思科中文 技术配置手册 MPLS_V-P-N_学习笔记
课程介绍、目录及截图:
Cisco MPLS VPN技能学习笔记[LENVO自个自创]
MPLS, VPN, Cisco
Cisco MPLS VPN 学习笔记[LENVO自个自创]
笔记首要环绕MPLS帧形式打开学习,有什么疑问期待我们留言沟通,之后我会把试验装备和试验拓扑发上来,便利我们学习研究….
Mpls发作的布景:
ip危机:
90年代中期,路由器技能开展远远滞后于网络的开展速度。其时路由查找算法运用最长匹配准则,有必要运用软件查找,而IP实质即是“只关怀进程,不重视结果”的“尽力而为”的转 发。其时也就呈现了,简略的IP技能无法承载网络的将来;通俗的说在传统IP网络中,路由查询都是依据3层RT表,在中心网络中,这么路由器需求保护庞大的路由表,这么就大大的减低了设备的功用;这么,转发的功率就十分的低了。
atm野心:
atm的起先走向了一个极端,以至于定坐落完美,它想处理一切IP的疑问。但于去它过于复杂的技能完结,且无法与现已广泛应用的IP交融,使atm只能做为IP链路层协议。尽管如此,atm仍是给今后的协议开展提出了许多有用的技能,大大进步了路由器的转发功用:
①摈弃了繁琐的路由查找,改为简略疾速的标签交流。
②具有大局含义的路由表改为只需本地含义的标签表。
路由是有大局含义的,标签是只需本地含义的。
MPLS(MultiProtocol Label Switch)
充沛吸取了atm的精华,也认识到atm失利的因素,它没有定坐落必定要替代谁,仅仅甘原当IP的承载层,并将自个定坐落2.5层。它是支撑多种协议的,并不只支撑IP协议,然后避免得到atm一样的结果。
mpls实际上即是一种分类转发的技能,它将具有一样转发处理办法(意图地一样FEC—forwarding equivalence class 转发等价类–给具有一样特色的一类报文分配标签关于一条fec来说,沿途一切的设备都有必要具有一样的路由(前缀和掩码有必要彻底先同)才干够建成一条lsp。也即是说,运用mpls 转发的一切沿途的路由器都不能做聚合或许汇总。
Cisco IOS的三种交流办法:
①proccess switching 进程交流
②fast switching 疾速交流 路由器接口默许是这种交流–ip route cache(启用指令)
③CEF switching
MPLS有必要先启用CEF,因为只需在CEF的FIB表中才干刺进标签.
Router(config)#ip cef
常用标签分发协议:
TDP—cisco专有规范,以播地址发包,运用UDP711端口
LDP—业界规范,根本上即是TDP一样的东东
TDP和LDP只能依据FIB表中的条目来打标签,实际上在MPLS中是LFIB表
TDP和LDP即依据UDP,也依据TCP,
TDP发现街坊发UDP-711,源目都是,建街坊用TCP-711,意图端口,源端口随机,今后发包都?荰CP
LDP发现街坊发UDP-646,源目都是,建街坊用TCP-646,意图端口,源端口随机,今后发包都是TCP
一、MPLS体系结构
1.MPLS的两个层面
①:Control plane
exchanges Layer 3 routing information and labels; (留意必定要是3层RT表收敛了,然后才干够分发标签)
附:三层RT表的是收敛依据路由协议(OSPF,EIGRP,ISIS,BGP..)
