网络篇-华为与思科做链路捆绑（聚合）的问题 华为S5700 和 cisco6500 做 ETH-trunk 双链路捆绑拔插任意一条线都丢8个包，这个问题是项目做好很久之后一次偶然线路问题发现的。。。华为与思科拓扑（懒得画图）：A(C2960)===》B(S5700) 通过 ETH-trunk 1 做链路捆绑 B(S5700)===》C(C6500) 通过 ETH-trunk 2 做链路捆绑 都是通过 2 层互联都是双链路.配置：C2960Switch#sh run int port-channel 1 Building configuration... Current configuration : 54 bytes ! interface Port-channel1 switchport mode trunk end Switch#sh run int g0/47 Building configuration... Current configuration : 85 bytes ! interface GigabitEthernet0/47 switchport mode trunk channel-group 1 mode on end Switch#sh run int g0/48 Building configuration... Current configuration : 85 bytes ! interface GigabitEthernet0/48 switchport mode trunk channel-group 1 mode on End S5700\# interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 2 to 4094 bpdu enable \# interface Eth-Trunk2 port link-type trunk port trunk allow-pass vlan 2 to 4094 bpdu enable \# interface GigabitEthernet0/0/1 eth-trunk 1 undo ntdp enable undo ndp enable \# interface GigabitEthernet0/0/2 eth-trunk 1 undo ntdp enable undo ndp enable \# \# interface GigabitEthernet0/0/13 eth-trunk 2 undo ntdp enable undo ndp enable \# interface GigabitEthernet0/0/14 eth-trunk 2 undo ntdp enable undo ndp enable \# C6500BJ-BS02-6509#sh run int port-channel 100 Building configuration... Current configuration : 142 bytes ! interface Port-channel100 description to test no ip address switchport switchport trunk encapsulation dot1q switchport mode trunk end BJ-BS02-6509#sh run int g2/41 Building configuration... Current configuration : 173 bytes ! interface GigabitEthernet2/41 description to test no ip address switchport switchport trunk encapsulation dot1q switchport mode trunk channel-group 100 mode on end BJ-BS02-6509#sh run int g2/42 Building configuration... Current configuration : 173 bytes ! interface GigabitEthernet2/42 description to test no ip address switchport switchport trunk encapsulation dot1q switchport mode trunk channel-group 100 mode on end 故障现象描述：A 下的主机 ping C 上的一个 ip 地址在捆绑做完配置候（未断线）通不丢包当断 AB 之间的一条链路丢 2 个包（拔插各一个正常）当断 BC 之间一条链路的时候丢 8 个包（拔插各 8 个不正常）处理过程检查配置基本没有问题:换场景测试我们把 A 接 B 的口和 C 接 B 的口对调配置不变断线 ping结果还是和开始一样在断 BC 链路的时候丢包 8 个（拔插各八个不正常）Cisco A 和 C 直接对接 ping 断线测试（配置不变）拔插各丢一个包正常通过拨打 400 客服（单号 2814229）给他说明情况和捆绑配置同时他让做了流量统计他们给出初步结论（57 和 65 之间物理线路问题接口问题以及不同厂商兼容问题）继续排查：保持上面的配置不变继续测试（捆绑接口都是放行 vlan all）通过上面的排查基本可以确定问题在 B 到 C 这两个交换机上。故先测 B 到 C 之间捆绑链路是否有问题：情景一在 B 交换机 S5700 上接了一个 pc 机把该接口划分在业务 vlan 下 ping 自己在 Cisco 交换机 6500上的网关现象： 不断线不丢包 断其中任意一条线丢 8 个包（拔线时丢 8 个再把链路恢复插上的时候也丢 8 个）情景二在交换机 B s5700 上配置了一个 vlanif 接口也是用该接口地址直接 ping cisco 交换机 6500 上的网关现象： 不断线不丢包 断其中任意一条线丢一个包（拔插个一个）得出结论：B 和 C 也就是 S5700 和 cisco6500 之间的捆绑链路没有问题情景三我们又在交换机 A 上配了一个 vlanif 接口用该地址 ping C 交换机 cisco6500 上的网关地址现象： 不断线不丢包 断 A 和 B 之间的链路一根线丢 1 个包（拔的时候丢 1 个再插上丢一个） 断 B 和 C 之间链路任意一根线丢 8 个包（拔插各 8 个包）情景四用 A 上的 vlanif 地址 ping B 交换机上的 vlanif 地址现象：不断线不丢包 断 A 和 B 