作者技福小咖·2022-11-14 12:28

网络工程师·技福小咖

出口路由器网关配置案例

字数 10167阅读 761评论 0赞 1

大家好，我是小咖老师。

今天我们来讲一个出口路由器网关的配置案例。

如下图所示，在大型园区出口，路由器和防火墙进行直连，通过防火墙连接到外部网络和数据中心，对出入园区的业务流量提供安全过滤功能，为网络安全提供保障。

![](https://mp.toutiao.com/mp/agw/article_material/open_image/get?code=NWUyNmE0YTY5YWM3ZmY3YjZhZjQ4NjM2OGZhOTc2YjIsMTY2ODM5NjQ2ODc4MQ==)

配置OSPF园区出口组网图

**网络具体要求如下**：

1 园区内用户使用私网IP地址，用户IP地址通过DHCP服务器进行管理和分配，路由器设备充当DHCP Relay；

2 需要区分VIP和非VIP用户，每个VIP用户可以接入2～3个终端设备，带宽限制1MBit/s，普通用户只能接入1个终端设备，带宽限制256KBit/s。此要求可以通过在路由器上配置QoS实现；

3 保证网络安全性，除了防火墙设备的部署外，在路由器设备上配置用户认证，保证只有注册用户登录内部网络；

4 保证网络可靠性，在每个设备都需要部署BFD。两台路由器设备上部署VRRP备份组 并联动BFD，实现网关设备自动协商主备，保证路由不中断。

**说明 ：** 本示例中interface1，interface2，interface3分别代表10GE1/0/1，10GE1/0/2，10GE1/0/3。

![](https://mp.toutiao.com/mp/agw/article_material/open_image/get?code=OGU2NDZlZGY3NDgwMjE4ZGViYzgyNzc5NzkxNTYxNDUsMTY2ODM5NjQ2ODc4MQ==)

![](https://mp.toutiao.com/mp/agw/article_material/open_image/get?code=Mjk4YjQ1ZWM0ZDU4YTFmMDU2ZDFiMjBhZTM4MzEyZTUsMTY2ODM5NjQ2ODc4MQ==)

#  **配置思路**

为实现上述功能并完成配置，此案例采用如下思路进行配置：

![](https://mp.toutiao.com/mp/agw/article_material/open_image/get?code=ZTJkMzljZmRjMTM1M2JmOTRhYzJlNTY0ZGE1ZmE5NzMsMTY2ODM5NjQ2ODc4MQ==)

#  **配置设备名称及接口IP地址**

为了方便管理员识别不用的设备，通常会为每一台设备**配置设备名称**。例如，把设备名称配置为“Router A”：

#
    sysname Router A
    #

**配置设备的管理网口IP地址**，以便通过该IP地址实现三层互联或远程登录。例如，为10GE1/0/1配置IP地址为10.1.1.1/24：

#
    interface 10GE1/0/1
     undo shutdown
     ip address 10.1.1.1 255.255.255.0     
     //为接口配置IP地址
    #

其余IP地址配置方法类似，此处不再赘述。

#  **配置IGP路由**

## **1、整体结构**

路由分为两部分：

* 网络路由：由网络设备自身的IP地址（设备互联接口地址、用于IGP/BGP/MPLS等协议的LoopBack接口地址）组成，提供基本的网络连通性。
* 业务路由：由终端和业务系统组成，为各业务提供连通性。

网络路由通常由IGP承载，IGP协议可选择OSPF和IS-IS，我们本文中以OSPF为配置案例。

## **2、OSPF基本配置**

OSPF基本配置数据准备，请参见下图及下表：

![](https://mp.toutiao.com/mp/agw/article_material/open_image/get?code=NDk3ODk3NjUwODljNTgyNTRmNmI1YjAwYzBhY2ViYWUsMTY2ODM5NjQ2ODc4MQ==)

配置OSPF组网图

![](https://mp.toutiao.com/mp/agw/article_material/open_image/get?code=MDIxYjYwYjhmZTcxODM1OTQyNjg1YWUzMTc3YmY3MDIsMTY2ODM5NjQ2ODc4Mg==)

