SR66/SR66X系列路由器作为MPLS PE设备与IPS/ACG插卡配合开局的典型配置

         SR66/SR66X系列路由器作为MPLS PE设备与IPS/ACG插卡配合开局的典型配置

关键字：SR66；SR66X；MPLS；IPS；ACG

 

一、组网需求：

SR66/SR66X系列路由器支持IPS插卡SPE-IPS-200以及ACG插卡SPE-ACG-200.现在客户有一台SR6608路由器作为MPLS网络的PE设备，客户希望CE1设备与PE1设备双向交互的流量被PE1设备上的IPS/ACG插卡处理。

本文以IPS插卡为例，ACG插卡配置与IPS插卡配置类似。

设备及版本：SR6608路由器1台（版本为R3103P04）、SPE-IPS-200插卡1块（版本为ESS 2110P12）、MSR30-20路由器3台（版本为R2209P15）。

 

二、组网图：

 

三、配置步骤：

 

CE1 配置

#  sysname CE1 # interface GigabitEthernet0/1  port link-mode route  ip address 10.0.0.2 255.255.255.0 #  ip route-static 0.0.0.0 0.0.0.0 10.0.0.1 #

CE2 配置

#  sysname CE2 # interface GigabitEthernet0/1  port link-mode route  ip address 12.0.0.2 255.255.255.0 #  ip route-static 0.0.0.0 0.0.0.0 12.0.0.1 #

PE1 配置

#  sysname PE1 #  acfp server enable       //使能acfp服务 #  acsei server enable         //使能acsei服务 #  mpls lsr-id 100.0.0.1 # ip vpn-instance vpn1  route-distinguisher 100:1  vpn-target 100:1 export-extcommunity  vpn-target 100:1 import-extcommunity # vlan 1 #               vlan 100 # mpls # mpls ldp # interface LoopBack0  ip address 100.0.0.1 255.255.255.255 # interface GigabitEthernet3/0/0  port link-mode route  ip address 11.0.0.1 255.255.255.0  mpls  mpls ldp # interface GigabitEthernet3/0/1  port link-mode route  ip binding vpn-instance vpn1  ip address 10.0.0.1 255.255.255.0 # interface Ten-GigabitEthernet4/0/0  port link-mode route  promiscuous    //内联口需配置为混杂模式 # interface Ten-GigabitEthernet4/0/0.1  vlan-type dot1q vid 100  ip address 100.100.100.1 255.255.255.0 # bgp 100  undo synchronization  peer 101.0.0.1 as-number 100  peer 101.0.0.1 connect-interface LoopBack0  #  ipv4-family vpn-instance vpn1   import-route direct  #  ipv4-family vpnv4   peer 101.0.0.1 enable # ospf 1 router-id 100.0.0.1  area 0.0.0.0   network 100.0.0.1 0.0.0.0   network 11.0.0.0 0.0.0.255 #  snmp-agent  snmp-agent local-engineid 800063A2030CDA41AFF186  snmp-agent community read public  snmp-agent community write private  snmp-agent sys-info version all  snmp-agent group v3 v3group_no read-view iso write-view iso  snmp-agent mib-view included iso iso  snmp-agent usm-user v3 v3user_no v3group_no #

PE2配置

# sysname PE2 #  domain default enable system # mpls lsr-id 101.0.0.1 # ip vpn-instance vpn1  route-distinguisher 100:1  vpn-target 100:1 export-extcommunity  vpn-target 100:1 import-extcommunity # mpls # mpls ldp # interface LoopBack0  ip address 101.0.0.1 255.255.255.255 # interface GigabitEthernet0/0  ip binding vpn-instance vpn1  ip address 12.0.0.1 255.255.255.0 # interface GigabitEthernet0/1  ip address 11.0.0.2 255.255.255.0  mpls  mpls ldp # bgp 100  undo synchronization  peer 100.0.0.1 as-number 100  peer 100.0.0.1 connect-interface LoopBack0  #  ipv4-family vpn-instance vpn1   import-route direct  #  ipv4-family vpnv4   peer 100.0.0.1 enable # ospf 1 router-id 101.0.0.1  area 0.0.0.0   network 101.0.0.1 0.0.0.0   network 11.0.0.0 0.0.0.255 #

IPS插卡配置

（1）   使用网线连接PC和IPS插卡的meth0/0口，PC配置地址192.168.0.2/24，IPS插卡meth0/0口（要undo shutdown此接口）配置地址192.168.0.1/24，保证从PC能够ping通192.168.0.1。 （2）   打开浏览器，输入https://192.168.0.1进入IPS登录界面，输入用户名和密码后成功登录。 （3）   进入系统管理-设备管理-OAA设置。配置OAA，确保连通性测试成功。 （4）   进入系统管理-网络管理-安全区域。创建内部安全区域，把需要引流的接口加入到安全域中。 （5）   进入系统管理-网络管理-段配置。在段配置中，把安全域关联为一个段 ，分别指定内部域和外部域为所创建的安全域。 （6）   在相关应用下发相关策略，如：“IPS-段策略管理-创建策略应用”，“段”选择刚创建的段0，方向选双向。 （7）   最后点击激活按钮，把段策略下发到SR6608上，就可以正常引流了。 （8）   此时在SR6608上查看，有ACFP策略生成。 [PE1]dis acfp policy-info ACFP policy total number: 2 ClientID:        1                   Policy-Index:  3 Rule-Num:        1                   ContextID:     2005 Exist-Time:      64510     (s)       Life-Time:     2147483647(s) Start-Time:      00:00:00            End-Time:      24:00:00 Admin-Status:    enable              Effect-Status: active DstIfFailAction: delete              Priority:      4 In-Interface:    GigabitEthernet3/0/1 Out-Interface: Dest-Interface:  Ten-GigabitEthernet4/0/0   ClientID:        1                   Policy-Index:  4 Rule-Num:        1                   ContextID:     2006 Exist-Time:      64510     (s)       Life-Time:     2147483647(s) Start-Time:      00:00:00            End-Time:      24:00:00 Admin-Status:    enable              Effect-Status: active DstIfFailAction: delete              Priority:      4 In-Interface: Out-Interface:   GigabitEthernet3/0/1 Dest-Interface:  Ten-GigabitEthernet4/0/0

四、功能测试：

完成以上配置后则引流成功。我们可以使用IPS的带宽管理功能，测试引流的成功性。

进入带宽管理-策略管理。选择“创建策略应用”。

规则配置中使用BLOCK。确定后并“激活”，这样CE1就无法访问CE2了。

从CE1 ping CE2 ，可见确实无法访问。

<CE1>ping 12.0.0.2

  PING 12.0.0.2: 56  data bytes, press CTRL_C to break

    Request time out

    Request time out

五、配置关键点：

1、  目前仅支持PE设备的私网引流（IP与MPLS间的转发引流），不支持P设备的引流。

2、  引流配置的ACFP策略注意是私网口（连接CE的接口）与any间下发ACFP引流策略，不要下发到公网口（与P或PE连接的接口）上。

3、  SR66/SR66X系列路由器不支持IPS/ACG混插组网，不支持二层组网。

4、  SR66/SR66X设备与安全板卡的内联口需配置为promiscuous 工作模式。

5、  内联子接口的VLAN ID要配置在1~2000以内。

6、  OAP插卡内联子接口仅用于OAA协议报文的协商。若想对引流的流量进行进一步操作，所做的配置都要在内联10GE主接口进行。如 ：PBR等功能都要配置在10GE主接口。