H3C與cisco互聯(lián)問題技術(shù)交流講解

1、日期：2009-5H3C與CISCO互聯(lián)問題技術(shù)交流了解與思科設(shè)備協(xié)議對(duì)接和對(duì)比情況課程目標(biāo)學(xué)習(xí)完本課程，您應(yīng)該能夠： 協(xié)議對(duì)接 二層協(xié)議 封裝協(xié)議 路由協(xié)議 AAA TRACK EAD目錄STP協(xié)議-廠商支持情況H3C交換機(jī)支持的生成樹協(xié)議類型H3C 交換機(jī)支持的生成樹協(xié)議有三種類型，分別是STP（）、RSTP（）和MSTP（），這三種類型的生成樹協(xié)議均按照IEEE 標(biāo)準(zhǔn)的規(guī)定實(shí)現(xiàn)，并且采用標(biāo)準(zhǔn)的生成樹協(xié)議報(bào)文格式。在以上三種類型生成樹協(xié)議的BPDU 報(bào)文中，源MAC 地址固定為00-E0-FC-09-BC-F9（隨著H3C 申請(qǐng)了以00-0F-E2開頭的新MAC 地址，各類STP協(xié)議報(bào)文的

2、源MAC 地址也更換為00-0F-E2-07-F2-E0），目的MAC地址固定為協(xié)議規(guī)定的01-80-C2-00-00-00。Cisco交換機(jī)支持的生成樹協(xié)議類型Cisco交換機(jī)所支持的生成樹協(xié)議類型分別有：PVST（Per VLAN Spanning Tree）、PVST+（Per VLAN Spanning Tree Plus）、Rapid-PVST+（Rapid Per VLAN Spanning Tree Plus）、MISTP（Multi Instance Spanning Tree Protocol）和MST（Multiple Spanning Tree）。在使用及之后版本的cat

3、alyst系列交換機(jī)中，支持PVST+、Rapid-PVST和MST三種類型STP協(xié)議。同時(shí)，Cisco所采用的STP協(xié)議的BPDU報(bào)文格式和標(biāo)準(zhǔn)STP協(xié)議的BPDU報(bào)文格式不一樣，當(dāng) Cisco交換機(jī)運(yùn)行PVST+或者Rapid-PVST+協(xié)議時(shí)，trunk 端口在非VLAN 1中便發(fā)送私有的BPDU 報(bào)文，這類私有的BPDU報(bào)文的源MAC地址為端口的MAC 地址，目的MAC地址為Cisco自己的保留地址01-00-0C-CC-CC-CD。STP協(xié)議-廠商支持情況端口路徑花費(fèi)計(jì)算標(biāo)準(zhǔn)對(duì)于端口的路徑花費(fèi)值的計(jì)算標(biāo)準(zhǔn)，Cisco 交換機(jī)支持IEEE 802.1D-1998 和IEEE 802.1

4、t 標(biāo)準(zhǔn)，H3C 交換機(jī)除了支持以上兩種標(biāo)準(zhǔn)之外，還支持私有的legacy標(biāo)準(zhǔn)（默認(rèn)情況下，H3C 交換機(jī)使用legacy標(biāo)準(zhǔn)計(jì)算路徑花費(fèi)，并且部分交換機(jī)不支持修改路徑花費(fèi)計(jì)算標(biāo)準(zhǔn)）。STP協(xié)議-對(duì)接情況STP與PVST+協(xié)議對(duì)接 PVST+協(xié)議總會(huì)在VLAN 1中發(fā)送一個(gè)不攜帶VLAN信息的標(biāo)準(zhǔn)STP協(xié)議報(bào)文；其次，對(duì)于非VLAN 1的其它VLAN，PVST+協(xié)議發(fā)送的是普通PVST報(bào)文，同時(shí)會(huì)像普通業(yè)務(wù)報(bào)文一樣在數(shù)據(jù)幀當(dāng)中增加了VLAN 信息。這樣會(huì)導(dǎo)致使用標(biāo)準(zhǔn)STP 協(xié)議的交換機(jī)無法識(shí)別該類報(bào)文，只能將其當(dāng)作普通的組播報(bào)文在相應(yīng)的VLAN 內(nèi)轉(zhuǎn)發(fā)。因此，當(dāng)H3C 交換機(jī)與Cisco交換機(jī)

