interface Serial0/0.1 point-to-point

?bandwidth 512

?ip address 10.1.1.1 255.255.255.252

?mpls traffic-eng tunnels

?
tag-switching ip

?frame-relay interface-dlci 102??

?ip rsvp bandwidth 512 512

interface Serial0/0.2 point-to-point

?bandwidth 512

?ip address 10.1.1.5 255.255.255.252

?mpls traffic-eng tunnels

?
tag-switching ip

?frame-relay interface-dlci 103??

?ip rsvp bandwidth 512 512

interface Serial0/0.3 point-to-point

?bandwidth 512

?ip address 10.1.1.13 255.255.255.252

?mpls traffic-eng tunnels

?
tag-switching ip

?frame-relay interface-dlci 104??

?ip rsvp bandwidth 512 512

router ospf 9

?network 10.1.1.0 0.0.0.255 area 9

?network 10.10.10.0 0.0.0.255 area 9

?mpls traffic-eng area 9

?mpls traffic-eng router-id Loopback0

ip classless

end

学习资料库 2006-08-11 13:10 发表评论

MPLS流量工程试验设备准备之二

学习资料库 — Fri, 11 Aug 2006 05:08:00 GMT

帧中继交换机的设置

其实设置很简单。在dynamips 0.2.4版本的时候可以把模拟的串口封装成帧中继，目前支持lmi-type anni 不过对于我们做实验来说足够用了。

开个记事本先，键入如下配置：

==BOF==
# Virtual Interface List
IF:S2/0:udp:10001:127.0.0.1:10009
IF:S2/1:udp:10002:127.0.0.1:10010
IF:S2/2:udp:10003:127.0.0.1:10011
IF:S2/3:udp:10004:127.0.0.1:10012
IF:S2/4:udp:10005:127.0.0.1:10013
IF:S2/5:udp:10006:127.0.0.1:10014
IF:S2/6:udp:10007:127.0.0.1:10015
IF:S2/7:udp:10008:127.0.0.1:10016

# DLCI switching between S0 and S1
####s2/1>pauillac
VC:S2/1:102:S2/2:201
VC:S2/1:103:S2/3:301
VC:S2/1:104:S2/4:401
######s2/2>pulligny
VC:S2/2:201:S2/1:102
VC:S2/2:203:S2/3:302
#####s2/3>pomerol
VC:S2/3:301:S2/1:103
VC:S2/3:306:S2/6:603
VC:S2/3:302:S2/2:203
###s2/4>pescara
VC:S2/4:401:S2/1:104
####s2/6>pesaro
VC:S2/6:603:S2/3:306

==EOF==
另存为fr.cfg 并放到与dynamips 和IOS同一目录下，在cmd窗口中键入以下命令：
dynamips -t npe-400 -p 0:C7200-IO-FE -s 0:0:udp:10045:127.0.0.1:10054? -p 2:PA-8T? -f fr.cfg -X c7200-pk9u2-mz.124-5a.bin
模拟的72路由器完全启动后要把所模拟的串口都打开(int s2/0,no sh)。这样就建立好了帧中继交换机。
DLCI号码的分配原则：
由于我的MPLS-TE实验是根据cisco.com上的配置来做的，同时拓扑结构、IP地址规划等信息也是一样。
根据拓扑中loopback口的地址我们可以看出pauillac 为1号路由器，pulligny 为2号，pomerol 为3号， pescara 为4号，pesaro 为 6号。所以我配置的帧中继交换机DLCI号分配如下：

1 ----> 2 102
1 ----> 3 103
1 ----> 4 104

2 ----> 1 201
2 ----> 3 203

3 ----> 1 301
3 ----> 2 302
3 ----> 6 306
4 ----> 1 401
6 ----> 3 603

我们的大部分实验中的电路连接全部基于这个帧中继交换机的配置。过几天我会更新8串口全部互连的配置文件。

本人才疏学浅，有语句不通之处请海涵。

学习资料库 2006-08-11 13:08 发表评论

Cisco 7200 Simulator

学习资料库 — Fri, 11 Aug 2006 05:04:00 GMT

able of contents [hide]

1 Introduction

2 Current status

3 Contributors are welcome ! :)

4 Download

5 How to use it ?

6 Questions & Answers

Introduction

I started recently (August 2005) a project to emulate a Cisco 7200 on a traditionnal PC. This kind of emulator would be useful to:

Be used as a training platform, with software used in real world. It would allow people to become more familiar with Cisco devices, Cisco being the world leader in networking technologies ;
Test and experiment features of Cisco IOS ;
Check quickly configurations to be deployed later on real routers.

Of course, this emulator cannot replace a real router, it is simply a complementary tool to real labs for administrators of Cisco networks or people wanting to pass their CCNA/CCNP/CCIE exams.

Current status

At this time, the emulator I have programmed is able to boot a large number of Cisco IOS releases available for the 7200 platform, including the latest 12.2S and 12.4.

The following devices are emulated in the current release (0.2.4):

MIPS64 CPU processor. The instruction set is not completely emulated now (FPU support is lacking, TLB support is not finished and other minor things), but it is sufficient for IOS ;
DRAM and Packet SRAM memory ;
Non-Volatile Memory (NVRAM) ;
Signetics SCN 2681 DUART (Console and AUX ports);
Dallas DS1620 Temperature Sensors and Voltage Sensors, allowing the Environmental Monitor to work properly ;
NMC93C46 Serial EEPROM ;
Bootflash of 8 Mb (Intel 28F016SA) ;
I/O and Midplane FPGA specific to the C7200 platform ;
Basic Galileo GT64010/GT64120 PCI controller, DEC 21x50 PCI bridges and so.
Ethernet cards "C7200-IO-FE" and "PA-FE-TX" based on DEC21140 chip ;
ATM card "PA-A1" based on Texas Instruments Tneta1570 chip ;
Serial cards "PA-4T+" and "PA-8T"

New features in 0.2.4:

Serial interface support to allow use of PPP/HDLC/Frame-Relay encapsulations
Virtual Frame-Relay switch with basic LMI support (ANSI Annex D)

You can also get some tips/development info... on my technical blog (http://www.ipflow.utc.fr/blog).

To run at a decent speed, the emulator uses a JIT (Just In Time) compiler, which is working on x86 CPU (like Pentium) and x86_64 CPU (AMD64/Intel EM64T). It is also possible to run the emulator without the JIT support on non-x86 machines, but it is slower.

You can find some information about the C7200 hardware on the Cisco Web site (http://www.cisco.com/en/US/products/hw/routers/ps341/products_tech_note09186a00800942e0.shtml)

Contributors are welcome ! :)

For people interested to contribute there is a TODO List.

Download

The current release is 0.2.4, published Feb 14, 2006 (you can consult the README file (http://www.ipflow.utc.fr/dynamips/README-0.2.4.txt)).

You have to download only one binary file corresponding to your architecture:

Executable for Linux/x86 (http://www.ipflow.utc.fr/dynamips/dynamips-0.2.4-x86.bin)
Executable for Linux/x86_64 (AMD64 and EM64T) (http://www.ipflow.utc.fr/dynamips/dynamips-0.2.4-amd64.bin)
Executable for Windows (with Cygwin DLL) (http://www.ipflow.utc.fr/dynamips/dynamips-0.2.4-cygwin.zip)

If you are using the Windows version, you have to download and install the WinPcap library (http://www.winpcap.org/). It is now possible to access the Ethernet card of host machine to send/receive packets on the LAN.

You can also download the source code, published under the GNU General Public Licence (GPL):

The source code of release v0.2.4 (http://www.ipflow.utc.fr/dynamips/dynamips-0.2.4.tar.gz)

Remark: the sources include 3 files which are not written by me: pcireg.h from NetBSD (http://www.netbsd.org) (under BSD licence), amd64-codegen.h and x86-codegen.h from the Mono project (http://www.mono-project.com), under GPL licence. Of course these files keep their licences and their copyrights.

How to use it ?

To boot quickly, the preferred method is to decompress the IOS image with the "unzip" utility. It avoids to run the self-decompressing process in the emulator.

chris@portchris2:~/mipsemu$ unzip -p c7200-g6ik8s-mz.124-2.T1.bin > image.bin
warning [c7200-g6ik8s-mz.124-2.T1.bin]:  27872 extra bytes at beginning or within zipfile
  (attempting to process anyway)
chris@portchris2:~/mipsemu$ file image.bin
image.bin: ELF 32-bit MSB executable, cisco 7200, version 1 (SYSV), statically linked, stripped

You can ignore the warning, unzip has just skipped the self-decompressing code at the beginning of the image.

Now, you can boot the image:

chris@portchris2:~/dynamips-0.2.4$ ./dynamips image.bin -t npe-400 -p 0:C7200-IO-FE -s 0:0:udp:10000:127.0.0.1:10001 -p 1:PA-A1 -s 1:0:udp:10002:127.0.0.1:10003 -p 2:PA-8T -s 2:1:udp:10004:127.0.0.1:10005
Cisco 7200 Simulation Platform (version 0.2.4-x86)
Copyright (c) 2005,2006 Christophe Fillot.

IOS image file: image.bin

C7200: Warning, no MAC address set.

CPU0 Device list:
   ram            : 0x000000000000 (0x10000000)
   rom            : 0x00001fc00000 (0x00400000)
   remote_ctrl    : 0x000011000000 (0x00001000)
   bootflash      : 0x00001a000000 (0x00800000)
   nvram          : 0x00001e000000 (0x00020000)
   zero           : 0x00001f000000 (0x00c00000)
   mp_fpga        : 0x00001e800000 (0x00001000)
   io_fpga        : 0x00001e840000 (0x00001000)
   pci_io         : 0x000100000000 (0x00200000)
   gt64120        : 0x000014000000 (0x00001000)
   PA-8T(2)       : 0x00004d000000 (0x00004000)
   PA-8T(2)       : 0x00004d020000 (0x00004000)
   PA-A1(1)       : 0x000048800000 (0x00800000)
   C7200-IO-FE(0) : 0x000048000000 (0x00800000)

PCI Bus "MB0/MB1" Device list:
   clpd6729       : ID 1013:1100, Bus  2, Dev. 16, Func.  0
   C7200-IO-FE(0) : ID 1011:0009, Bus  1, Dev.  0, Func.  0, IRQ: 2
   PA-A1(1)       : ID 10b5:906e, Bus  5, Dev.  1, Func.  0, IRQ: 2
   PA-A1(1)       : ID 104c:a001, Bus  5, Dev.  0, Func.  0, IRQ: 2
   dec21150       : ID 1011:0023, Bus  0, Dev.  9, Func.  0
   dec21150       : ID 1011:0023, Bus  0, Dev.  8, Func.  0
   dec21150       : ID 1011:0023, Bus  0, Dev.  7, Func.  0
   dec21050       : ID 1011:0001, Bus  0, Dev.  1, Func.  0
   gt64120        : ID 11ab:4620, Bus  0, Dev.  0, Func.  0, IRQ: 4

PCI Bus "MB2" Device list:
   PA-8T(2)       : ID 1137:0001, Bus 11, Dev.  1, Func.  0, IRQ: 2
   PA-8T(2)       : ID 1137:0001, Bus 11, Dev.  0, Func.  0, IRQ: 2
   dec21150       : ID 1011:0023, Bus  0, Dev.  9, Func.  0
   dec21150       : ID 1011:0023, Bus  0, Dev.  8, Func.  0
   dec21150       : ID 1011:0023, Bus  0, Dev.  7, Func.  0

Loading ELF file '../C7200-P-.BIN'...
   * Adding section at virtual address 0x80008000
ELF entry point: 0x80008000

Starting simulation (CPU0 PC=0xffffffffbfc00000), JIT is enabled.
Cisco 7200 (Predator) ROMMON emulation microcode.

Launching IOS image at 0x80008000...

              Restricted Rights Legend

Use, duplication, or disclosure by the Government is
subject to restrictions as set forth in subparagraph
(c) of the Commercial Computer Software - Restricted
Rights clause at FAR sec. 52.227-19 and subparagraph
(c) (1) (ii) of the Rights in Technical Data and Computer
Software clause at DFARS sec. 252.227-7013.

           cisco Systems, Inc.
           170 West Tasman Drive
           San Jose, California 95134-1706



Cisco IOS Software, 7200 Software (C7200-P-M), Version 12.2(25)S7, RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2005 by Cisco Systems, Inc.
Compiled Fri 28-Oct-05 09:12 by pwade
Image text-base: 0x60008DE0, data-base: 0x6183A000

Cisco 7206VXR (NPE400) processor (revision A) with 229376K/32768K bytes of memory.
Processor board ID 4294967295
R4600 CPU at 100Mhz, Implementation 32, Rev 1.2
6 slot VXR midplane, Version 2.1

Last reset from power-on

PCI bus mb0_mb1 (Slots 0, 1, 3 and 5) has a capacity of 600 bandwidth points.
Current configuration on bus mb0_mb1 has a total of 500 bandwidth points.
This configuration is within the PCI bus capacity and is supported.

PCI bus mb2 (Slots 2, 4, 6) has a capacity of 600 bandwidth points.
Current configuration on bus mb2 has a total of 0 bandwidth points
This configuration is within the PCI bus capacity and is supported.

Please refer to the following document "Cisco 7200 Series Port
Adaptor Hardware Configuration Guidelines" on CCO ,
for c7200 bandwidth points oversubscription/usage guidelines.


1 FastEthernet interface
8 Serial interfaces
1 ATM interface
125K bytes of NVRAM.

8192K bytes of Flash internal SIMM (Sector size 256K).


Press RETURN to get started!