标签分发协议有:TDP, LDP, BGP, and RSVP(注:LDP\TDP只对IGP学到路由条目分标签)
②:Data plane
Forwards packets based on labels
注:数据层面FLIB表的生成要依靠于操控层面LIB和FIB表的收敛。
2.MPLS的2种形式
①:Frame-mode
②:Cell-mode(现网中很少用了)
3.MPLS 标签格式
MPLS包头有32bit:
.20-bit lable(0-15保存,标签最小可用是16)
.3-bit EXP(做效劳质量调整的)
.1-bit S(用于标识是不是是栈底,标明MPLS的标签是能够嵌套的。路由器检查包的时时分,假如先检查到这个S值为0,阐明这不是栈底,今后仍是MPLS报头。假如S值为1,阐明这是终究一个MPLS包头了,今后的是三层信息;理论上MPLS能够无限嵌套,但它仍是受限于MTU。这些嵌套功用能够简略的完结功用的拓展,一个例子即是MPLS/VPN。)
.8-bit TTL(做防环用,类似于三层中的TTL)
附:路由器是经过剖析二层包头种中的类型字段(8847<单播包>/8848<组播包>:是标签包;0800:IP包头)判别某个包是IP包或是label包。
4.MPLS术语
①:Label(标签):是一个对比短的,定长的,通常只具有本地有些含义的标识,它通常坐落数据链路层封装与第三层数据封装之间,标签经过绑定进程同FEC相映射。
②:FEC(Forwarding Equivalence Class,转发等价类): 关于一组报文,处理它的沿涂路由器都用一个一样的动作处理它,那么这就叫作一个FEC。即在转发进程中以等价的办法处理一组数据分组的动作。
③:LSP(标签交流通道):一个FEC的数据流,在不一样的节点被赋予断定的标签,数据转发依照这些标签进行。数据流所走的路径即是LSP。即在转进程中以FEC动作处理过的分组所走的通路。
④:LSR(Label Switching Router):LSR是MPLS网络的中心路由器,它供给标签交流和标签分发功用。
⑤:LSER(Lable Switching Edge Router):MPLS网络边缘的路由器或交流机,进入到MPLS网络的流量由LSER分为不一样的FEC,并为这些FEC恳求相应的标签。它供给流量分类和标签的映射,标签的移除功用。
在MPLS网络入口处LSER(Ingress Router)要变IP转发为标签转发,在MPLS网络出口处LSER(Egress Router)要变标签转发为IP转发。
5.MPLS vs. IP 路由/转发办法
IP是hop-by-hop逐跳转发,它在每一条都要进行相应的路由表查询,并进行最长的匹配。
MPLS仅仅由LSER进行相应的查询,并经过FEC分配相应的标签,并树立LSP。LSR只需求进行相应的标签查找,并对应转发就行 了。
6.FEC
不一样的上的地址(归于一样的网段)的IP报文,在ingress处被区别为一样的FEC,进而具有一样的标签,这么在LSR处,只需求依据标签做疾速的交流即可。而关于传统的IP路由,它在每一跳处实际上都做一次从头区别FEC的进程。
假如一台路由器关于IP路由和标签交流运用了一样的CACHE功用,因为关于路由来说,在CACHE中只能记载主机路由,条目将十分有限,而标签对应的是FEC,也许是一个网段,然后能够做到很少的条目匹配很多的报文。
FEC缺点:
关于一条FEC来说,沿途一切的设备都有必要具有一样的路由(前缀和掩码有必要彻底一样)才干够建成一条LSP。也即是,MPLS转发的一切沿途设备不能做路由聚合操作。
7.LSR和LSER的FLIB表的构建:
LSR:
routing protocol—-Ip routing table(FIB)—Lable Distribution protocol—Lable Forwarding table
阐明:数据层面的构建是先是经过LDP树立标签映射联系,然后经过FIB,找到数据包的出接口,终究构成FLIB。
LSER:
Routing protocol—Ip routing table(FIB)—Lable Distribution protocol—Ip Forwoarding table—Lable forwarding table
阐明:当进来的是一个IP包的时分,查的是经过ip forwarding table查FIB表,这个时分不需求分标签直接转宣布去就能够了,假如进来的是标签包,查LFIB表。
8.标签栈
MPLS VPN:two lable(mpls:ldp or tdp;vpn:vpnv4)
MPLS TE : two or more lable(mpls:ldp or tdp;TE:假如敞开FRR,理论上没有约束,可是遭到MTU的约束)
MPLS VPN TE :three or more lable
9.MPLS的动作
①:impose:insert a lable or a stack of lable on ingress
②:swap:swap a lable with next-hop lable or a stack of labels in the core
③:pop:remove a lable on egress
④:untag
⑤:agg
impose—swap—pop、untag、agg
特别的:递归(假如呈现该动作,阐明装备有疑问)
10.分标签协议
