MSR设备防火墙下BFD会话建立

MSR设备防火墙下BFD会话建立

 

一、 组网：

将Router A的接口GigabitEthernet 0/0和Router B的GigabitEthernet 0/0接口互连。具体组网如图所示：

二、 问题描述：

将两台MSR直连，测试RIP下BFD（echo模式）的工作情况。在一台MSR的接口上启用了firewall packet-filter 3500。

查看BFD session，无显示，说明会话未建立。

三、 过程分析：

在远端路由器上配置防火墙策略后，无法正常建立BFD会话。

(1) 配置路由器A

# 在Router A上配置接口及路由信息

<RouterA> system-view

[RouterA] interface GigabitEthernet 0/0

[RouterA-GigabitEthernet0/0] ip address 100.1.1.1 255.255.255.0

[RouterA-GigabitEthernet0/0] quit

[RouterA] rip 1

[RouterA-rip-1] network 100.1.1.0

# 在路由表中引入RIP路由

[RouterA-rip-1] network 1.1.1.0

[RouterA-rip-1] quit

[RouterA] interface gigabitEthernet 0/0

[RouterA- GigabitEthernet0/0] rip bfd enable

[RouterA- GigabitEthernet0/0] quit

# 对BFD进行配置

[RouterA] bfd session init-mode active

[RouterA] bfd echo-source-ip 11.11.11.11

[RouterA] interface ethernet 1/1

[RouterA-Ethernet1/1] bfd min-transmit-interval 500

[RouterA-Ethernet1/1] bfd min-receive-interval 500

[RouterA-Ethernet1/1] bfd detect-multiplier 7

(2)  配置路由器B

# 配置Router B的接口及RIP信息

<RouterB> system-view

[RouterB] interface GigabitEthernet 0/0

[RouterB-GigabitEthernet0/0] ip address 100.1.1.2 255.255.255.0

[RouterB-GigabitEthernet0/0] quit

[RouterB] rip 1

[RouterB-rip-1] network 100.1.1.0

[RouterB-rip-1] quit

# 配置防火墙规则，允许源端口通过

[RouterB] firewall enable

[RouterB]acl number 3500

[RouterB-acl-adv-3500] rule 0 permit ip source 100.1.1.1 0

[RouterB-acl-adv-3500] rule 20 deny ip

[RouterB-acl-adv-3500] quit

[RouterB] interface GigabitEthernet 0/0

[RouterB-GigabitEthernet0/0] firewall packet-filter 3500 inbound

[RouterB-GigabitEthernet0/0] quit

# 查看BFD会话信息

[RouterA]dis bfd session

无信息显示，BFD会话未建立。

四、 解决方法：

查看acl 3500的rule规则，发现里面并没有包括两台设备的bfd echo-source-ip地址，因此BFD session建立不起来。。

[RouterB]acl number 3500

[RouterB-acl-adv-3500] rule 10 permit ip source 11.11.11.11 0

[RouterB-acl-adv-3500] quit

# 在ACL中允许bfd echo-source-ip通过，可以查看BFD会话已经建立。

[RouterA]dis bfd session

 Total session number: 1   Up session number: 1   Init mode: Active

 IPv4 session working under Echo mode:

 LD            SourceAddr      DestAddr        State Holdtime Interface

 57            100.1.1.1       100.1.1.2       Up    2800ms   GE0/0

由于acl规则中并未允许bfd echo-source-ip地址发的报文通过，因此无法正常建立会话。在acl中添加permit规则，便可以查询到会话信息。