H3C调度数据网项目MPLSVPN配置模板带拓扑图和详细配置.docx

1、H3C调度数据网项目MPLSVPN配置模板带拓扑图和详细配置H3C 三层MPLS-VPN模板1 实验环境：实施目的：随着公司近年调度数据网的项目增多，为了使项目做到统一的规范、合理化。所以建立此次的试验，此试验中的配置作为以后调度数据网项目的配置模板和学习资料（供新手参考）。 设备模拟场景： 角色R/S/pc设备型号设备SYSNAME核心层RH3C SR6608Jieru_R1汇聚层RH3C SR6608Huiju_R2汇聚层RH3C SR6608Huiju_R3接入层RH3C SR3040Jieru_R4接入层RH3C SR3040Jieru_R5省局核心层RH3C SR3040Shengj

2、u_R核心层SH3C S3100Hexin_S接入层SH3C S3100Jieru_S核心层PC2模拟核心层业务主机接入层PC1模拟接入层业务主机2 网络规划： 拓扑图： 网络结构： 管理地址 采用Loopback地址，采用32位子网掩码。统一使用Loopback 1 接口互联地址： 使用网段非PE-CE地址，PE-CE地址。互联地址采用30位子网掩码。 OSPF：进程号：进程号：1 区域号：核心层和汇聚层之间，汇聚和汇聚层之间区域号AREA 0。接入层和接入层之间，接入层和汇聚层之间区域号AREA 1。 route-id: loopback 1 地址 BGP： AS编号:县调AS号：100市

3、调AS号：200 路由反射器（RR）： 采用二级BGP反射器。（核心层为一级BGP反射器，汇聚层为二级BGP反射器）， clientserverJieru_R4 ，Jieru_R5Huiju_R2，huiju_R3Huiju_R2，huiju_R3Hexin_R1 单跳M-BGP： 跨域MPLS-vpn互连采用单跳M-BGP方式，通过E-BGP发布AS系统业务聚合路由到市调骨干，同时市调骨干发布其他AS业务聚合路由到接入网络 MPLS-VPN： LSR-ID: loopback 1 地址 县调VRF命名及IP地址: VPN命名VLAN号地址段vpn-rt10 RD和RT：县调市调VPN命名RD

4、RT(both)VPN命名RDRT(both)vpn-rt1：100vpn-rt2：200vpn-nrt1：101vpn-nrt2：201vpn-e1：102vpn-e2：202 单调M-EBGP： 各业务地址只发汇总地址到省局。并把县调RT属性变更市调的RT属性 交换机VLAN：编号vlan接口vpn-rt101-8vpn-nrt209-16vpn-e3017-23或24trunk24或25 ip地址规划： 互联地址：设备名称端口Ip地址TOHexin_R1Loopback 1G3/0/1 G3/0/1G3/0/0 G3/0/0G4/0/ G1/0/25G5/0/1 G0/0Huiju_R2

5、Loopback 1G3/0/1 G3/0/1G3/0/0 G3/0/1G4/0/0 G0/0Huiju_R3Loopback 1G3/0/0 G3/0/0G3/0/1 G3/0/0Route-agg 1(G4/0/0,G4/0/1) G0/0Jiru_R4Loopback 1G0/0 G4/0/0E2/0 E2/0E4/ E1/0/24Jiru_R5Loopback 1G0/0 1(G4/0/0,G4/0/1)E2/0 E2/0Shengju_RG0/0 G4/0/1Hexin_SG1/0/25(vlan 100) G4/0/0Jieru_SE1/0/24(vlan 100) E4/0 业务

6、地址：角色VPN实例Vlan 号网关IP地址接入层PEvpn-rt10核心层PEvpn-rt103 县调设备配置步骤：（hexin_R1为例） 第一步telnet建立：（重要） Ps:站和站之间往往距离很远，建立的TELNET通过远程调试达到节省人力的目的。 配置及注释： telnet server enable */ 必须写，要不telent不能使用 # super password level 3 simple admin */ enable密码 # local-user admin */定义用户名密码 password simple admin service-type telnet u