之间任意一条链路丢一个包（拔插各一个）得出结论：可能业务 vlan 的问题，但是我们都是放行所有 vlan 和技术以及华为 400 沟通之后捆绑接口不放行所有 vlan 只放行业务 vlan修改配置：S5700\# interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 4 999 bpdu enable \# interface Eth-Trunk2 port link-type trunk port trunk allow-pass vlan 4 999 bpdu enable 在 A 和 C 上也只放行业务 vlan 4 999 测试：把两台 pc 接在交换机 A c2960 上分别归在 vlan4 和 vlan999 然后 ping C 交换机 cisco6500上的网关地址现象：不断线不丢包 断 A 和 B 之间的任意一条链路丢一个包（拔插个一个） 断 B 和 C 之间的任意一条链路个丢一个包（拔插个一个）A 和 B 与 B 和 C 之间链路各任意断一条丢两个包（拔插各两个）该测试现象正常把现象反馈给 400 技术沟通得出结论：不同厂商之间兼容性问题，还有就是放行 vlan all 不安全容易出问题实际工程中几乎不这样做 主要结论归结不同厂商 BUG。小结1.可能配置出错，物理线路有问题，接口模块问题，工作速率工作模式（全双工半双工）不同厂商之间兼容性问题还有就是放行 vlan。。。。2.在配置链路捆绑的时候我们尽量不要放行 vlan all 这样安全性低以及容易出错，只需要具体放行业务 vlan 就可以了，同时与异厂商做对接时的明白设备通用协议考虑到兼容性问题。

华为S6700交换机CPU占用过高 问题描述:两台 S6700 均全局使能 RSTP，并配置 OSPF 和 VRRP。故障发生时，主设备上出现 OSPF、 VRRP 协议震荡。两台交换机上均出现 CPU 高的日志信息，同时网管上监控 CPU 占用率多次超过 90%，同时还有大量的 ARP 报文超过 CPCAR 后丢弃的日志记录。 通过网管监控的 CPU 利用率情况，如图所示 ：通过网管监控看到的 CPU 利用率告警信息1. 交换机上出现 CPU 占用率过高的日志信息。S6700-1 %%01VOSCPU/4/CPU_USAGE_HIGH(l)[31]:The CPU is overloaded(CpuUsage=96%, Threshold=95%), and the tasks with top three CPU occupancy are: FTS total : 18% SRMT total : 11% SOCK total : 8% S6700-1 %%01VOSCPU/4/CPU_USAGE_HIGH(l)[60]:The CPU is overloaded(CpuUsage=100%, Threshold=95%), and the tasks with top three CPU occupancy are: PPI total : 41% SRMT total : 10% FTS total : 8%2. 交换机上还有大量的 ARP 报文超过 CPCAR 后丢弃的日志记录。S6700-1 %%01DEFD/4/CPCAR_DROP_MPU(l)[56]:Rate of packets to cpu exceeded the CPCAR limit on the MPU. (Protocol=arp-miss, ExceededPacketCount=016956) S6700-1 %%01DEFD/4/CPCAR_DROP_MPU(l)[57]:Rate of packets to cpu exceeded the CPCAR limit on the MPU. (Protocol=arp-reply, ExceededPacketCount=020699) S6700-1 %%01DEFD/4/CPCAR_DROP_MPU(l)[58]:Rate of packets to cpu exceeded the CPCAR limit on the MPU. (Protocol=arp-request, ExceededPacketCount=0574)3. 查看端口 TC（Topology Change）报文收发情况。 所有使能 RSTP 的端口，接收的 TC 报文计数均在增长。<S6700> display stp tc-bpdu statistics -------------------------- STP TC/TCN information -------------------------- MSTID Port TC(Send/Receive) TCN(Send/Receive) 0 GigabitEthernet0/0/1 19319/3271 0/0 0 GigabitEthernet0/0/2 29761/676 0/0 0 GigabitEthernet0/0/3 128/4 0/0 0 GigabitEthernet0/0/4 24615/1016 0/0 0 GigabitEthernet0/0/5 30697/98 0/0 0 GigabitEthernet0/0/6 25447/317 0/0处理过程步骤 1 全局配置 stp tc-protection。配置此命令后可以保证设备频繁收到 TC 报文时，每 2 秒周期内最多只处理 1 次表项刷新。 从而减少 MAC、ARP 表项频繁刷新对设备造成的 CPU 处理任务过多。步骤 2 全局配置 arp topology-change disable 及 mac-address update arp当设备收到 TC 报文后，默认会清除 MAC、老化 ARP。当设备上的 ARP 表项较多时，ARP 的 重新学习会导致网络中的 ARP 报文过多。配置 arp topology-change disable、mac-address update arp 后，在网络拓扑变化时，可以根据 MAC 地址的出接口变化刷新 ARP 表项出接口。可以 减少大量不必要的 ARP 表项刷新。说明：V100R006 版本开始支持 mac-address update arp，V200R001 版本开始支持 arp topology-change disable 命令根因通过查看端口的 TC 报文计数，发现端口收到大量的 TC 报文，且在不断增长。触发 MAC 删除、 ARP 表项刷新，设备处理大量 arp-miss、arp-request 和 arp-reply 报文，导致 CPU 升高，OSPF Hello 报文、VRRP 心跳报文不能及时处理，出现震荡建议与总结在部署 STP 时，建议配置 TC 保护功能，所有连接终端的接口配置成边缘端口，这样可以避免 某些端口的状态变化引起整个 STP 网络震荡而重新收敛 

