1、HC13031021互聯基礎技術前言下一代技術。在部署時，不同的應用場景會采用不同的互聯支持豐富的二層、三層互聯技術。二USG層互聯技術如以太網Trunk接口、Acs接口、Eth-Trunk接口、子接口等，三層互聯支持豐富的路由協議如RIPF、ISIS、BGP等，除此之外等增強功能。本課程主要講解還支持策略路由、ISP選路支持的二層、USG三層互聯技術的基礎原理、配置命令及故障排除等知識。Page 2目標學完本課程后，您將能夠:描述支持的各種互聯接口掌握互聯接口的基礎配置列舉支持的路由協議及功能掌握OSPF路由協議的配置掌握BGP路由協議的配置掌握PBR及ISP選路的配置Page 3目錄接口互

2、聯技術1.原理：命令：接口互聯接口介紹互聯接口配置1.3 案例：二層組網典型配置1.4 排障：接口故障排除接口互聯技術2.Page 4支持的接口及板卡下一代的接口及擴展卡支持以太網電口和光口兩種以太網光口以太網電口8GE WSIC接口卡2XG8GE WSIC接口卡8GEF WSIC接口卡4GE-BYPASS卡Page 5物理連接線纜-雙絞線雙絞線線序標準非雙絞線直通網線的連接關系示意圖交叉網線的連接關系示意圖Page 6物理連接線纜-光纖光纖主要用于千兆及以上速率的光信號傳輸。光纖通過相應的光模塊連接到USG上的SFP+或SFP接口上光纖分為單模光纖和多模光纖單模光纖一般用于長距離傳輸（黃色，

3、如左下圖）多模光纖一般用于近距離傳輸（橙紅色，如右下圖）LC/PC-LC/PC單模光纖LC/PC-LC/PC多模光纖Page 7物理連接接口-連接器光纖兩端的連接器有多種型號，常用的有LC/PC、SC/PC和FC/PC三種類型LC/PC光連接器SC/PC光連接器FC/PC光連接器使用光模塊和光纖的過程中請注意以下事項：區別使用單模和多模光纖本地設備Tx（發）對應對端設備Rx（收）兩端光模塊波長一致不要過度彎折光纖，其曲率半徑應不小于40mmPage 8支持的接口種類物理接口三層以太網接口二層以太網接口邏輯接口VT（Virtual Template）接口、Dialer接口Tunnel接口、Nul

4、l接口VLAN接口三層以太網子接口Eth-Trunk接口、Loack接口Page 9目錄接口互聯技術1.原理：命令：接口互聯接口介紹互聯接口配置1.3 案例：二層組網典型配置1.4 排障：接口故障排除接口互聯技術2.Page 10配置三層接口IP地址Page 11步驟配置項目配置命令1配置靜態IPerface GigabitEthernet1/0/1ip address 2（可選）配置DHCP獲取IP地址erface GigabitEthernet1/0/1 dhcp cnt enable3（可選）配置雙工、速度、MTUerface GigabitEthernet1/0/1 undo nego

5、tiation autoduplex full speed 1000mtu 15004（可選）配置描述和別名description thiserface is use for managementalias management_erface5（可選）配置功能service-manage enableservice-manage http httpsssh permit配置PPPOE撥號接口Page 12步驟配置項目配置命令1配置dialer接口erface Dialer0link-protocol ppp ppp chap user user1ppp chap password cipher

6、 yourpassword ppp pap local-user us assword cipher yourpassowrdppp ipcp dns admit-any ip address ppp-negotiate dialer user user1dialer bundle 12綁定dialer到物理接口上erface GigabitEthernet1/0/2pppoe-cnt dial-bundle-number 1 ipv4配置VLANIF接口、子接口、回環接口Page 13步驟配置項目配置命令1配置 vlan if 接口vlan batch 10 20erface Vlanif1

7、0ip address erface Vlanif20ip address 2配置三層子接口erface GigabitEthernet1/0/3.10vlan-type dot1q 10ip address erface GigabitEthernet1/0/3.20 vlan-type dot1q 20ip address 3配置回環接口erface loack 0ip address 55配置二層互聯接口Page 14步驟配置項目配置命令1配置 vlanvlan batch 10 202配置Acs 接口erface GigabitEthernet1/0/1portswitchport l