7、ser-interface vty 0 4 authentication-mode scheme */ 写此命令。Telnet时采用username password 的登录方式 测试正常状态： 第二步OSPF建立： Ps:作为公网路由，作用有二：a.是后面建立BGP、MPLS-VPN的基础 。 b.连网管理地址可以TELENT远程登录进行管理 配置及注释： interface GigabitEthernet3/0/0 port link-mode route description To-R2 ip address #interface GigabitEthernet3/0/1 port l

8、ink-mode route description To-R3 ip address GigabitEthernet4/0/ description PE-CE vlan-type dot1q vid 100 */封装为vlan 100 单臂路由，接交换机TRUNK接口 ip address 1 router-id */建立OSPF路由协议（公网路由），作为建立BGP 的基础， area network */宣告loopback地址 network */ 宣告和R3的互联地址 network */ 宣告和R2的互联地址 network */ 宣告PE-CE互联地址 测试正常状态： 查看接口信

9、息：dis ip int brief 查看OSPF邻居关系: dis ospf peer 状态为FULL邻居正常 查看路由表：dis ip rout 查看公网路由是不是都学到 第三步BGP的建立：PS:BGP通过IGP建立，OSPF跑的是公网路由。这里BGP的作用是在VPN IPV4私网中激活邻居，承载私网路由 配置及注释：bgp 100 undo synchronization */ 关闭同步group haha internal */ 建立 BGP对等体组，internal参数加上后，表示这个对等体组内的邻居为ibgp peer haha connect-interface LoopBac

10、k1 */ 以loopback 1 接口作为更新源。靠环回接口建立BGP邻居，好处是环回口不会受物理口的限制会DOWN掉而失去邻居。 peer group haha */ 将邻居加入对等体组 peer group haha # ipv4-family vpnv4 */ 进入vpn IPv4的私网 peer enable */ 激活邻居，必写，这样邻居才能在vpn ipv4 私网中正常通信 peer advertise-community */ 向邻居发送团里属性，就是向邻居发送RT属性 peer reflect-client */加入邻居为客户端，表示此路由器为路由反射器（RR），只需加此一条

11、命令即可成为RR。此命令一般用于全互联网络 peer enable peer advertise-community peer reflect-client peer enable peer haha enable peer haha reflect-client */ 对haha对等体组 添加属性# 测试正常状态： 查看BGP邻居状态： dis bgp peer 状态为established(建立)，正常。 查看VPN IPV4私网路由表：dis bgp vpnv4 all routing-table 注意：这里只能看到收到的路由，能不能通信要看是否有相应的VPN实例从RD中看1：100 是

12、从这个邻居学到的。2：200 是从ebgp邻居学来的（往后看）。上路由收到了，但并没有放到路由表中，所以PING不通。 第四步MPLS-VPN的建立： 配置及注释： 建立VRF属性： ip vpn-instance vpn-rt */ 建立VPN实例，不同的设备相同的VPN实例才能通信 route-distinguisher 1:100 */ RD路由区分符，区分路由， vpn-target 1:100 export-extcommunity vpn-target 1:100 import-extcommunity */ rt 路由对象。本设备出1:100，别的设备是入1:100 对方才能收到

13、本路由的路由进行通讯，相反别人出2：200，本设备要写成入2:200才能收到对方设备的路由。 启用MPLS： 全局下启动MPLS协议： mpls lsr-id */ 不写。全局下MPLS不能启用， Mpls */ 全局下启MPLS协议# mpls ldp */ 启用MPLS LDP 在互联接口启动MPLS： interface GigabitEthernet3/0/0mpls mpls ldp */端口下启用MPLS 和MPLS LDP后，进行标签转发interface GigabitEthernet3/0/1mpls mpls ldp 把接口分配到相应的VPN中：interface G4/

