多平台统一管理软件接口，如何实现多平台统一管理软件接口
236
2022-09-18
HCIE-Security Day25：DSPN+NHRP+Mgre：实验(四）配置shortcut方式DSPN（OSPF路由协议）（hcie-security好考吗）
HCIE-Security Day25：DSPN+NHRP+Mgre：实验(四）配置shortcut方式DSPN（OSPF路由协议）（hcie-security好考吗）
实验：配置shortcut方式DSPN（OSPF路由协议）
需求和拓扑
某大型企业有总部（Hub）和多个分支（Spoke1、Spoke2……，举例中仅使用两个分支），分布在不同地域，总部和分支的子网环境会经常出现变动。分支采用动态地址接入公网。企业现网网络规划使用OSPF路由协议。
现在用户希望能够实现分支之间的PN互联。
操作步骤
1、配置接口地址划分安全区域
2、配置安全策略
//f1f2f3security-policy rule name 1 source-zone dmz source-zone trust destination-zone dmz destination-zone trust action permit rule name 2 source-zone local source-zone untrust destination-zone local destination-zone untrust service gre service ospf action permit
3、配置公网动态路由确保公网路由可达
//f1ospf 1 area 0.0.0.0 network 1.1.1.10 0.0.0.0//f2ospf 1 area 0.0.0.0 network 1.1.2.10 0.0.0.0//f3ospf 1 area 0.0.0.0 network 1.1.3.10 0.0.0.0//rospf 1 area 0.0.0.0 network 1.1.1.1 0.0.0.0 network 1.1.2.1 0.0.0.0 network 1.1.3.1 0.0.0.0
r1上 检查ospf配置
4、 配置私网ospf
//f1（hub）ospf 2 area 0.0.0.0 network 172.16.1.1 0.0.0.0 network 192.168.0.0 0.0.0.255//f2（spoke）ospf 2 area 0.0.0.0 network 172.16.1.2 0.0.0.0 network 192.168.1.0 0.0.0.255//f3（spoke）ospf 2 area 0.0.0.0 network 172.16.1.3 0.0.0.0 network 192.168.2.0 0.0.0.255
注意要与公网ospf进程不要冲突，另外宣告的网段是私网网络和隧道接口地址。
注意如果没有配置hub的nhrp entry multicast dynamic则hub将不能发送组播报文从而无法建立ospf邻居关系。所以此时还不能建立ospf邻居关系。
5、配置tunnel隧道
//f1interface Tunnel0 ip address 172.16.1.1 255.255.255.0 tunnel-protocol gre p2mp source GigabitEthernet1/0/1 ospf network-type p2mp//相比非shortcut设置ospf网络类型为p2mp nhrp entry multicast dynamic//配置将从Tunnel0接口注册的分支节点动态加入到总部的NHRP组播成员表。 nhrp redirect//配置nhrp 重定向 //f2interface Tunnel0 ip address 172.16.1.2 255.255.255.0 tunnel-protocol gre p2mp//配置mgre source GigabitEthernet1/0/1 nhrp entry 172.16.1.1 1.1.1.10 register//手动触发nhrp注册 ospf network-type p2mp//相比非shortcut设置ospf网络类型为p2mp nhrp shortcut//配置nhrp shortcut方式//f3interface Tunnel0 ip address 172.16.1.3 255.255.255.0 tunnel-protocol gre p2mp source GigabitEthernet1/0/1 nhrp entry 172.16.1.1 1.1.1.10 register ospf network-type p2mp//相比非shortcut设置ospf网络类型为p2mp nhrp shortcut//配置nhrp shortcut方式
在dspn中部署动态路由协议后，分支或总部需要与自身组播列表中的成员建立邻居关系，并学习彼此的路由信息，以便在对端节点发送过来组播报文时，本端节点能够对报文进行复制并根据组播成员表进行发送，进而实现节点间报文的交互，因此，在分支与总部上需要配置各自的nhrp组播成员列表。
我们在这里将ospf进程2的网络类型配置成了p2mp，在该类型的网络中，除了hello报文是组播发送外，其他报文比如dd、lsr、lsu、lsack都是以单播形式发送的。在broadcast中，hello、lsu、lsack都是组播发送的，其他的比如dd、lsr是单播发送的。
检查ospf邻居建立情况