8、ink-type acs port acs vlan 103配置Hybrid接口erface GigabitEthernet1/0/2portswitchport link-type hybrid port hybrid pvid 20port hybrid vlan 20 untagged4配置Trunk接口erface GigabitEthernet1/0/3 portswitchport link-type trunk port trunk pvid 1port trunk permit vlan 10 20配置Eth-trunk接口Page 15步驟配置項目配置命令1配置手工eth-t

9、runkerface eth-trunk 1portswitch2（可選）配置LACP eth- trunkerface eth-trunk 1 portswitchmacp-sicmax active-linknumber 23添加接口到eth- trunk中erface GigabitEthernet 1/0/1 portswitcheth-trunk 1erface GigabitEthernet 1/0/2 portswitcheth-trunk 1目錄接口互聯技術1.原理：命令：接口互聯接口介紹互聯接口配置1.3 案例：二層組網典型配置1.4 排障：接口故障排除接口互聯技術2.Pag

10、e 16通過Trunk實現設備間通信某公司的財務部門和市場部門分布在不同的樓宇中，通過兩臺USG相連。為了業務安全性，要求同一部門內員工可以相互，而不同部門間員工不能互相。Page 17配置命令：trunk互聯Page 18USG_B的配置如下：vlan batch 1 5 9 #erface GigabitEthernet1/0/1portswitchport link-type trunkundo port trunk permit vlan 1 port trunk permit vlan 5 9#erface GigabitEthernet1/0/2 portswitchport li

11、nk-type acs port acs vlan 5#erface GigabitEthernet1/0/3 portswitchport link-type acs port acs vlan 9#firewall zone trust set priority 85add erface GigabitEthernet1/0/1 add erface GigabitEthernet1/0/2 add erface GigabitEthernet1/0/3 #USG_A的配置如下：vlan batch 1 5 9 #erface GigabitEthernet1/0/1 portswitch

12、port link-type trunkundo port trunk permit vlan 1 port trunk permit vlan 5 9#erface GigabitEthernet1/0/2 portswitchport link-type acs port acs vlan 5#erface GigabitEthernet1/0/3 portswitchport link-type acs port acs vlan 9#firewall zone trust set priority 85add erface GigabitEthernet1/0/1 add erface

13、 GigabitEthernet1/0/2 add erface GigabitEthernet1/0/3 #通過VLANIF接口實現設備間通信某企業內部，研發部門的兩個項目組相互，分別屬于不同的VLAN。為了完成同一個項目，兩個項目組需要協同工作，因此，要求兩個項目組內的PC能夠相互。Page 19配置命令：vlanif接口Page 20# 安全區域及安全策略配置firewall zone trust set priority 85adderface GigabitEthernet1/0/2 adderface Vlanif2#firewall zone untrust set priori

14、ty 5adderface GigabitEthernet1/0/3 adderface Vlanif3#security-policyrule name policy_sec_1 source-zone trust source-zone untrust destination-zone trust destination-zone untrust action permit# 基本接口配置 vlan batch 1 to 3 #sysname USG #erface Vlanif2 alias Vlanif2ip address #erface Vlanif3 alias Vlanif3i

15、p address #erface GigabitEthernet1/0/2 portswitchport link-type acs port acs vlan 2#erface GigabitEthernet1/0/3portswitchport link-type acs port acs vlan 3#通過子接口實現設備間的通信某企業內部，研發部門的三個項目組R&D1、R&D2和R&D3相互隔離，屬于不同的VLAN，分別為VLAN10、VLAN20和VLAN30。為了完成同一個項目，三個項目組需要協同工作，因此，要求三個項目組內的PC能夠相互。Page 21配置命令：子接口Page 2

16、2#erface GigabitEthernet1/0/3.1 vlan-type dot1q 10alias GigabitEthernet1/0/3.1ip address #erface GigabitEthernet1/0/3.2 vlan-type dot1q 20alias GigabitEthernet1/0/3.2ip address #erface GigabitEthernet1/0/3.3 vlan-type dot1q 30alias GigabitEthernet1/0/3.3ip address #firewall zone trust set priority 8

