华为高端路由器配置及维护实践(个人总结)

华为高端路由器配置和维护实践第页目录1、硬件系统 41.1、NE40E、NE80E、NE5000E的满配功率是多少？ 41.2、如何正确热插拔NE5000E/80E/40E产品主控板？ 41.3、拔出正常运行NE80E主控板与其它单板的差别？ 41.5、NE5000ENE80E由于系统结构复杂，导致单板的组成较为复杂，本FAQ详细说明这两款产品单板的组合。 41.6、是否可以使用并联电流给NE设备供电？ 51.8、如何查看设备中的Netstream板？ 51.9、NE5000系统上电时是否电源功率等于或稍大于所有单板的功率和，整机即可正常完成注册？ 62、系统管理 62.1、telnet用户的最大数是多少？ 62.2、NE40E、NE80E是否支持ETH-Trunk？ 62.3、NE40E、NE80E、NE5000EVRP5.30版本支持多少个Eth-trunk? 72.4、NE40E、NE80E、NE5000EVRP5.30一个trunk接口下最多可以有多少个成员端口？ 73、系统管理：telnet、SNMP、日志采集、SSH等 73.1、如何修改设备的时区？ 73.2、如何转换命令行的语言模式？ 73.3、如何把telnet用户强制下线？ 73.4、如何取消分屏显示？ 83.5、如何能够使NE40Elevel0能够查看logbuffer？ 83.6、怎样配置NE40E的登录用户先radius认证再本地认证？ 83.7、华为有哪些产品支持TACACS？ 83.8、使用TELNET登录NE80E/40E/80/40是否支持TACACS方式认证？ 93.9、怎样修改NE40E的日志文件记录路径 93.10、如何正确的配置NE40ENE80ENE5000E的防病毒访问控制列表？ 94、网络协议 104.4、什么是NE80E的ping保护机制呢？ 105、路由协议 115.1、如何进行OSPF外部路由的聚合？ 115.2、反射器反射路由时对路由属性的处理原则是什么？ 115.3、如何修改邦定VPN实例OSPF进程的Routerid 115.5、为什么在OSPF路由中不建议引入直连路由？ 115.6、如何部署OSPF的内部路由聚合？ 125.8、在IGP是ISIS的网络中如何查找设备？ 125.9、如何设置NE80E只启用MBGP而不启用普通BGP？ 125.11、在8090产品中，通过命令displayiprouting-tableverbose能看到NextHop、RelyNextHop，他们的区别是什么？ 135.12、BGP协议的故障诊断命令有哪些？ 136、VPN应用 146.1、华为路由器是否支持VPN下安全套接层？ 146.2、如何排查VPLS隧道连接建立不起来的故障？ 156.3、同一台设备上面不同vpn(绑定在不同loopback地址)如何实现互访 156.4、如何在NE40E上配置VLAN-MAP功能 167、其他（组播、QOS、VRRP等） 177.1、承载网中如何保证VRRP快速切换 177.3、目前NE80E是否支持MPLSTEHOT-STANDBY指定显示路径？ 187.4、在TE隧道重优化（reoptimization）时判断重优化更优路径的标准是什么？ 187.5、如何实现相同域内PIM-SM组播的负载分担和冗余备份？ 187.7、在NE80EQOS实现中各队列对应何种队列调度算法？ 187.8、路由器发送ICMP重定向报文的条件 181、硬件系统1.1、NE40E、NE80E、NE5000E的满配功率是多少？NE40E的满配功率是2400WNE80E的满配功率是5000WNE5000E的满配功率是5000W1.2、如何正确热插拔NE5000E/80E/40E产品主控板？对于NE5000E/80E产品的主用主控板或NE40E的主用主控板1、在拔出主用主控板前请先主备倒换。2、请在命令行执行poweroffslot<ID>。3、等待单板下电，拔出单板。对于NE80E和NE5000E如果不是主用主控板，对于NE40E，如果不是主用SRU板1、请在命令行执行poweroffslot<ID>。2、等待单板下电，拔出单板。1.3、拔出正常运行NE80E主控板与其它单板的差别？其它单板：在单板拔出前按下OFL按钮，提出拔板申请，大约需要连续按钮3秒钟，直至OFL指示灯点亮时，单板才可安全拔出。主控单板：备用主控板拔出操作与其它单板操作一致，主用主控板在单板拔出前必须先执行主备倒换后方可按下OFL按钮，提出拔板申请，大约需要连续按钮3秒钟，直至OFL指示灯点亮时，单板才可安全拔出。1.5、NE5000ENE80E由于系统结构复杂，导致单板的组成较为复杂，本FAQ详细说明这两款产品单板的组合。NE5000ENE80E的单板一般由两部分组成：LPU，主要负责转发；FAD，主要负责LPU和网板的适配及QOS处理。NE80E和NE5000E支持以下组合：NE80E：LPUA+FADBLPUA为使用2800网络处理器单板，FADB主要完成LPUA和NE80E网板适配。LPUA+FADDLPUA为使用2800网络处理器单板，FADD主要完成LPUA和NE80E网板适配。