[f1]dis ospf 2 peer bri2022-03-05 14:05:34.230 OSPF Process 2 with Router ID 192.168.0.254 Peer Statistic Information ---------------------------------------------------------------------------- Area Id Interface Neighbor id State 0.0.0.0 Tunnel0 172.16.1.2 Full 0.0.0.0 Tunnel0 172.16.1.3 Full ---------------------------------------------------------------------------- Total Peer(s): 2
可以看到f1是和f2、f3建立了ospf的full的邻接关系的，但是f2和f3之间会不会建立ospf的邻接关系呢？单纯在p2mp网络中，完全是没有问题的。但是我们看一下就会知道并不是这样的。
[f3]dis ospf 2 peer bri2022-03-07 15:43:46.010 OSPF Process 2 with Router ID 172.16.1.3 Peer Statistic Information ---------------------------------------------------------------------------- Area Id Interface Neighbor id State 0.0.0.0 Tunnel0 172.16.1.1 Full ---------------------------------------------------------------------------- Total Peer(s): 1
发现只和f1即hub建立ospf邻接关系，甚至和其他spoke都不会建立邻居关系，为什么呢？ospf2是封装在gre中的，外部是单播报文。
为什么hub可以和spoke互发呢？因为spoke上面配置了hub的静态的nhrp，并触发了向hub的注册报文，使得hub上面产生spoke的nhrp映射。
验证和分析
1、抓包检查
可以看到手动使能了nhrp注册后，注册报文通过公网发给hub，给的隧道地址和公网地址的映射关系。
但是hub和spoke之间是分别建立邻居关系的，不会存在spoke和spoke建立邻居的情况。这是因为我们的ospf是p2mp类型的。
实验拓扑和完整配置已打包，回复dspn4获得。
shortcut方式的基本原理
dspn的shortcut方式建立同样分为3步。
1、建立spoke与hub之间的mgre隧道
目的是打通分支到分支报文转发的通道，使得一端分支的报文可以借助hub转发到另一端分支。dspn在spoke与hub之间建立的mgre隧道是一种静态隧道，无论spoke与hub间有没有流量经过，该隧道一直存在。
1 spoke向hub注册
2 hub向spoke注册应答
2、分支间路由学习
目的是生成一端分支到另一端分支的路由。
在shortcut方式下，源分支到目的分支子网的路由下一跳为总部的tunnel地址，实现所有访问目的分支的流量全部指向总部hub。分支间不需要相互学习路由，通过总部对分支路由汇聚后进行通告，该路由学习方式适用于哪些网络规模大、分支较多的大型网络。
3、建立spoke与spoke之间的mgre隧道
目的是建立用于分支间直接通信的通道。当一个分支向另一个分支转发数据报文时，如果源spoke找不到目的spoke的公网地址，则会触发dspn建立spoke与spoke之间的mgre隧道。这是一种动态隧道，靠流量保活。
在shortcut方式下，所有spoke的路由下一跳都是hub的tunnel地址，源spoke无法学习到目的spoke的tunnel地址，因此，源spoke只能根据报文的目的地址来查找目的spoke的公网地址，生成目的spoke的子网地址与公网地址的nhrp映射表。
shortcut方式完整过程
当Spoke1下的用户首次访问Spoke2下的用户时，将触发Spoke1与Spoke2之间建立动态mGRE隧道，隧道建立过程如下：
Spoke1收到其下用户发往Spoke2下用户的数据报文后，根据报文目的地址（192.168.2.0）在路由表中找到下一跳172.16.1.1（Hub的Tunnel地址），并在NHRP映射表中找到172.16.1.1对应的公网地址1.1.1.10（Hub的公网地址），就将数据报文转发给Hub。
Hub收到Spoke1转发的数据报文后：
从NHRP地址解析请求中提取Spoke1的Tunnel地址和公网地址，并将该信息更新到自己的NHRP映射表中
构建并向Spoke1发送NHRP地址解析应答报文（携带Spoke2的子网地址192.168.2.0、Spoke2的Tunnel地址172.16.1.3和公网地址1.1.3.10）。
Spoke1收到NHRP地址解析应答报文后，从应答报文中提取Spoke2的子网地址和公网地址，更新到自己的NHRP映射表中，Spoke1与Spoke2之间的动态mGRE隧道随即建立。
当Spoke2下的用户首次访问Spoke1下的用户时，也将触发Spoke2与Spoke1之间建立动态mGRE隧道，其过程类似Spoke1。
比较非shortcut方式下的完整过程
当Spoke1下的用户首次访问Spoke2下的用户时，将触发Spoke1与Spoke2之间建立动态mGRE隧道，隧道建立过程如下：
Spoke1收到其下用户发往Spoke2的数据报文后：
根据报文目的地址（192.168.2.0）在路由表中找到下一跳10.1.1.2（Spoke2的Tunnel地址），但在NHRP映射表中没有查找10.1.1.2对应的公网地址，就默认将该数据报文直接转发给Hub。