Unicast ip routing —any igp—unicast ip routing table—LDP or TDP—LFIB
MPLS TE—OSPF or IS-IS—Unicast Ip routing Table—LDP/RSVP(RSVP请求底层协议是ISIS或OSPF,而且有必要是主干区域area 0 or L2)—-LFIB
QOS—any IGP—Unicast ip routing table—-LDP or TDP—–LFIB
MPLS VPN—Any IGP—Unicast ip routing table—-LDP/VPNv4—-LFIB
11.次末跳弹出机制(PHP)
首要是为了避免屡次查表;
在倒数第二跳就不再打标签,直接发给终究一个路由器,省得它再去查标签,去标签;终究一个路由器会发一个值为3(保存)的标签给自已的街坊,即是POP的意思
留意这个倒数第二跳是一个绝对的概念;
实际上PHP即是—路由器对自已的直连路由,会向自已的街坊发送一个POP标签。
12.LDP(Label Distribution Protocol)
这是一个MPLS动态的生成标签的协议,存在有多种标签生成协议能够完结这种标签的生成与分发,最常用的即是LDP。
LDP既然是一个动态的标签生成协议,它就与一些动态的路由协议有着一样之处:
①报文
②街坊主动发现和保护机制
③一套标签核算算法,用来依据搜集到的信息核算终究结果。
LDP音讯:
Discovery(发现音讯):用于通行和保护网络中的LSR的存在。
Session(会话音讯):用于树立,保护和完毕LDP对等实体之间的传话衔接。
Advertisement(布告音讯):用于创立,改动和删去特定FEC-标签绑定信息。
Notification(告诉音讯):用于供给音讯布告和过失告诉。
LDP会话树立进程:
LSR1 ———————————————> LSR2
<———————————————
街坊发现:经过互发HELLO报文(UDP:646/IP:224.0.0.2)
<———————————————
树立TCP衔接:由地址大的一方主动主张(TCP:646)
<———————————————
初始化session,由master宣布初始化音讯,并带着洽谈参数
———————————————->
由slave检查参数能否承受,假如能则发送初始化音讯,并带着洽谈参数。
并随后发送keepalive音讯
<———————————————
master检查参数能否承受,假如能则发送keepalive音讯
———————————————->
彼此收到keepalive音讯,会话树立。
时期收到任何过失音讯,均封闭会话,断开TCP衔接。
LDP State Machine(LDP状态机):
①non existent
②initialized
③opensent
④openrec
⑤operational
13.标签分配和办理
符号分发办法:
DOD(Downstream On Demand)下流按需符号分发
DU(Downstream Unsolicited)下流自立符号分发
DU标签分发:
①下流路由器主动跟据自个直连的网络发布布标签映射音讯。
②标签分配办法中也存在水平分割。
③标签是设备随机主动生成的,16以下为体系保存。
符号操控办法:
Odered:有序办法符号操控
Independent:独立办法符号操控
标签保存办法:
保存办法
自由办法
数据包的源:upstream 上游
数据包的目地:downstream 下流(数据包的目地必定是路由的始发地)
以一条LSP上,沿数据包传送的方向,相邻的LSR分别叫上游LSR(upstream LSR)和下流LSR(downstream LSR)。下流是路由的始发者。
14.LDP标签保存办法(挑选办法)
即我从多个街坊收到到同一意图地的标签时,我怎样挑选,运用哪一个标签转发的进程。
①自由办法(Liberal retention mode)
保存来自街坊的一切发送来的标签
长处:当IP路由收敛,下一跳改动时减少了LSP收敛时刻
缺点:需求更多的内存和标签空间。
此为当今对比盛行的办法。
②保存办法(Conservation retention mode)
只保存来自下一跳街坊的标签,丢掉一切非下一跳街坊发来的标签。
长处:节省内存和标签空间。
缺点:当IP路由收敛,下一跳改动时LSP收敛慢。
15.标签操控办法
①有序办法(Odered)符号操控:
除非LSR是路由的始发节点,(即此路由为我的直连路由,或我自个界说的静态路由),不然LSR有必要等收到下一跳的符号映射后,才干向上游宣布符号映射。为了避免标签LSP中心是中止的,类似于IBGP的同步特性。
此为当今对比盛行的标签操控办法。
②独立办法(Independent)符号操控:
LSR能够向上游宣布符号映射,而不必等候来自LSR下一跳的符号映射音讯。但这么就不能确保LSP是完好的。
16.LDP标签分配
选用(DU+自由+有序)的标签分配及操控办法:
①发现自个有直衔接口路由时会发送标签
②标签表中会存在很多的非选中的标签。
③收到下流到某条路由的标签而且该路由收效(也即是说,本地现已存在该条路由,而且路由的下一跳和标签的下一跳机同)时会发送标签。
注:
①假如某个网络中只需有些设备运转MPLS(MPLS域嵌在IP域中),则只会对运转MPLS的设备(MPLS域)的直连路由生成标签,关于别的设备(IP域)始发的路由则不会生成标签
②假如没有标签,关于经过MPLS域的意图地址在IP域的报文怎么转发?