Router A配置方法如下（Router B与Router A配置相似，此处不再赘述）：

#
    router id 1.1.1.1
    #
    ospf 1
    area 0.0.0.0
     network 10.1.1.0 0.0.0.255     //与路由器相连的所有设备接口所在网段都需要使能OSPF
     network 10.1.2.0 0.0.0.255
     network 192.168.1.0 0.0.0.255
     network 172.16.0.0 0.0.0.255
    #
    interface 10GE1/0/1
     ospf cost 10              //配置两台路由器之间的OSPF路由开销值为10
     ospf network-type p2p
    #
    #
    interface 10GE1/0/2
     ospf cost 2000          //配置路由器和Internet防火墙之间的OSPF路由开销值为2000
     ospf network-type p2p
    #
    #
    interface 10GE1/0/3
     ospf cost 2000   //配置路由器和DC防火墙之间的OSPF路由开销值为2000
     ospf network-type p2p
    #
    interface 10GE1/0/4.1         //子接口会存在多个，参考此配置即可
     ospf cost 2000       
    #
    interface 10GE1/0/4.2
     ospf cost 2000       
    #
    interface 10GE1/0/4.100
     ospf cost 2000       
    #

## **3、配置路由器与防火墙之间路由互通**

路由器和防火墙之间为了实现相互通信，需要在防火墙上同样部署OSPF，实现路由互通。

以FW1为例：

#
    ospf 1
     default-route-advertise always    //配置将缺省路由发布到OSPF区域
     area 0.0.0.0
      network 10.1.2.0 0.0.0.255      //使能防火墙与路由器相连的接口所在网段的OSPF协议
    #

## **4、检查配置结果**

执行**display ospf**[ _process-id_ ] **routing router-id**[ _router-id_ ] [**age** { **min-value** _min-age-value_ | **max-value** _max-age-value_ } * ] 命令查看OSPF路由。

#  **配置VRRP**

## **1、机制原理**

VRRP的原理是通过把几台路由设备联合组成一台虚拟的路由设备，使用一定的机制保证当主用路由设备出现故障时，及时将业务切换到备份路由设备，从而保持通讯的连续性和可靠性。为了减少协议报文对带宽的占用及CPU资源的消耗，对于存在多个VRRP备份组的场景，可以将其中一个VRRP备份组配置为管理VRRP（mVRRP），负责发送协议报文来协商设备的主备状态，其他业务VRRP不发送协议报文，以此减少协议报文对CPU与带宽资源的消耗。

本例中，如图所示，由于在两台路由器之间需要部署多个VRRP备份组，因此，设置其中一个VRRP备份组为管理VRRP，负责协商两台路由器的主备状态。

![](https://mp.toutiao.com/mp/agw/article_material/open_image/get?code=MTY4YzVjODQxNjZiMDQyODI2NGQ1YTFiMzU3ZDQyOTQsMTY2ODM5NjQ2ODc4Mg==)

管理VRRP图示

VRRP基本配置数据准备请参见表：

![](https://mp.toutiao.com/mp/agw/article_material/open_image/get?code=MWI0MTcxZjliZGMyNzBiNzYyMDBlZGQ0NmQ4MzNiYTIsMTY2ODM5NjQ2ODc4Mg==)

## **2、配置方法**

**  Router A配置（以三个子接口为例进行介绍，多个子接口参考配置）**

#
    interface GigabitEthernet1/0/4.1
     vrrp vrid 1 virtual-ip 172.16.0.10     //配置此子接口对应的VRRP备份组采用虚IP地址172.16.0.10
     vrrp vrid 1 track admin-vrrp interface GigabitEthernet1/0/4.100 vrid 100 unflowdown   //与管理VRRP备份组绑定，此VRRP成为业务VRRP。unflowdown参数设置业务VRRP与管理VRRP的状态保持一致
    #
    interface GigabitEthernet1/0/4.2
     vrrp vrid 2 virtual-ip 172.17.0.10                 //配置此子接口对应的VRRP备份组采用虚IP地址172.17.0.10
     vrrp vrid 2 track admin-vrrp interface GigabitEthernet1/0/4.100 vrid 100 unflowdown
    #
    interface GigabitEthernet1/0/4.100
     vrrp vrid 100 virtual-ip 172.30.0.10              //配置此子接口对应的VRRP备份组为管理VRRP
     admin-vrrp vrid 100
    #