LPUX+FADALPUX为原NE80NE40支持单板，FADA主要完成LPUX和NE80E网板适配。NE5000E：LPUB+FADCLPUB为使用华为的588ASIC转发引擎，FADC主要完成LPUB和NE5000E网板适配。LPUCLPUC为大板，没有FAD板，已经集成了QOS及和NE5000E网板适配的功能。LPUX+FADFLPUX为原NE80NE40支持单板，FADF主要完成LPUX和NE5000E网板适配。1.6、是否可以使用并联电流给NE设备供电？某局点因不能给NE40E-8提供100A的直流电，希望使用一个53A和47A的电流并联起来给设备供电，问这种方式是否可以，咨询了电源的工程师，不可以使用这种方法供电，给我们设备供电前级必须要有100A的配电。1.8、如何查看设备中的Netstream板？从以下device信息中可以看到单板类型为spu的就为Netstream板：displaydeviceNE5000E'sDevicestatus:Slot#TypeOnlineRegisterStatusPrimary--------------------------------------1LPUPresentRegisteredNormalNA16SPUPresentRegisteredNormalNA%netstream板%17MPUPresentNANormalMaster18MPUPresentRegisteredNormalSlave19SFUPresentRegisteredNormalNA20SFUPresentRegisteredNormalNA21SFUPresentRegisteredNormalNA22SFUPresentRegisteredNormalNA23CLKPresentRegisteredNormalMaster24CLKPresentRegisteredNormalSlave25PWRPresentNANormalNA26PWRPresentNANormalNA27FANPresentRegisteredNormalNA28FANPresentRegisteredNormalNA29LCDPresentRegisteredNormalNA可以查看到16号槽位板没有业务端口：displaydevicepic-statusPic-statusinformationofalllpuboards:LPU1:Online--------------------------------------PIC#OnlineTypePort_countInit_resultLogicdown0PresentPOS-4X2.5G4SUCCESSSUCCESS--------------------------------------LPU5:Online--------------------------------------PIC#OnlineTypePort_countInit_resultLogicdown0PresentETH-10X-GE10SUCCESSSUCCESS--------------------------------------LPU6:Online--------------------------------------PIC#OnlineTypePort_countInit_resultLogicdown0PresentETH-10X-GE10SUCCESSSUCCESS--------------------------------------LPU16:Online--------------------------------------%没有端口信息%1.9、NE5000系统上电时是否电源功率等于或稍大于所有单板的功率和，整机即可正常完成注册？不可以。因为整机加电时启动瞬间电流要比所有单板功率和大数倍，如果供电电源功率仅仅比所有单板的功率和稍大，是不能满足启动瞬间电流需求的。目前NE5000E的额定功率为5000W、额定电流为131A，推荐使用额定电流为200A以上的空气开关。2、系统管理2.1、telnet用户的最大数是多少？NE40E、NE80E、NE5000E的最大telnet用户数为15个。2.2、NE40E、NE80E是否支持ETH-Trunk？VRP5.10版本不支持Eth-Trunk,VRP5.3-版本支持Eth-Trunk2.3、NE40E、NE80E、NE5000EVRP5.30版本支持多少个Eth-trunk?64个2.4、NE40E、NE80E、NE5000EVRP5.30一个trunk接口下最多可以有多少个成员端口？16个3、系统管理：telnet、SNMP、日志采集、SSH等3.1、如何修改设备的时区？在用户视图下clocktimezonetime-zone-name{add|minus}offsetundoclocktimezonetime-zone-name：时区名称，字符长度范围1～32。add：与UTC（UniversalTimeCoordinated，通用协调时间）时间比较增加。minus：与UTC时间比较减少。