在Ingress处,会对到来的数据包进行标签挑选,假如没有匹配的标签它也不会将数据包丢掉,它还会进行相应的路由表查找,进行进行相应的转发。
17.路由环路的避免与检查
环路避免:
任何涉及到转发或是路由核算的,都有也许引起路由一路,MPLS也不破例。
但LSP的树立是依靠IP路由的,所以环路的避免也就能够直接交给IP来做,自个无需处理。
环路检查:
MPLS做为2.5层协议,它不能彻底依靠于IP做环路避免,它自个也要进行相应的检查,以蔽免IP环路避免处理失利,进而发作环路。
MPLS的环路检查手法即是运用TTL,每经过一次MPLS转发?琓TL减一,进而将环路带来的影响降到最小。
注:此处,只MPLS报头中的TTL减一,IP报头的TTL不减一。
因为标签转发进程中,根本就不把数据包给IP层,这么才进步的转发速度,所以IP报头TTL不会减一。
18.MPLS的式微
因为路由交流设备开展到了硬件转发,运用ASIC,NP等报价也相对低价的硬件技能能够很简略的完结高速的转发,所以MPLS这种软件的转发手法就体现不出高超来了。
还有MPLS自身也存在着一些缺乏,最大的一个缺点即是:FEC有必要在整个LSP路径上都是共同的,这自身是不符合网络的拓扑结构的。
补充:
A:CEF在MPLS中的作用:
cef是CISCO一种疾速转发的机制,cef首要靠三层的路由表和邻接表生成一张转发库(FIB和ADJ),CEF首要的作用是完结3层和二层转宣布的映射。
19.Cicso IOS MPLS根本装备
①敞开CEF
Router(config)#ip cef
②接口敞开LDP或许TDP分标签协议
Router(config-if)#mpls ip //默许敞开的是LDP,也能够经过mpls label protocol [ ldp | tdp | both ]
③装备MPLS ID
Router(config)#mpls ldp router-id interface [force] //假如之前运转了MPLS,装备ID不会当即收效,需求重启,也能够经过加force强行收效,可是此刻街坊会断一下。
④装备标签包的MTU
Router(config-if)#mpls mtu bytes
阐明:为了避免对比大的数据包经过ISP鸿沟主干路由器时MPLS标签压不进去。
⑤装备TTL的繁殖(通常在PE设备上装备)
Router(config)#no mpls ip propagate-ttl [ forwarded | local ] //避免他人用trace勘探ISP内部网络拓扑。通常只需封闭forwarded就能够了,local的没必要封闭,这么方面办理
⑥标签过滤(CISCO只支撑出方向的标签过滤)
Router(config)#mpls ldp advertise-labels [for prefix-access-list [to peer-access-list]]
20.MPLS调试
show mpls ldp parameters
//检查本地LDP协议的一些特色
show mpls interfaces [interface] [detail]
//检查有哪些接口敞开了MPLS而且运用的是LDP仍是TDP
show mpls ldp discovery
//检查LDP街坊
show mpls ldp neighbor [detail]
//检查LDP树立起来的街坊联系
show mpls ldp bindings
//首要检查的LIB表,也即是LDP的数据库
show mpls forwarding-table
//检查FLIB表
show ip cef detail
//检查FIB表
思来想去,要改观下自个的笔记风格,像上面一篇笔记理论解释太多,篇幅也过大,不便于及时消化
(至于理论,主张我们多看书),今后的笔记尽量写精简的,重点放在技能关键这块,关于理论的解释略微带下…
一.两?諺PN模型
VPN网络中几个重要的人物
CE(Custom Edge):直接与ISP相连的用户设备