5、使用Trunk 端口互聯(lián)時(shí)，只能在VLAN 1完成STP協(xié)議與PVST+協(xié)議的互通，可以消除環(huán)路，但是無法做到數(shù)據(jù)的負(fù)載。同時(shí)，H3C 交換機(jī)會(huì)將Cisco 發(fā)出的非VLAN 1 的BPDU報(bào)文當(dāng)作普通的多播報(bào)文進(jìn)行轉(zhuǎn)發(fā)，而不會(huì)處理這些報(bào)文。在組網(wǎng)使用中要注意這樣的情況，保證整個(gè)網(wǎng)絡(luò)所有的VLAN 使用一棵生成樹。STP協(xié)議-對(duì)接情況RSTP與Rapid-PVST+協(xié)議對(duì)接 由于Rapid-PVST+協(xié)議只在VLAN 1內(nèi)發(fā)送標(biāo)準(zhǔn)的BPDU 報(bào)文，同樣導(dǎo)致使用標(biāo)準(zhǔn)RSTP協(xié)議的交換機(jī)無法識(shí)別其它VLAN內(nèi)的Rapid-PVST+協(xié)議的BPDU報(bào)文。 RSTP協(xié)議與Rapid-PVST+協(xié)議只能

6、在VLAN 1內(nèi)進(jìn)行互通，并保證整個(gè)網(wǎng)絡(luò)所有VLAN使用一棵生成樹。STP協(xié)議-對(duì)接情況MSTP 與MST協(xié)議對(duì)接 在使用MSTP協(xié)議的H3C 交換機(jī)與使用MST的Cisco交換機(jī)采用相同的域配置（域名、修訂級(jí)別、VLAN 與實(shí)例的映射關(guān)系）的情況下，由于采用不同的密鑰來生成MSTP的摘要信息，因此兩個(gè)廠商的交換機(jī)發(fā)送的BPDU 報(bào)文中的摘要信息不同。 默認(rèn)情況下，由于摘要信息不同，MSTP 協(xié)議與MST 協(xié)議只能進(jìn)行域間互通要完成MSTP 域內(nèi)互通，則必須要在連接Cisco 交換機(jī)的H3C 交換機(jī)上，以及連接Cisco 交換機(jī)的H3C交換機(jī)的端口上使能“摘要偵聽”功能。STP協(xié)議-對(duì)接應(yīng)用C

7、6509C6509S6506S6506S6506S6506證券交易所在辦公網(wǎng)絡(luò)上使用S6506做為接入層交換機(jī)與思科的C6509交換機(jī)實(shí)現(xiàn)雙歸的組網(wǎng)結(jié)構(gòu)，通過STP與思科默認(rèn)的PVST+進(jìn)行對(duì)接，運(yùn)行半年多沒有出現(xiàn)故障VLAN自學(xué)習(xí)協(xié)議在交換網(wǎng)絡(luò)中，VLAN的自學(xué)習(xí)功能在H3C交換機(jī)上是通過使用RFC中標(biāo)準(zhǔn)的GVRP來實(shí)現(xiàn)的，Cisco本身在實(shí)現(xiàn)這個(gè)功能上，采用的私有協(xié)議VTP。而且VTP和GVRP是無法實(shí)現(xiàn)互通的，而且由于Cisco對(duì)GVRP協(xié)議的支持也只是在少數(shù)IOS中才有，因此在實(shí)際的對(duì)接過程中，只能通過在交換機(jī)上靜態(tài)的指定VLAN來實(shí)現(xiàn)。端口匯聚 手工匯聚端口匯聚分為手工匯聚、動(dòng)態(tài)LA