17、5add erface GigabitEthernet1/0/3.1 add erface GigabitEthernet1/0/3.2 add erface GigabitEthernet1/0/3.3 #目錄接口互聯技術1.原理：命令：接口互聯接口介紹互聯接口配置1.3 案例：二層組網典型配置1.4 排障：接口故障排除接口互聯技術2.Page 23以太網接口不能UP故障現象觀察USG發現相連接口的指示燈不亮或接口狀態為DOWN可能的故障原因及解決方法Page 24故障原因解決方法原因一網線存在問題更換網線原因二在接口上執行了shutdown命令接口視圖執行undo shutdown命令原因

18、三兩端設備的底層實現的自協商協議不一致在兩端接口視圖下配置相同的速率和雙工模式原因四兩端接口配置的速率或工作模式不同在兩端接口視圖下配置相同的速率和雙工模式原因五USG接口卡存在問題更換接口或接口卡光口物理層狀態不能UP故障現象光接口互連后，LINK指示燈不亮或接口狀態為“DOWN”可能的故障原因及解決方法Page 25故障原因解決方法原因一光模塊或光纖不匹配確保光纖、光模塊、接口卡全部匹配確保光線收發順序沒有接反原因二光模塊或光纖異常使用光功率計測量收光功率并相應處理接收的光功率低于指標：發送端光接口除塵接收的光功率高于指標：加入光衰減器接收的光功率非常低：更換發送端光模塊原因三兩端設備接口

19、配置信息不一致關閉協商功能，手工配置兩端接口的雙工模式、速度模式原因四接口、接口卡故障替換接口、光模塊、或檢測接口卡是否接好檢查光接口狀態Page 27USG_A displayerface GigabitEthernet 1/0/1 GigabitEthernet1/0/1 current se : DOWNLine protocol current se : Administratively DOWN Description : GigabitEthernet1/0/1erface, Route PortTheum Transmit Unit is 1500 bytes, Hold tim

20、er is 10(sec)ernet Address is /24IP Sending Frames Format is PKTFMT_ETHNT_2, Hardware address is 0022-a100-0008 Media type is SFP,Loack not set,promiscuous mode not set1000Mb/s-speed mode, full-duplex mode, link type is auto negotiation The Vendor PN is FTRJ1419P1BCLTransceiver max BW: 1G Transceive

21、r Mode: SingleMode WaveLengh: 1310nm TransmisDistance: 52kmCurrent SFP module temperature(-128c/128c): 41.93 cCurrent SFP module supply(0/6.55V): 3.29 VCurrent SFP module Tx bias(0/131mA): 23.26 mA Current SFP module Txer(8.129dBm): 2.79 dBm Current SFP module Rxer( e ?Page 65AS路徑(AS_PATH)屬性/8AS300R

22、TAAS200AS400NLRI /8AS_PATH (400 300 200)AS500NLRI /8AS_PATH (500 200)AS 100NLRI /8AS_PATH (500 200)Page 66預先規劃AS_PATHNLRI /8AS_PATH (123)RTCRTD/8AS 4622 MbpsNLRI /8AS_PATH (462 123)AS 123AS 387/8NLRI /8AS_PATH (123 123 123)RTARTBPage 672 Mbps2 Mbps下一跳(NextHop)屬性RTA可經下一跳到達/8可經下一跳到達/8可經下一跳到達/8RTC可經下一跳

23、到達/8可經下一跳到達/8AS200RTCAS100RTA /8EBGPIBGPIBGP/8/8RTDRTBRTB可經下一跳到達/8可經下一跳到達/8Page 68本地優先級屬性(Local-Preference)ernet/24ISP1Prefix/maskLocal-Pref200100RT1/24ISP0ISP2RT2RT4RT3RT5Prefix/maskLocal-Pref100200Page 69MED(Multi-Exit-DISC)屬性Prefix/maskMED50100MED是可選非過渡屬性區別到達同一鄰居ASAS200鏈路(MED的多條RT2RT1值越小，鏈路越優先)通過