PE(Provider Edge Router):指ISP主干网上的边缘路由器,与CE相连,首要负责VPN事务的拉入。
P(Provider Router):指主干网上的中心路由器,首要完结路由的疾速转发功用。
因为网络的规划的不一样,网络中也许不存在P路由器,PE路由器也也许一起是P路由器。
C-Network:用户网络
P-Network:ISP网络
1.Overlay VPN
完结技能:X.25\FR\ATM;IP-over-IP(GRE、IPSEC)
①:地道树立在CE上
特色:CE和CE之前经过ISP的P网络树立地道传递路由信息,数据只在客户设备之前交流,ISP一窍不通。
长处:不一样的客户地址空间可堆叠,保密性、安全性好
缺点:VPN需求客户自个创立并保护,需求满足的技能力量
注:此刻PE和CE之间互联的地址是公网地址;ISP把CE当作一个通常的上网用户,与ADSL上网一样。
②:地道树立在PE上:
特色:PE为么个VPN用户创立相应的GRE地道,路由信息在PE和PE之间传递,公网中P设备不知道私网路由;
长处:VPN的由ISP保护,安全,保密性好;
缺点:不明白的VPN用户不能同享一样的地址空间,即便同享,运用依据接口的战略路由,后期保护工程量大,现网中不太好完结。
总结:Overlay VPN实质归于“静态”的VPN,需求手艺装备,所以他也具有类似于静态路由的一切缺点:
①:拓展性差
②:无法反响网络的实时变化,地道在CE,有必要请求客户有满足的技能力量;在PE上则无法处理地址抵触疑问。
2.Peer-to-Peer VPN
peer-to-peer处理了静态VPN的坏处,可是需求CE和PE交流私网路由,然后在P网络中传达抵达别的的PE上,进而处理了动态性疑问(然后又呈现安全性疑问);通常CE和PE之间运转的路由协议和P网络中的路由协议是不一样的,即便一样也要有很好的路由过滤和挑选机制。
Peer-to-Peer VPN技能有:
专用PE接入技能
同享PE接入技能
①:同享PE办法
疑问:地址空间堆叠疑问没有处理,无法实际区别不一样客户(在PE上运用ACL将是一个十分繁琐的事)
②:专用PE办法
疑问:不必说了,报价无法承受,即便这么,这些PE仍是要接到P设备上,仍是无法区别!
总结:
. 没有运用地道技能,私网路由在公网上跑,安全性很差
. VPN的特性彻底靠路由协议确保,致使CE无法装备缺省路由
. 地址空间无法堆叠疑问依然存在
3.总结(首要疑问):
①:能够供给一种动态树立的地道技能(MPLS中的LSP正好是一种动态的地道)
②:能够处理不一样VPN同享一样地址空间(运用动态路由协议BGP处理)
二、MP-BGP
1.处理地址抵触的难题(办法)
①本地路由抵触?侍猓?同一个台PE怎么区别不一样的VPN的一样路由(VRF)
②路由传达进程中,两条一样的路由,关于接纳者怎么区别(RD )
③报文转发疑问,即便成功的处理了路由表抵触,但PE接到一个IP报文是,又是怎样知道发个哪个VPN(RT)
VRF(VPN Routing & Forwarding Instance,VPN路由转发实例):每一个VRF能够看作一个虚拟的路由器,用于模仿一台专用的PE设备,该虚拟路由器包括3个元素:
a.一张独立的路由表,当然也包括了独立的地址空间。
b.一组归归于这个VRF的接口的调集。
c.一组只用于本VRF的路由协议。
d.一个RD和一组RT规矩。
关于每个PE,能够保护一个或多个VRF,一起保护一个公网的路由表(也叫大局路由表),多个VRF实例彼此别离独立。完结VRF并不艰难,关键在于怎么在PE上运用特定的战略规矩来和谐各VRF和大局路由表之间的联系。
RT(Route Target):
RT是一种 路由符号,当路由的导入和导出时,让接纳端知道要发给哪些VPN客户
发送端PE的export有必要和接纳端PE的import对应,只需对应上,接纳端PE才会把路由参加VRF路由表
RT是一个拓展的communite特色,是用来过滤的。
能够分为两有些:
Export Target:表明了我宣布的路由特色.