IS-IS协议原理与配置 前言 和OSPF一样，IS-IS也是一种基于链路状态并使用最短路径优先算法进行路由计算的一种IGP协议。IS-IS最初是国际化标准组织ISO为它的无连接网络协议CLNP设计的一种动态路由协议。 为了提供对IP的路由支持，IETF在RFC1195中对IS-IS进行了扩充和修改，使它能够同时应用在TCP/IP和OSI环境中，修订后的IS-IS协议被称为集成化的IS-IS。由于IS-IS的简便性及扩展性强的特点，目前在大型ISP的网络中被广泛地部署 IS-IS协议基本原理应用场景历史起源路由计算过程地址结果路由器分类（路由角色）邻居Hello报文邻居的关系建立链路状态信息的载体链路状态信息的交互路由算法网络分层路由域区域间路由IS-IS与OSPF的区别IS-IS与OSPF差异性术语对照表IS-IS应用场景配置IS-IS路由配置需求IS-IS路由配置实现 (1)IS-IS路由配置实现 (2)IS-IS路由配置实现 (3)思考？ IS-IS路由器类型有哪几种？ PSNP报文在邻居交互中起到了什么作用？ 相比OSPF，IS-IS的优势是什么？

华为OSPF实验记录 拓扑要求：1，根据图示配置正确的ip地址2，根据图示配置ospf协议及所属的区域，使全网互通3，AR1上有两个环回接口，为了减少路由表规模，需要配置区域汇总4，AR3上引入了两个环回接口地址（通过引入直连可实现）import direct5，AR3上对引入的路由汇总6,区域1希望降低路由计算、存储压力 ，同时考虑网络扩展，需要保留引入外部路由的功能。7，区域3外来人员较多，采用较安全的方式保证路由交互的安全性配置记录简述：1、配置ip地址：略过不写。2、宣告ospf各区，由于area3 不与骨干区area0 直接连接无法学习到其他区域的ospf路由，这里需要用到虚链路 vlink-peer，配置简述：area2 下 ar4 配置route-id 4.4.4.4 , ar5配置route-id 5.5.5.5;ospf下ar4 area2 配置vlink-peer 5.5.5.5  ,下ar5 area2 配置vlink-peer 4.4.4.4 使area3建立虚链路与骨干区直接相连。 3、area1下的abr（ar2）设置路由汇总 abr-summary 192.168.0.0 255.255.252.0 讲两个环回接口的路由汇总成一条。 4、ar3下的两个环回接口引入直连路由，ar3作为asbr（自治系统边界路由器）引入外部路由，ospf 下配置： import-route direct。 5、asbr-summary 172.16.0.0 255.255.252.0 路由汇总。 6、ar1 ，ar2  在区域1 下分别配置 nssa ，干掉 4 5 类lsa 保留外部路由。 7、区域3，ar5 和 ar6 分别ospf area3 配置authentication-mode md5 1 cipher  admin  所有route的配置：[V200R003C00] # sysname ar1 # snmp-agent local-engineid 800007DB03000000000000 snmp-agent # clock timezone China-Standard-Time minus 08:00:00 # portal local-server load flash:/portalpage.zip # drop illegal-mac alarm # wlan ac-global carrier id other ac id 0 # set cpu-usage threshold 80 restore 75 # aaa authentication-scheme default authorization-scheme default accounting-scheme default domain default domain default_admin local-user admin password cipher %$%$K8m.Nt84DZ}e#&lt;0`8bmE3Uw}%$%$ local-user admin service-type http # firewall zone Local priority 15 # interface GigabitEthernet0/0/0 ip address 1.1.1.1 255.255.255.0 # interface GigabitEthernet0/0/1 # interface GigabitEthernet0/0/2 # interface NULL0 # interface LoopBack1 ip address 192.168.1.1 255.255.255.0 # interface LoopBack2 ip address 192.168.2.1 255.255.255.0 # ospf 1 area 0.0.0.1 network 1.1.1.0 0.0.0.255 network 192.168.1.0 0.0.0.255 network 192.168.2.0 0.0.0.255 nssa # user-interface con 0 authentication-mode password user-interface vty 0 4 user-interface vty 16 20 # wlan ac # return &lt;ar1&gt; -------------------------------------------------------- &lt;ar2&gt;disp cur &lt;ar2&gt;disp current-configuration [V200R003C00] # sysname ar2 # snmp-agent local-engineid 800007DB03000000000000 snmp-agent # clock timezone China-Standard-Time minus 08:00:00 # portal local-server load flash:/portalpage.zip # drop illegal-mac alarm # wlan ac-global carrier id other ac id 0 # set