8、CP匯聚和靜態(tài)LACP匯聚。在端口匯聚中，H3C這些端口匯聚方式都可以與思科的port-channel進(jìn)行對(duì)接。手工匯聚：H3C交換機(jī)中的配置：link-aggregation group 10 mode manualinterface GigabitEthernet1/0/1 port link-aggregation group 10interface GigabitEthernet1/0/2 port link-aggregation group 10Cisco交換機(jī)中的配置：interface GigabitEthernet1/0/1 channel-group 1 mode 1 mo

9、de oninterface GigabitEthernet1/0/2 channel-group 1 mode 1 mode onInterface port-channel 1端口匯聚 LACP匯聚靜態(tài)LACP匯聚：H3C交換機(jī)中的配置：link-aggregation group 10 mode staticinterface GigabitEthernet1/0/1 port link-aggregation group 10interface GigabitEthernet1/0/2 port link-aggregation group 10Cisco交換機(jī)中的配置：interfa

10、ce GigabitEthernet1/0/1 channel-group 1 mode activeinterface GigabitEthernet1/0/2 channel-group 1 mode activeInterface port-channel 1端口匯聚 對(duì)接應(yīng)用在某金融機(jī)構(gòu)IDC機(jī)房的服務(wù)器區(qū)內(nèi)使用S5600交換機(jī)與思科的交換機(jī)進(jìn)行端口匯聚對(duì)接S5600S5600 協(xié)議對(duì)接 二層協(xié)議 封裝協(xié)議 路由協(xié)議 AAA TRACK EAD目錄PPP協(xié)議對(duì)接interface Serial1/1 clock DTECLK1 link-protocol ppp進(jìn)行PPP協(xié)議對(duì)接的時(shí)候

11、，H3C設(shè)備上的配置如下，而且在H3C設(shè)備上串口默認(rèn)協(xié)議為PPP：interface Serial1/1 encapsulation pppCisco設(shè)備配置：HDLC協(xié)議對(duì)接interface Serial1/1 clock DTECLK1 link-protocol hdlc進(jìn)行HDLC協(xié)議對(duì)接的時(shí)候，H3C設(shè)備上的配置如下：interface Serial1/1 encapsulation hdlcCisco設(shè)備配置，hdlc是思科接口默認(rèn)的封裝格式：CE1接口對(duì)接 CE1接口即可以工作在E1方式，也可以工作在CE1方式。當(dāng)工作在CE1方式時(shí)，用戶需要配置channel set，才會(huì)產(chǎn)生

12、相應(yīng)的串口，在一個(gè)CE1接口上可以捆綁出多達(dá)31個(gè)channel set。在將接口時(shí)隙捆綁為channel set之后，系統(tǒng)會(huì)自動(dòng)創(chuàng)建一個(gè)Serial接口，接口的編號(hào)是serial interface-number:set-number。此接口的邏輯特性與同步串口相同，可以視其為同步串口進(jìn)行進(jìn)一步的配置，主要的配置內(nèi)容包括： PPP、HDLC等數(shù)據(jù)鏈路層協(xié)議工作參數(shù) IP地址等 和CISCO設(shè)備對(duì)接需要注意的是幀格式參數(shù)，華三缺省no-crc4，cisco缺省是crc4，兩邊要配置一致。進(jìn)入指定CE1接口的視圖：controller e1 number配置幀格式：frame-format cr