Import Target:表明了我对哪些路由感兴趣.
RD(route distinguishers):64bit,用来仅有区别IPV4路由(使重复的IPV4地址大局仅有),对SP(效劳供给商)来说,假如有多个用户网络号都一样的话,用RD来区别不一样的VPN客户.
RD(64bit)+IPv4(32bit)=VPNv4(96bit)
写法:AS:nn 或许A.B.C.D:nn
三、BGP/MPLS VPN
1.CE与PE之间怎么交流路由
①在PE上装备VRF
②PE保护独立的路由表,包括公网和私网(VRF)路由表
-公网路由表:包括悉数PE和P路由器之间的路由,由主干网的IGP发作。
-私网路由表:包括本VPN用户可达信息的路由和转宣布。
③PE和CE经过规范的EBGP,OSPF,RIP或许静态路由交流路由信息
(1)静态路由,RIP都是规范的协议,可是每个VRF运转不一样的实例,彼此之间没有搅扰。与PE的MP-IBGP之间仅仅简略的redistribute操作。
(2)EBGP也是通常的EBGP,而不是MP-EBGP,只交流经过PE过滤后的本VPN路由。
(3)OSPF则做了许多修正,能够将本SITE的LSA放在BGP的拓展community特色中带着,与远端VPN中的OSPF之间交流LSA。每个SITE中的OSPF都能够存在area 0,而主干网则能够看作是super area 0。此刻的OSPF由两极拓扑(主干区域+非主干区域)变为三级拓扑(超级主干区域+主干区域+非主干区域)。
2.VRF路由注入到MP-IBGP
PE路由器需求对一条路由进行几个操作:
?偌由蟁D(手艺装备),变为一条VPN-IPv4路由
②更改下一跳特色为自个(通常是自个的loopback地址),类似于BGP的nexthop-self
③加上私网标签(随机主动生成,无需求装备)
④加上RT特色(手艺装备),带着的RT为export特色
⑤发送给一切PE街坊
3.MP-iBGP路由注入到VRF
远端PE收到路由后会将VPN-v4路由变为Ipv4路由,而且依据本地VRF的import RT特色参加到相应的VRF中,私网标签保存,留做转发时运用。再由本VRF的路由协议引进并转发给相应的CE。
此刻的私网标签在进入VRF中时是保存的,为了与今后的路由更新对比,来判别是不是是一样的。但路由给CE的时分是没有私网标签的。
4.公网标签分配进程
①PE和P路由器经过主干网IGP学习到BGP街坊下一跳的地址
②经过运转LDP协议,分配标签,树立LSP通道。
③标签栈用于报文转发,外层标签用来指示怎么抵达BGP下一跳,内层标签表明报亠的出接口或许归于哪个VRF(归于哪个VPN)。
④MPLS节点转发是依据外层标签,而不论内层标签是多少。
一切的公网标签内的路由信息通常都是PE路由器的Loopback地址。由它将这个路由信息给第二跳P路由器,由它做第二跳标签弹出。通常这个第一跳路由器发送的这个路由信息是以一个特别的标签3来给第二跳的路由器做为OUT LABEL的,有时也称这个特别的标签3为implicit-null,它指示第二跳路由器它应该做第二跳标签弹出操作。
5.报文转发 - 从CE到Ingress PE
①CE将报文发给与其相连的VRF接口,PE在本VRF的路由表中进行查找,得到了该路由的公网下一跳(即:对端PE的loopback地址)和私网标签。
②在把该报文封装一层私网标签后,在公网的标签转宣布中查找下一跳地址,再封装一层公网标签后,交与MPLS转发。
6.Ingress PE ..> Egress PE ..> CE
①该报文在公网上沿着LSP转发,并依据路径的每一台设备的标签转宣布进行标签交流
②在倒数第二跳处,将外层的公网标签弹出,交给意图PE设备
③PE设备依据内层的私网标签判别该报文的出接口和下一跳
④去掉私网标签后,将报文转发给相应的VRF中的CE
下载链接: