H3C S9500交换机MPLS BGP VPN之Hub&Spoke功能的配置

S9500交换机MPLS BGP VPN之Hub&Spoke功能的配置

一、组网需求：

通过对不同PE上VPN-target属性的设置，控制总部与分公司之间的路由发布。采用Hub&Spoke拓扑，CE2和CE3为Spoke站点，CE1为银行数据中心Hub站点，CE2与CE3间的通信由CE1控制。

PE1分别与PE2、PE3建立IBGP邻居关系，但PE2与PE3不建立IBGP邻居关系，不交换VPN路由信息；

在PE1上创建两个VPN-instance，引入VPN-target属性为100:11、100:12的VPN路由，对发布的VPN路由设置VPN-target属性100:2；

在PE2上创建一个VPN-instance，引入VPN-target属性为100:2的VPN路由，对发布的VPN路由设置VPN-target属性100:11；

在PE3上创建一个VPN-instance，引入VPN-target属性为100:2的VPN路由，对发布的VPN路由设置VPN-target属性100:12。

经过以上配置，PE2和PE3将只能通过PE1学到对方的路由。

二、组网图

三、配置步骤：

软件版本：S9500交换机1200以后软件版本

硬件版本：S9500交换机支持MPLS VPN业务板（C/CA/CB类业务板）

配置PE1设备

1）在PE1上配置两个VPN-instance，对从PE2和PE3接收的路由加上指定的VPN-target属性

[PE1] ip vpn-instance vpn-instance2

[PE1-vpn-vpn-instance2] route-distinguisher 100:2

[PE1-vpn-vpn-instance2] vpn-target 100:11 import-extcommunity

[PE1-vpn-vpn-instance2] vpn-target 100:12 import-extcommunity

[PE1] ip vpn-instance vpn-instance3

[PE1-vpn-vpn-instance3] route-distinguisher 100:3

[PE1-vpn-vpn-instance3] vpn-target 100:2 export-extcommunity

2）PE1与CE1间建立EBGP邻居，将学到的CE1内部VPN路由引入VPN实例子地址族，并允许一次路由环路

[PE1] bgp 100

[PE1-bgp] ipv4-family vpn-instance vpn-instance2

[PE1-bgp-af-vpn-instance] import-route static

[PE1-bgp-af-vpn-instance] import-route direct

[PE1-bgp-af-vpn-instance] group 17216 external

[PE1-bgp-af-vpn-instance] peer 172.16.1.1 group 17216 as-number 65002

[PE1-bgp] ipv4-family vpn-instance vpn-instance3

[PE1-bgp-af-vpn-instance] import-route static

[PE1-bgp-af-vpn-instance] import-route direct

[PE1-bgp-af-vpn-instance] group 17217 external

[PE1-bgp-af-vpn-instance] peer 172.17.1.1 group 17217 as-number 65002

[PE1-bgp-af-vpn-instance] peer 172.17.1.1 allow-as-loop 1

3）将PE1与CE1相连的VLAN接口绑定到不同的VPN-instance。以太网端口Gigabitethernet 2/1/1所在的VLAN的接口绑定到VPN-instance2，以太网端口Gigabitethernet 2/1/2所在的VLAN的接口绑定到VPN-instance3

[PE1] vlan 201

[PE1-vlan201] port gigabitethernet 2/1/1

[PE1] interface vlan-interface 201

[PE1-vlan-interface201] ip binding vpn-instance vpn-instance2

[PE1-vlan-interface201] ip address 172.16.0.1 255.255.0.0

[PE1] vlan 202

[PE1-vlan202] port gigabitethernet 2/1/2

[PE1] interface vlan-interface 202

[PE1-vlan-interface202] ip binding vpn-instance vpn-instance3

[PE1-vlan-interface202] ip address 172.17.0.1 255.255.0.0

4）配置LoopBack接口

[PE1] interface loopback 0

[PE1-LoopBack0] ip address 11.1.1.1 255.255.255.255

5）在PE与PE之间建立MP-IBGP邻居，进行PE内部的VPN路由信息交换。并在VPNv4子地址族视图下激活MP-IBGP对等体

[PE1] bgp 100

[PE1-bgp] group 22

[PE1-bgp] peer 22.1.1.1 group 22

[PE1-bgp] peer 22.1.1.1 connect-interface loopback 0

[PE1-bgp] group 33

[PE1-bgp] peer 33.1.1.1 group 33

[PE1-bgp] peer 33.1.1.1 connect-interface loopback 0

[PE1-bgp] ipv4-family vpnv4

[PE1-bgp-af-vpn] peer 22 enable

[PE1-bgp-af-vpn] peer 22.1.1.1 group 22

[PE1-bgp-af-vpn] peer 33 enable

[PE1-bgp-af-vpn] peer 33.1.1.1 group 33

配置PE2设备

1）在PE2上创建VPN-instance，允许引入VPN-target属性为100:2的VPN路由，发布的VPN路由的VPN-target属性为100:11

[PE2] ip vpn-instance vpn-instance1

[PE2-vpn-vpn-instance1] route-distinguisher 100:1

[PE2-vpn-vpn-instance1] vpn-target 100:11 export-extcommunity

[PE2-vpn-vpn-instance1] vpn-target 100:2 import-extcommunity

2）PE2与CE2间建立EBGP邻居，将学到的CE2内部VPN路由引入VPN实例子地址族

[PE2] bgp 100

[PE2-bgp] ipv4-family vpn-instance vpn-instance1

[PE2-bgp-af-vpn-instance] import-route static

[PE2-bgp-af-vpn-instance] import-route direct

[PE2-bgp-af-vpn-instance] group 172 external

[PE2-bgp-af-vpn-instance] peer 172.15.1.1 group 172 as-number 65003

3）将PE2与CE2相连的端口所在的VLAN的接口绑定到VPN-instance

[PE2] vlan 201

[PE2-vlan201] port gigabitethernet 2/1/1

[PE2] interface vlan-interface 201

[PE2-vlan-interface201] ip binding vpn-instance vpn-instance1

[PE2-vlan-interface201] ip address 172.15.0.1 255.255.0.0

4）配置LoopBack接口

[PE2] interface loopback 0

[PE2-LoopBack0] ip address 22.1.1.1 255.255.255.255

5）在PE2与PE1之间建立MP-IBGP邻居，进行PE内部的VPN路由信息交换。并在VPNv4子地址族视图下激活MP-IBGP对等体

[PE2] bgp 100

[PE2-bgp] group 11

[PE2-bgp] peer 11.1.1.1 group 11

[PE2-bgp] peer 11.1.1.1 connect-interface loopback 0

[PE2-bgp] ipv4-family vpnv4

[PE2-bgp-af-vpn] peer 11 enable

[PE2-bgp-af-vpn] peer 11.1.1.1 group 11

[PE2-bgp-af-vpn] peer 11.1.1.1 allow-as-loop 1

配置PE3设备

1）在PE3上创建VPN-instance，允许引入VPN-target属性为100:2的VPN路由，发布的VPN路由的VPN-target属性为100:12

[PE3] ip vpn-instance vpn-instance2

[PE3-vpn-vpn-instance2] route-distinguisher 100:4

[PE3-vpn-vpn-instance2] vpn-target 100:12 export-extcommunity

[PE3-vpn-vpn-instance2] vpn-target 100:2 import-extcommunity

2）PE3与CE3间建立EBGP邻居，将学到的CE3内部VPN路由引入VPN实例子地址族

[PE3] bgp 100

[PE3-bgp] ipv4-family vpn-instance vpn-instance2

[PE3-bgp-af-vpn-instance] import-route static

[PE3-bgp-af-vpn-instance] import-route direct

[PE3-bgp-af-vpn-instance] group 172 external

[PE3-bgp-af-vpn-instance] peer 172.18.1.1 group 172 as-number 65001

3）将PE3与CE3相连的端口所在的VLAN的接口绑定到VPN-instance

[PE3] vlan 201

[PE3-vlan201] port gigabitethernet 2/1/1

[PE3] interface vlan-interface 201

[PE3-vlan-interface201] ip binding vpn-instance vpn-instance2

[PE3-vlan-interface201] ip address 172.18.0.1 255.255.0.0

4）配置LoopBack接口

[PE3] interface loopback 0

[PE3-LoopBack0] ip address 33.1.1.1 255.255.255.255

5）在PE3与PE1之间建立MP-IBGP邻居，进行PE内部的VPN路由信息交换。并在VPNv4子地址族视图下激活MP-IBGP对等体

[PE3] bgp 100

[PE3-bgp] group 11

[PE3-bgp] peer 11.1.1.1 group 11

[PE3-bgp] peer 11.1.1.1 connect-interface loopback 0

[PE3-bgp] ipv4-family vpnv4

[PE3-bgp-af-vpn] peer 11 enable

[PE3-bgp-af-vpn] peer 11.1.1.1 group 11

[PE3-bgp-af-vpn] peer 11.1.1.1 allow-as-loop 1

四、配置关键点：

1）HUB&SPOKE组网中PE1上用于发布路由的VPN-instance（VPN-instance3）的VPN-target不能跟PE1上用于引入路由的VPN-instance（VPN-instance2）的任何一个VPN-target相同；

2）允许一次路由环路，使PE能够接收CE发送的含本AS号的路由更新；

3）HUB&SPOKE组网中PE1上用于发布路由的VPN-instance的route-distinguisher rd2（100:3）不能跟各个PE2、PE3上相应VPN-instance的route-distinguisher rd1（100:1）、rd4（100:4）中的任一个相同，而rd1、rd4可以相同也可以不同。