24、EBGP發送MED值給對等體RT3Prefix/maskMED10050AS100Page 70不同AS比較MED屬性在RTC上為何沒有選擇通往RTA的鏈路（MED值較小）作為主鏈路去往目標網段/16？/16E0E0AS500AS600RTARTB/24/24MED10MED 20/24/24RTCAS700Page 71團體(Community)屬性（1/2）什么是團體屬性團體是一組有相同性質的目的地址路由。目的就是將路由信息編組，通過組的標識決定路由傳遞的策略。團體屬性屬性類型：8可選，過渡屬性Page 72團體(Community)屬性（2/2）團體屬性是由一系列4字節(0 x00000

25、0000 x保留的團體屬性：FF)數值所組成0 x000000000 x0000FFF0 xF00000 x公認團體屬性：NO_EXPORT (0 xNO_ADVERTISE (0 x01)02)NO_EXPORT_SUBCONFED (0 x私有團體屬性：AS(2B):Number(2B)03)Page 73BGP路徑選擇過程如果此路由的下一跳不可達，忽略此路由評估Preferred-Value值，數值高的優先Local-Preference值最高的路由優先聚合路由優先于非聚合路由評估AS路徑的長度，最短的路徑優先比較Origin屬性，IGP優于EGP，選擇MED較小的路由優于pletePa

26、ge 74BGP路徑選擇過程（續）EBGP路由優于IBGP路由BGP優先選擇到BGP下一跳的IGP度量最低的路徑當以上全部相同，則為等價路由，可以負載分擔注：AS_PATH必須一致當負載分擔時，以下3條原則無效比較Cluster-List長度，短者優先比較Originator_ID (如果沒有Originator_ID，則用Router ID比較)，選擇數值較小的路徑比較對等體的IP地址，選擇IP地址數值最小的路徑Page 75策略路由原理策略路由是在路由表已經產生的情況下，不按照現有的路由表進行轉發，而是根據用戶制定的策略進行路由選擇的機制。策略路由并沒有替代路由表機制，而是優先于路由表生效

27、，為某些特殊業務指定轉發方向。策略路由可以用于多出口場景進行基于用戶的選路基于協議、應用的選路Page 76策略路由支持的匹配過程匹配條件：源安全區域、入接口、IP地址服務類型、應用類型、用戶匹配后動作：策略路由發送報文到指定下一跳發送報文到指定出口不做策略路由策略路由規則的匹配過程Page 77ISP選路基本原理ISP選路功能的實現原理是：生成ISP對應的IP地址文件，并上傳到上通過指定IP地址文件的下一跳，批量生成靜態路由用戶的流量按照該靜態路由，被分別轉發到對應運營商網絡。設備出廠時默認支持如下ISP的IP文件：china-mobile：中國移動：中國電信china-educationn

28、et：中國教育網：中國Page 78目錄接口互聯技術接口互聯技術 原理：路由基本原理命令：路由協議配置案例：三層組網典型配置2.4 排障：路由故障排除Page 79命令配置多出口：主備模式Page 80步驟配置項配置命令1、配置負載分擔模式load-balance multi-erfatandby2、配置主接口erface GigabitEthernet1/0/1ip address standbyerface GigabitEthernet1/0/7 2553、配置從接口erface GigabitEthernet1/0/7ip address 4、配置路由ip route-sic 0 ip

29、 route-sic 0 5、驗證配置display standby seWEB配置多出口：主備模式選擇“網絡 多出口”，按如下參數配置（命令見備注）Page 81配置多出口：均衡式負載分擔配置拓撲Page 82步驟配置項配置命令1、配置接口erface GigabitEthernet1/0/1ip address route weight 50erface GigabitEthernet1/0/7ip address route weight 503、配置負載分擔方式load-balance multi-erface packet4、配置路由ip route-sic 0 ip route-s

30、ic 0 WEB配置多出口：均衡式負載分擔選擇“網絡 多出口”，按如下參數配置Page 83命令配置多出口：溢出式負載分擔Page 84步驟配置項配置命令1、配置主用接口erface GigabitEthernet1/0/1ip address standbyerface GigabitEthernet1/0/2 standby threshold 80 302、配置分擔接口erface GigabitEthernet1/0/2ip address 3、配置負載分擔方式load-balance multi-erface packet4、配置路由ip route-sic 0 ip route-s

