网络运维与网络安全 学习笔记 第二十四天
今日目标
VRRP负载均衡、BFD原理与配置、BFD典型应用
DHCP工作原理、全局模式DHCP
VRRP负载均衡
VRRP单组缺陷
每网段存在一个VRRP组，缺点如下：
主网关数据转发压力大
备份网关不转发任何数据
网络设备利用率低
每网段设置多个VRRP组
虚拟网关1的IP为192.168.1.254
PC-1的网关为虚拟网关1
每网段设置多个VRRP组
虚拟网关2的IP为192.168.1.253
PC-2的网关为虚拟网关2
配置虚拟网关1，配置R1
interface gi0/0/0
vrrp vrid 1 virtual-ip 192.168.1.254 //配置虚拟路由器1的IP
vrrp vrid 1 priority 200 //配置虚拟路由器R1的优先级为200
配置虚拟网关1，配置R2
interface gi0/0/0
vrrp vrid 1 virtual-ip 192.168.1.254 //配置虚拟路由器1的IP
配置虚拟网关2，配置R2
Interface gi0/0/0
vrrp vrid 2 virtual-ip 192.168.1.253 //配置虚拟路由器2的IP
vrrp vrid 2 priority 200 //配置虚拟路由器2 的优先级为200
配置虚拟网关2，配置R1
interface gi0/0/0
vrrp vrid 2 virtual-ip 192.168.1.253 //配置虚拟路由器2的IP
多VLAN网关负载均衡
为VLAN10配置VRRP
SW1和SW2是VLAN10的真实网关
SW1在VLAN10中的优先级为200
SW2在VLAN10中的优先级为100
VLAN10的虚拟网关为192.168.10.254
配置虚拟路由器10，配置SW1
interface vlanif 10
vrrp vrid 10 virtual-ip 192.168.10.254 //配置虚拟路由器10的IP
vrrp vrid 10 priority 200 //配置虚拟路由器10的优先级为200
配置虚拟路由器10，配置SW2
interface vlanif 10
vrrp vrid 10 virtual-ip 192.168.10.254 //配置虚拟路由器10的IP
为VLAN20配置VRRP
SW1和SW2是VLAN20的真实网关
SW2在VLAN20中的优先级为200
SW1在VLAN20中的优先级为100
VLAN20的虚拟网关为192.168.20.254
配置虚拟路由器20，配置SW2
interface vlanif 20
vrrp vrid 20 virtual-ip 192.168.20.254 //配置虚拟路由器20的IP
vrrp vrid 20 priority 200 //配置虚拟路由器20的优先级为200
配置虚拟路由器20，配置SW1
interface vlanif 20
vrrp vrid 20 virtual-ip 192.168.20.254 //配置虚拟路由器20的IP
需求描述
VLAN6的主网关在SW1，优先级150，备份网关在SW2，优先级130
VLAN8的主网关在SW2，优先级150，备份网关在SW1，优先级130
VLAN6的虚拟IP为：192.168.6.254
VLAN8的虚拟IP为：192.168.8.254
①配置终端设备PC1
PC1的IP地址：192.168.6.1 255.255.255.0 192.168.6.254
PC2的IP地址：192.168.8.1 255.255.255.0 192.168.8.254
②配置SW3
system-view
Huaweisysname SW3
SW3vlan batch 6 8
SW3interface Ethernet0/0/1
SW3-Ethernet0/0/1port link-type access
SW3-Ethernet0/0/1port default vlan 6
SW3-Ethernet0/0/1quit
SW3interface Ethernet0/0/2
SW3-Ethernet0/0/2port link-type access
SW3-Ethernet0/0/2port default vlan 8
SW3interface Ethernet0/0/13
SW3-Ethernet0/0/13port link-type trunk
SW3-Ethernet0/0/13port trunk allow-pass vlan all
SW3-Ethernet0/0/13quit
SW3interface Ethernet0/0/22
SW3-Ethernet0/0/22port link-type trunk
SW3-Ethernet0/0/22port trunk allow-pass vlan all
