01.網絡中路由的性能和安全問題

1、,,BSCI v3.0—2-1,部署IPv4路由重發(fā)布,網絡中路由的性能和安全問題,,,影響網絡性能的常見因素,? 影響CPU的路由因素包括：,– 路由信息更新量的大小– 路由信息更新的頻率– 設計的缺陷,– 存在route-map或過濾器? 不正確地配置路由過濾,? 在同一個自治系統不同范圍中運行不同的協議,– 接收路由更新的路由協議進程數量,,,路由更新,? 影響CPU使用率的路由更新的因素包括：,– 路由信息更新

2、量的大小– 路由更新的頻率– 差的設計,,,過濾路由更新,? 路由更新過濾將影響網絡性能? 確保路由過濾配置正確,,,運行多種路由協議,? 你可以在同一個自治系統不同范圍中運行不同路由協議– 若同一時刻收到多個路由協議進程的更新，性能將受到影響,,,控制路由更新,? 設計變更,– 限制使用的路由協議數量,? 被動接口,? 結合過濾進行路由重分發(fā)– Access list（訪問列表）– Prefix list

3、（前綴列表）,– Distribute list（分發(fā)列表）,– Route map,,,使用路由過濾,? 路由器建立鄰居關系,? 鄰居路由器間交換路由更新信息,– 使用路由過濾來控制路由信息的發(fā)布和接收,,,使用分發(fā)列表控制路由更新,,,配置分發(fā)列表進行過濾的步驟,? 使用以下2種方式定義過濾需求（允許或拒絕路由信息）：,– 配置訪問列表（ACL）– 配置route map,? 配置分發(fā)列表（使用ACL或route map）

4、,– 應用到入口或出口更新,,,配置分發(fā)列表進行過濾,? 分發(fā)列表過程能夠用于發(fā)送、接收或重發(fā)布路由信息時。,? 從OSPF重發(fā)布到RIP的路由信息根據ACL 10進行過濾,? EIGRP 100從S0接口學習的路由更新信息根據ACL 7進行過濾,,,使用分發(fā)列表過濾路由更新,? 路由器R2從S0接口通告的EIGRP路由不包括10.0.0.0。,,,使用分發(fā)列表控制重發(fā)布,,,IP前綴過濾器,? 傳統IP前綴過濾器使用dist

5、ribute-list結合IP訪問列表來實現。? 前綴列表：,– 與ACL對比具有更好的性能– 更友好的命令行界面,,,使用前綴列表控制重發(fā)布,,,前綴列表匹配規(guī)則? 匹配某個特定前綴長度? 匹配一個范圍– 使用ge– 使用le– 使用ge和le? 匹配過程考慮子網掩碼? 示例：,– 192.168.1.0/24– 192.168.1.0/24 ge 28–

6、 192.168.1.0/24 le 28,匹配路由192.168.1.0/24匹配前24比特為192.168.1，且子網掩碼大于等于28、小于等于32的所有路由匹配前24比特為192.168.1，且子網掩碼,大于等于24、小于等于28的所有路由– 192.168.1.0/24 ge 26 le 28 匹配前24比特為192.168.1，且子網掩碼大于等于26、小于等于28的所有路由,,,不使用le或ge時前綴列表的匹配

7、? 以下哪些前綴(即路由)能夠匹配？,– 192.168.0.0/16– 192.168.0.0/20– 192.168.2.0/24,匹配不匹配不匹配,,,使用le或ge時前綴列表的匹配? 以下哪些前綴(即路由)能夠匹配？,– 192.168.0.0/16– 192.168.0.0/17– 192.168.0.0/20– 192.168.0.0/2

8、5,匹配List1，不匹配List2匹配List1，不匹配List2匹配List1，匹配List2不匹配List1，匹配List2,,,示例：前綴列表,哪些路由能夠匹配以下前綴列表？,1、ip prefix-list A permit 0.0.0.0/0 ge 322、ip prefix-list B permit 128.0.0.0/2 ge 173、ip prefix-list C permit 0.0.0.0/0 le

9、324、ip prefix-list D permit 0.0.0.0/0,5、ip prefix-list E permit 0.0.0.0/1 le 24,注：,1）前綴列表A匹配所有的主機路由（即掩碼為32的所有路由）,2）前綴列表B匹配所有掩碼大于等于17且小于等于32的B類地址段路由3）前綴列表C匹配所有路由4）前綴列表D匹配缺省路由,5）前綴列表E匹配所有掩碼大于等于1且小于等于24的A類地址段路由,,,Route M