学习资料库 2006-08-11 13:04 发表评论

MPLS流量工程试验设备准备

学习资料库 — Fri, 11 Aug 2006 05:00:00 GMT

电脑一台带网卡必须接到网络上或连接一台交换机（hub）主要是要把网卡激活因为我们要用到127.0.0.1 这个地址。
我的电脑配置是 IBM T42 1.6 G 768M 80G。操作系统是xp 专业版sp2。
你需要有7200系列支持 MPLS-TE的IOS，如果你没有的话请别找我要，我不会给你的！
如果你的英文不过关的话，请学习大学英语吧：）
下载如下软件
http://www.ipflow.utc.fr/index.php/Cisco_7200_Simulator
这里感谢网络论坛52network.com （http://www.52network.com/forum）的noclee是他的贴子告诉我的世界上有这么好的东西和这么无私的人。
http://www.52network.com/forum/viewthread.php?tid=1996
7200 simulator中的README 说的很清楚怎么用这个软件，我这里稍微提一下不好理解的地方。
1、最多可以模拟多少台72？
理论上说只要你有足够强的CPU和足够多的内存，那么你可以在一台pc机上运行无数个72模拟器。
2、单机模拟很多个72，如何把他们的以太口连接起来？
这里我举例说明

dynamips -t npe-400 -p 0:C7200-IO-FE -s 0:0:udp:10009:127.0.0.1:10006 c7200-pk9u2-mz.124-5a.bin

dynamips -t npe-400 -p 0:C7200-IO-FE -s 0:0:udp:10006:127.0.0.1:10009 c7200-pk9u2-mz.124-5a.bin

以上2条命令是在 xp中的cmd窗口执行的，执行后所产生的结果是模拟2台72路由器，分别带一个快速以太口。那么这两个以太口是如何连接起来的呢？
-s 0:0:udp:10006:127.0.0.1:10009 这个参数是用来把模拟72设备的网卡用udp 封装后用10009端口传到 10006端口。这样两台72的以太口就使用UDP协议连接起来了。如果你想用2台PC机分别运行这个软件的话，你需要把127.0.0.1 的地址换成远端的地址，例如：
-s 0:0:udp:10006:192.168.1.1:10009?
-s 0:0:udp:10006:192.168.1.2:10009
其中 192.168.1.1 是一台电脑的IP地址，192.168.1.2 是另一台电脑的ip地址。前提是你要保证2台电脑可以互相ping 通，并没有防火墙什么的安全软件。

3、到那里去找支持mpls的IOS?
我有，但是我不能给你。因为我怕惹麻烦。到互联网上搜索吧！

下面是我的 dynamips 运行的参数：

我一共运行了5 台模拟器，我分别建立了5个文件夹，每个文件夹中有3个文件，2个是前面网站下载的软件(dynamips.exe , cygwin1.dll)，另外一个是ios文件(c7200-pk9u2-mz.124-5a.bin)。
另外我建立个 5 个批处理文件，文件中只有2句话：
Echo pauillac
pauillac dynamips -t npe-400 -p 0:C7200-IO-FE -s 0:0:udp:10001:127.0.0.1:10009 -p 1:PA-FE-TX -s 1:0:udp:10002:127.0.0.1:10007 -p 2:PA-FE-TX -s 2:0udp:10003:127.0.0.1:10005 c7200-pk9u2-mz.124-5a.bin

另外的4个批处理文件如下：
Echo pulligny
pulligny dynamips -t npe-400 -p 0:C7200-IO-FE -s 0:0:udp:10004:127.0.0.1:10008 -p 1:PA-FE-TX -s 1:0:udp:10005:127.0.0.1:10003 c7200-pk9u2-mz.124-5a.bin
echo pomerol
pomerol? dynamips -t npe-400 -p 0:C7200-IO-FE -s 0:0:udp:10006:127.0.0.1:10010 -p 1:PA-FE-TX -s 1:0:udp:10007:127.0.0.1:10002 -p 2:PA-FE-TX -s 2:0udp:10008:127.0.0.1:10004 c7200-pk9u2-mz.124-5a.bin
echo pescara
pescara dynamips -t npe-400 -p 0:C7200-IO-FE -s 0:0:udp:10009:127.0.0.1:10001 c7200-pk9u2-mz.124-5a.bin
echo pesaro
pesaro dynamips -t npe-400 -p 0:C7200-IO-FE -s 0:0:udp:10010:127.0.0.1:10006 c7200-pk9u2-mz.124-5a.bin
注意，上面的语句需要你分别复制到记事本中另存为 *.bat 文件。

到此按照上面的配置步骤你就可以和我一样运行5台72路由器了，可以做很多试验的。

学习资料库 2006-08-11 13:00 发表评论

OSPF 与 MPLS VPN

学习资料库 — Fri, 11 Aug 2006 03:54:00 GMT

网络从RWAN向MPLS VPN演变之后，PE-CE之间的路由协议通常继续使用OSPF，这时有一些问题需要注意:

    1.P-NETWORK使用不带VRF参数的OSPF进程，VPN使用带有VRF参数的OSPF进程。如：
        router ospf 3 vrf VPN_3
    在配置以上命令时需要保证有一个属于该VRF的端口已经配置了IP并且处于UP的状态。
    在将用户路由分发到MP-BGP的时候需要注意必须使用match匹配不同类型的OSPF路由,例如：
        address-family ipv4 vrf VPN_3
         redistribute ospf 3 vrf wan match internal external 1 external 2 route-map filter_1
    适当地使用route-map做路由过滤正好可以弥补OSPF路由控制不便的问题。

2.在新的结构中，MPLS VPN通常作为OSPF 的SuperBackbone，即PE和CE运行OSPF的链路属于AREA0。MPLS VPN分发到OSPF中的路由是EX类型的，其优先级低于OSPF域内路由。如下图所示，如果CE1与CE2之间运行OSPF,那么CE1到CE2的流量会通过两者之间直连的线路传输，而不是通过MPLS VPN骨干。

如果希望优先使用MPLS VPN骨干传输数据，并利用VRF内的线路做备份，可以使用sham-link配置方法--在MPLS VPN骨干内配置cost更低的OSPF虚拟的域内线路(如上图虚线所示)，具体配置方法请参考：OSPF Sham-Link Support for MPLS VPN。

3.支持多VRF的OSPF增加了防止路由环路的功能:如果一条路由曾被从MP-BGP往OSPF中分发的，则PE不允许该路由再从OSPF分发到MP-BGP中。有时如果某个PE与其他PE互联的P-NETWORK端口都当掉了，唯一可用的是通过某台CE连接到另外一台PE的一条VPN内线路,这时就必须要在这两台PE上关闭环路检测功能，以便OSPF路由顺利传递，连通整个VPN。配置命令(OSPF 进程配置模式)：capability vrf-lite, 参考：OSPF Support for Multi-VRF on CE Routers 。

最后由于OSPF路由器之间形成邻居时并不检查其所属的VRF，要小心属于不同VPN的OSPF路由进程之间形成邻居，导致路由策略错误。各种路由汇总也可能导致类似的策略错误，在使用VPN重叠功能的环境下尤其要注意避免使用路由汇总。

学习资料库 2006-08-11 11:54 发表评论

别人的笔记

学习资料库 — Fri, 11 Aug 2006 03:52:00 GMT

(1)避免环路：
<1>A2# show ip ospf data summary 203.1.0.1
...
Options: (No TOS-capability, DC, Downward)
...
ospf重分布--dc （downward）/(No TOS-capability, DC, Upward)告诉router这个路由不能再重分布进mpls
super backbone

<2>其他路由协议重分布的--tag（bgp as 号）

(2)在mpls super backbone里面有双层标签，一个是igp分配的，一个是mp-bgp分配的
顶层标签--igp（）
底层标签--bgp（给哪个vpn）
次末跳弹出机制。

routing protocol和mp-bgp的双向重分布
ospf to bgp to ospf--->lsa3
other to bgp to ospf--->lsa5

(3)p路由器不运行igp（减轻p路由器的负担）
mpls网络解决路由黑洞问题

(4)show ip bgp vpnv4 vrf vpna 203.1.0.4显示内容的解释
PE1#show ip bgp vpnv4 vrf vpna 203.1.0.4
BGP routing table entry for 3:10:203.1.0.4/32, version 76
Paths: (1 available, best #1, table vpna)
Not advertised to any peer
192.168.3.4 (metric 40) from 192.168.3.2 (192.168.3.2)
Origin incomplete, metric 65, localpref 100, valid, internal, best
Extended Community: RT:3:10 OSPF DOMAIN ID:0.0.0.1 OSPF RT:3:2:0
Originator: 192.168.3.4, Cluster list: 192.168.3.2, 192.168.3.3
OSPF DOMAIN ID:0.0.0.1 OSPF RT:3:2:0
注释：
DOMAIN ID：缺省id（mpls vpn super backbone--->ospf a0，其他的ospf区域都是除ospf a0外的基本区域）
3:原来路由所属于的ospf area号
2:lsa的类型
0:option
(5)ospf和rip的mpls配置的区别
rip和地址族结合
ospf在配置的时候就指定vrf

学习资料库 2006-08-11 11:52 发表评论

实现PPPOE虚拟拨号后VPN连接

学习资料库 — Fri, 11 Aug 2006 03:51:00 GMT

我也遇到这样的问题，中心是思科2611XM路由，虚拟拨号通过电信光纤上互联网，电信给用户帐号绑定公网地址，只要用户帐号拨到电信，就分配同一个公网IP地址，相当是给了一个固定的地址，分点是ADSLMODEM加思科1721路由，虚拟拨号PPPOE到电信，分配不固定的地址，每次拨上地址都不同。中心与分点建立VPN，设置后，双方上网都可以，但就是建立不了VPN，在分点1721上打开DEBUG，根本没有信息。不知为何，这种方式是否可行，如可行，该如何配置？
-------------------------------------------------------------------------------------------------

我的中心路由器配置：
Router#sh run

Building configuration...

Current configuration : 2211 bytes
!
version 12.2
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname Router
!
enable secret 5 $1$AWT9$vJ9knNykKDcVYfZPk5NKp/
!
ip subnet-zero
!
!
!
vpdn enable
!
vpdn-group pppoe
request-dialin
protocol pppoe
!
!
crypto isakmp policy 1
hash md5
authentication pre-share
crypto isakmp key 7309511 address 0.0.0.0 0.0.0.0
crypto isakmp client configuration address-pool local zdgjpool
!
!
crypto ipsec transform-set zdgjset esp-des esp-md5-hmac
!
crypto dynamic-map zdgjmap 10
set transform-set zdgjset
match address 115
!
!
crypto map zdgjtrans client configuration address initiate
crypto map zdgjtrans client configuration address respond
crypto map zdgjtrans 1 ipsec-isakmp dynamic zdgjmap
!
!
!
!
!
!
!
mta receive maximum-recipients 0
!
!
!
!
interface FastEthernet0/0
ip address 10.10.1.139 255.255.255.0
ip nat inside
duplex auto
speed auto
!
interface FastEthernet0/1
no ip address
duplex auto
speed auto
pppoe enable
pppoe-client dial-pool-number 1
!
interface Dialer1
ip address negotiated
ip nat outside
encapsulation ppp
dialer pool 1
dialer-group 1
no cdp enable
ppp authentication pap callin
ppp pap sent-username zdgj password 7 055C545F721C1E59
crypto map zdgjtrans
!
ip local pool zdgjpool 192.168.10.1 192.168.10.254
ip nat inside source route-map nonat interface Dialer1 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer 1
ip http server
!
!
access-list 115 permit ip 10.10.0.0 0.0.255.255 192.168.100.0 0.0.0.255
access-list 115 permit ip 10.10.0.0 0.0.255.255 192.168.200.0 0.0.0.255
access-list 115 permit ip 192.168.10.0 0.0.0.255 192.168.200.0 0.0.0.255
access-list 115 permit ip 192.168.10.0 0.0.0.255 192.168.100.0 0.0.0.255
access-list 120 deny ip 10.10.0.0 0.0.255.255 192.168.100.0 0.0.0.255
access-list 120 deny ip 10.10.0.0 0.0.255.255 192.168.200.0 0.0.0.255
access-list 120 permit ip 10.10.0.0 0.0.255.255 any
dialer-list 1 protocol ip permit
!
route-map nonat permit 10
match ip address 120
!
call rsvp-sync
!
!
mgcp profile default
!
!
!
dial-peer cor custom
!
!
!
!
!
line con 0
line aux 0
line vty 0 4
password 7 031E5F0C0C5E731F
login
!
!
end

Router#
Router#
--------------------------------------------------------------------------------------

我的分点路由器配置：

Building configuration...

Current configuration : 1464 bytes
!
version 12.2
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname Router
!
logging queue-limit 100
!
ip subnet-zero
!
!
!
vpdn enable
!
vpdn-group pppoe
request-dialin
protocol pppoe
!
!
!
!
!
crypto isakmp policy 1
hash md5
authentication pre-share
crypto isakmp key 7309511 address x.x.x.x
!
!
crypto ipsec transform-set zdgjset esp-des esp-md5-hmac
!
crypto map zdgjtrans 1 ipsec-isakmp
set peer x.x.x.x
set transform-set zdgjset
match address 115
!
!
!
!
interface Ethernet0
no ip address
half-duplex
pppoe enable
pppoe-client dial-pool-number 1
!
interface FastEthernet0
ip address 192.168.100.1 255.255.255.0
ip nat inside
speed auto
!
interface Dialer1
ip address negotiated
ip mtu 1492
ip nat outside
encapsulation ppp
dialer pool 1
dialer-group 1
ppp pap sent-username wangcd password 7 00554A51560B53545B
crypto map zdgjtrans
!
ip nat inside source route-map nonat interface Dialer1 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
no ip http server
no ip http secure-server
!
!
!
access-list 115 permit ip 192.168.100.0 0.0.0.255 10.10.1.0 0.0.0.255
access-list 115 deny ip 192.168.100.0 0.0.0.255 any
access-list 120 deny ip 192.168.100.0 0.0.0.255 10.10.1.0 0.0.0.255
access-list 120 permit ip 192.168.100.0 0.0.0.255 any
!
route-map nonat permit 10
match ip address 120
!
!
line con 0
line aux 0
line vty 0 4
!
no scheduler allocate
end

Router#

上网没问题，打开DEBUG没有任何信息
debug crypto ipsec
debug crypto isakmp
debug crypto engine
-----------------------------------------------------------------------------------

在hub to spoke 的结构中，要实现 spoke to spoke 通讯当然要求所有 spoke 也要有静态的IP的说，这里已经有一位兄弟作个这个测试了，ZT出来给大家看看的说：

关于四台Cisco防火墙实现VPN网络的实施
其实四台Cisco防火墙的VPN同两台防火墙做VPN没什么大的区别，只是一定要注意路由的配置（我就是在这上面花了很长的时间，不是多写就是少写了，多少都是不会通的）；在四台Cisco pix做VPN中，有两种方式，一种是采用一个中心的方式，另一种就是分散式的（我自己起的名字J），前者，也就是说以一个PIX点为中心，其它的机器都连到本机上，在通过本机做路由；后者，则是在每一个路由上都要写出到另外三台的加密方式（听来就很麻烦），这里我采用的就是第一种类型（不是我偷懒，而是客户要求，谁让客户是上帝了呢！）；
以下，是施工图以及四个Cisco pix的详细配置：