13、c4 | no-crc4 應(yīng)用案例1某金融機(jī)構(gòu)原先使用多臺(tái)思科的2611設(shè)備，現(xiàn)更換為一臺(tái)AR2831設(shè)備來對(duì)接多個(gè)銀行，這些對(duì)接的接口中E1、Frame-relay，封裝的格式有PPP、HDLC封裝。AR2831深銀聯(lián)工行、建行、農(nóng)行 協(xié)議對(duì)接 二層協(xié)議 封裝協(xié)議 路由協(xié)議 AAA TRACK EAD目錄VRRP協(xié)議對(duì)接驗(yàn)證，我司設(shè)備整個(gè)接口使用md5認(rèn)證，Cisco設(shè)備每個(gè)VRRP組分別認(rèn)證。明文認(rèn)證時(shí)沒有問題。MD5認(rèn)證，Cisco設(shè)備之間認(rèn)證沒有問題Cisco 與我司設(shè)備之間無法進(jìn)行MD5 認(rèn)證，我司設(shè)備及抓包軟件Ethereal 都無法識(shí)別其認(rèn)證類型，原因是我司使用標(biāo)準(zhǔn)的RFC協(xié)議2

14、338來完成，但是Cisco認(rèn)證沒有認(rèn)證頭。Cisco HSRP是其私有協(xié)議，無法和vrrp互通OSPF協(xié)議對(duì)接Ospf 10進(jìn)行OSPF協(xié)議對(duì)接的時(shí)候，H3C設(shè)備上的配置如下：Router ospf 10 network x.x.x.x 0.0.0.255 area 0Cisco設(shè)備配置：BGP協(xié)議對(duì)接bgp 65000 undo synchronization group in-peer internal peer 10.100.0.2 group in-peer 進(jìn)行BGP協(xié)議對(duì)接的時(shí)候，H3C設(shè)備上的配置如下：router bgp 65000 bgp router-id x.x.x.x

15、 no synchronization bgp log-neighbor-changes neighbor 10.100.0.1 remote-as 65000 no auto-summary Cisco設(shè)備配置：組播協(xié)議對(duì)接PIM DMmulticast routing-enableinterface Ethernet0/0 pim dm進(jìn)行組播協(xié)議對(duì)接的時(shí)候，H3C設(shè)備上的配置如下：ip multicast-routing interface FastEthernet0/0 ip pim dense-mode Cisco設(shè)備配置：組播協(xié)議對(duì)接PIM SMmulticast routing-

16、enableinterface Ethernet0/0 pim smpim進(jìn)行組播協(xié)議對(duì)接的時(shí)候，H3C設(shè)備上的配置如下：ip multicast-routing interface Loopback0 ip pim sparse-dense-modeCisco設(shè)備配置： 協(xié)議對(duì)接 二層協(xié)議 封裝協(xié)議 路由協(xié)議 AAA TRACK EAD目錄Radius、HWTACACS協(xié)議RADIUS協(xié)議是指遠(yuǎn)程驗(yàn)證撥號(hào)用戶服務(wù)（Remote Authentication Dial In User Service）協(xié)議。RADIUS協(xié)議在協(xié)議層里屬于應(yīng)用層協(xié)議，采用客戶機(jī)/服務(wù)器模式（Client/Serv

17、er Model），使用的底層網(wǎng)絡(luò)協(xié)議為用戶數(shù)據(jù)報(bào)協(xié)議（UDP/IP）。 RADIUS最早的文檔是RFC2058和RFC2059（1997/1）。在這兩個(gè)文檔里，使用的UDP/IP端口為1645和1646（注意：現(xiàn)在大部分RADIUS應(yīng)用仍在使用）。后來發(fā)現(xiàn)，端口1645早被“datametric service”使用，而端口1646也已經(jīng)被“samsg-port service”使用。IETF只好重新發(fā)布RFC2138和RFC2139，確定RADIUS使用端口為1812和1813，其它內(nèi)容則一點(diǎn)未變。 HWTACACS安全協(xié)議是在TACACS（RFC1492）基礎(chǔ)上進(jìn)行了功能增強(qiáng)的一種安全協(xié)