10、ap,? Route map類似于一種腳本語言：,– 與ACL工作類似，但是能夠實現更復雜的功能。? 按照從上到下(根據規(guī)則號從小到大)的順序處理? 一旦在某個規(guī)則中匹配，則不再繼續(xù)檢查后續(xù)規(guī)則,– 每個規(guī)則有不同的序號，便于修改,? 新規(guī)則的插入? 舊規(guī)則的刪除,– Route map是命名的，而不是采用編號，便于文檔化,– 在每個規(guī)則中可以使用match(匹配)和set(設置)語句；與腳本語,言中的if-the

11、n邏輯類似,,,Route Map的應用,Route map的應用包括：,? 路由重發(fā)布時進行路由過濾,– 是一種比distribute-list功能更復雜的過濾工具? 基于策略的路由(Policy-Based Routing，PBR),– 能夠讓路由器根據? 實施BGP路由策略,– 定義BGP路由策略的主要工具,,,Route Map的運作,? Route map由一些規(guī)則列表構成,? 這些規(guī)則列表按照從上至下的順序處理

12、，與ACL類似? 查找到第一個匹配的規(guī)則就不再繼續(xù)查找,? Route map的規(guī)則使用序號來區(qū)分，便于規(guī)則的插入或刪除,,,Route Map的運作(續(xù)),? match語句可以包含多個應用,? 同一行match語句中存在多條條件：“或”的關系,– 只要匹配其中一個條件即可,? 不同行match語句：“與”的關系,– 必須匹配所有的條件,,,配置Route Map的步驟,? 定義route map的條件,– 定義匹配的

13、條件,– 定義匹配后的動作,? 應用route-map到正確的位置,– 實現PBR：應用到接口,– 結合路由重發(fā)布來過濾路由：應用在路由協議下的路由重發(fā)布,,,配置Route Map,? 定義名為MyRouteMap的route map,? 使用前綴列表MyList來進行匹配,? 定義相應的動作為通過Ethernet0接口轉發(fā)報文,,,在接口上應用Route map,? 在接口上應用名為MyRouteMap的route map

14、，用來實現基于策略,的路由,– 從該接口收到的IP報文，可以不根據目的IP地址查找IP路由表，,而是根據MyRouteMap定義的規(guī)則來確定如何轉發(fā),,,使用Route Map控制路由重發(fā)布的配置步驟,? 定義route map– 定義匹配的條件,– 定義匹配后的動作,? 在路由重發(fā)布時使用route-map,,,路由重發(fā)布中使用Route map,? 定義route map，用于路由重發(fā)布,? 配置將RIP路由重發(fā)布到E

15、IGRP時使用route map進行過濾,,,示例：Route map和路由重發(fā)布,? 匹配ACL 23或29的路由重發(fā)布到OSPF時，設置cost為500，設置,為第一類外部路由(E1),? 匹配ACL 37的路由不會被重發(fā)布到OSPF中,? 所有其他路由重發(fā)布到OSPF時，設置cost為5000，設置為第二類,外部路由(E2),,,過濾路由更新,,,被動接口(Passive Interface),? 路由器可能有很多接口,–

16、 并非所有接口都允許發(fā)送或接收路由更新? 可以在某些接口上啟用抑制路由更新的功能? 被動接口應用于：,– 抑制某個接口的路由更新– 抑制所有接口的路由更新,? 不同路由協議有不同的規(guī)則：,– OSPF：該接口無法建立鄰居，既發(fā)送但不接收hello– EIGRP：該接口無法建立鄰居，既不發(fā)送也不接收hello– RIP：該接口不能發(fā)送路由更新信息，但是可以接收,,,使用passive-interface命令,,,總結,?

17、 網絡性能問題的常見原因包括：發(fā)送大量的路由更新、在同一個自,治系統不同范圍中運行多種路由協議、路由過濾配置錯誤等。,? 分發(fā)列表使用ACL或route map來定義哪些路由時被允許或拒絕。? distribute-list命令允許基于入接口、出接口來過濾路由信息，也,可以在路由重發(fā)布時進行過濾。,? 與傳統使用ACL來過濾路由相比，IP前綴列表能夠實現更復雜的過,濾，并且效率更高。,? 前綴列表匹配過程考慮了路由的

18、子網掩碼。過濾器可以精確匹配前,綴長度、也可以使用ge和le來匹配某個范圍的前綴長度。,,,總結(續(xù)),? Route map是一種復雜的ACL，它能夠使用match命令來匹配報文或路由。若條件匹配，則根據指定的set命令來更改報文或路由的屬性。,? 在進行路由重發(fā)布過濾時，route-map命令在路由協議下的,redistribute命令后添加。,? 使用route map過濾路由更新信息時，能夠針對入、出的路由信