详细配置如下：
中心pix1：
: Saved
: Written by enable_15 at 23:10:31.763 UTC Thu Apr 24 2003
PIX Version 6.2(2)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password NHvIO9dsDwOK8b/k encrypted
passwd NHvIO9dsDwOK8b/k encrypted
hostname pixfirewall
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol ils 389
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
fixup protocol skinny 2000
names
access-list 101 permit ip 172.17.0.0 255.255.0.0 172.16.0.0 255.255.0.0
access-list 101 permit ip 172.17.5.0 255.255.255.0 172.17.10.0 255.255.255.0
access-list 101 permit ip 172.17.10.0 255.255.255.0 172.17.5.0 255.255.255.0
access-list 101 permit ip 172.16.0.0 255.255.0.0 172.17.0.0 255.255.0.0
access-list 101 permit ip 172.17.5.0 255.255.255.0 172.17.17.0 255.255.255.0
access-list 101 permit ip 172.17.10.0 255.255.255.0 172.17.17.0 255.255.255.0
access-list hyzc permit icmp any any
access-list hyzc permit tcp any any
access-list hyzc permit udp any any
pager lines 24
interface ethernet0 auto
interface ethernet1 auto
mtu outside 1500
mtu inside 1500
ip address outside 192.168.0.2 255.255.255.240
ip address inside 172.17.5.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
pdm history enable
arp timeout 14400
nat (outside) 1 0.0.0.0 0.0.0.0 0 0
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
access-group hyzc in interface outside
route outside 0.0.0.0 0.0.0.0 218.7.16.49 1
route inside 172.17.0.0 255.255.0.0 172.17.5.20 1
route outside 172.17.17.0 255.255.255.0 192.168.0.4 1
route outside 172.17.16.0 255.255.255.0 192.168.0.1 1
route outside 172.16.0.0 255.255.255.0 192.168.0.3 1
route outside 172.17.18.0 255.255.255.0 218.7.16.52 1
route outside 172.17.18.64 255.255.255.0 218.7.16.49 1
route outside 218.7.248.100 255.255.255.252 218.7.16.49 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
no sysopt route dnat
crypto ipsec transform-set strong esp-des esp-sha-hmac
crypto map tohyjt 20 ipsec-isakmp
crypto map tohyjt 20 match address 101
crypto map tohyjt 20 set peer 192.168.0.3
crypto map tohyjt 20 set peer 192.168.0.4
crypto map tohyjt 20 set peer 192.168.0.1
crypto map tohyjt 20 set transform-set strong
crypto map tohyjt interface outside
isakmp enable outside
isakmp key cisco address 192.168.0.3 netmask 255.255.255.255
isakmp key cisco address 192.168.0.4 netmask 255.255.255.255
isakmp key cisco address 192.168.0.1 netmask 255.255.255.255
isakmp identity address
isakmp policy 9 authentication pre-share
isakmp policy 9 encryption des
isakmp policy 9 hash sha
isakmp policy 9 group 1
isakmp policy 9 lifetime 86400
telnet 218.7.16.49 255.255.255.255 inside
telnet 172.17.5.20 255.255.255.255 inside
telnet timeout 5
ssh timeout 5
terminal width 80
Cryptochecksum:8982919a8bfa10ba09cddee3f2da0e6a
: end
pix2配置：
: Saved
: Written by enable_15 at 00:00:48.042 UTC Fri Apr 25 2003
PIX Version 6.2(2)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password N.swjdczcTdUzgrS encrypted
passwd N.swjdczcTdUzgrS encrypted
hostname HYZCrc
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol ils 389
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
fixup protocol skinny 2000
names
access-list 101 permit ip 172.17.17.0 255.255.255.0 172.17.10.0 255.255.255.0
access-list 101 permit ip 172.17.17.0 255.255.255.0 172.17.5.0 255.255.255.0
access-list hyzc permit icmp any any
access-list hyzc permit tcp any any
access-list hyzc permit udp any any
pager lines 24
interface ethernet0 auto
interface ethernet1 auto
mtu outside 1500
mtu inside 1500
ip address outside 192.168.0.4 255.255.255.252
ip address inside 172.17.17.254 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
pdm history enable
arp timeout 14400
nat (outside) 1 0.0.0.0 0.0.0.0 0 0
nat (inside) 0 access-list 101
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
route outside 0.0.0.0 0.0.0.0 218.7.37.5 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
no sysopt route dnat
crypto ipsec transform-set strong esp-des esp-sha-hmac
crypto map tohyzc 20 ipsec-isakmp
crypto map tohyzc 20 match address 101
crypto map tohyzc 20 set peer 192.168.0.2
crypto map tohyzc 20 set transform-set strong
crypto map tohyzc interface outside
isakmp enable outside
isakmp key cisco address 192.168.0.2 netmask 255.255.255.255
isakmp identity address
isakmp policy 9 authentication pre-share
isakmp policy 9 encryption des
isakmp policy 9 hash sha
isakmp policy 9 group 1
isakmp policy 9 lifetime 86400
telnet 172.17.17.253 255.255.255.255 inside
telnet timeout 5
ssh timeout 5
terminal width 80
Cryptochecksum:f63109daf8abcaf74a4f3b30ab01b48a
: end

pix3配置：
: Saved
:
PIX Version 6.0(1)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password X8QPBTnOSyX6X9Y9 encrypted
passwd X8QPBTnOSyX6X9Y9 encrypted
hostname pixfirewall
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
fixup protocol skinny 2000
names
access-list 101 permit ip 172.16.0.0 255.255.0.0 172.17.0.0 255.255.0.0
access-list hy_in permit tcp any host 218.7.24.163 eq 8080
access-list hy_in permit tcp any host 218.7.24.162 eq pop3
access-list hy_in permit tcp any host 218.7.24.162 eq smtp
access-list hy_in permit icmp any any
access-list hy_in permit tcp any host 218.7.24.169
access-list hy_in permit tcp any host 218.7.24.171
access-list hy_in permit tcp any host 218.7.24.172
access-list hy_in permit tcp any host 218.7.24.173 eq 500
access-list hy_in permit udp any host 218.7.24.173 eq isakmp
pager lines 24
interface ethernet0 auto
interface ethernet1 auto
mtu outside 1500
mtu inside 1500
ip address outside 192.168.0.3 255.255.255.252
ip address inside 172.16.16.5 255.255.0.0
ip audit info action alarm
ip audit attack action alarm
no failover
failover timeout 0:00:00
failover poll 15
failover ip address outside 0.0.0.0
failover ip address inside 0.0.0.0
pdm history enable
arp timeout 14400
nat (inside) 0 access-list 101
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
access-group hy_in in interface outside
route outside 0.0.0.0 0.0.0.0 218.7.248.101 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
no sysopt route dnat
crypto ipsec transform-set strong esp-des esp-sha-hmac
crypto map tohyzc 20 ipsec-isakmp
crypto map tohyzc 20 match address 101
crypto map tohyzc 20 set peer 218.7.248.134
crypto map tohyzc 20 set transform-set strong
crypto map tohyzc interface outside
isakmp enable outside
isakmp key cisco address 218.7.248.134netmask 255.255.255.255
isakmp identity address
isakmp policy 9 authentication pre-share
isakmp policy 9 encryption des
isakmp policy 9 hash sha
isakmp policy 9 group 1
isakmp policy 9 lifetime 86400
telnet 172.16.0.0 255.255.0.0 inside
telnet timeout 5
ssh timeout 5
terminal width 80
Cryptochecksum:e4784293ff665fc559df92cb2d1d430e
: end
pix4配置：
: Saved
: Written by enable_15 at 00:00:48.042 UTC Fri Apr 25 2003
PIX Version 6.2(2)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password N.swjdczcTdUzgrS encrypted
passwd N.swjdczcTdUzgrS encrypted
hostname HYZCrc
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol ils 389
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
fixup protocol skinny 2000
names
access-list 101 permit ip 172.17.5.0 255.255.255.0 172.17.16.0 255.255.255.0
access-list 101 permit ip 172.17.10.0 255.255.255.0 172.17.16.0 255.255.255.0
access-list hi permit icmp any any
access-list hi permit tcp any any
access-list hi permit udp any any
pager lines 24
interface ethernet0 auto
interface ethernet1 auto
mtu outside 1500
mtu inside 1500
ip address outside 192.168.0.1 255.255.255.252
ip address inside 172.17.16.254 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
pdm history enable
arp timeout 14400
nat (outside) 1 0.0.0.0 0.0.0.0 0 0
nat (inside) 0 access-list 101
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
route outside 0.0.0.0 0.0.0.0 218.7.37.1 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
no sysopt route dnat
crypto ipsec transform-set strong esp-des esp-sha-hmac
crypto map tohyzc 20 ipsec-isakmp
crypto map tohyzc 20 match address 101
crypto map tohyjt 20 set peer 192.168.0.2
crypto map tohyzc 20 set transform-set strong
crypto map tohyzc interface outside
isakmp enable outside
isakmp key cisco address 192.168.0.2 netmask 255.255.255.255
isakmp identity address
isakmp policy 9 authentication pre-share
isakmp policy 9 encryption des
isakmp policy 9 hash sha
isakmp policy 9 group 1
isakmp policy 9 lifetime 86400
telnet 172.17.16.253 255.255.255.255 inside
telnet timeout 5
ssh timeout 5
terminal width 80
Cryptochecksum:f63109daf8abcaf74a4f3b30ab01b48a
: end
在以上的配置中，主要是中心点的路由，要注意，在配置过程开始时，sh isakmp sa 发现链路以建立，可是就是Ping不通，发现是因为没有针对于所在地的路由，还有就是当打开debug命令监控时，debug crypto isakmp ; debug crypto ipsec ;时，在内网的机器执行ping命令后，没有任何反映，后发现缺少命令激活扩展列表，具体命令：nat (inside) 0 access-list 101,
在就是我在pix3时内部多加了两条路由，静态的到中心的路由，在pix3以内怎么也Ping不出去，后来去掉以后发现通过。看来多写也是不行的。从总的来说，两台pix做vpn同多台机器做vpn没什么什么大的区别，主要是多写几条peer，也就是crypto map tohyjt 20 set peer 192.168.0.2（中间的名字 tohyjt这个没什么实际的规定，想写什么就写什么，但是最好是一致）和isakmp key cisco address ；在就是前面所提的路由（在中心点的配置中可以看到，在这里我隐去了真正的ip，主要是为客户的安全考虑，而已一个私有的IP网段来设定；），
不知道这对大家是否有帮助，希望有问题大家一起来学习。
--------------------------------------------------------------------------------------

继续深入讨论下去。
balance可能误解了我的意思，现在的难题是hub如何知道每一个spoke和相应的lan地址对应起来。
举个很简单hub-spoke的例子：

192.168.2/24--b-2.2.2.2---------------------
　　　　　　　　　　　　　　　　1.1.1.1-A-192.168.1/24
192.168.3/24--C-3.3.3.3---------------------
在B和C两个spoke的合法地址都固定的情况下，hub端应该至少会存在哪下的配置：
crypto map mymap 10 ipsec-isakmp
set peer 2.2.2.2
match address 102
crypto map mymap 11 ipsec-isakmp
set peer 3.3.3.3
match address 103
access-list 102 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
access-list 103 permit ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255
从这里可以看出，实际上每一段lan地址和spoke的关联，是由acl手工指定的，并通过和set peer的关联联系到相应的spoke上面。

那么，当spoke 的地址为动态地址时，应该如何才能将lan绑定到相应的spoke上呢？？？pepeng说有可能在协商SA的时候交换spoke后端的lan的信息，我觉得这种可能性不大，至少在cisco的ipsec实现中可能性是相当小的(真能这样的话，ipsec的配置可以说是大大的简化了。)

所以，我的结论仍然是：在目前的实现中，hub-spoke的lan2lan的ipsec，需要每一个站点都具备固定的合法IP地址。事实证明我的结论是错误的。

-----------------------------------------------------------------------------
再补充一下，实际环境和实验环境中是有很大的区别的。
1、不管是hub端还是spoke端，从路由的层面上来说，都是一条缺省路由到ISP的第一跳路由器。
2、实际环境中，spoke端的地址根本就是全动态的，没办法配置peer，只能按照access vpn的方式进行配置，或使用set peer 0.0.0.0匹配所有的spoke。这种情况下，有一个最关键的问题就是hub如何知道哪一个LAN在哪一个spoke的后面？？？？
-------------------------------------------------------------------------------

Cisco 现在有个称为 DMVPN (dynamic multipoint VPN) 的DD，可以实现动态IP的spoke之间的通讯了，上面链接有sample

Dynamic Multipoint VPN: Generic Route Encapsulation (GRE) provides multiprotocol routing, dynamic routing updates for site-to-site networks, and Multicast access. Dynamic Multipoint VPN (DMVPN) extends this in terms of providing the same GRE benefits to dynamic users (ie: access to IP/TV) and also provides a "Full-Mesh" site-to-site connectivity. DMVPN can achieve this because it is used in combination with Next Hop Resolution Protocol (NHRP) and Multipoint GRE.

Primary DMVPN hub配置：

crypto isakmp policy 1
encr 3des
!
crypto ipsec transform-set t1 esp-3des esp-sha-hmac
mode transport
crypto ipsec transform-set t2 esp-3des esp-sha-hmac
crypto ipsec transform-set t3 esp-3des esp-sha-hmac comp-lzs
crypto ipsec transform-set t4 esp-3des esp-sha-hmac comp-lzs
mode transport
!
crypto dynamic-map dmap 20
set transform-set t2 t1 t3 t4
!
crypto map test local-address Loopback0
crypto map test 1 ipsec-isakmp dynamic dmap
!
interface Loopback0
ip address 128.107.108.129 255.255.255.255
!
interface Tunnel0
description MGRE + NHRP
bandwidth 2000
ip address 3.3.3.1 255.255.255.0
no ip redirects
ip mtu 1436
ip pim nbma-mode
ip pim sparse-dense-mode
ip multicast rate-limit out 768
ip nhrp map multicast dynamic
ip nhrp network-id 10107
ip nhrp server-only
tunnel source Loopback0
tunnel mode gre multipoint
tunnel key 10107
!
interface Tunnel11
description MGRE + NHRP (split-tunneling)
bandwidth 2000
ip address 3.4.3.1 255.255.255.0
no ip redirects
ip mtu 1436
ip pim nbma-mode
ip pim sparse-dense-mode
ip nhrp map multicast dynamic
ip multicast rate-limit out 768
ip nhrp network-id 14107
ip nhrp server-only
ip igmp explicit-tracking
ip igmp version 3
tunnel source Loopback0
tunnel mode gre multipoint
tunnel key 14107
!
interface FastEthernet0/1
ip address 10.34.250.44 255.255.255.248
ip pim sparse-dense-mode
duplex auto
speed auto
crypto map test

Secondary DMVPN hub配置：

crypto isakmp policy 1
encr aes
!
crypto isakmp policy 2
encr 3des
crypto isakmp keepalive 30 5
!
crypto ipsec transform-set t1 esp-3des esp-sha-hmac
mode transport
crypto ipsec transform-set t2 esp-3des esp-sha-hmac
crypto ipsec transform-set t3 esp-aes esp-sha-hmac
crypto ipsec transform-set t4 esp-aes esp-sha-hmac
mode transport
!
crypto dynamic-map dmap 10
set transform-set t1 t2 t3 t4
!
crypto map test local-address Loopback0
crypto map test 1 ipsec-isakmp dynamic dmap
!
interface Loopback0
ip address 128.107.108.131 255.255.255.255
!
interface Tunnel0
description MGRE + NHRP
bandwidth 1500
ip address 3.3.5.1 255.255.255.0
no ip redirects
ip mtu 1416
ip pim nbma-mode
ip pim sparse-dense-mode
ip multicast rate-limit out 768
ip nhrp map multicast dynamic
ip nhrp network-id 10127
ip nhrp holdtime 600
ip nhrp server-only
tunnel source Loopback0
tunnel mode gre multipoint
tunnel key 10127
!
interface Tunnel11
description MGRE + NHRP (split-tunneling)
bandwidth 1500
ip address 3.4.5.1 255.255.255.0
no ip redirects
ip mtu 1436
ip pim nbma-mode
ip pim sparse-dense-mode
ip multicast rate-limit out 768
ip nhrp map multicast dynamic
ip nhrp network-id 14127
ip nhrp server-only
ip igmp version 3
tunnel source Loopback0
tunnel mode gre multipoint
tunnel key 14127
!
interface FastEthernet1/0
ip address 10.34.250.46 255.255.255.248
ip pim sparse-dense-mode
duplex full
crypto map test

Spoke 1配置：

crypto isakmp policy 1
encr aes
!
crypto isakmp policy 2
encr 3des
!
crypto isakmp keepalive 10
!
crypto ipsec security-association lifetime kilobytes 530000000
crypto ipsec security-association lifetime seconds 14400
!
crypto ipsec transform-set t1 esp-3des esp-sha-hmac
crypto ipsec transform-set VPNSC_TS_1 esp-3des esp-sha-hmac
crypto ipsec transform-set t3 esp-aes esp-sha-hmac
!
crypto ipsec profile stealth-vpnprof
set transform-set t3 t1 VPNSC_TS_1
!
interface Tunnel0
description MGRE + NHRP - Primary
bandwidth 2000
ip address 3.4.3.2 255.255.255.0
no ip redirects
ip mtu 1400
ip pim sparse-dense-mode
ip multicast rate-limit out 128
ip nhrp map multicast 128.107.108.129
ip nhrp map 3.4.3.1 128.107.108.129
ip nhrp network-id 14107
ip nhrp holdtime 300
ip nhrp nhs 3.4.3.1
tunnel source Ethernet1
tunnel mode gre multipoint
tunnel key 14107
tunnel protection ipsec profile stealth-vpnprof
!
interface Tunnel1
description MGRE + NHRP - Load Balance/Failover
bandwidth 1500
ip address 3.4.5.2 255.255.255.0
no ip redirects
ip mtu 1400
ip pim sparse-dense-mode
ip multicast rate-limit out 128
ip nhrp authentication stealth
ip nhrp map multicast 128.107.108.131
ip nhrp map 3.4.5.1 128.107.108.131
ip nhrp network-id 14127
ip nhrp holdtime 300
ip nhrp nhs 3.4.5.1
tunnel source Ethernet1
tunnel mode gre multipoint
tunnel key 14127
tunnel protection ipsec profile stealth-vpnprof
!
router eigrp 6
network 3.4.3.0 0.0.0.255
network 3.4.5.0 0.0.0.255
network 10.32.254.32 0.0.0.15
no auto-summary
no eigrp log-neighbor-changes

学习资料库 2006-08-11 11:51 发表评论

第3章 MPLS流量工程

学习资料库 — Fri, 11 Aug 2006 03:48:00 GMT

1.1 MPLS 流量工程简介

MPLS 流量工程（ MPLS TE —— MPLS Traffic Engineering ）是一种将流量工程技术与 MPLS 这种叠加模型相结合的技术。通过 MPLS 流量工程，可以建立指定路径的 LSP 隧道，进行资源预留，并且可以进行重新优化；在资源紧张的情况下，可以根据优先级和抢占参数的情况，抢占低优先级的 LSP 隧道的带宽资源等等。同时，还可以通过备份路径和快速重路由技术，在链路或节点失败的情况下，提供保护。

使用 MPLS 流量工程，网络管理员只需要建立一些 LSP 和旁路拥塞节点，就可以消除网络拥塞。随着 LSP 数量的增长，还需要使用一些特殊的离线工具进行业务量分析。

为了实现流量工程，策略是非常重要的一个方面。 MPLS 流量工程需要下列策略的支持：

图1-1 备份策略：

当前 CR-LSP 隧道的备份策略是建立与基本 CR-LSP 路径完全不同的备份路径。这些 CR-LSP 只与基本 CR-LSP 具有相同的入口和出口节点，并且备份支持 Ordinary 方式。

图1-2 容错策略：

l 基本 CR-LSP ，没有快速重路由，没有备份 CR-LSP ；

l 基本 CR-LSP ，备份使能；

l 基本 CR-LSP ，快速重路由使能；

l 基本 CR-LSP ，备份和快速重路由都使能。

图1-3 抢占策略；

图1-4 重试策略。

1.2 MPLS 流程工程的配置

1.2.1 MPLS 流量工程配置总体介绍

对于一个由 NE 路由器组成的链路，要使其具备流量工程特性，需要进行以下配置：

l 设备配置，全局使能 MPLS TE 特性

l 接口及其 MPLS TE 参数配置

l MPLS TE 隧道及其参数配置

l MPLS TE IGP 协议（ OSPF ）配置

每台设备都经过上述配置后，则该链路就具备了 MPLS TE 特性。总的来说， MPLS 流程工程的配置项包括：

l 使能 MPLS 流量工程

l 使能 RSVP-TE 特性

l 配置 OSPF TE

l 配置 MPLS TE 显示路径

l 配置隧道显示路径

l 配置 MPLS TE 接口最大使用带宽

l 配置 MPLS TE 接口最大可预留带宽

l 指定建立隧道使用的资源预留风格

l 指定建立隧道时支持路由记录和标记记录

l 指定建立隧道时支持环路检测

l 提交隧道当前配置

l 指定建立隧道使用的信令协议类型为 RSVP

l 设置隧道重试建立的次数

l 指定重建隧道的间隔时间

l 启动 Hello 机制，用来检测邻居的存在

l 设定允许 Hello 消息丢失的最大次数

l 设定 Hello 消息刷新时间间隔

l 设置 PSB 和 RSB 的超时倍数

l 启动预留确认机制

l 设置处于阻塞状态的超时倍数

l 设置节点的 Path 、 Resv 消息的刷新周期

1.2.2 使能 MPLS 流量工程

首先要配置 LSR ID ，使能 MPLS ，然后才能执行 mpls te 命令使能流量工程特性。

需在系统视图下执行该命令全局使能 MPLS 流量工程特性，然后才能在相应接口下使能流量工程特性。

请在 MPLS 视图或接口视图下进行下列配置。

表1-1 使能MPLS流量工程特性

操作	命令
使能 MPLS 流量工程	mpls te
去使能 MPLS 流量工程	undo mpls te

接口视图下关闭流量工程特性，将删除接口上所有 CR-LSP ，关闭流量工程特性。

系统视图下关闭流量工程特性，将删除所有 CR-LSP 隧道，接口流量工程特性同时被关闭。

1.2.3 使能 RSVP-TE 特性

如使用 RSVP 控制协议，需要先在系统模视图下全局使能 RSVP-TE 特性，并在相应接口视图下使能 RSVP-TE 特性。

请在系统视图、接口视图或隧道视图下进行下列配置。

表1-2 使能 RSVP-TE 特性

操作	命令
使能 RSVP-TE 特性	mpls rsvp-te
去使能 RSVP-TE 特性	undo mpls rsvp-te

全局去使能 RSVP-TE 特性，同时会去使能每个接口上的 RSVP-TE 特性。

1.2.4 配置 OSPF TE

OSPF TE 是基于 Opaque LSA 的，在使能 OSPF TE 之前，必须使能 Opaque 能力。

1. 使能进程的 Opaque 能力

请在 OSPF 视图下进行下列配置。

表1-3 使能进程的Opaque能力

操作	命令
使能进程的 Opaque 能力	opaque-capability enable
取消使能	undo opaque-capability

注意：

若某个区域已经使能了 OSPF TE ，则“ undo opaque-capability ”命令会执行失败。

2. 使能区域的 TE 能力

请在 OSPF 区域视图下进行下列配置。

表1-4 使能区域的 TE 能力

操作	命令
使能	mpls-te enable
取消使能	undo mpls-te

注意：

若进程还没有使能 Opaque ，则“ mpls-te enable ”命令会执行失败。

1.2.5 配置 MPLS TE 显示路径

进入显式路径的子命令模式，创建或修改指定的路径

请在系统视图下进行下列配置。

表1-5 进入显式路径的子命令模式

操作	命令
进入显式路径的子命令模式，创建或修改指定的路径	mpls te explicit-path pathname [ enable \| disable ]
删除该路径	undo mpls te explicit-path pathname

为显示路径插入和删除节点

请在显式路径视图下进行下列配置。

表1-6 为显示路径插入和删除节点

操作	命令
插入一个节点	add hop ip-address1 [ strict \| loose ] [ afterip-address2 ]
删除一个节点	delete hop ip-address
根据 index 插入或者修改显示路径的结点地址。	modify hop ip-address1 ip-address2 [ strict \| loose ]
指定显式路径的下一个 IP 地址	next hop ip-address [ strict \| loose ]
查看显式路径节点信息	display hop [ ip-address ]

1.2.6 配置隧道显示路径

请把隧道设置成 mpls te 隧道，然后在隧道视图下进行下列配置

表1-7 配置 MPLS TE 显示路径

操作	命令
配置 MPLS TE 显示路径	mpls te path explicit-path pathname
取消该路径的配置	undo mpls te path explicit-path

1.2.7 配置 MPLS TE 接口最大使用带宽

请在接口视图下进行下列配置。

表1-8 配置 MPLS TE 接口最大使用带宽

操作	命令
配置 MPLS TE 接口最大使用带宽	mpls te max-link-bandwidth bandwidth-value
恢复缺省值	undo mpls te max-link-bandwidth

1.2.8 配置 MPLS TE 接口最大可预留带宽

请在接口视图下进行下列配置。

表1-9 配置 MPLS TE 接口最大可预留带宽

操作	命令
配置 MPLS TE 接口最大可预留带宽	mpls te max-reservable-bandwidth bandwidth-value
恢复缺省值	undo mpls te max-reservable-bandwidth

1.2.9 指定建立隧道使用的资源预留风格

请在隧道视图下进行下列配置。

表1-10 指定建立隧道使用的资源预留风格

操作	命令
指定建立隧道使用的资源预留风格	mpls te resv-style [ ff \| se ]
恢复缺省的资源预留样式	undo mpls te resv-style

系统缺省为 FF 样式。

1.2.10 指定建立隧道时支持路由记录和标记记录

请在隧道视图下进行下列配置。

表1-11 指定建立隧道时支持路由记录和标记记录

操作	命令
指定建立隧道时支持路由记录和标记记录	mpls te record-route [ label ]
取消该配置，恢复缺省情况	undo mpls te record-route

缺省情况下不支持路由记录和标记记录。

1.2.11 指定建立隧道时支持环路检测

请在隧道视图下进行下列配置。

表1-12 指定建立隧道时支持环路检测

操作	命令
指定建立隧道时支持环路检测	mpls te loop-detection
取消环路检测	undo mpls te loop-detection

缺省情况下不支持环路检测

1.2.12 提交隧道当前配置

请在隧道视图下进行下列配置。

表1-13 提交隧道当前配置

操作	命令
提交隧道当前配置	mpls te commit

1.2.13 指定建立隧道使用的信令协议类型为 RSVP

请在隧道视图下进行下列配置。

表1-14 指定建立隧道使用的信令协议类型为 RSVP

操作	命令
指定建立隧道使用的信令协议类型为 RSVP	mpls te signal-protocol rsvp-te

1.2.14 设置隧道重试建立的次数

请在隧道视图下进行下列配置。

表1-15 建立静态CR-LSP

操作	命令
配置 CR-LSP 的入口节点	mpls te retry value
恢复缺省值	undo mpls te retry

缺省重建次数为 50 。

1.2.15 指定重建隧道的间隔时间

请在隧道视图下进行下列配置。

表1-16 指定重建隧道的间隔时间

操作	命令
指定重建隧道的间隔时间	mpls te timer retry seconds
恢复缺省值	undo mpls te timer retry

缺省重建隧道时间为 10 秒。

1.2.16 启动 Hello 机制，用来检测邻居的存在

请在系统视图下进行下列配置。

表1-17 启动 Hello 机制用来检测邻居的存在

操作	命令
启动 Hello 机制用来检测邻居的存在	mpls rsvp-te hello
关闭 Hello 机制	undo mpls rsvp-te hello

1.2.17 设定允许 Hello 消息丢失的最大次数

设定连续未接收到 Hello 消息的次数，当超过此次数时判定链路故障。

请在系统视图下进行下列配置。

表1-18 设定允许 Hello 消息丢失的最大次数

操作	命令
设定允许 Hello 消息丢失的最大次数	mpls rsvp-te hello-lost [ times ]
恢复连续未收到 HELLO 应答消息的缺省次数	undo mpls rsvp-te hello-lost [ times ]

缺省值为 3 。

1.2.18 设定 Hello 消息刷新时间间隔

请在系统视图下进行下列配置。

表1-19 设定 Hello 消息刷新时间间隔

操作	命令
设定 Hello 消息刷新时间间隔	mpls rsvp-te timer hello [ timevalue ]
恢复发送 Hello 刷新消息的间隔周期的缺省值	undo mpls rsvp-te timer hello [ timevalue ]

缺省值为 3 。

1.2.19 设置 PSB 和 RSB 的超时倍数

请在系统视图下进行下列配置。

表1-20 设置 PSB 和 RSB 的超时倍数

操作	命令
设置 PSB 和 RSB 的超时倍数	mpls rsvp-te keep-multiplier [ number ]
恢复缺省值	undo mpls rsvp-te keep-multiplier [ number ]