31、ic 0 5、驗證配置display standby se配置OSPF基本功能Page 85步驟配置項配置命令1、配置router id系統視圖下router id 或ospf 1 router-id 2、配置區域及宣告網絡ospf 1area network 55stubarea stub no-summary3、配置接口類型及開銷er g1/0/1ospf network-type p2p ospf cost 204、通告默認路由強制通告默認路由default-route-advertisedefault-route-advertise always5、配置安全策略安全策略要放行OSPF協

32、議配置OSPF高級功能Page 86步驟配置項本端配置對端配置1、配置vlink-peerospf 1 router-id area 2vlink-peer ospf 1 router-id area 2vlink-peer 2、配置ABR匯總ospf 100area 1network 55network 55abr-summary 3、配置ASBR匯總ospf 100asbr-summary asbr-summary not-advertiseasbr-summary tag 2 cost 1004、配置認證erface GigabitEthernet1/0/1ospf authentica

33、tion-mode md5 15 cipher123erface GigabitEthernet 1/0/1 ospf authentication-mode md5 15 cipher123配置BGP基本功能Page 87步驟配置項本端配置對端配置1、配置IBGP對等體bgp 10router-id peer as-number 10 peer connect-erface loack 0bgp 10router-id peer as-number 10 peer connect-erface loack 02、配置EBGP對待體，配置認證bgp 10router-id peer as-nu

34、mber 30peer password simple123bgp 30router-id peer as-number 10peer password simple1233、宣告路由引入路由bgp 10network import route ospfimport route directbgp 30network import route isisimport route direct配置BGP高級功能Page 88步驟配置項本地配置對端配置1、配置BGP反射器bgp 10router-id peer as-number 10peer connect- erfacebgp 10router

35、-id peer as-number 10 peer connect-erface loack 0peer as-number 10 peer connect-erface loack 0peer reflect-cntpeer reflect-cntbgp 10router-id peer as-number 10peer connect-erface2、配置BGP路由過濾acl number 2000rule 5 deny source 55rule 10 permitbgp 10peer filtolicy 2000 import3、配置BGP屬性bgp 10peer next-hop-

36、localpeer route-policy change_as_path import配置策略路由Page 89步驟配置項配置命令基于用戶基于應用基于源地址1、配置 IPlin kip-link check enableip-link 1 destination mode icmpip-link 2 destination mode icmp2、配置策略路由policy-based-route rule name pbr_1 description pbr_1 source-zone trust user /marketing user /track ip-link 1 action pbr

37、 next-hop rule name pbr_2 source-zone trust user /research track ip-link 2 action pbr next-hoppolicy-based-route rule name pbr_1 source-zone trust application category Business_Systems track ip-link 1action pbr egress-erface GigabitEthernet1/0/2 next-hop 202.168.10。1rule name pbr_2source-zone trust

38、application category Entertaenttrack ip-link 2action pbr egress-erface GigabitEthernet1/0/4 next-hop policy-based-route rule name pbr_1 source-zone trustsource-address 24track ip-link 1 action pbr next-hop rule name pbr_2 source-zone trustsource-address 24track ip-link 2 action pbr next-hop 配置ISP選路P

39、age 90步驟配置項配置命令1、上傳IP地址文件ftp get isp1.csv get isp2.csv2、配置IP地址文件的出接口isp set filename isp1.csv next-hop isp set filename isp2.csv next-hop 3、啟用導入的IP地址文件isp enable filename isp1.csv isp enable filename isp2.csv4、檢查配置display ip route目錄接口互聯技術接口互聯技術 原理：路由基本原理命令：路由協議配置案例：三層組網典型配置2.4 排障：路由故障排除Page 91OSPF互聯

40、配置示例組網拓撲如右圖所示某企業在內部網絡部署了 USG來連接研發部門、市場部門和財務部門。同時在網絡邊界處部署了USG作為安全網關，并從運營商處了寬帶上網服務，實現內部網絡接入ernet的需求。Page 92配置思路配置接口IP、并添加接口到相應的安全區域配置OSPF路由協議USG互聯的網段為區域0財務部門和USGB相連網段為區域1研發部門和USGC相連網段為區域2（完全STUB區域）市場部門和USGD相連網段為區域3USGA下發默認路由，為DR路由器，USGD為BDR路由器各USG上配置安全策略，允許OSPF協議及其它相應流量在USGA上配置NAT策略實現源地址轉換功能Page 93配置U