SW3-Ethernet0/0/22quit
③配置SW1
system-view
Huaweisysname SW1
SW1vlan batch 6 8
SW1interface GigabitEthernet0/0/13
SW1-GigabitEthernet0/0/13port link-type trunk
SW1-GigabitEthetnet0/0/13port trunk allow-pass vlan all
SW1-GigabitEthernet0/0/13quit
④配置SW2
system-view
Huaweisysname SW2
SW2vlan batch 6 8
SW2interface GigabitEthernet0/0/22
SW2-GigabitEthernet0/0/22port link-type trunk
SW2-GigabitEthernet0/0/22port trunk allow-pass vlan all
SW2-GigabitEthernet0/0/22quit
⑤配置SW1上vlan6的VRRP（主网关）
SW1interface Vlanif 6
SW1-Vlanif6ip address 192.168.6.251 24
SW1-Vlanif6vrrp vrid 6 virtual-ip 192.168.6.254
SW1-Vlanif6vrrp vrid 6 priority 150
SW1-Vlanif6quit
⑥配置SW2上vlan6的VRRP（备份网关）
SW2interface Vlanif 6
SW2-Vlanif6ip address 192.168.6.252 24
SW2-Vlanif6vrrp vrid 6 virtual-ip 192.168.6.254
SW2-Vlanif6vrrp vrid 6 priority 130
SW2-Vlanif6quit
⑦配置SW2上vlan8的VRRP（主网关）
SW2interface Vlanif 8
SW2-Vlanif8ip address 192.168.6.252 24
SW2-Vlanif8vrrp vrid 8 virtual-ip 192.168.8.254
SW2-Vlanif8vrrp vrid 8 priority 150
SW2-Vlanif8quit
⑧配置SW1上vlan8的VRRP（备份网关）
SW1interface Vlanif 8
SW1-Vlanif8ip address 192.168.6.251 24
SW1-Vlanif8vrrp vrid 8 virtual-ip 192.168.8.254
SW1-Vlanif8vrrp vrid 8 priority 130
SW1-Vlanif8quit
⑨查看VRRP信息
SW1display vrrp brief
SW2display vrrp brief
BFD原理与配置
产生背景
目的
为了减小设备故障对业务的影响，提高网络的可靠性，网络设备需要能够尽快检测到与相邻设备间的通信故障，以便及时采取措施，保障业务继续进行。
在现有网络中，有些链路通常通过硬件检测信号，如SDH告警，检测链路故障，但并不是所有的介质都能够提供硬件检测。
此时应用就要依靠上层协议自身的Hello报文机制来进行故障检测。上层协议的检测时间都在1秒以上，这样的故障检测时间对某些应用来说是不能容忍的。同时，在一些小型三层网络中，如果没有部署路由协议，则无法使用路由协议的Hello报文机制来检测故障。
解决方案
BFD（Bidirectional Forwarding Detection）
双向转发检测机制，提供了一个通用的标准化的，与介质和协议无关的快速故障检测机制，用于快速检测、监控网络中链路或者IP路由的转发连接情况。
BFD的优点
对相邻设备之间的通道提供轻负荷、快速故障检测
用单一的机制对任何介质、任何协议层进行实时检测
BFD原理描述
原理简介
BFD在两台网络设备上建立会话，用来检测网络设备间的双向转发路径，为上层应用服务。
BFD本身并没有邻居发现机制，二是靠被服务的上层应用通知其邻居信息以建立会话。
会话建立后会周期性地快速发送BFD报文，如果在监测时间内没有收到BFD报文则认为该双向转发路径发生了故障，通知被服务的上层应用进行相应的处理。
BFD会话建立方式
静态建立BFG会话
通过命令行手工配置BFD会话参数，包括配置本地标识符和远端标识符等，然后手工下发BFD会话建立请求。
动态建立BFD会话
动态分配本地标识符：当应用程序触发动态创建BFD会话时，系统分配属于动态会话标识符区域的值作为BFD会话的本地标识符。
然后向对端发送Remote Discriminator的值为0的BFD控制报文，进行会话协商。
BFD检测机制
原理
BFD的检测机制是两个系统建立BFD会话，并沿它们之间的路径周期性发送BFD控制报文，如果一方在既定的时间内没有收到BFD控制报文，则认为路径上发生了故障。