[f2]dis ip routing-table protocol ospf2022-03-08 06:15:43.870 Route Flags: R - relay, D - download to fib------------------------------------------------------------------------------Public routing table : OSPF Destinations : 4 Routes : 4 OSPF routing table status :
[f2]dis nhrp peer all2022-03-08 06:18:18.270 ---------------------------------------------------------------------------------- Protocol-addr Mask NBMA-addr NextHop-addr Type Flag ---------------------------------------------------------------------------------- 172.16.1.1 32 1.1.1.10 172.16.1.1 hub up ---------------------------------------------------------------------------------- Tunnel interface: Tunnel0Created time : 04:58:30Expire time : --HostName : f1HostEsn : 728171E1AC4B3828AB4BBE44CD166209Number of nhrp peers: 1
从NHRP地址解析请求报文中提取Spoke1的Tunnel地址和公网地址，并将该信息更新到自己的NHRP映射表中
Spoke1收到NHRP地址解析应答报文后，从应答报文中提取Spoke2的Tunnel地址和公网地址，更新到自己的NHRP映射表中，Spoke1与Spoke2之间的动态mGRE隧道随即建立。
[f2]dis nhrp peer all2022-03-08 06:26:36.560 ---------------------------------------------------------------------------------- Protocol-addr Mask NBMA-addr NextHop-addr Type Flag ---------------------------------------------------------------------------------- 172.16.1.1 32 1.1.1.10 172.16.1.1 hub up ---------------------------------------------------------------------------------- Tunnel interface: Tunnel0Created time : 05:06:48Expire time : --HostName : f1HostEsn : 728171E1AC4B3828AB4BBE44CD166209---------------------------------------------------------------------------------- Protocol-addr Mask NBMA-addr NextHop-addr Type Flag ---------------------------------------------------------------------------------- 172.16.1.3 32 1.1.3.10 172.16.1.3 remote up ---------------------------------------------------------------------------------- Tunnel interface: Tunnel0Created time : 00:07:16Expire time : 01:52:44HostName : f3HostEsn : 496CB74FEC103B219C4704B7147AA738Number of nhrp peers: 2
当Spoke1再次收到其下用户发送给Spoke2的数据报文时，Spoke1根据报文目的地址（192.168.2.0）在路由表中找到下一跳172.16.1.3，再根据172.16.1.3在NHRP映射表中找到公网地址1.1.3.10，即可按照公网地址1.1.3.10将此报文进行mGRE封装后直接发送给Spoke2，不再经过总部Hub。
对比可以看到，shortcut方式下，spoke的nhrp列表中会产生一个remote-network类型的映射关系，对应了远端spoke下的私有子网和公网地址的对应关系。后续报文的转发直接查nhrp得到封装的公网地址，而在非shortcut方式下，spoke的nhrp列表没有这样的映射关系，而是使用了远端spoke的隧道地址和公网地址的对应关系，首先是查找路由表得到远端spoke下的私有子网的下一跳地址是远端spoke的隧道地址，再根据这个隧道地址去找nhrp得到封装的公网地址。
版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。
相关文章
发表评论
暂时没有评论，来抢沙发吧~