**  Router B配置（该设备的配置与Router A对应接口相匹配）**

#
    interface GigabitEthernet1/0/4.1
     vrrp vrid 1 virtual-ip 172.16.0.10                 //与对端设备对应的子接口采用相同的虚IP地址172.16.0.10
     vrrp vrid 1 track admin-vrrp interface GigabitEthernet1/0/4.100 vrid 100 unflowdown
    #
    interface GigabitEthernet1/0/4.2
     vrrp vrid 2 virtual-ip 172.17.0.10                 //与对端设备对应的子接口采用相同的虚IP地址172.17.0.10
     vrrp vrid 2 track admin-vrrp interface GigabitEthernet1/0/4.100 vrid 100 unflowdown
    #
    interface GigabitEthernet1/0/4.100
     vrrp vrid 100 virtual-ip 172.30.0.10        //配置子接口100为管理VRRP
     admin-vrrp vrid 100                      //配置管理VRRP的备份组号为100
    #

#  **配置BFD**

## **1、机制原理**

由于路由器之间是通过运行OSPF协议实现的路由互通，而OSPF通过周期性的向邻居发送Hello报文来实现邻居检测，检测到故障所需时间比较长，超过1秒钟。但用户的语音和视频需求对于丢包和延时非常敏感，较长的检测时间会导致大量数据丢失，无法满足用户对网络的需求。通过配置BFD for OSPF特性，可以快速检测链路的状态，当其中一台路由器发生故障时，流量可以自动切换到另一台路由器进行数据传输。

![](https://mp.toutiao.com/mp/agw/article_material/open_image/get?code=NDU1ZDQ1NDdmMjIwM2YzNjY2YmM0MDRkZjk5MjdiMTYsMTY2ODM5NjQ2ODc4Mg==)

## **2、配置方法**

所有运行OSPF的接口都需要使能BFD功能，此处以Router A为例，具体配置方法如下：

#
    bfd                                                //全局使能BFD
    #
    interface 10GE1/0/1
     ospf bfd enable                                  //接口使能BFD
     ospf bfd min-tx-interval 100 min-rx-interval 100    //设置BFD发送和接收报文最小时间间隔为100毫秒
    #
    interface 10GE1/0/2
     ospf bfd enable
     ospf bfd min-tx-interval 100 min-rx-interval 100
    #
    interface 10GE1/0/3
     ospf bfd enable
     ospf bfd min-tx-interval 100 min-rx-interval 100
    #

其他设备配置方法与Router A类似，此处不再赘述。

## **3、检查配置结果**

执行**display bfd session all**命令可以查看所有BFD会话信息。

#  **配置VRRP联动BFD**

## **1、机制原理**

部署VRRP后，当VRRP备份组之间的链路出现故障时，Backup设备需要等待3倍协商周期后才会切换为Master设备，在等待切换期间内，业务流量仍会发往Master设备，此时会造成业务流量丢失。通过部署VRRP联动BFD功能，可以使主备切换的时间控制在1秒以内，有效解决上述问题。

## **2、配置方法**

** # Router A配置**

#
    bfd atob bind peer-ip 172.30.0.2 interface GigabitEthernet1/0/4.100   //配置静态BFD，指定本地接口及对端接口IP地址
     discriminator local 1                                                 //配置静态BFD会话的本地标识符为1
     discriminator remote 2                                                //配置静态BFD会话的远端标识符为2
    #

** # Router B配置**

#
    bfd btoa bind peer-ip 172.30.0.1 interface GigabitEthernet1/0/4.100   //配置静态BFD，指定本地接口及对端接口IP地址
     discriminator local 2                                                 //配置静态BFD会话的本地标识符为2
     discriminator remote 1                                                //配置静态BFD会话的远端标识符为1
    #

## **3、检查配置结果**

执行**display vrrp**命令可以查看当前VRRP备份组的状态信息和配置参数。

#  **配置QoS**

## **1、机制原理**

配置QoS及过滤规则，为不同级别的用户设置不同带宽

QoS可以实现针对各种业务的不同需求，为其提供端到端的服务质量保证。在本案例需求中，馆方需要实现VIP和非VIP不同带宽、不同终端的需求，QoS技术很好地解决了这个问题。通过定义流分类，实现不同业务流在网络中得到不同优先级、不同服务质量的监管。

在本例中，需要在两台路由器设备上定义流量策略、流分类及流定义，并指定对应接口的入方向流量应用指定策略，从而区分VIP用户和普通用户。

![](https://mp.toutiao.com/mp/agw/article_material/open_image/get?code=OTE2NmMzNGExZjllMGEwZjczOGVhNmJiNGFlM2UxNWIsMTY2ODM5NjQ2ODc4Mg==)