配置命令
RAbfd //启用BFD
RAbfd AC bind peer-ip 10.2.1.2 //创建BFD会话，名字为AC
RA-bfd-session-ACdiscriminator local 1 //配置本地设备标识为1
RA-bfd-session-ACdiscriminator remote 3 //配置远程设备标识为3
RA-bfd-session-ACcommit //提交BFD会话，才可以让配置生效
RA-bfd-session-ACquit
RCbfd //启用BFD
RCbfd CA bind peer-ip 10.1.1.1 //创建BFD会话，名字为CA
RC-bfd-session-CAdiscriminatior loacl 3 //配置本地设备标识为3
RC-bfd-session-CAdiscriminator remote 1 //配置远程设备标识为1
RC-bfd-session-CAcommit //提交BFD会话
RC-bfd-session-CAquit
SW2display bfd session all //显示BFD会话信息
配置BFD多跳检测
需求描述
如图配置设备的IP地址
在R1和R3之间建立BFD会话，快速检测链路故障
查看R1和R3之间的BFD会话的状态信息
配置步骤
①配置R1
system-view
Huaweisysname R1
R1interface GigabitEthernet 0/0/0
R1-GigabitEthernet0/0/0ip address 192.168.12.1 24
R1-GigabitEthernet0/0/0quit
R1ip route-static 192.168.23.0 24 192.168.12.2
②配置R2
system-view
Huaweisysname R2
R2interface GigabitEthernet 0/0/1
R2-GigabitEthernet0/0/1ip address192.168.12.2 24
R2-GigabitEthernet0/0/1quit
R2interface GigabitEthernet 0/0/0
R2-GigabitEthernet0/0/0ip address 192.168.23.2 24
R2-GigabirEthernet0/0/0quit
③配置R3
system-view
Huaweisysname R3
R3interface GigabitEthernet 0/0/1
R3-GigabitEthernet0/0/1ip address 192.168.23.3 24
R3-GigabitEthernet0/0/1quit
R3ip route-static 192.168.12.0 24 192.168.23.2
④配置BFD-R1
R1bfd
R1-bfdquit
R1bfd 13 bind peer 192.168.23.3
R1-bfd-session-13discriminator loacl 1
R1-bfd-session-13discriminator remote 3
R1-bfd-session-13commit
R1-bfd-session-13quir
⑤配置BFD-R3
R3bfd
R3-bfdquit
R3bfd 13 bind peer 192.168.12.1
R3-bfd-session-13discriminator local 3
R3-bfd-session-13discriminator remote 1
R3-bfd-session-13commit
R3-bfd-session-13quit
⑥验证BFD会话
R1display bfd session all
R3display bfd session all
BFD典型应用
应用场景
R1故障，R2切换为主网关
默认切换时间为3s
希望主/备网关实现快速切换
解决方案
在R1和R2之间，建立BFD会话
在R2上配置VRRP链路跟踪，跟踪对象为BFD会话
一旦BFD会话的状态为down，则增加R2的VRRP优先级，确保R2升级为主网关
配置命令
R1bfd //启用bfd
R1bfd 12 bind peer-ip 192.168.1.252 //创建bfd会话，名字为12
R1-bfd-session-12discriminator local 1 //配置本地设备标识为1
R1-bfd-session-12discriminator remote 2 //配置远程设备标识为2
R1-bfd-session-12commit //提交bfd会话
R1-bfd-session-12quit
R2bfd //启用bfd
R2bfd 21 bind peer-ip 192.168.1.251 //创建bfd会话，名字为21