14、vlan-type dot1q vid 10 ip binding vpn-instance vpn-rt */ 把此接口加入VPN实例中，注意敲完此命令，接口IP要重新设置 ip address 在BGP中建立vpn实例：bgp 100ipv4-family vpn-instance vpn-rt */ 进入VPN实例 import-route direct */ 重分布直连把属于直连并且是属于相关VPN实例中的接口发布进来 测试正常状态： 查看mpls 邻居：dis mpls ldp peer 查看VPN实例路由表：dis ip routing-table vpn-instance vpn

15、-rt 测试PE之间的VPN实例中的路由是否通：ping a 源地址 vpnstance VPN实例号 目标地址 如果vpn路由表里有目的路由查不能PING通：a.查看是不是只有去的方向的路由，没有回的方向的路由是不是没建好，没看到mpls 邻居 查看路由的各种属性：a. dis bgp vpnv4 all routing-table 从哪个邻居来， 表示本路由器发出的Ext-community: 本路由携带的RT属性，如果符合本RT收的属性则放入相对应的VPN路由表AS-PATH: 经过as200过来的Origin: 这个路起源自哪 ie? 通过以上四步一个PE路由器建立完成。配置正确的话。

16、县调（同一AS）两个PE路由VPN可以进行通讯了。一个县调基础建立完了。可以进配置优化工作 了。 第五部 跨域MPLS-vpn互连采用单跳M-BGP方式，通过E-BGP发布AS系统业务聚合路由到省调。interface GigabitEthernet5/0/1 port link-mode route ip address mpls mpls ldpip vpn-instance vpn-rt route-distinguisher 1:100 vpn-target 2:200 import-extcommunity */这里只收省调的发过来的RT属性，不发省局RT属性是避免所以路由（明细路由

17、）都发到省局Bgp 100peer as-number 200 */建立EBGP邻居peer next-hop-local */ EBGP邻居会把学来的路由原封不动发给IBGP邻居，但实际上IBGP邻居不能直接到达目标路由，要加next-hop-local 属性，表示要经过本跳才能达到目标。算是搭个桥。 peer next-hop-local#ipv4-family vpnv4 peer enablepeer route-policy haha export */名称为haha的路由映射，发给邻居peer advertise-community#ipv4-family vpn-instance

18、 vpn-rt */ 进入VPN实例 network */路由表中已经有了路由了，才可以宣告成功 import-route direct */ 重分布直连把属于直连并且是属于VPN实便中的接口发布进来#ip route-static vpn-instance vpn-rt NULL0*/此条目的作用。此地址为业务地址的汇总路由，BGP中要求宣告的网络在自己的路由表中一定要有。所以要写一路指向空接口的静态发给省局，（指向空接口的路由不会消失）因为是业务地址所以是在VPN中，所以要加上vpn-intstance VPN名称。#ip ip-prefix haha index 10 permit 16

19、 less-equal 22 */ 前缀列表。抓位的路由，（精确路由）#route-policy haha permit node 10 */建立 路由映射 haha if-match ip-prefix haha */ 匹配 前缀列表 haha apply extcommunity rt 2:200 */ 改为发出的RT属性为2:200，此实验环境中用于发给省局的路由，2：200为省局的RT倒入属性，此目的为的是只给省局发送汇总路由。# 其它命令：Bgp 100timer keepalive 10 hold 30 */ 更改存活时间， 使BGP收敛更快。Bgp 100ipv4-family vpnv4 undo policy vpn-target */ 关闭路由过滤，表示只要是发给此路由器的路由都收接不作过滤，如果此路由没有相关VPN RT导入属性，结果只能看到路由而不能通讯，因为不符合相关的VPN的属性，就不能把路由放到相应的VPN路由表中，只有放在相应的VPN路由表中，相同VPN路由表的路由才可能通。还有一个作用把由传递给邻居，看邻居有没有相应的VPN属性，一般用于RR。适用于单跳M-EBGP中。通dis bgp vpnv4 all rout 查看路由。4 设备配置清单：见附件中配置清单5 网络可靠性测试：5.1 测试正常拓扑：5.2 测试不正常拓扑：测试不正常拓扑：