缺省值为 3 。

1.2.20 启动预留确认机制

请在系统视图下进行下列配置。

表1-21 启动预留确认机制

操作	命令
启动预留确认机制	mpls rsvp-te resvconfirm
关闭预留确认机制	undo mpls rsvp-te resvconfirm

1.2.21 设置处于阻塞状态的超时倍数

请在系统视图下进行下列配置。

表1-22 设置处于阻塞状态的超时倍数

操作	命令
设置处于阻塞状态的超时倍数	mpls rsvp-te blockade-multiplier [ number ]
恢复缺省值	undo mpls rsvp-te blockade-multiplier [ number ]

缺省值为 3 。

1.2.22 设置节点的 Path 、 Resv 消息的刷新周期

请在系统视图下进行下列配置。

表1-23 设置节点的 Path 、 Resv 消息的刷新周期

操作	命令
设置节点的 Path 、 Resv 消息的刷新周期	mpls rsvp-te timer refresh [ timevalue ]
恢复缺省值	undo mpls rsvp-te timer refresh [ timevalue ]

缺省的 Path/Resv 刷新周期为 30 秒

1.3 MPLS TE 显示和调试

在完成上述配置后，在所有视图下执行 display 命令可以显示配置后 MPLS TE 的运行情况，通过查看显示信息验证配置的效果。

表1-24 MPLS TE 显示和调试命令

操作	命令
显示已经配置的显式路径	display mpls te explicit-path [ pathname ]
显示本地接纳的隧道，以及它们的参数（如优先级、带宽、入接口和出接口、状态）	display mpls te link-administration admission-control interface [ interface-name \| { interface-type interface-num } ]
显示当前链路信息	display mpls te link-administration bandwidth-distribution interface [ interface-name \| { interface-type interface-num } ]
显示隧道信息	display mpls te tunnel [ destinationaddress ] [ lsp-id { num \| ipaddress \| ipaddress num } ] [ lsr-role { all \| ingress \| transit \| egress \| remote } ] [ { up \| down } ] [ name string ] [ [ incoming-interface { interface-name \| interface-type interface-number } ] [ outgoing-inteface { interface-name \| interface-type interface-number } ] \| [ interface { interface-name \| interface-type interface-number } ] ]
显示隧道统计信息	display mpls te tunnel statistics
显示配置节点信息	display hop

在完成上述配置后，在所有视图下执行 display 命令可以显示配置后 RSVP 的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行 debugging 命令可对 RSVP-TE 模块进行调试。

表1-25 RSVP-TE 的显示和调试命令

操作	命令
显示 RSVP 接口的相关信息	display mpls rsvp-te [ interface interface-type interface-number ]
显示 RSVP LSP 和带宽信息	display mpls rsvp-te established [ interfaceinterface-type interface-number ]
显示 RSVP 邻居	display mpls rsvp-te neighbor [ interfaceinterface-type interface-number ]
显示 RSVP LSP 发送方请求的资源预留信息	display mpls rsvp-te request [ interfaceinterface-type interface-number ]
显示 RSVP 资源预留信息	display mpls rsvp-te reservation [ interfaceinterface-type interface-number ]
显示 RSVP 发送方信息	display mpls rsvp-te sender [ interfaceinterface-type interface-number ]
打开 RSVP-TE 不同模块的告警开关	debugging mpls rsvp-te { all \| error \| path \| ptear \| resv \| rtear \| rconf \| hello \| perr \| rerr \| encdec \| socket \| traffic-control \| main \| tool }
关闭 RSVP-TE 不同模块的告警开关	undo debugging mpls rsvp-te { all \| error \| path \| ptear \| resv \| rtear \| rconf \| hello \| perr \| rerr \| encdec \| socket \| traffic-control \| main \| tool }

1.4 MPLS 流量工程典型配置举例

1. 组网需求

配置一条动态的隧道，如下图所示，该路径由 RT1 、 RT3 、 RT4 和 RT6 组成，设置带宽为 20 ，预留风格为 FF 风格。

2. 组网图

图1-1 MPLS TE 隧道典型配置举例图

3. 配置步骤

# RT1 的配置：

system

[Quidway] sysname RT1

# 配置 LSR ID ，使能 MPLS 。

[RT1] mpls lsr-id 11.2.1.1

[RT1] mpls

# 使能 MPLS TE ，使能 RSVP TE 。

[RT1] mpls te

[RT1] mpls rsvp-te

# 配置 LOOPBACK 接口，并配置名为 huawei 的显示路径。

[RT1] interface LoopBack0

[RT1-LoopBack0] ip address 11.2.1.1 255.255.0.0

[RT1] mpls te explicit-path Huawei

[RT1-mpls-te-expl-path-huawei] next hop 110.1.1.2

[RT1-mpls-te-expl-path-huawei] next hop 100.1.1.2

[RT1-mpls-te-expl-path-huawei] next hop 60.1.1.2

# 配置 Serial1/0/0 。

[RT1] interface Serial1/0/0

[RT1-Serial1/0/0] link-protocol ppp

[RT1-Serial1/0/0] ip address 110.1.1.1 255.255.0.0

[RT1-Serial1/0/0] mpls

[RT1-Serial1/0/0] mpls te

[RT1-Serial1/0/0] mpls te max-link-bandwidth 100

[RT1-Serial1/0/0] mpls te max-reservable-bandwidth 80

[RT1-Serial1/0/0] mpls rsvp-te

# 配置 tunnel1/0/0 。

[RT1] interface Tunnel1/0/0

[RT1-tunnel1/0/0] tunnel-protocol mpls te

[RT1-tunnel1/0/0] destination 16.2.1.1

[RT1-tunnel1/0/0] mpls te path explicit-path pathname

[RT1-tunnel1/0/0] mpls te resv-style ff

[RT1-tunnel1/0/0] mpls te bandwidth 20

[RT1-tunnel1/0/0] mpls te commit

[RT1-tunnel1/0/0] quit

# 配置 RT1 上 OSPF 。

[RT1] ospf 1

[RT1-ospf-1] area 0.0.0.1

[RT1-ospf-1-area-0.0.0.0] network 11.2.0.0 0.0.255.255

[RT1-ospf-1-area-0.0.0.0] network 110.1.0.0 0.0.255.255

[RT1-ospf-1-area-0.0.0.0] quit

# RT3 上的配置。

system

[Quidway] sysname RT3

[RT3] mpls lsr-id 13.2.1.1

[RT3] mpls

# 使能 MPLS TE ，使能 RSVP TE 。

[RT3] mplste

[RT3] mpls rsvp-te

[RT3] interface LoopBack0

[RT3-LoopBack0] ip address 13.2.1.1 255.255.0.0

# 配置接口 Serial0/0/0 。

[RT3] interface Serial 0 /0/0

[RT3-Serial0/0/0] link-protocol ppp

[RT3-Serial0/0/0] ip address 100.1.1.1 255.255.0.0

[RT3-Serial0/0/0] mpls

[RT3-Serial0/0/0] mplste

[RT3-Serial0/0/0] mpls te max-link-bandwidth 100

[RT3-Serial0/0/0] mpls te max-reservable-bandwidth 80

[RT3-Serial0/0/0] mpls rsvp-te

# 配置接口 Serial1/0/0 。

[RT3] interface Serial1/0/0

[RT3-Serial1/0/0] link-protocol ppp

[RT3-Serial1/0/0] ip address 110.1.1.2 255.255.0.0

[RT3-Serial1/0/0] mpls

[RT3-Serial1/0/0] mpls te

[RT3-Serial1/0/0] mpls te max-link-bandwidth 100

[RT3-Serial1/0/0] mpls te max-reservable-bandwidth 80

[RT3-Serial1/0/0] mpls rsvp-te

# 配置接口 Serial2/0/0 。

[RT3] interface Serial2/0/0

[RT3-Serial2/0/0] link-protocol ppp

[RT3-Serial2/0/0] ip address 120.1.1.2 255.255.0.0

[RT3-Serial2/0/0] mpls

[RT3-Serial2/0/0] mpls te

[RT3-Serial2/0/0] mpls te max-link-bandwidth 100

[RT3-Serial2/0/0] mpls te max-reservable-bandwidth 80

[RT3-Serial2/0/0] mpls rsvp-te

# 配置接口 Serial3/0/0 。

[RT3] interface Serial3/0/0

[RT3-Serial3/0/0] link-protocol ppp

[RT3-Serial3/0/0] ip address 150.1.1.1 255.255.0.0

[RT3-Serial3/0/0] mpls

[RT3-Serial3/0/0] mpls te

[RT3-Serial3/0/0] mpls te max-link-bandwidth 100

[RT3-Serial3/0/0] mpls te max-reservable-bandwidth 80

[RT3-Serial3/0/0] mpls rsvp-te

# 配置 OSPF 。

[RT3] ospf 1

[RT3-ospf-1] area 0.0.0.0

[RT3-ospf-1-area-0.0.0.0] network 100.1.0.0 0.0.255.255

[RT3-ospf-1-area-0.0.0.0] network 150.1.0.0 0.0.255.255

[RT3-ospf-1-area-0.0.0.0] quit

[RT3-ospf-1] area 0.0.0.1

[RT3-ospf-1-area-0.0.0.1] network 120.1.0.0 0.0.255.255

[RT3-ospf-1-area-0.0.0.1] network 110.1.0.0 0.0.255.255

[RT3-ospf-1-area-0.0.0.1] quit

[RT3-ospf-1] quit

# RT4 上的配置：

system

[Quidway] sysname RT4

# MPLS 基本能力配置。

[RT4] mplslsr-id 14.2.1.1

[RT4] mpls

[RT4] mplste

[RT4] quit

[RT4] mplsrsvp-te

# 配置 LOOKPBSACK0 。

[RT4] interface LoopBack0

[RT4-LoopBack0] ip address 14.2.1.1 255.255.0.0

# 配置接口 Serial0/0/0 。

[RT4] interface Serial0/0/0

[RT4-Serial0/0/0] link-protocol ppp

[RT4-Serial0/0/0] ip address 100.1.1.2 255.255.0.0

[RT4-Serial0/0/0] mpls

[RT4-Serial0/0/0] mplste

[RT4-Serial0/0/0] mpls te max-link-bandwidth 100

[RT4-Serial0/0/0] mpls te max-reservable-bandwidth 80

[RT4-Serial0/0/0] mpls rsvp-te

[RT4-Serial0/0/0] quit

# 配置接口 Serial3/0/0 。

[RT4] interface Serial1/0/0

[RT4-Serial1/0/0] link-protocol ppp

[RT4-Serial1/0/0] ip address 60.1.1.1 255.255.0.0

[RT4-Serial1/0/0] mpls

[RT4-Serial1/0/0] mpls te

[RT4-Serial1/0/0] mpls te max-link-bandwidth 100

[RT4-Serial1/0/0] mpls te max-reservable-bandwidth 80

[RT4-Serial1/0/0] mpls rsvp-te

[RT4-Serial1/0/0] quit

# 配置接口 Serial2/0/0 。

[RT4] interfaceSerial2/0/0

[RT4-Serial2/0/0] link-protocolppp

[RT4-Serial2/0/0] ip address 70.1.1.1 255.255.0.0

[RT4-Serial2/0/0] mpls

[RT4-Serial2/0/0] mplste

[RT4-Serial2/0/0] mpls te max-link-bandwidth 100

[RT4-Serial2/0/0] mpls te max-reservable-bandwidth 80

[RT4-Serial2/0/0] mpls rsvp-te

[RT4-Serial2/0/0] quit

# 配置接口 Serial4/0/0 。

[RT4] interface Serial4/0/0

[RT4-Serial4/0/0] link-protocol ppp

[RT4-Serial4/0/0] ip address 40.1.1.2 255.255.0.0

[RT4-Serial4/0/0] mpls

[RT4-Serial4/0/0] mplste

[RT4-Serial4/0/0] mpls te max-link-bandwidth 100

[RT4-Serial4/0/0] mpls te max-reservable-bandwidth 80

[RT4-Serial4/0/0] mpls rsvp-te

[RT4-Serial4/0/0] quit

# 配置 OSPF 。

[RT4] ospf 1

[RT4-ospf-1] area 0.0.0.0

[RT4-ospf-1-area 0.0.0.0] network 40.1.0.0 0.0.255.255

[RT4-ospf-1-area 0.0.0.0] network 100.1.0.0 0.0.255.255

[RT4-ospf-1-area 0.0.0.0] quit

[RT4-ospf-1] area 0.0.0.1

[RT4-ospf-1-area 0.0.0.1] network 60.1.0.0 0.0.255.255

[RT4-ospf-1-area 0.0.0.1] network 70.1.0.0 0.0.255.255

[RT4-ospf-1-area 0.0.0.1] quit

[RT4-ospf-1] quit

# RT6 上的配置：

system

[Quidway] sysname RT6

# MPLS 基本能力配置。

[RT6] mpls lsr-id 16.2.1.1

[RT6] mpls

[RT6] mpls te

[RT6] quit

[RT6] mpls rsvp-te

[RT6] interface LoopBack0

[RT6-LoopBack0] ip address 16.2.1.1 255.255.0.0

[RT6-LoopBack0] quit

# 配置接口 Serial1/0/0 。

[RT6] interface Serial1/0/0

[RT6-Serial1/0/0] link-protocol ppp

[RT6-Serial1/0/0] ip address 60.1.1.2 255.255.0.0

[RT6-Serial1/0/0] mpls

[RT6-Serial1/0/0] mplste

[RT6-Serial1/0/0] mpls te max-link-bandwidth 100

[RT6-Serial1/0/0] mpls te max-reservable-bandwidth 80

[RT6-Serial1/0/0] mpls rsvp-te

[RT6-Serial1/0/0] quit

# 配置 OSPF 。

[RT6] ospf 1

[RT6-ospf-1] area 0.0.0.1

[RT6-ospf-1-area 0.0.0.1] network 16.2.0.0 0.0.255.255

[RT6-ospf-1-area 0.0.0.1] network 60.1.0.0 0.0.255.255

[RT6-ospf-1-area 0.0.0.1] quit

1.5 MPLS 流量工程故障诊断与排错

故障之一：无法产生描述 MPLS TE 信息的 TE LSA 。

故障排除：打开 OSPF TE 的调试开关，具体操作请参见 debugging 命令中的 debugging ospf te 。根据路由器上的调试信息，初步定位错误，然后使用其它命令作进一步的判断。如果发现 OSPF 没有收到建立 TE LINK 的消息，则可能是还没有配置 MPLS TE 或者相关接口没有 UP 。否则，可以检查 OSPF 邻居是否正常建立。