R2-bfd-session-21discriminator local 2 //配置本地设备标识为2
R2-bfd-session-21discriminator remote 1 //配置远程设备标识为1
R2-bfd-session-21commit //提交bfd会话
R2-bfd-session-21quit
在R2上配置VRRP链路跟踪，跟踪bfd会话，增加优先级到210
R2interface GigabitEthernet 0/0/0
R2-GigabitEthernet0/0/0vrrp vrid 1 track bfd-session 2 increased 110
//如果本地的bfd ID为2的会话断开，那么Gi0/0/0端口发送的VRRP优先级增加110
配置VRRP主/备网关快速切换
需求描述
如图配置设备的IP地址
在SW1和SW2之间建立BFD会话，快速检测链路故障
主网关SW1故障后，实现备份网关的快速切换
配置步骤
①配置终端PC1/2的IP地址信息
②SW3配置VLAN/Trunk/Access
system-view //进入系统视图
Huaweisysname SW1 //修改设备名称为SW3
SW1vlan batch 6
SW3interface GigabitEthernet0/0/1 //SW3与PC1的互联接口
SW3-GigabitEthernet0/0/1port link-type access //配置链路类型为access
SW3-GigabitEthernet0/0/1port default vlan 6 //将接口加入到vlan6
SW3-GigabitEthernet0/0/1quit
SW3interface GigabitEthernet0/0/2 //SW3与PC2的互联接口
SW3-GigabitEthernet0/0/2port link-type access //配置链路类型为access
SW3-GigabitEthernet0/0/2port default vlan 6 //将接口加入到vlan6
SW3-GigabitEthernet0/0/2quit
SW3interface GigabitEthernet0/0/13 //SW3与SW1的互联接口
SW3-GigabitEthernet0/0/13port link-type trunk //配置链路类型为Trunk
SW3-GigabitEthernet0/0/13port trunk allow-pass vlan all //设置Trunk允许所有vlan
SW3-GigabitEthernet0/0/13quit
SW3interface GigabitEthernent0/0/23 //SW3与SW2的互联接口
SW3-GigabitEthernet0/0/23port link-type trunk //配置链路类型为Trunk
SW3-GigabitEthernet0/0/23port trunk allow-pass vlan all //设置Trunk允许所有vlan
SW3-GigabitEthernet0/0/23quit
③SW1配置VLAN/Trunk/Access
system-view //进入系统视图
Huaweisysname SW1 //修改设备名称为SW1
SW1vlan batch 6
SW1interface GigabitEthernet0/0/13 //SW1与SW3的互联接口
SW1-GigabitEthernet0/0/13port link-type trunk //配置链路类型为Trunk
SW1-GigabitEthernet0/0/13port trunk allow-pass vlan all //设置允许所有vlan
SW1-GigabitEthernet0/0/13quit
④SW2配置VLAN/Trunk/Access
system-view //进入系统视图
Huaweisysname SW2 //修改设备名称为SW2
SW2vlan batch 6
SW2interface GigabitEthernet0/0/23 //SW2与SW3的互联接口
SW2-GigabitEthernet0/0/23port link-type trunk //配置链路类型为Trunk
SW2-GigabitEthernet0/0/23port trunk allow-pass vlan all //设置允许所有vlan
SW2-GigabitEthernet0/0/23quit
⑤配置SW1上vlan6的VRRP（主网关）
SW1interface Vlanif 6 //进入vlanif6的网关接口
SW1-Vlanif6ip address 192.168.6.251 24 //配置vlanif6的真实网关IP地址