41、SGAPage 94#sysname USG_A #erface GigabitEthernet1/0/1ip address #erface GigabitEthernet1/0/3ip address ospf dr-priority 100 #firewall zone trust set priority 85adderface GigabitEthernet1/0/3 #firewall zone untrust set priority 5adderface GigabitEthernet1/0/1 #ospf 1 router-id import-route sic cost 1

42、 type 2 area network 55#ip route-sic GigabitEthernet1/0/54 #nat address-group address_1 section 0 0 0#security-policyrule name policy_sec_1 source-zone local source-zone untrust destination-zone local destination-zone untrust action permitrule name policy_sec_2 source-zone trust destination-zone unt

43、rust source-address 24source-address 24source-address 24 action permit#nat-policyrule name policy_nat_1 source-zone trust destination-zone untrust source-address 24source-address 24source-address 24action nat address-group address_1配置USGBPage 95#security-policyrule name policy_sec_1 source-zone loca

44、l source-zone trust destination-zone local destination-zone trust action permitrule name policy_sec_2 source-zone local source-zone untrust destination-zone local destination-zone untrust action permitrule name policy_sec_3 source-zone trust destination-zone untrust source-address 24 action permit#s

45、ysname USG_B #erface GigabitEthernet1/0/1ip address #erface GigabitEthernet1/0/3ip address #firewall zone trust set priority 85adderface GigabitEthernet1/0/3 #firewall zone untrust set priority 5adderface GigabitEthernet1/0/1 #ospf 1 router-id area network 55area network 55#配置USGCPage 96security-pol

46、icyrule name policy_sec_1 source-zone local source-zone trust destination-zone local destination-zone trust action permitrule name policy_sec_2 source-zone local source-zone untrust destination-zone local destination-zone untrust action permitrule name policy_sec_3 source-zone trust destination-zone

47、 untrust source-address 24 action permit#sysname USG_C #erface GigabitEthernet1/0/1ip address #erface GigabitEthernet1/0/3ip address #firewall zone trust set priority 85adderface GigabitEthernet1/0/3 #firewall zone untrust set priority 5adderface GigabitEthernet1/0/1 #ospf 1 router-id area network 5

48、5area network 55stub no-summary#配置USGDPage 97#security-policyrule name policy_sec_1 source-zone local source-zone trust destination-zone local destination-zone trust action permitrule name policy_sec_2 source-zone local source-zone untrust destination-zone local destination-zone untrust action permi

49、trule name policy_sec_3 source-zone trust destination-zone untrust source-address 24 action permit#sysname USG_D #erface GigabitEthernet1/0/1ip address #erface GigabitEthernet1/0/3ip address ospf dr-priority 2 #firewall zone trust set priority 85adderface GigabitEthernet1/0/3 #firewall zone untrusts

50、et priority 5adderface GigabitEthernet1/0/1 #ospf 1 router-id area network 55area network 55#BGP互聯配置示例實驗需求：USG_A為企業的兼出口網關。USG_A通過運營商網絡連接到ernet。USG_A、USG_B和USG_C之間運行IBGP協議。企業內部網絡地址通過USG_B和USG_C進行發布Page 98配置USGAPage 99#bgp 10router-id peer as-number 20peer as-number 10peer as-number 10 #ipv4-family un

51、icast undo synchronization peer enablepeer enablepeer enable#security-policyrule name policy_sec_1 source-zone trust destination-zone untrust action permitrule name policy_sec_2 source-zone local source-zone untrust destination-zone local destination-zone untrust action permit#erface GigabitEthernet

52、1/0/1ip address #erface GigabitEthernet1/0/2ip address #erface GigabitEthernet1/0/3ip address #firewall zone trust set priority 85add erface GigabitEthernet1/0/2 add erface GigabitEthernet1/0/3 #firewall zone untrust set priority 5adderface GigabitEthernet1/0/1#配置USGBPage 100#bgp 10router-id peer as

53、-number 10peer as-number 10 #ipv4-family unicast undo synchronizationnetwork peer enablepeer enable#security-policyrule name policy_sec_1 source-zone trust destination-zone untrust action permitrule name policy_sec_2 source-zone local source-zone untrust destination-zone local destination-zone untrust action permit#erface GigabitEthernet1/0