学习资料库 2006-08-11 11:48 发表评论

第2章 MPLS配置

学习资料库 — Fri, 11 Aug 2006 03:46:00 GMT

1.1 MPLS 配置总体介绍

对于一台 NE 路由器，要使其具有基本的 MPLS 功能，一般的配置过程如下：

l 配置 LSR 的标识 ID ；

l 使能 LSR 的 MPLS 能力

l 激活 LDP 协议；

l 进入接口模式，使能接口的 MPLS 能力；

l 激活接口的 LDP 协议。

经过上述的基本配置，路由器即可提供 MPLS 转发和 LDP 信令功能。

如果要修改一些缺省参数，或者实现一些特殊的 MPLS 功能，如手工建立 LSP 、建立显示路由等，则需要进行一些高级的配置，有些复杂的功能可能需要多个配置的组合才能实现。总的来说， MPLS 配置包括两个部分：

图1-1 MPLS 基本配置

MPLS 基本配置用于配置 LSR 的 MPLS 基本转发能力，包括如下的配置项：

l 配置 MPLS LSR ID

l 使能 MPLS 能力

l 使能 LDP 协议

l 使能接口的 MPLS 能力

l 在接口上激活 LDP 协议

图1-2 MPLS 高级配置

MPLS 高级配置用于修改 MPLS 的缺省参数和实现 MPLS 的特殊功能，包括如下的配置项：

l 配置静态 LSP

l 配置拓扑驱动建立 LSP 的建立策略

l 配置上报统计信息的间隔时间

l 清除 MPLS 统计数据

l 配置 LDP 会话参数

l 配置 LDP 扩展发现模式

l 在出口节点配置倒数第二跳的标签

l 配置 LDP 环路检测

l 配置 LDP 验证方式

1.2 MPLS 基本配置

配置 MPLS LSR ID

在配置其他 MPLS 命令之前，必须首先为 LSR 配置 LSR ID 。 LSR ID 一般采用 IP 地址的格式，并且要保证域内唯一。

请在系统视图下进行下列配置。

表1-1 配置 MPLS LSR ID

操作	命令
指定 LSR 的 LSR ID	mpls lsr-id X.X.X.X
删除 LSR 的 LSR ID	undo mpls lsr-id

缺省未指定 LSR 的 LSR ID 。

1.2.1 使能 MPLS 能力

配置了 LSR ID 后，通常需要使能 LSR 的 MPLS 能力。只有使能了 MPLS 能力并进入 MPLS 视图后，才可以进行相关的 MPLS 配置。

可在系统视图、路由协议视图、接口视图、虚拟接口视图下进行下列配置。在系统视图下，该命令使能 LSR 的 MPLS 能力并进入相应的 MPLS 视图。

表1-2 使能 MPLS

操作	命令
使能 MPLS	mpls

1.2.2 激活 LDP 协议

使能了 MPLS 能力后，要使 LSR 具有 MPLS 转发能力，必须激活 LDP 协议。

请在系统视图下进行下列配置。

表1-3 使能 / 去使能 LDP 协议

操作	命令
使能 LDP 协议	mpls ldp
去使能 LDP 协议	undo mpls ldp

缺省情况下 LDP 协议未激活。

1.2.3 使能接口的 MPLS 能力

在 LSR 上使能了 MPLS 并激活了 LDP 协议后，要使其具有 MPLS 转发和 LDP 信令功能，还要在相应的接口上使能 MPLS 能力和激活 LDP 协议。在接口上激活 LDP 协议之前，必须使能接口的 MPLS 能力。

请在接口视图下进行下列配置。

表1-4 使能接口的 MPLS 能力

操作	命令
使能接口的 MPLS 能力	mpls

1.2.4 在接口上激活 LDP 协议

使能了接口的 MPLS 能力后，要使该接口具有 LDP 功能，必须在接口模式下激活 LDP 协议。激活 LDP 协议后的接口即开始建立 LDP 会话，在拓扑驱动方式时开始建立 LSP 。

禁止端口 LDP 功能会导致接口下的所有 LDP 会话中断，基于这些会话的所有 LSP 也将被删除，建议用户谨慎使用此命令。

请在接口视图下进行下列配置。

表1-5 激活接口 LDP 协议

操作	命令
允许接口 LDP 功能	mpls ldp enable
禁止接口 LDP 功能	mpls ldp disable

缺省情况下禁止接口的 LDP 功能。

1.3 MPLS 高级配置

1.3.1 配置静态 LSP

可以手工设置某 LSR 为一条 LSP 上的一个节点，并可以对该 LSP 上承载的数据流进行限制。根据在 MPLS 域中的不同位置， LSR 有三种节点情况：入节点（ Ingress ）、中间节点（ Transit ）、出节点（ Egress ）。值得注意的是，必须对指定 LSP 沿途的 LSR 均作了相应配置，这条 LSP 才能正常工作。

undo static-lsp 用于删除指定的用手工方式建立的 LSP 。

请在 MPLS 视图下进行下列配置。

表1-6 设置本 LSR 为指定 LSP 的节点

操作	命令
设置本 LSR 为指定 LSP 的入口节点	static-lsp ingress lsp-name { destination-address dest-addr { addr-mask \| mask-length } \| l2vpn } { nexthop next-hop-addr \| outgoing-interface { interface-name \| interfac-type interfac-num } } out-label out-label [ l2vpn ]
为入口 LSR 删除一条 LSP	undo static-lsp ingress lsp-name
设置本 LSR 为指定 LSP 的中间节点	static-lsp transit lsp-name [ l2vpn ] incoming-interface { interface-name \| interfac-type interfac-num } in-label in-label { nexthopnext-hop-addr \| outgoing-interface { interface-name \| interfac-type interfac-num } } out-label out-label
为中间传送 LSR 删除一条 LSP	undo static-lsp transit lsp-name [ l2vpn ]
设置本 LSR 为指定 LSP 的出口节点	static-lsp egress lsp-name [ l2vpn ] incoming-interface { interface-name \| interfac-type interfac-num } in-labelin-label
为出口 LSR 删除一条 LSP	undo static-lsp egress lsp-name [ l2vpn ]

1.3.2 配置拓扑驱动建立 LSP 的建立策略

配置拓扑驱动建立 LSP 的建立策略，指定过滤策略为 All 或 IP Prefix 策略。

请在 MPLS 视图下进行下列配置。

表1-7 配置拓扑驱动建立 LSP 的建立策略

操作	命令
配置拓扑驱动建立 LSP 的建立策略	lsp-trigger [ all \| ip-prefix address prefix-list name ]
取消参数所指定的过滤条件，任何路由都不允许触发建立 LSP	undo lsp-trigger [all \| ip-prefix address prefix-list name ]

1.3.3 配置上报统计信息的间隔时间

请在 MPLS 视图下进行下列配置。

表1-8 配置上报统计信息的间隔时间

操作	命令
配置上报统计信息的间隔时间	statistics interval interval-time
恢复缺省值	undo statistics interval

缺省情况是间隔为 0 ，即不上报。

1.3.4 清除 MPLS 统计数据

请在 MPLS 视图下进行下列配置。

表1-9 清除 MPLS 统计数据

操作	命令
清除 MPLS 统计数据	reset mpls statistics { interface {interface-name \|interface-type interface-num \| all} \| { lsp {lsp-index \| lsp-name \| all} }

1.3.5 配置 LDP 会话参数

1. 配置 LDP 会话保持时间

一般情况下，可以直接使用缺省值。

特殊情况可以根据需要修改，但要注意，修改 holdtime 参数会导致原有的会话重新建立，原有的建立在此会话上的 LSP 也会被删除重建。

请在接口视图下进行下列配置。

表1-10 配置会话保持时间

操作	命令
配置会话保持时间	mpls ldp timer { session-hold secs \| hellosecs }
恢复会话保持时间为缺省值	undo mpls ldp timer { session-hold \| hello }

session-hold secs 的缺省值为 5 秒， hello secs 的缺省值为 15 秒。

2. 配置 hello 的传输地址

这里的传输地址就是 hello 消息的传输地址 TLV 中携带的地址。通常情况下传输地址为本 LSR 的 MPLS LSR ID ，但是有些应用需要灵活的配置。

请在接口视图下进行下列配置。

表1-11 配置 hello 传输地址

操作	命令
配置 hello 传输地址	mpls ldp transport-ip { interface \| ip-address }
恢复 hello 传输地址为默认值	undo mpls ldp transport-ip

缺省传输地址为本 LSR 的 MPLS LSR ID 。

1.3.6 配置 LDP 扩展发现模式

对应于基本发现模式， LDP 扩展发现模式与链路不直接相连的对等体建立会话。

1. 进入扩展发现模式

请在系统视图下进行下列配置。

表1-12 进入扩展发现模式

操作	命令
进入扩展发现模式	mpls ldp remote-peer index
删除相应的 remote-peer	undo mpls ldp remote-peer index

无缺省的 remote-peer 。

# 进入 remote-peer 视图。

[Quidway] mpls ldp remote-peer 1

[Quidway-mpls-remote1]

2. 配置 remote -peer 的地址

用户可以指定 remote-peer 的任何一个使能了 LDP 的接口地址或发布了路由 LSR 的 loopback 地址作为 remote-peer 的地址。

请在 remote-peer 视图下进行下列配置。

表1-13 配置 remote-peer 的地址

操作	命令
配置 remote-peer 的地址	remote-ip ip-address

无缺省的 remote-peer 。

1.3.7 在出口节点配置倒数第二跳的标签

在出口节点处指明倒数第二跳分发怎样的标签。

请在系统视图下进行下列配置。

表1-14 在出口节点配置倒数第二跳的标签

操作	命令
出口节点处指明倒数第二跳分发怎样的标签	mpls ldp { implicit-null \| explicit-null \| non-null }
恢复缺省值	undo mpls ldp { implicit-null \| explicit-null \| non-null }

explicit-null-label ：在出口处指定向倒数第二跳分配显式空标签。

implicit-null-label ：在出口处指定向倒数第二跳分配隐式空标签。

non-null-label ：在出口处指定向倒数第二跳分配普通标签。

如果倒数第二跳分配了显式空标签，则显示空标签只能位于标签栈底。

缺省为隐式标签。

1.3.8 配置 LDP 环路检测

1. 环路检测使能

用于控制在 LDP 信令过程中是否使用环路检测功能，环路检测有最大跳数和路径向量两种方式。

最大跳数方式是在传递标签绑定的消息中包含跳数信息，每经过一跳该值就加一，当该值超过规定的最大值时就认为出现了环路，从而终止 LSP 的建立过程。

路径向量方式是在传递标签绑定的消息中记录路径信息，每经过一跳，相应的路由器就检查自己的 ID 是否在此记录中，如果没有就将自己的 ID 添加到该记录中，若有就说明出现了环路，终止 LSP 的建立过程。

请在系统视图下进行下列配置。

表1-15 环路检测使能

操作	命令
允许进行环路检测	mpls ldp loop-detect
禁止进行环路检测	undo mpls ldp loop-detect

缺省为不允许环路检测。

2. 设置环路检测最大跳数

当环路检测采用最大跳数方式时，可以规定跳数的最大值，超过该最大值即认为出现了环路， LSP 建立失败。

请在系统视图下进行下列配置。

表1-16 设置环路检测最大跳数

操作	命令
设置环路检测的最大跳数	mpls ldp hops-count hop-number
恢复最大跳数的缺省值	undo mpls ldp hops-count

缺省的最大值为 32 。

3. 设置路径向量的最大值

当环路检测采用路径向量方式时，也需要规定 LSP 路径的最大值。这样，在以下条件之一时即认为出现了环路， LSP 建立失败：

(1) 路径向量记录表中已有本 LSR 的记录

(2) 路径的跳数超过这里设定的最大值

请在系统视图下进行下列配置。

表1-17 设置路径向量的最大值

操作	命令
设置路径向量的最大跳数	mpls ldp path-vectors pv-number
恢复路径向量最大跳数的缺省值	undo mpls ldp path-vectors

路径向量的最大跳数缺省的最大值为 32 。

1.3.9 配置 LDP 验证方式

请在接口视图下进行下列配置。

表1-18 配置 LDP 验证方式

操作	命令
配置 LDP 验证方式	mpls ldp password [ 0 \| 7 ] password
取消该配置	undo mpls ldp password

1.4 MPLS 显示和调试

1.4.1 MPLS 全局显示和调试

MPLS 提供了丰富的显示和调试命令，可以监控 LDP 会话状态、隧道配置情况、所有 LSP 及其状态等，是调试、诊断的有力工具。

在完成上述配置后，在所有视图下执行 display 命令可以显示全部或单个静态 LSP 的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行 debugging 命令可对所有使能了 MPLS 能力的接口的相关信息进行调试。

打开调试开关对路由器性能有一定影响，建议慎用 debugging 命令。

表1-19 MPLS 的显示和调试

操作	命令
显示静态 LSP 的信息	display mpls static-lsp [lsp-name ]
显示 MPLS 统计数据	display mpls statistics { interface {interface-name \|interface-type interface-num \| all} \| { lsp {lsp-index \| lsp-name \| all} }
显示使能 MPLS 的接口信息	display mpls interfaces
打开 MPLS 的各种调试信息的开关	debugging mpls lsp { all \| packet \| event \| process \| agent \| interface \| policy \| vpn }
关闭 MPLS 的各种调试信息的开关	undo debugging mpls lsp { all \| packet \| event \| process \| agent \| interface \| policy \| vpn }
使能 MPLS 的 TRAP 功能	snmp-agent trap enable { lsp \| ldp }
去使能 MPLS 的 TRAP 功能	undo snmp-agent trap enable { lsp \| ldp }

1.4.2 LDP 协议显示和调试

VRP 提供了丰富的 MPLS 监控操作命令，可以监控 LSR 状态、 LDP 会话状态、接口状态、对等体状态等，是调试、诊断的有力工具。

在完成上述配置后，在所有视图下执行 display 命令可以显示配置后 LDP 的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行 debugging 命令可对 LDP 的各种消息进行调试。

表1-20 LDP 协议的显示和调试

操作	命令
显示 LDP 协议信息	display mpls ldp
显示 LDP 使能的接口信息	display mpls ldp interface
显示 LSP 相关信息	display mpls { { lsp } \| { l3vpn-lsp [ vpn-instancevpn-name ] [ ingress \| egress \| asbr ] } } [ verbose ] [ include LINE ]
显示 LDP 会话的所有对等体信息	display mpls ldp peer
显示 LDP 会话的远端对等体信息	display mpls ldp remote
显示 LDP 内存池信息	display mpls ldp buffer-info
显示 LDP 会话状态和参数	display mpls ldp session
打开 LDP 诊断开关	debug ldp {all \| main \| advertisement \| session \| pdu \| notification \| remote }
关闭 LDP 诊断开关	undo debug ldp {all \| main \| advertisement \| session \| pdu \| notification \| remote }