SW1-Vlanif6vrrp vrid 6 virtual-ip 192.168.6.254 //配置vlanif6的虚拟网关IP地址
SW1-Vlanif6vrrp vrid 6 priority 150 //配置vlanif6的vrrp优先级
SW1-Vlanif6quit
⑥配置SW2上vlan6的VRRP（备份网关）
SW2interface Vlanif 6 //进入vlanif6的网关接口
SW2-Vlanif6ip address 192.168.6.252 24 //配置vlanif6的真实网关IP地址
SW2-Vlanif6vrrp vrid 6 virtual-ip 192.168.6.254 //配置vlanif6的虚拟网关IP地址
SW2-Vlanif6vrrp vrid 6 priority 130 //配置vlanif6的vrrp优先级
SW2-Vlanif6quit
⑦在SW1/2上创建BFD会话
SW2bfd
SW2-bfdquit
SW2bfd
SW2bfd 21 bind peer-ip 192.168.6.251
SW2-bfd-session-21discriminator local 2
SW2-bfd-session-21discriminator remote 1
SW2-bfd-session-21commit
SW2-bfd-session-21quit
SW1bfd
SW1-bfdquit
SW1bfd
SW1bfd 12 bind peer-ip 192.168.6.252
SW1-bfd-session-12discriminator local 1
SW1-bfd-session-12discriminator remote 1
SW1-bfd-session-12commit
SW1-bfd-session-12quit
⑧在备份网关SW2上，通过VRRP跟踪BFD会话，快速发现主网关故障
SW2interface Vlanif 6
SW2-Vlanif6vrrp vrid 1 track bfd-session 2 increased 50
SW2-Vlanif6quit
SW2
DHCP工作原理
DHCP的使用背景
企业网络中，大量的主机或设备需要获取IP地址等网络参数
如果采用手工配置，工作量大、容易出错且不好管理
如果用户擅自更改。还有可能造成IP地址冲突等问题
使用动态主机配置协议DHCP，来分配IP地址等网络参数，可以减少管理员的工作量，避免出错
DHCP的定义
动态主机配置协议
Dynamic Host Configuration Protocol
DHCP的作用
用于实现企业用户IP地址的动态分配和集中管理
避免繁琐的手工配置，快速适应网络的变化
DHCP的角色
DHCP客户端：通过DHCP协议请求获取IP地址等网络参数
DHCP服务器：负责为DHCP客户端分配网络参数
DHCP中继：
负责转发DHCP服务器和DHCP客户端之间的DHCP报文，协助DHCP服务器向DHCP客户端动态分配网络参数的设备
当客户端和服务器不在一个网段的时候，才会用到DHCP中继设备
DHCP工作原理
1.发现阶段：客户端广播发送DHCP Discover报文
2.提供阶段：服务器回应DHCP Offer报文
3.选择阶段：客户端广播发送DHCP Request报文
4.确认阶段：服务器回应DHCP ACK报文
全局模式DHCP
DHCP服务规划
服务器规划
合理规划VLAN，确保同一VLAN内仅有一台DHCP Server，能收到此VLAN内客户端的DHCP请求
IP地址规划
可供被DHCP Server自动分配的IP地址范围
不能参与自动分配的IP地址，需要提前排除掉
创建基于全局的DHCP
开启设备的DHCP功能，确保设备为DHCP服务器
在DHCP服务器创建地址池，规划网段/网关/DNS和租约
在接收DHCP报文的接口上，指定DHCP的选择模式
在路由器上建立地址池，配置网段/网关/DNS和租约
Huaweisysname dhcp
dhcpdhcp enable
dhcpip pool p1 //建立地址池并命名
dhcp-ip-pool-p1network 192.168.1.0 mask 255.255.255.0
dhcp-ip-pool-p1gateway-list 192.168.1.254
dhcp-ip-pool-p1dns-list 8.8.8.8
dhcp-ip-pool-p1lease day 3 //设置DHCP租约为3天（默认为1天）
为路由器接口G0/0/0配置地址，并在接口上启用DHCP
dhcpinterface GigabitEthernet0/0/0
dhcp-GigabitEthernet0/0/0ip address 192.168.1.254 24
dhcp-GigabitEthernet0/0/0dhcp select global //接口下启用DHCP功能