cpu-usage threshold 80 restore 75 # aaa authentication-scheme default authorization-scheme default accounting-scheme default domain default domain default_admin local-user admin password cipher %$%$K8m.Nt84DZ}e#&lt;0`8bmE3Uw}%$%$ local-user admin service-type http # firewall zone Local priority 15 # interface GigabitEthernet0/0/0 ip address 1.1.1.2 255.255.255.0 # interface GigabitEthernet0/0/1 ip address 2.2.2.1 255.255.255.0 # interface GigabitEthernet0/0/2 # interface NULL0 # ospf 1 area 0.0.0.0 network 2.2.2.0 0.0.0.255 area 0.0.0.1 abr-summary 192.168.0.0 255.255.252.0 network 1.1.1.0 0.0.0.255 nssa # user-interface con 0 authentication-mode password user-interface vty 0 4 user-interface vty 16 20 # wlan ac # return &lt;ar2&gt; -------------------------------------------------------- &lt;ar3&gt;disp cur [V200R003C00] # sysname ar3 # snmp-agent local-engineid 800007DB03000000000000 snmp-agent # clock timezone China-Standard-Time minus 08:00:00 # portal local-server load flash:/portalpage.zip # drop illegal-mac alarm # wlan ac-global carrier id other ac id 0 # set cpu-usage threshold 80 restore 75 # aaa authentication-scheme default authorization-scheme default accounting-scheme default domain default domain default_admin local-user admin password cipher %$%$K8m.Nt84DZ}e#&lt;0`8bmE3Uw}%$%$ local-user admin service-type http # ospfv3 1 # firewall zone Local priority 15 # interface GigabitEthernet0/0/0 ip address 2.2.2.2 255.255.255.0 # interface GigabitEthernet0/0/1 ip address 3.3.3.1 255.255.255.0 # interface GigabitEthernet0/0/2 # interface NULL0 # interface LoopBack1 ip address 172.16.1.1 255.255.255.0 # interface LoopBack2 ip address 172.16.2.1 255.255.255.0 # ospf 1 asbr-summary 172.16.0.0 255.255.252.0 import-route direct area 0.0.0.0 network 2.2.2.0 0.0.0.255 network 3.3.3.0 0.0.0.255 # user-interface con 0 authentication-mode password user-interface vty 0 4 user-interface vty 16 20 # wlan ac # return &lt;ar3&gt; -------------------------------------------------------- &lt;ar4&gt;disp cu [V200R003C00] # sysname ar4 # snmp-agent local-engineid 800007DB03000000000000 snmp-agent # clock timezone China-Standard-Time minus 08:00:00 # portal local-server load flash:/portalpage.zip # drop illegal-mac alarm # wlan ac-global carrier id other ac id 0 # set cpu-usage threshold 80 restore 75 # aaa authentication-scheme default authorization-scheme default accounting-scheme default domain default domain default_admin local-user admin password cipher %$%$K8m.Nt84DZ}e#&lt;0`8bmE3Uw}%$%$ local-user admin service-type http # firewall zone Local priority 15 # interface GigabitEthernet0/0/0 ip address 3.3.3.2 255.255.255.0 # interface GigabitEthernet0/0/1 ip address 4.4.4.1 255.255.255.0 # interface GigabitEthernet0/0/2 # interface NULL0 # interface LoopBack0 ip address 44.44.44.44 255.255.255.0 # ospf 1 router-id 