## **2、配置方法**

** # 定义ACL列表**

#
    acl number 2001
     rule 0 permit source 10.8.0.0 0.0.255.255     //VIP用户IP地址
     rule 1 permit source 10.80.0.0 0.1.255.255
    #
    acl number 2002
     rule 0 permit source 172.24.0.0 0.0.255.255   //非VIP用户IP地址
     rule 0 permit source 172.25.0.0 0.0.255.255

** # 定义流分类和流行为**

#
    traffic classifier VIP operator or          //定义流分类，名称为VIP
     if-match acl 2001                         //定义流分类VIP匹配ACl 2001
    traffic classifier SIP operator or             //定义流分类，名称为SIP
     if-match acl 2002                      //定义流分类SIP匹配ACl 2002
    #
    traffic behavior VIP
     remark ip-precedence 5          //定义流分类VIP的IP报文优先级为5
    traffic behavior SIP
     remark ip-precedence 4              //定义流分类SIP的IP报文优先级为4
    #
    traffic policy VIP
     share-mode                                //定义流策略为共享属性
     classifier VIP behavior VIP              //指定流分类VIP采用VIP流行为
    traffic policy SIP
     share-mode
     classifier SIP behavior SIP            //指定流分类SIP采用SIP流行为
    #

** # 在所有连接业务流量的子接口上应用流量策略**

#
    interface GigabitEthernet1/0/4.1
     traffic-policy SIP inbound    //指定子接口的入方向流量应用策略SIP，即匹配ACL 2002，报文优先级为4
    #
    interface GigabitEthernet1/0/4.2
     traffic-policy VIP inbound         //指定子接口的入方向流量应用策略VIP，即匹配ACL 2001，报文优先级为5
    #

#  **配置用户接入**

## **1、机制原理**

需要对接入的用户进行配置动态分配和管理用户IP地址。

DHCP是用于集中对用户IP地址进行动态管理和配置的协议，采用客户端/服务器通信模式，由客户端向服务器提出配置申请，服务器返回为客户端分配的IP地址等相应的配置信息，以实现IP地址等信息的动态配置。但由于本网络中的服务器和客户端不在同一个网段，因此，需要在路由器上配置DHCP Relay。DHCP Relay提供了对DHCP广播报文的透明传输功能，能够把DHCP客户端的广播报文透明地传送到其它网段的DHCP服务器上，同样也能够把DHCP服务器端的应答报文透明地传送到其它网段的DHCP客户端。

## **2、配置方法**

** # Router A配置（Router B的配置与此类似，此处不再赘述）**

#
    dhcp enable
    #
    interface GigabitEthernet1/0/4.1     //为所有业务子接口配置DHCP Relay
     dhcp select relay                   //使能DHCP Relay功能
     ip relay address 192.168.1.2        //配置DHCP中继所代理的DHCP服务器地址
    #
    interface GigabitEthernet1/0/4.2    //为所有业务子接口配置DHCP Relay
     dhcp select relay                  //使能DHCP Relay功能
     ip relay address 192.168.1.2       //配置DHCP中继所代理的DHCP服务器地址
    #

#  **说 明**

**1、本配置例适合在大型园区场景** 中，通过配置OSPF协议实现用户接入无线网络的典型配置过程。

**2、案例适用产品（版本）及特例**

适用于V800R012C00及以后版本的NetEngine 8000 X、NetEngine 8000 F、NetEngine 8000 M8和NetEngine 8000 M14系列路由器。

适用于V800R008C00及以后版本的NE40E系列路由器。

该场景下无需特殊单板，普通接口板即可。

该场景不需要的License项。

不支持RouterId冲突，包含AS内RouterId冲突和跨AS的RouterId冲突。RouterId冲突时可能触发误检测。

通过配置default-route-advertise发布的缺省路由只支持检测环路，不支持自愈

整机重启后，当本机或邻居的BFD会话状态处于Admin Down时，不影响OSPF状态；当BFD会话重新协商，此时如果BFD上报检测状态Down但之前上报检测状态为Up，则OSPF置邻居Down，其他情况不影响OSPF状态。

关注我，分享更多网络实用操作！感谢帮忙点赞分享，您的支持是我们最大的动力！

路由器

著作权归作者所有

如果觉得我的文章对您有用，请点赞。您的支持将鼓励我继续创作！

添加新评论0 条评论

Ctrl+Enter 发表

匿名评论

出口路由器网关配置案例

添加新评论0 条评论

作者其他文章

相关问题