18、議。該協(xié)議與RADIUS協(xié)議類似，主要是通過Server-Client模式與TACACS服務(wù)器通信來實(shí)現(xiàn)多種用戶的AAA功能，可用于PPP和VPDN接入用戶及l(fā)ogin用戶的認(rèn)證、授權(quán)和計(jì)費(fèi)。Radius、HWTACACS對(duì)接情況RADIUS、HWTACACS可以利用原有網(wǎng)絡(luò)中部署的ACS服務(wù)器來管理現(xiàn)有H3C設(shè)備，以實(shí)現(xiàn)ACS軟件來同時(shí)管理Cisco和H3C的設(shè)備。下面的就介紹一下，如何配置H3C交換機(jī)和ACS軟件，以達(dá)到用ACS來集中管理AAA。交換機(jī)Radius配置拓?fù)鋱D如下：1.1.1.2/241.1.1.1/24ACS Serverdomain default enable tece

19、nt#radius scheme tecent server-type huawei primary authentication 1.1.1.2 1645 primary accounting 1.1.1.2 1646 key authentication expert key accounting expert user-name-format without-domain#domain tecent scheme radius-scheme tecent local#user-interface vty 0 4 authentication-mode scheme交換機(jī)HWTACACS配

20、置拓?fù)鋱D如下：1.1.1.2/241.1.1.1/24ACS Serverdomain default enable qq#hwtacacs scheme qq primary authentication 1.1.1.2 primary authorization 1.1.1.2 primary accounting 1.1.1.2 key authentication expert key authorization expert key accounting expert user-name-format without-domain#domain qq scheme hwtacacs-

21、scheme qq local #user-interface vty 0 4 authentication-mode schemeACS服務(wù)器端設(shè)置一在安裝完cisco acs 后需要使用命令行添加h3c的Radius屬性。具體字典如下： User Defined VendorName=HuaweiIETF Code=2011VSA 29=hw_Exec_PrivilegeVSA 28=hw_Exec_PrivilegeType=INTEGERPro OUTEnums=Encryption-TypesEncryption-Types1=12=23=3Type=STRINGPro字典文件ACS

22、服務(wù)器端設(shè)置二在MS DOS下，進(jìn)入的Utils目錄，再導(dǎo)入文件myvsa.ini ，例如：文件保存在d盤，導(dǎo)入文件的命令為 ACS AAA客戶端配置一1、點(diǎn)擊左邊的“Network Configuration”2、點(diǎn)擊“Network device group”欄目下的“（Not Assigned）”ACS AAA客戶端配置二3、在“（Not Assigned）AAA Clients”欄目下點(diǎn)擊“Add Entry”，如果是選擇Radius，則在“Authentication using”中選擇“RADIUS（Huawei）”，如果是選擇Tacacs+，則在“Authentication u

23、sing”中選擇“TACACS（Cisco IOS）”ACS AAA客戶端配置三ACS AAA客戶端配置三（續(xù)）4、點(diǎn)擊“Interface Configuration”ACS AAA客戶端配置四5、點(diǎn)擊“Interface Configuration”-”RADIUS(Huawei)”，將圖中的方框都勾上，然后submitACS AAA客戶端配置五6、點(diǎn)擊“Group Setup”，然后在Group的下拉單中選擇一個(gè)Group，可以點(diǎn)擊“Rename Group”來修改組名，點(diǎn)擊“Edit Group”來編輯組特性ACS AAA客戶端配置六6.1 點(diǎn)擊“Jump to Radius（IETF

24、）”，將“Serice-type”選為Login，并且把“Login-type”設(shè)置為TelnetACS AAA客戶端配置六（續(xù)）ACS AAA客戶端配置六（續(xù)）點(diǎn)擊“Jump to Radius（Huawei）”，將“2011029 hw_Exec_Privilege ”勾上，并選擇相應(yīng)的權(quán)限級(jí)別，配置好后點(diǎn)擊“Submit+Restart”ACS AAA客戶端配置六（續(xù)）7、最后點(diǎn)擊“User Setup”來建立登錄的帳戶信息。在User右邊的框中填寫需要設(shè)置的登錄用戶名，比如說test，然后點(diǎn)擊“Add/Edit”ACS AAA客戶端配置七7.1 填寫帳戶相關(guān)的信息，比如說密碼，選擇相應(yīng)

