MPLS Network Designs – USCom

从第3章开始,就以案例分析为主,就如我前一篇总结的一样,从这时“故事”开始变得异常精彩,当然你要首先了解整个MPLS中的基础部分。由于每个案例内容都非常多,而且里面有很多宝贵的经验,所以后面我会每章总结一篇,并主要从下面几个方面去总结。总结中只会包含我认为有价值的内容,因此文中的内容因人而异,如想了解更详细的内容,建议从书和实践中获得。

心得:大家可以把MPLS VPN(包括TE及其他相关技术)看成是一个由多种技术拼凑而成的一种解决方案。作者把几种流行的技术放在不同场景中进行了逐一介绍,所以每个场景中介绍的技术不仅限于书中介绍的,这要看客户的实际应用需求。

物理层

d-uscom-topology
根据上面的Topology,USCom位于美国,核心链路以OC-192和OC-48为主,由DWDM和SONET组成,部分SONET采用BLSR四路光纤双向线路切换还(BLSR/4),而DWDM没有实施保护。

BLSR/4:在SONET中,可以通过多种保护机制,如APS技术用于P2P。或通过BLSR自愈环技术,BLSR类似APS,只不过它不是P2P,而是环形,环形技术有UPSR,BLSR/4,BLSR/2。下面是BLSR/4示意图:
d-blsr-4

DWDM:中间没有ADM等复用设备,在单独光光纤上承载多路不同波长的光路,升级方便,如果应用IP over DWDM的LC,就省去了transponder。在光通信中的一些基础知识,正行光传输为850/1310nm,而适合放大的波长在1550左右的C波段,所以transponder可以把不可放大的光转化为C波段,下面是根据目前理解总结的图:
d-dwdm-01

3层骨干网

1. 全网使用LDP,VPN流量走标签;而上网流量走正常的IPV4,不进行标签交换,因为如果internet流量走标签,会有一些挑战,如netflow如何工作,及如何有效的防止DDOS攻击,在第5章的案例中,internet和VPN都走标签,详细后面再说。

如何分离internet流量和VPN流量?
可以在PE上设置两个loopback,分别针对internet和VPN;LDP加限制,只给VPN的loopback分配标签!

2. IGP用ISIS,由于网络规模不是很大(IGP不会超过1k),所以只用level 2
3. 出于对未来并购的考虑,选择IGP用global地址,23.49.0.0/16是整个UScom的地址块资源
4. 对于internet的RR部署,用的是多层次RR(正好补充了之前对层次RR理解的不充分),并且遵循物理拓扑,如果不遵循,那么会有环路风险,如下图所示:
d-ipv4-rr-issue
关于RR部署的方法及优化,可以看我之前总结的《BGP设计与实现》读后感及总结之3

在1级POP中,两个RR,跟所有其他1级POP中的RR建立全互联
在2级POP中,两个RR,他们是1级POP的客户端,所有2级POP和3级POP中的设备都跟其建立Peer
下面是常规部署,也有些特殊的,在此不列出
d-ipv4-rr

5. 对于VPN的RR部署
由于VPN流量基于标签,这些标签都是PE的换回口。对于P来说是透明的,P不用起VPNv4的BGP关系,直接根据IGP转发就可以了,所以在部署VPN RR的时候可以不用遵循物理拓扑,下面是常规部署,另外还有物理拓扑:
d-vpnv4-rr

6. 安全设计
在核心禁用TTL传播(no mpls ip propagate-ttl forwarded),保护VPNv4的核心
在PE上过滤核心地址块,用于防止internet流量访问
对于CE-PE这段路,如果CE是可管理的,在CE不向客户发布CE-PE这段地址;如果CE是非管理的,那么在PE上做限制,除了上面说的过滤核心地址块,还要限制ICMP和BGP的接入,详细看书。

服务质量

由于USCom网络是轻载网络,不发生失效的利用率在40%,发生失效时所有链路的利用率为70%。所以核心选择的QOS模型是1/1/0,而对于PE-CE段,使用的QOS模型是3/1/0。也就是说核心没有任何QOS,只在PE和CE处部署了QOS策略。