offset：与UTC的时间差，格式是：HH:MM:SS，HH范围为0～23，MM和SS范围为0～59。3.2、如何转换命令行的语言模式？在用户视图下执行language-mode{chinese|english}可以在英文与中文之间切换。3.3、如何把telnet用户强制下线？在用户视图下执行freeuser-interface{ui-number|ui-typeui-number1}可以强制telnet用户下线。ui-number：用户界面绝对编号。最小值为0，最大值是系统支持的用户界面总数。不同设备用户界面取值范围不同。ui-type：用户界面类型。ui-number1：用户界面的相对编号。3.4、如何取消分屏显示？在相应用户界面下执行screen-length0。3.5、如何能够使NE40Elevel0能够查看logbuffer？在系统模式下，按照如下配置便可以实现0级别的用户也可以查看logbuffer的功能。command-privilegelevel0viewuser-interfacedisplaycommand-privilegelevel0viewuser-interfacedisplaylogbuffer3.6、怎样配置NE40E的登录用户先radius认证再本地认证？#radius-servertemplateloginradius-servershared-keyih1361ncradius-serverauthentication218.77.*.*1645sourceLoopBack0radius-serverauthentication218.77.*.*1812sourceLoopBack0secondaryundoradius-serveruser-namedomain-includedaaalocal-userhidxhkpasswordcipherXG$;SH2;NS"`\]B'Q%*T%!!!local-userhidxhkservice-typetelnetlocal-userhidxhklevel1local-userbasenetpasswordcipher^KUSDJ9B_>FDF'K"\HNT=!!!local-userbasenetservice-typetelnetlocal-userbasenetlevel1authentication-schemedefaultauthentication-moderadiuslocalauthorization-schemedefaultaccounting-schemedefaultdomaindefaultradius-serverloginauthentication-schemedefaultuser-interfacevty04authentication-modeaaauserprivilegelevel1idle-timeout503.7、华为有哪些产品支持TACACS？NE40E/NE80E/NE5000E产品支持HWTACACSNE40/NE80/S8016V5版本支持HWTACACSV3版本不支持HWTACACSNE20/20EV3与V5均支持HWTCACSNE16E/08E/05不支持HWTCACSS6500release1000不支持HWTCACSrelease2000/3000支持HWTACACS8500支持HWTACACS3.8、使用TELNET登录NE80E/40E/80/40是否支持TACACS方式认证？NE80E/40E/80/40设备支持的名称叫HWTACACS，可以和标准的TACACS正常对接使用，NE80E/40E/80/40的基于VRP5平台的软件版本都可以支持该认证方式。3.9、怎样修改NE40E的日志文件记录路径当主控板只配置了一块CFcard时，可通过隐含命令修改NE40E的日志文件记录路径，将日志记录到主控板内部的CFcard中。1、进入隐含模式：[NE40E]_h[NE40E-hidecmd]2、在隐含模式下执行下面的命令修改日志文件路径到主控板内部的CFcard。[NE40E-hidecmd]setlogfile-pathcfcard3.10、如何正确的配置NE40ENE80ENE5000E的防病毒访问控制列表？aclnumber3000descriptionANTI-VIRUSrule1denytcpdestination-porteq135rule2denytcpdestination-porteq137rule3denytcpdestination-porteq138rule4denytcpdestination-porteq139rule5denytcpdestination-porteq445rule6denytcpdestination-porteq5554rule7denytcpdestination-porteq901rule8denytcpdestination-porteq2745rule9denytcpdestination-porteq3127rule10denytcpdestination-porteq3128rule11denytcpdestination-porteq6129rule12denytcpdestination-porteq6667rule13denytcpdestination-porteq4444rule14denytcpdestination-porteq1025rule15denytcpdestination-porteq593rule16denyudpdestination-porteq135rule17denyudpdestination-porteqnetbios-nsrule18denyudpdestination-porteqnetbios-dgmrule19denyudpdestination-porteqnetbios-ssnrule20denyudpdestination-porteq445rule21denyudpdestination-porteq9995rule22denyudpdestination-porteq9996rule23denyudpdestination-porteq1434rule40permitip%此条需做，permit其它的数据报文%trafficclassifieranti_virusoperatorandif-matchacl3000trafficbehavioranti_virus%此默认的动作为permit%trafficpolicyanticlassifieranti_virusbehavioranti_virusinterfaceGigabitEthernet2/0/0traffic-policyantiinbound4、网络协议4.4、什么是NE80E的ping保护机制呢？NE80E接收cisco等设备的ping包机制：C设备>NE80ENE80E的接口收到报文之后，首先处理二层头,发现DMAC是本端口的MAC地址，那么剥掉二层头上送，再根据DIP发现是本机的IP报文，那么通过NP发给CP（在NP和CP之间还要经过CAR处理），CP收到报文后进入ip协议栈，对于icmpecho报文直接发送icmpechoreply。此处的CAR缺省值是4M，为了防止主机上送icmp报文的大量攻击，因为通常ping报文大都用来故障诊断，不会大量发送。这样做可以有效避免icmp的报文攻击，保护设备稳定运行；CAR的值可以修改，通过下面的命令[NE80E-6]cpcarslot1ipv4-icmp[NE80E-6-cpcar-ipv4-icmp-slot-1]?Cpcarviewcommands:carSpecifyCAR(CommittedAccessRate)featuredisplayDisplaycurrentsysteminformationdropimmediacydroppassdon'tusecarpingSendechomessagesquitExitfromcurrentcommandviewresetResetoperationreturnExittouserviewtracertTraceroutetohosttraffic-policySpecifyQoSpolicyundoCancelcurrentsetting[NE80E-6-cpcar-ipv4-icmp-slot-1]car?cirCommittedinformationrate[NE80E-6-cpcar-ipv4-icmp-slot-1]carcir?INTEGER<8-10000000>ValueofCIR(Unit:Kbps)[NE80E-6-cpcar-ipv4-icmp-slot-1]carcir但是如果把CAR值改大后，可能会造成CPU上升，不建议修改；如果测试时可以把CAR先放开，测完后关掉。5、路由协议5.1、如何进行OSPF外部路由的聚合？因为OSPF的type5LSA产生在ASBR上，所以对type5的路由聚合必须在该ASBR上进行设置。当设置聚合后仅仅对聚合信息产生type5LSA，同时抑制了明细的type5LSA。5.2、反射器反射路由时对路由属性的处理原则是什么？反射器反射路由的属性是经过入口策略后的属性，不受出口策略影响。5.3、如何修改邦定VPN实例OSPF进程的Routerid？此案例适合VRP5.10和VRP5.30版本。修改邦定VPN实例的OSPF各进程的Routerid请使用如下命令：[Quidway]ospfXrouter-idX.X.X.X其中x为进程号，x.x.x.x为Routerid。注意：命令routeridx.x.x.x只能修改未邦定VPN实例的OSPF进程的Routerid，修改Routerid后请重启OSPF的相关进程。5.5、为什么在OSPF路由中不建议引入直连路由？1）、在OSPF中，尽量避免引入直连路由，直连路由应采用network＋silent方式直接发布。2）、产生LSA类型不同，import方式产生type5类型LSA在整个AS内传播，network方式产生type1LSA，将在区域内传播。3）、产生路由表优先级不同，import方式产生的是150，network方式产生的是10。4）、引入直连生成的OSPF外部路由很难实施基于区域路由聚合。