1.5 MPLS 典型配置举例

1. 组网需求

图 2-1 给出一个由四台 Router 路由器组成的网络，其中 RouterB 和 RouterC 间通过 SDH 连接， RouterB 和 RouterA 、 RouterD 间通过以太网连接。

四台路由器均支持 MPLS ，任意路由器之间都可以建立 LSP ，运行的路由协议为 OSPF 。

2. 组网图

图1-1 组网图

3. 配置步骤

RouterA 上配置：

# 配置接口地址。

[Quidway] interface ethernet 8/0/0

[Quidway-Ethernet8/0/0] ip address 168.1.1.1 255.255.255.0

# 配置 LSR ID 并使能 LDP

[Quidway] mpls lsr-id 168.1.1.1

[Quidway] mpls

[Quidway] mpls ldp

# 对以太网接口使能 LDP

[Quidway] interface ethernet 8/0/0

[Quidway-Ethernet8/0/0] mpls

[Quidway-Ethernet8/0/0] mpls ldp enable

# 配置 OSPF

[Quidway] router id 168.1.1.1

[Quidway] ospf

[Quidway-ospf-1] area 0

[Quidway-ospf-1-area-0.0.0.0] network 168.1.0.0 0.0.255.255

Router B 上配置：

# 配置两个以太网接口

[Quidway] interface ethernet 1/0/0

[Quidway-Ethernet1/0/0] ip address 168.1.1.2 255.255.0.0

[Quidway] interface ethernet 1/0/1

[Quidway-Ethernet1/0/1] ip address 172.17.1.1 255.255.0.0

# 配置 POS 接口

[Quidway] interface pos 2/0/0

[Quidway-Pos2/0/0] ip address 100.10.1.2 255.255.255.0

# 配置 LSR ID 并使能 LDP

[Quidway] mpls lsr-id 172.17.1.1

[Quidway] mpls

[Quidway] mpls ldp

# 对以太网接口 1/0/0 使能 LDP

[Quidway] interface ethernet 1/0/0

[Quidway-Ethernet1/0/0] mpls

[Quidway-Ethernet1/0/0] mpls ldp enable

# 对以太网接口 1/0/1 使能 LDP

[Quidway] interface ethernet 1/0/1

[Quidway-Ethernet1/0/1] mpls

[Quidway-Ethernet1/0/1] mpls ldp enable

# 对 POS 接口 2/0/0 使能 LDP

[Quidway] interface pos 2/0/0

[Quidway-Pos2/0/0] mpls ldp enable

[Quidway-Pos2/0/0] quit

# 配置 OSPF

[Quidway] router id 172.17.1.1

[Quidway] ospf

[Quidway-ospf-1] area 0

[Quidway-ospf-1-area-0.0.0.0] network 168.1.0.0 0.0.255.255

[Quidway-ospf-1-area-0.0.0.0] network 172.17.0.0 0.0.255.255

[Quidway-ospf-1-area-0.0.0.0] network 100.10.1.0 0.0.0.255

[Quidway-ospf-1-area-0.0.0.0] quit

Router C 上配置：

# 配置 POS 接口

[Quidway] interface pos 7/0/0

[Quidway-Pos7/0/0] ip address 100.10.1.1 255.255.255.0

[Quidway-Pos7/0/0] quit

# 配置 LSR ID 并使能 LDP

[Quidway] mpls lsr-id 172.16.1.2

[Quidway] mpls

[Quidway] mpls ldp

# 对 POS 接口 7/0/0 使能 LDP

[Quidway] interface pos 7/0/0

[Quidway-Pos7/0/0] mpls

[Quidway-Pos7/0/0] mpls ldp enable

[Quidway-Pos7/0/0] quit

# 配置 OSPF

[Quidway] router id 172.16.1.2

[Quidway] ospf

[Quidway-ospf-1] area 0

[Quidway-ospf-1-area-0.0.0.0] network 100.10.1.0 0.0.0.255

Router D 上配置：

# 配置以太网接口

[Quidway] interface ethernet 2/0/1

[Quidway-Ethernet2/0/1] ip address 172.17.1.2 255.255.0.0

# 配置 LSR ID 并使能 LDP

[Quidway] mpls lsr-id 172.17.1.2

[Quidway]

[Quidway] mpls ldp

# 使能以太网接口的 LDP 功能

[Quidway] interface ethernet 2/0/1

[Quidway-Ethernet2/0/1] mpls

[Quidway-Ethernet2/0/1] mpls ldp enable

# 配置 OSPF

[Quidway] router id 172.17.1.2

[Quidway] ospf

[Quidway-ospf-1] area 0

[Quidway-ospf-1-area-0.0.0.0] network 172.17.0.0 0.0.255.255

1.6 MPLS 配置故障诊断与排除

故障现象：接口使能 LDP 协议后，不能与对端建立会话。

故障排除：

原因之一：环路检测配置不同。

解决方法：检查本地和对端的配置，是否一端配了环路检测，而另一端没有配，如果是这样会导致会话协商不通过。

原因之二：标签通告方式不同。

解决方法：检查本地和对端的配置，是否一端的标签通告方式为 DoD ，而另一端为 DU 。如果没有使用 mpls ldp advertisement 命令修改过标签通告方式，应该不会有这种问题出现。

原因之三：如果本机得不到对方的 LSR ID 的路由，就不能建立 TCP 连接，会话就不可能建立。

解决方法：建立会话时默认的传输地址是 MPLS LSR ID ，本机必须将 LSR ID 的路由（一般为 loopback 地址）发布出去，同时要学到对端的 LSR ID 的路由。

学习资料库 2006-08-11 11:46 发表评论

第1章 MPLS简介

学习资料库 — Fri, 11 Aug 2006 03:39:00 GMT

1.1 MPLS 概述

MPLS （ Multiprotocol Label Switching ）最初是用来提高路由器的转发速度而提出的一个协议，但由于其在流量工程（ Traffic Engineering ）和 VPN （ Virtual Private Network ）这两项目前在 IP 网络中非常关键的技术中的表现， MPLS 已日益成为扩大 IP 网络规模的重要标准。

MPLS 协议的关键是引入了标签（ Label ）的概念。它是一种短的易于处理的、不包含拓扑信息、只具有局部意义的信息内容。在 MPLS 网络中， IP 包在进入第一个 MPLS 设备时， MPLS 边缘路由器就用这些标签封装起来， MPLS 边缘路由器分析 IP 包的内容并且为这些 IP 包选择合适的标签。相对于传统的 IP 路由分析， MPLS 不仅分析 IP 包头中的目的地址信息，它还分析 IP 包头中的其他信息，如 TOS 等；之后所有 MPLS 网络中的节点都是依据这个简短标签来作为转发判决依据。当该 IP 包最终离开 MPLS 网络时，标签被边缘路由器分离。

1.2 MPLS 原理

如图 1-1 所示， MPLS 网络的基本构成单元是标签交换路由器 LSR （ Label Switching Router ），由 LSR 构成的网络叫做 MPLS 域。位于 MPLS 域边缘和其它用户网络相连的 LSR 称为边缘 LSR （ LER ， Labeled Edge Router ），位于区域内部的 LSR 则称为核心 LSR 。标签分组沿着由一系列 LSR 构成的标签交换路径 LSP （ Label Switched Path ）传送，其中入口 LSR 叫 Ingress ，出口 LSR 叫 Egress 。

图1-1 MPLS 基本原理

1.2.1 基本概念

首先介绍几个 MPLS 中特有的基本概念。

1. 标签及其结构

标签（ label ）是一个短的、长度固定的数值，由报文的头部所携带，不包含拓扑信息，只具有局部意义。标签同 ATM 的 VPI/VCI 以及 Frame Relay 的 DLCI 类似，是一种连接的标识符。如果链路层协议具有标签域，如 ATM 的 VPI/VCI 和 Frame Relay 的 DLCI ，则标签封装在这些域中；如果不支持，则标签封装在链路层和 IP 层之间的一个垫层中。这样，标签能够被任意的链路层所支持。

标签的封装结构如图 1-2 所示，它位于链路层包头和网络层分组之间，长度为 4 个字节。标签共有 4 个域：

图1-2 标签的封装结构

Label ：标签值字段，长度为 20bits ，用于转发的指针。

Exp ： 3bits ，保留，用于试验。

S ： 1bit ， MPLS 支持标签的分层结构，即多重标签。值为 1 时表明为最底层标签。

TTL ： 8bits ，和 IP 分组中的 TTL 意义相同。

2. 等价转发类

转发等价类（ FEC —— Forwarding Equivalence Class ）是在网络中遵循相同转发路径的报文的集合。例如，在传统的最长匹配算法的 IP 转发中，到同一个目的地址的所有报文是一个转发等价类。实际上，转发等价类的划分方式是非常灵活的，可以是源地址、目的地址、源端口、目的端口、协议类型、 VPN 等信息的任意组合。在 MPLS 中，一个标签标识了一个转发等价类。

3. 标签交换路径

一个转发等价类在 MPLS 网络中走过的路径称为标签交换路径 (LSP —— Label Switched Path) 。 LSP 在功能上同 ATM 和 Frame Relay 的虚电路是等价的，它是从入口到出口的一个单向路径。 LSP 中的每个节点称为标签转发路由器 (LSR) ，其中，入口和出口节点分别称为入口 LSR （ Ingress ）和出口 LSR （ Egress ）。

4. 标签分配和分发

在 MPLS 体系中，将特定标签分配给特定 FEC 的决定由下游 LSR 作出，下游 LSR 随后通知上游 LSR 。即标签由下游指定，分配的标签按照从下游到上游的方向分发。

MPLS 中使用的标签分发方式有两种：下游自主标签分发方式（ DU ， Downstream Unsolicited ）和下游按需标签分发方式（ DoD ， Downstream On Demand ）。

对于一个特定的 FEC ， LSR 无须从上游获得标签请求消息即进行标签分配与分发的方式，称为下游自主标签分配。

对于一个特定的 FEC ， LSR 获得标签请求消息之后才进行标签分配与分发的方式，称为下游按需标签分配。

具有标签分发邻接关系的上游 LSR 和下游 LSR 之间必须对使用哪种标签分发方式达成一致。

5. 标签控制方式

标签控制方式分为两种：独立（ Independent ）标签控制方式和有序（ ordered ）标签控制方式。

当使用独立标签控制方式时，每个 LSR 可以在任意时间向和它连接的 LSR 通告标签映射。

当使用有序标签控制方式时，只有当 LSR 收到某一特定 FEC 下一跳的特定标签映射消息或者 LSR 是 LSP 的出口节点时， LSR 才可以向上游发送标签映射消息。

6. 标签保持方式

标签保持方式分为两种：自由标签保持方式和保守标签保持方式。

假设两台路由器 Ru 和 Rd ，对于一个特定的 FEC ，如果 LSR Ru 收到了来自 LSR Rd 的标签绑定：当 Rd 不是 Ru 的下一跳时，如果 Ru 保存该绑定，则称 Ru 使用的是自由标签保持方式；如果 Ru 丢弃该绑定，则称 Ru 使用的是保守标签保持方式。

当要求 LSR 能够迅速适应路由变化时可使用自由标签保持方式；当要求 LSR 中保存较少的标签数量时可使用保守标签保持方式。

1.2.2 标签报文的转发

在 Ingress ，将进入网络的分组根据其特征划分成转发等价类 FEC （一般根据 IP 地址前缀或者主机地址来划分 FEC ）。这些具有相同 FEC 分组在 MPLS 区域中将经过相同的路径（即 LSP ）。 LSR 对到来的 FEC 分组分配一个短而定长的标签，然后从相应的接口转发出去。

在 LSP 沿途的 LSR 上都已建立了输入 / 输出标签的映射表（该表的元素叫下一跳标签转发条目，简称 NHLFE ， Next Hop Label Forwarding Entry ）。对于接收到的标签分组， LSR 只需根据标签从表中找到相应的 NHLFE ，并用新的标签来替换原来的标签，然后对标签分组进行转发，这个过程叫输入标签映射 ILM （ Incoming Label Map ）。

MPLS 在网络入口处指定特定分组的 FEC ，后续路由器只需简单的转发即可，比常规的网络层转发要简单的多，转发速度得以提高。

& 说明：

TTL 处理：

标签化分组时必须将原 IP 分组中的 TTL 值拷贝到标签中的 TTL 域。 LSR 在转发标签化分组时，要对栈顶标签的 TTL 域作减一操作。标签出栈时，再将栈顶的 TTL 值拷贝回 IP 分组或下层标签。

但是，当 LSP 穿越由 ATM-LSR 或 FR-LSR 构成的非 TTL LSP 段时，域内的 LSR 无法处理 TTL 域。这时，需要在进入非 TTL LSP 段时对 TTL 进行统一处理，即一次性减去反映该非 TTL LSP 段长度的值。

1.2.3 LSP 的建立

LSP 的建立其实就是将 FEC 和标签进行绑定，并将这种绑定通告 LSP 上相邻 LSR 的过程。这个过程是通过标签分发协议 LDP （ Label Distribution Protocol ）来实现的。 LDP 规定了 LSR 间的消息交互过程和消息结构，以及路由选择方式。

1. LDP 的工作过程

LSR 通过周期性地发送 Hello 消息来发现 LSR 邻居，然后与新发现的相邻 LSR 间建立 LDP 会话。通过 LDP 会话，相邻 LSR 间通告标签交换方式、标签空间、会话保持定时器值等信息。 LDP 会话是 TCP 连接，需通过 LDP 消息来维护，如果在会话保持定时器值规定的时间内没有其它 LDP 消息，那么必须发送会话保持消息来维持 LDP 会话的存在。图 1-3 为 LDP 标签分发示意图。

图1-3 标签分发过程

在一条 LSP 上，沿数据传送的方向，相邻的 LSR 分别叫上游 LSR 和下游 LSR 。如在图 1-3 中的 LSP1 上， LSR B 为 LSR C 的上游 LSR 。

前面提到，标签的分发过程有两种模式： DoD （ downstream-on-demand ）模式和 DU （ downstream unsolicited ）模式。这两种模式的主要区别在于标签映射的发布是上游请求还是下游主动发布。