4.4.4.4 area 0.0.0.0 network 3.3.3.0 0.0.0.255 area 0.0.0.2 network 4.4.4.0 0.0.0.255 vlink-peer 5.5.5.5 # user-interface con 0 authentication-mode password user-interface vty 0 4 user-interface vty 16 20 # wlan ac # return &lt;ar4&gt; -------------------------------------------------------- &lt;ar5&gt;disp cur [V200R003C00] # sysname ar5 # snmp-agent local-engineid 800007DB03000000000000 snmp-agent # clock timezone China-Standard-Time minus 08:00:00 # portal local-server load flash:/portalpage.zip # drop illegal-mac alarm # wlan ac-global carrier id other ac id 0 # set cpu-usage threshold 80 restore 75 # aaa authentication-scheme default authorization-scheme default accounting-scheme default domain default domain default_admin local-user admin password cipher %$%$K8m.Nt84DZ}e#&lt;0`8bmE3Uw}%$%$ local-user admin service-type http # firewall zone Local priority 15 # interface GigabitEthernet0/0/0 ip address 4.4.4.2 255.255.255.0 # interface GigabitEthernet0/0/1 ip address 5.5.5.1 255.255.255.0 # interface GigabitEthernet0/0/2 # interface NULL0 # interface LoopBack0 ip address 55.55.55.55 255.255.255.0 # ospf 1 router-id 5.5.5.5 area 0.0.0.2 network 4.4.4.0 0.0.0.255 vlink-peer 4.4.4.4 area 0.0.0.3 authentication-mode md5 1 cipher %$%$&gt;g}P.Dx'yG#4|05aM-&gt;+ONqz%$%$ network 5.5.5.0 0.0.0.255 # user-interface con 0 authentication-mode password user-interface vty 0 4 user-interface vty 16 20 # wlan ac # return &lt;ar5&gt; ------------------------------------------------------- &lt;ar6&gt;disp cur [V200R003C00] # sysname ar6 # snmp-agent local-engineid 800007DB03000000000000 snmp-agent # clock timezone China-Standard-Time minus 08:00:00 # portal local-server load flash:/portalpage.zip # drop illegal-mac alarm # wlan ac-global carrier id other ac id 0 # set cpu-usage threshold 80 restore 75 # aaa authentication-scheme default authorization-scheme default accounting-scheme default domain default domain default_admin local-user admin password cipher %$%$K8m.Nt84DZ}e#&lt;0`8bmE3Uw}%$%$ local-user admin service-type http # firewall zone Local priority 15 # interface GigabitEthernet0/0/0 ip address 5.5.5.2 255.255.255.0 # interface GigabitEthernet0/0/1 # interface GigabitEthernet0/0/2 # interface NULL0 # ospf 1 area 0.0.0.3 authentication-mode md5 1 cipher %$%$Z9fIL=J(P)F1XG)Q[$!,OOK!%$%$ network 5.5.5.0 0.0.0.255 # user-interface con 0 authentication-mode password user-interface vty 0 4 user-interface vty 16 20 # wlan ac # return结束，谢谢阅读。   

华为BFD功能简单配置 BFD:Bidirectional Forwarding Detection,双向转发检查作用：毫秒级故障检查，通常结合三层协议（如静态路由、vrrp、ospf、BGP等）实现链路故障快速检查。bfd 全局使能BFDbfd 1 bind peer-ip 12.1.1.2 source-ip 12.1.1.1 配置BFD组1 discriminator local 1 本地标识1 标识需要互为对称 discriminator remote 2 远端标识2 commit 确认提交 静态路由调用BFDip route-static 0.0.0.0 0.0.0.0 23.1.1.2 track bfd-session 1OSPF调用BFDospf 1 bfd all-interfaces enable  .