5.6、如何部署OSPF的内部路由聚合？OSPF的路由聚合分为OSPF域内的路由聚合和OSPF的域外路由聚合。这里主要讨论OSPF的域内路由聚合。OSPF的域内路由聚合是通过在ABR上手动配置聚合命令来实现的。即聚合只能发生在ABR上，根据配置的聚合命令OSPF产生相关聚合路由信息的type3LSA，并将该LSA进行区域泛洪。在配置了聚合命令的ABR上不再针对匹配的明细路由产生type3LSA报文。5.8、在IGP是ISIS的网络中如何查找设备？1、在大型城域网中，设备较多，包括huawei和c厂家的，一般每个设备都使用一个管理地址，管理地址一般都是使用loopback0的地址。2、为了更好的维护好网络，huawei工程师需要统计一个管理地址的表格(包括c厂家设备)。3、如果网络中使用的是isis做为IGP协议，因为isis设备的net部分的systemid基本上都是根据loopback0地址扩展而来，如果知道了systemid，那么设备的管理地址也就知道了。8090产品提供了一条命令，dispisisname，包括2个显示，即systemid和systemname，并且能够显示AS内配置了isis协议的所有设备的相关信息，通过这条命令，就能在设备上查询还不熟悉的设备的管理地址，方便维护工程师建立一张所有设备的管理地址的表格。在网络有故障时，根据管理地址的表格，查询相应的管理地址，迅速登到设备上定位故障。平时就通过这条命令，查询所有配置了ISIS协议的设备的管理地址，建立一张所有设备的管理地址的表格。5.9、如何设置NE80E只启用MBGP而不启用普通BGP？bgp65350groupVPN-PEinternalpeerVPN-PEconnect-interfaceLoopBack0peerx.x.x.xas-number65350peerx.x.x.xgroupVPN-PEipv4-familyunicastundopeerVPN-PEenable\\把VPN-PE组的bgp邻居禁用undosynchronizationmaximumload-balancing8undopeerx.x.x.xenable\\把x.x.x.x这个bgp邻居禁用ipv4-familyvpnv4undopolicyvpn-targetpeerVPN-PEenablepeerVPN-PEreflect-clientpeerVPN-PEnext-hop-localpeerx.x.x.xenablepeerx.x.x.xgroupVPN-PE5.11、在8090产品中，通过命令displayiprouting-tableverbose能看到NextHop、RelyNextHop，他们的区别是什么？displayiprouting-tableverbose命令显示如下：Destination:0.0.0.0/0Protocol:BGPProcessID:0Preference:100Cost:0NextHop:202.97.32.243Interface:Pos2/0/0RelyNextHop:222.83.17.5Neighbour:202.97.32.243TunnelID:0x0Label:NULLState:ActiveAdvDerivedAge:00h44m09sTag:0其中NextHop表示路由表项的下一跳，RelyNextHop表示fib实际转发的下一跳！首先路由表和FIB是不同实体，作用也不一样。路由是上层协议来用的，Displayiprouting显示的是协议添加路由时设置的下一跳，在路由表中称之为原始下一跳，这个下一跳不一定直接可达。而FIB是用于指导转发的，它的下一跳必须是直接可达。路由管理模块通过对路由的原始下一跳进行迭代找到这个直接下一跳，并将其设置到FIB当中来指导转发。原始下一跳和迭代下一跳实质上是相关联的。5.12、BGP协议的故障诊断命令有哪些？BGP协议的故障诊断命令及命令意思如下所示：displaybgppeer显示公网IPv4邻居的摘要信息displaybgppeeripv4-addressverbose显示指定邻居的详细信息displaybgppeeripv4-addresslog-info显示指定邻居的信息记录（该命令对邻居意外中断问题定位非常重要）displaybgpgroupgroup-name显示公网IPv4邻居组信息displaybgprouting-tablestatistics显示BGP公网IPv4单播路由统计displaybgprouting-table显示BGP公网IPv4单播路由摘要信息displaybgprouting-tablepeerip-addressadvertised-routes显示给指定邻居发布的路由displaybgprouting-tablepeerip-addressreceived-routes显示从指定邻居收到的路由displaybgpnetwork显示通过Network命令引入到BGP的路由displaybgppath显示BGP公网Ipv4单播路由的路经属性信息displaybgpipv6显示BGP公网IPv6的相应信息，与对应Ipv4命令用法相