25、的組等，然后Submit就OK了。ACS AAA客戶端配置七（續(xù)）ACS AAA客戶端配置七（續(xù)） 協(xié)議對(duì)接 二層協(xié)議 封裝協(xié)議 路由協(xié)議 AAA TRACK EAD目錄TRACK功能配置Track的用途是實(shí)現(xiàn)聯(lián)動(dòng)功能。聯(lián)動(dòng)功能由應(yīng)用模塊、Track模塊和監(jiān)測模塊三部分組成。聯(lián)動(dòng)功能是指通過建立聯(lián)動(dòng)項(xiàng)，實(shí)現(xiàn)不同模塊之間的聯(lián)動(dòng)，即由監(jiān)測模塊通過Track模塊觸發(fā)應(yīng)用模塊執(zhí)行某種操作。監(jiān)測模塊負(fù)責(zé)對(duì)鏈路狀態(tài)、網(wǎng)絡(luò)性能等進(jìn)行探測，并通過Track模塊將探測結(jié)果通知給應(yīng)用模塊。應(yīng)用模塊感知到網(wǎng)絡(luò)狀態(tài)的變化后，及時(shí)進(jìn)行相應(yīng)的處理，從而避免通信的中斷或服務(wù)質(zhì)量的降低。Track模塊位于應(yīng)用模塊和監(jiān)測模塊之

26、間，主要功能是屏蔽不同監(jiān)測模塊的差異，為應(yīng)用模塊提供統(tǒng)一的接口。TRACK功能配置Track模塊與監(jiān)測模塊聯(lián)動(dòng)用戶通過配置，建立Track模塊和監(jiān)測模塊之間的聯(lián)動(dòng)關(guān)系。監(jiān)測模塊負(fù)責(zé)對(duì)鏈路狀態(tài)等進(jìn)行探測，并將探測結(jié)果通知給Track模塊，以便及時(shí)改變Track項(xiàng)的狀態(tài)： 如果探測成功，則對(duì)應(yīng)Track項(xiàng)的狀態(tài)為Positive； 如果探測失敗，則對(duì)應(yīng)Track項(xiàng)的狀態(tài)為Negative。目前，監(jiān)測模塊包括NQA（Network Quality Analyzer，網(wǎng)絡(luò)質(zhì)量分析）和BFD（Bidirectional Forwarding Detection，雙向轉(zhuǎn)發(fā)檢測）。Track模塊與應(yīng)用模塊聯(lián)

27、動(dòng)用戶通過配置，建立Track模塊和應(yīng)用模塊之間的聯(lián)動(dòng)關(guān)系。Track項(xiàng)的狀態(tài)發(fā)生變化后，Track模塊將通知應(yīng)用模塊進(jìn)行相應(yīng)的處理。目前，可以與Track模塊實(shí)現(xiàn)聯(lián)動(dòng)功能的應(yīng)用模塊包括： VRRP 靜態(tài)路由 策略路由 備份中心TRACK功能配置Cisco配置：ip sla monitor 1 type echo protocol ipIcmpEcho 10.2.1.1 source-interface GigabitEthernet0/1 timeout 1000 frequency 100ip sla monitor schedule 1 life forever start-time n

28、owtrack 1 rtr 1 reachabilityip route 0.0.0.0 0.0.0.0 GigabitEthernet0/1 140 track 1H3C配置nqa entry admin testtype icmp-echoSource interface GigabitEthernet0/1frequency 100Probe timeout 1000reaction 1 checked-element probe-fail threshold-type consecutive 5 action-type trigger-onlytrack 1 nqa entry admin test reaction 1ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/1 140 track 1 協(xié)議對(duì)接 二層協(xié)議 封