OSPF之LSA个人理解 Type 1：Router Link States特点： 1、域内路由，仅在本区域传递,不会穿越ABR。 2、每台路由器都会产生。 3、包含本路由器的直连的邻居，以及直连接口的信息 Type 2：Net Link States特点： 1、仅在本区域传递 2、只有MA网络才会产生LSA2，由DR发出。 3、标识出本MA网中有哪些路由器以及本网的掩码信息。 Type 3：Sumary Net Link States特点： 1、域间路由，能泛洪到整个AS。 2、由ABR发出，每穿越一个ABR，其ADV Router就会变成此ABR的Router-id. 3、包含本区域中的路由信息，包括网络号和掩码。通俗点：就是ABR把一个区域的1、2类LSA转成3类LSA向另一个区域传播 例如图中：R2把Aear 0的路由信息告诉Aear 1，那么Aear 1就学到了Aear 0的路由了. Type 5：Type-5 AS External Link States特点： 1、域外路由，不属于某个区域。 2、ASBR产生，泛洪到整个AS。不会改变ADV Router。 3、包含域外的路由通俗点：5类LSA是通告整个AS区，经由此ASBR可以到外部网络，且所有路由器接受到的5类都不会改变（即一样的信息） 注意：有ASBR的区域不会产生4类LSA，为什么不会产生4类呢？4类LSA在什么情况下会产生呢。 例如：Aear 2有一个ASBR。Aear 2的ASBR产生5类LSA。但不会产生4类LSA 不会产生4类LSA，是因为5LSA+1LSA ，Aear 2的路由都知道去外部的路由。 Type 4：Summary ASB Link States特点： 1、把ASBR的Router-id传播到其他区域，让其他区域的路由器得知ASBR的位置。 2、由ABR产生并发出，穿越一个ABR，其ADV Router就会变成此ABR的Router-id.通俗点：4类LSA 是其它区域用来定位ASBR位置的。为什么要定位置呢？ 因为其它区域通过5类LSA是不可以学到外部路由的。经过4类LSA的定位ASBR后，就可以学到去外部的路由了。这也回签上面的提的问题了。 例如：Aaer 0要学到到外部的路由，R1就必需要产生4类LSA。 1-5类LSA都好理解，7类LSA有点不好理解：当指Aear 2 为NSSA时 ASBR就会产生7类LSA Type 7：Type-7 AS External Link States特点： 特殊的域外路由，只存在于NSSA区域中。通俗讲： NSSA区域：没有5类LSA，于是也就没有4类LSA，但会生成7类LSA，且由ASBR产生，只在NSSA区域传播。与NSSA连接的区域(Aear 0)：Aear 0左边的ABR会把7类LSA转为5类LSA传播 flood除NSSA区域的所有区域注意：此ABR不会产生4类LSA，为什么？ 理解了这你就完全理解了7、5、4类LSA。 回头看5类LSA，Aaer0有1+5类LSA就可以学到外部的路由。所以不需要4类LSA 但Aaer 1的ABR必须产生产4类LSA，回头看4类LSA，就明白了。 在此你可以把Aear 0左边的ABR当成没配置NSSA的ASBR来理解。以上是我个人理解，请指教。