流量工程

1. USCom利用MPLS TE的FRR(与SRLG配合使用)来给没有保护的DWDM线路提供快速重路由服务

什么是SRLG?
d-srlg
用通俗的话说就是一条船上的“蚂蚱”,可以说这条链路上承载了多种业务,且没有备份,或者说多条链路经过同一个设备,如上图所示,如果链路或中间设备down了,所有业务都会中断。SRLG的信息可以通过OSPF/ISIS进行分发,为了减少复杂度,USCom使每个需要提供备份的路由器成为PLR,使用auto-tunnel和SRLG来自动建立NHOP备份链路,下面是一个简单的例子:

R1的3条link都跟一个传输设备连接,所以把这3条link放到同一个SRLG组中,所以在计算backup的tunnel时,会发现找不到可用的backup隧道:
d-srlg-lab

R1#sh mpls traffic-eng tunnels brief 
Signalling Summary:
    LSP Tunnels Process:            running
    Passive LSP Listener:           running
    RSVP Process:                   running
    Forwarding:                     enabled
    auto-tunnel:
        backup Enabled  (3 ), id-range:1100-1199
        onehop Enabled  (3 ), id-range:1000-1099
        mesh   Disabled (0 ), id-range:64336-65335

    Periodic reoptimization:        every 3600 seconds, next in 3335 seconds
    Periodic FRR Promotion:         Not Running
    Periodic auto-tunnel:         
        primary establish scan:     every 10 seconds, next in 4 seconds
        primary rm active scan:     disabled
        backup notinuse scan:       every 3600 seconds, next in 3537 seconds
    Periodic auto-bw collection:    every 300 seconds, next in 35 seconds
TUNNEL NAME                      DESTINATION      UP IF      DOWN IF    STATE/PROT
R1_t1000                         2.2.2.2          -         Et0/0     up/up     
R1_t1001                         3.3.3.3          -         Et0/1     up/up     
R1_t1002                         6.6.6.6          -         Et0/2     up/up     
R1_t1100                         2.2.2.2          -         unknown   up/down   
R1_t1101                         3.3.3.3          -         unknown   up/down   
R1_t1102                         6.6.6.6          -         unknown   up/down   
Displayed 6 (of 6) heads, 0 (of 0) midpoints, 0 (of 0) tails

R1#sh run | i mpls traffic-eng auto
mpls traffic-eng auto-tunnel backup nhop-only
mpls traffic-eng auto-tunnel backup tunnel-num min 1100 max 1199
mpls traffic-eng auto-tunnel backup srlg exclude force
mpls traffic-eng auto-tunnel primary onehop
mpls traffic-eng auto-tunnel primary tunnel-num min 1000 max 1099

2. 如何避免临时环路
为什么会产生临时环路?
因为FRR和IGP收敛是分开进行的,所以在一个比较短的时间内可能会有环路,如下图所示:
d-te-fa
T0为正常时的LSP,从R1 -> R2
T1为R1和R2链路中断,触发FRR的时间,50ms内切换到R1 -> R6 -> R2

T2为IGP的数据库完成同步的时间
在IGP还没同步但FRR触发这段时间内(T2-T1),对于R1来说,走T1到R2;而对于R6来说,到R2最优的路径仍然是到R1,这样就会有临时环路,LSDB同步后,R6会切换到0/1这条路上

如何解决这种临时的环路?

可以用TE的FA(forwarding address,不同于OSPF的FA)特性,这样Tunnel就被发布到IGP中了,在这里R1到R2即使断了,LSP仍然可以通过R6到达,那么IGP就不会发现路径有问题,虽然这可以解决临时环路的问题,但是IGP就无法检测到中间的故障,只能通过其他方法判断,如SNMP等。

注意:我没找到当使用auto-tunnle时,如何使用FA……FA特性是要在某个tunnel下启动的“tunnel mpls traffic-eng forwarding-adjacency”,所以书上写的有些矛盾。

0
你可以留言,或者trackback 从你的网站

留言哦

blonde teen swallows load.xxx videos