DoD （ downstream-on-downstream ）模式下标签的分发过程是这样：上游 LSR 向下游 LSR 发送标签请求消息（包含 FEC 的描述信息），下游 LSR 为此 FEC 分配标签，并将绑定的标签通过标签映射消息反馈给上游 LSR 。下游 LSR 在何时反馈标签映射消息，取决于该 LSR 采用独立标签控制方式还是有序标签控制方式。当下游 LSR 采用有序标签控制方式时，只有收到它的下游返回的标签映射消息后才向其上游发送标签映射消息；当下游 LSR 采用独立标签控制方式时，则不管有没有收到它的下游返回的标签映射消息都立即向其上游发送标签映射消息。上游 LSR 一般是根据其路由表中信息来选择下游 LSR 的。图 1-4 中 LSP1 沿途的 LSR 都采用有序标签控制方式， LSP2 上 LSR F 采用独立标签控制方式。

DU （ downstream unsolicited ）模式下分发标签的过程：下游 LSR 在 LDP 会话建立成功，主动向其上游 LSR 发布标签映射消息。上游 LSR 保存标签映射信息，并根据路由表信息来处理收到的标签映射信息。

2. 基于约束路由的 LDP

MPLS 还支持基于约束路由的 LDP 机制（ CR-LDP ， Constrain-based Routing LDP ）。所谓 CR-LDP ，就是入口节点在发起建立 LSP 时，在标签请求消息中对 LSP 路由附加了一定的约束信息。这些约束信息可以是对沿途 LSR 的精确指定，此时叫严格的显式路由；也可以是对选择下游 LSR 时的模糊限制，此时叫松散的显式路由。

3. LSP 的环路控制

在 MPLS 域中建立 LSP 也要防止路径循环。防止 LSP 的路径循环有最大跳数和路径向量两种方式。

4. RSVP 对 MPLS 的扩展

资源预留协议 RSVP （ Resource Reservation Protocol ）经扩展后可以支持 MPLS 标签的分发，同时，在传送标签绑定消息时还能携带资源预留的信息。通过这种方法建立的 LSP 可以具有资源预留功能，即沿途的 LSR 可以为该 LSP 分配一定的资源，使在此 LSP 上传送的业务得到保证。

RSVP 协议的扩展主要是在其 Path 消息和 Resv 消息中增加新的对象，这些新对象除了可以携带标签绑定信息外，还可以携带对沿途 LSR 寻径时的限制信息，从而支持 LSP 约束路由的功能。扩展的 RSVP 协议还支持快速重路由，即在一定条件下 LSP 需要改变时，可以在不中断用户业务的同时，将原来的业务流重新路由到新建立的 LSP 上。

1.2.4 LSP 隧道与分层

1. LSP 隧道

MPLS 支持 LSP 隧道技术。在一条 LSP 路径上， LSR Ru 和 LSR Rd 互为上下游，但 LSR Ru 和 LSR Rd 之间的路径可能并不是路由协议所提供路径的一部分， MPLS 允许在 LSR Ru 和 LSR Rd 间建立一条新的 LSP 路径， LSR Ru 和 LSR Rd 分别为这条 LSP 的起点和终点。 LSR Ru 和 LSR Rd 间的 LSP 就是 LSP 隧道，它避免了传统的网络层封装隧道。当隧道经由的路由和逐跳从路由协议取得的路由一致时，这种隧道叫逐跳路由隧道；若不一致，则这种隧道叫显式路由隧道。

图1-4 LSP 隧道

在图 1-4 中， LSP 就是 R2 、 R3 间的一条隧道。

2. 多层标签栈

当分组在 LSP 隧道中传送时，分组的标签就会有多层。在每一隧道的入口和出口处要进行标签栈的入栈和出栈操作，每发生一次入栈操作标签就会增加一层。 MPLS 对标签栈的深度没有限制。

标签栈按照“后进先出”方式组织标签， MPLS 从栈顶开始处理标签。

若一个分组的标签栈深度为 m ，则位于栈底的标签为 1 级标签，位于栈顶的标签为 m 级标签。未打标签的分组可看作标签栈为空（即标签栈深度为零）的分组。

1.3 MPLS 应用

1.3.1 基于 MPLS 的 VPN

传统的 VPN 一般是通过 GRE 、 L2TP 、 PPTP 等隧道协议来实现私有网络间数据流在公网上的传送， LSP 本身就是公网上的隧道，用 MPLS 来实现 VPN 有天然的优势。基于 MPLS 的 VPN 就是通过 LSP 将私有网络在地域上的不同分支联结起来，形成一个统一的网络。基于 MPLS 的 VPN 还支持不同 VPN 间的互通。

图1-5 基于 MPLS 的 VPN

图 1-5 给出了基于 MPLS 的 VPN 的基本结构。 CE 是用户边缘设备，可以是路由器，也可以是交换机，甚至是一台主机； PE 是服务商边缘路由器，位于骨干网络； PE 负责对 VPN 用户进行管理、建立各 PE 间 LSP 连接、同一 VPN 用户各分支间路由分派。

PE 间的路由分派通常是用 LDP 或扩展的 BGP 协议实现的。基于 MPLS 的 VPN 支持不同分支间 IP 地址复用和不同 VPN 间互通，和传统的路由相比， VPN 路由中需要增加分支和 VPN 的标识信息，这就需要对 BGP 协议进行扩展才能携带 VPN 的路由信息。

1.3.2 基于 MPLS 的流量工程

1. 流量工程的作用

网络拥塞是影响骨干网络性能的主要问题。拥塞的原因一般是网络资源不足，或者网络资源的负载不均衡，导致局部拥塞。流量工程用来解决由负载不均衡导致的拥塞。流量工程通过动态监控网络的流量和网络单元的负载，实时调整流量管理参数、路由参数和资源约束参数等，使网络运行状态迁移到理想状态，优化网络资源的使用，从而避免由于负载不均衡引起的拥塞。

2. 用 MPLS 来实现流量工程的优点

现有的 IGP 协议都是拓扑驱动的，只考虑网络静态的连接情况，不能反映带宽和流量特性等动态状况，这正是导致网络负载不均衡的主要原因。而 MPLS 具有的一系列不同于 IGP 的特性，正是实现流量工程所需要的： MPLS 支持异于路由协议路径的显式 LSP 路由； LSP 较传统单个 IP 分组转发更便于管理和维护；基于约束路由的 LDP 可以实现流量工程的各种策略；基于 MPLS 的流量工程的系统开销较其它实现方式更低等等。

3. 基于 MPLS 的流量工程的实现

用 MPLS 来实现流量工程时，先要根据物理网络的拓扑生成 MPLS 导出图，即由 LSR 、连接 LSR 的 LSP 、 LSP 属性这三种元素构成的派生拓扑图。同时，将通过 MPLS 域的数据划分成若干主干流（ Traffic Trunk ）。主干流一般定义为在 MPLS 域中经过相同 Ingress 和 Egress 的所有单向流量。主干流有许多属性，包括流量参数、路径选择和维护方式、优先级、可抢占性、资源亲和度等。对资源也定义了一些属性，如资源级别、最大分配复用度等。然后，以主干流的属性、资源的属性、网络的状态信息为生成约束路由的策略，来找出主干流的路径。主干流的路径可以根据网络状态的变化动态调整。

1.3.3 基于 MPLS 的 QoS

为了能够在 IP 网络上支持语音，视频等实时业务，需要有 QoS 的支持，以便保证重要的、敏感或者实时性较强的数据流在网络中得到优先处理。华为设备支持基于 MPLS 的流量工程和 Diff-serv 特性，在保证网络高效利用率的同时，又能根据不同数据流的优先级实现差别服务，从而为语音，视频数据流提供有带宽保证的低延时低丢包率的服务。由于目前全网实施流量工程的难度比较大，因此在实际的组网方案中往往倾向于使用差分服务模型来实施 QoS 。

Diff-Serv 的基本机制是在网络边缘，根据业务的服务质量要求将该业务映射到一定的业务类别中，利用 IP 分组中的 DS 字段（由 TOS 域而来）唯一的标记该类业务，然后，骨干网络中的各节点根据该字段对各种业务采取预先设定的服务策略，保证相应的服务质量。 Diff-Serv 的这种对服务质量的分类和标签机制和 MPLS 的标签分配十分相似，事实上，基于 MPLS 的 Diff-Serv 就是通过将 DS 的分配融入 MPLS 的标签分配过程来实现的。

Diff-Serv 对不同的服务类别规定了一致的处理方法，包括队列选择、排队、丢弃等操作，这些处理组合就叫 PHB （ Per Hop Behavior ）。同时，属于同一 PHB 的分组又可以有不同的丢弃优先级。 PHB 和丢弃优先级信息通过为分组分配不同的 DS 编码来表示，这些 DS 编码又称 DSCP （ Diff-Serv Code Point ）。关于 Diff-Serv 的详细介绍，请参见本手册的 QoS 配置部分。

为了支持基于 Diffserv 模型的端到端的 QoS 服务，华为提供如下几种技术手段：

l IP Precedence for Traffic Classification

IP precedence Classification 在网络边缘进行，利用 IPv4 包头的 Type-of-Service 3 个比特对每一个 IP 包依据其地址进行优先级分类。在核心利用不同的队列技术对不同等级的流量进行不同的处理，使得不同的服务级别得到体现。为实现语音、图象、数据数据流的差分服务，对不同的业务流在进行标签交换时，即 PE 在给报文加 Label 时，会把 IP 报文携带的 TOS 值影射到标签的 CoS 域，这样原来由 IP 携带的类型信息，现在由标签携带。在 PE 路由器之间，根据标签的 CoS 域，进行有差别的调度（ PQ 、 CQ 、 WFQ 、 CBQ 等）。

l 用 TP 实现承诺带宽及限制带宽的作用

在 PE 上与 CE 相连的链路上配置 TP （ Traffic Policing ）可以实现该功能。同时 TP 还提供了承诺的带宽和限制带宽的功能。

l 用 WRED 进行拥塞避免

WRED 在网络的瓶颈处监视并缓解网络的拥塞。一般在接入层出现拥塞的概率比较大。 WRED 监视网络的负载，当拥塞开始刚出现时，它就开始有选择的丢弃一些包以降低流量。 WRED 丢包的策略为：低优先级的流先丢，以保证高优先级的流可以顺畅通过。在可能发生拥塞的端口运行 WRED 是避免拥塞的较好选择。

在具体实现中，为了达到最好的效率，需要对任务进行分工。因为 QoS 是一个需要消耗很多处理器资源的应用，所以这一任务分配在边缘和核心路由器上运行，以减少对单独路由器的压力。

综上所述，实现基于 CoS 的差分服务结构需要 4 个步骤：

l MPLS 边缘路由器上实现入口的带宽限制完成入口流量的分类。

l 边缘设备也需要承担带宽管理的工作，采用 TP 。

l MPLS 核心路由器完成 CoS 的管理工作，进行有差别的服务质量保证。

l 出口设备，像入口设备一样，完成带宽限制工作。入口、出口设备对带宽的限制保护了网络免于拥塞，使得网络具有很高的可扩展性。

& 说明：

本模块主要介绍 MPLS 和 MPLS TE 的配置方法，关于 BGP/MPLS VPN 和 MPLS L2 VPN 的具体配置以及组网应用请参考本手册 VPN 模块；关于 MPLS QoS 的具体配置请参考本手册 QoS 模块。

学习资料库 2006-08-11 11:39 发表评论

PHP博客-青蛙不是癞蛤蟆-随笔分类-MPLS/VPN

MPLS-VPN的最佳解决方案

MPLS 基础：MPLS－VPn 标签分析

MPLS流量工程实验OSPF 之二

MPLS流量工程试验设备准备 之三

MPLS流量工程实验OSPF 之一

MPLS流量工程试验设备准备 之二

Cisco 7200 Simulator

Introduction

Current status

Contributors are welcome ! :)

Download

How to use it ?

MPLS流量工程试验设备准备

OSPF 与 MPLS VPN

别人的笔记

实现PPPOE虚拟拨号后VPN连接

第3章 MPLS流量工程

1.1 MPLS 流量工程 简介

图1-1 备份策略：

图1-2 容错策略：

图1-3 抢占策略；

图1-4 重试策略。

1.2 MPLS 流程工程的配置

1.2.1 MPLS 流量工程配置总体介绍

1.2.2 使能 MPLS 流量工程

1.2.3 使能 RSVP-TE 特性

1. 使能进程的 Opaque 能力

2. 使能区域的 TE 能力

1.2.5 配置 MPLS TE 显示路径

1.2.7 配置 MPLS TE 接口最大使用带宽

1.2.8 配置 MPLS TE 接口最大可预留带宽

1.2.16 启动 Hello 机制，用来检测邻居的存在

1.2.17 设定允许 Hello 消息丢失的最大次数

1.2.18 设定 Hello 消息刷新时间间隔

1.2.19 设置 PSB 和 RSB 的超时倍数

1.2.22 设置节点的 Path 、 Resv 消息的刷新周期

1.3 MPLS TE 显示和调试

1.4 MPLS 流量工程典型配置举例

1. 组网需求

2. 组网图

3. 配置步骤

1.5 MPLS 流量工程故障诊断与排错

第2章 MPLS配置

1.1 MPLS 配置总体介绍

图1-1 MPLS 基本配置

图1-2 MPLS 高级配置

1.2 MPLS 基本配置

1.2.1 使能 MPLS 能力

1.2.2 激活 LDP 协议

1.2.3 使能接口的 MPLS 能力

1.2.4 在接口上激活 LDP 协议

1.3 MPLS 高级配置

1.3.1 配置静态 LSP

1.3.2 配置拓扑驱动建立 LSP 的建立策略

1.3.4 清除 MPLS 统计数据

1.3.5 配置 LDP 会话参数

1. 配置 LDP 会话保持时间

2. 配置 hello 的传输地址

1.3.6 配置 LDP 扩展发现模式

1. 进入扩展发现模式

2. 配置 remote -peer 的地址

1.3.8 配置 LDP 环路检测

1. 环路检测使能

2. 设置环路检测最大跳数

3. 设置路径向量的最大值

(1) 路径向量记录表中已有本 LSR 的记录

(2) 路径的跳数超过这里设定的最大值

1.3.9 配置 LDP 验证方式

1.4 MPLS 显示和调试

1.4.1 MPLS 全局显示和调试

1.4.2 LDP 协议显示和调试

1.5 MPLS 典型配置举例

1. 组网需求

2. 组网图

3. 配置步骤

1.6 MPLS 配置故障诊断与排除

第1章 MPLS简介

1.1 MPLS 概述

1.2 MPLS 原理

MPLS流量工程试验设备准备之三

MPLS流量工程试验设备准备之二

1.1 MPLS 流量工程简介