同displaybgpmulticast显示BGP公网IPv4多播的相应信息，与对应IPv4单播命令用法相同displayiprouting-tablestatistics显示系统公网IPv4路由统计displayiprouting-tableprotocolbgp显示系统公网IPv4路由表中BGPActive路由的摘要信息displayiprouting-tableprotocolbgpverbose显示系统公网IPv4路由表中BGPActive路由的摘要信息displayiprouting-tableprotocolbgpinactive显示系统公网IPv4路由表中BGPInactive路由的摘要信息6、VPN应用6.1、华为路由器是否支持VPN下安全套接层？SSL（SecureSocketLayer）即安全套接层，主要包含SSL记录协议及SSL握手协议两个协议，是传输层安全协议。目前华为设备不支持在VPN下支持SSL。6.2、如何排查VPLS隧道连接建立不起来的故障？通常的VPLS故障排查步骤如下：1、用displaymplslsp命令分别查看个PE上LSP建立的情况，如果命令行显示结果为空，或者显示的LSP中没有对端PE的网段路由映射，则说明故障出在LSP没有建立或标签映射上，这种问题和软件协议或配置密切相关。2、如果在PE上没有对端PE的LSP，则使用disccmpls检查MPLS的基本配置情况，MPSL必须在全局视图下使能，且配置Lsr-id，否则LSP是不可能建立起来的。如果基本配置正常，请转向第3步。3、检查接口是否使能MPLS和MPLSLDP命令。将命令视图切换至接口视图，使用displaythis命令查看MPLS使能情况。如果接口没有使能MPLS和MPLSLDP，那么LSP是不可能建立起来的。如果接口MPLS已经使能，请转向第4步。4、检查路由表是否存在对端PE的路由信息，使用命令disiprouting-table。如果对端PE的的路由信息不存在，则说明问题在于基本的IP路由发生故障。5、检查PE上VSI状态和VPN标签分配情况，如果VSI状态为DOWN状态，表示VPLS的信令协议没有协商成功。导致这个问题的原因有多种可能。普通IP路由故障，MPLS转发故障，PE1和PE1链路封装不一致，都有可能导致VSI状态为DOWN。可使用调试命令行displayvsi<VSI-Name>verbose查看具体VSIDOWN的原因。6、如果故障依然没有解决，请检查CE接入PE的端口(子接口/Vlanif)状态和端口配置情况。接入端口状态必须UP，并且配置了l2bindingvsi<VSI-NAME>。一般通过以上的排查方法，基本就能解决VPLS故障的问题。6.3、同一台设备上面不同vpn(绑定在不同loopback地址)如何实现互访基本配置信息如下：ipvpn-instancevpn1route-distinguisher100:1vpn-target100:1export-extcommunityvpn-target100:1import-extcommunityipvpn-instancevpn2route-distinguisher200:1vpn-target200:1export-extcommunityvpn-target200:1import-extcommunityinterfaceLoopBack1ipbindingvpn-instancevpn1ipaddress1.1.1.1255.255.255.255interfaceLoopBack2ipbindingvpn-instancevpn2ipaddress2.2.2.2255.255.255.255bgp100ipv4-familyvpn-instancevpn1import-routedirectimport-routestaticipv4-familyvpn-instancevpn2import-routedirectimport-routestatic查看路由表，vpn1上只能看到自身的私网路由，vpn2也只能看到自身的私网路由，带原地址ping,ping-vpnvpn1-a1.1.1.12.2.2.2无法互通。分析路由走向可得，vpn之间无法学习到私网路由，必须通过vpn之间透传的静态路由(同时本拓扑的特殊性，静态路由的下一跳是loopback端口)。配置下面2条静态路由iproute-staticvpn-instancevpn12.2.2.2255.255.255.255loopback2iproute-staticvpn-instancevpn21.1.1.1255.255.255.255loopback1此时，带原地址ping,ping-vpnvpn1-a1.1.1.12.2.2.2可以互通。6.4、如何在NE40E上配置VLAN-MAP功能1、组网：LSW-1aNE40E-1bNE40E-2cLSW-22、说明：两台NE40E相关接口通过portswitch变换为Layer2端口；l链路a属于VLAN10、链路b上所联接的端口类型为trunk口、链路c属于VLAN20。1、NE40E-1上配置普通二层特性（两个端口