《S8500-双机热备份典型组网配置指导V1.0.docx》由会员分享，可在线阅读，更多相关《S8500-双机热备份典型组网配置指导V1.0.docx（10页珍藏版）》请在课桌文档上搜索。
1、QuidwayS8500双机热备份典型组网配置指导华为3C华为三康技术有限公司Huawei-3ComTechnologiesCo.,Ltd.版权全部侵权必究Allrightsreserved1 双机典型组网图52 典型配置62.1 端口类型的配置62.2 管理地址的配置62.3 业务VLAN和虚接口地址的配置72.4 VRRP的配置72.5 STP的配置7STPtimer的配置7关于配置负载均衡82.6 防病毒ACL规则的配置82.7 广播抑制的配置82.8 2层交换机的配置92.9 强制双工和速率的配置92.10 路由协议的配置92.11 聚合链路的配置93 问题排查93.1 双机组网的特点
2、93.2 问题排查的基本步骤104 附录104.1 附录A各种状况下数据的转发路径104.2 附录B组网配置实例11QuidwayS8500双机热备份典型组网配置指导关键词：S8500,双机，典型组网，配置指导摘要：本文描述了采纳S8500双机热备份时的典型组网方案，并对网络设备的配置列出了留意事项，通过优化配置来削减由于引入冗余链路导致的网络不稳定性。希望大家正确配置双机网络，防范于未然，交付给用户一个稳定、牢靠、快速的网络。缩略语:缩略语英文全名中文说明STPSpanningTreeProtocol生成树RSTPRapidSpanningTreeProtocol快速生成树MSTPMulti
3、pleSpanningTreeProtocol多实例生成树VLANVirtualLocalAreaNetwork虚拟LANVRRPVirtualRouterRedundancyProtocol虚拟路由冗余协议ACLAccessControlList访问限制列表OSPFOpenShortestPathFirst开放最短路由优先协议RIPRoutingInformationProtocol路由信息协议IS-ISIntermediateSystem-to-lntermediateSystemintra-domainroutinginformationexchangeprotocol中间系统到中间系统
4、的域内路由信息交换协议GARPGenericAttributeRegistrationProtocol通用属性注册协议GVRPGARPVLANRegistrationProtocol基于GARP的VLAN注册协议ARPAddressResolutionProtocol地址解析协议DHCPDynamicHostConfigurationProtocol动态主机配置协议BPDUBridgeProtocolDataUnit桥协议数据单元1双机典型组网图政府机关、集团公司总部等对网络可用性很高的单位往往采纳双机热备份方案来组网，2层交换机的2条千兆链路分别上行到主备85,主备85应用VRRP为用户PC
5、供应虚拟网关，应用STP来切断冗余链路组成的环路。双机热备份组网常用的有2种，见图1和图2：3050305030503026图1典型组网图13050305030503026NE08图2典型组网图22个典型组网的主要差别是服务器群的位置和连接广域网分支机构的方式有所不同，主备85互连以及主备85与2层交换机的连接与配置是完全一样的，下面介绍组网的配置以及留意事项。2典型配置2.1 端口类型的配置6506与主备85之间是采纳OSPF的环走3层，所以相关端口可以配置为ACCeSS类型，主备85之间由于要2层互通，必需配置为TrUnk类型，3050与主备85之间由于要有多个VLAN通过，都必需配置为T
6、nmk类型。2层交换机的下行口一般配置为ACCeSS类型，假如下面再挂2层交换机并且须要通过多个VLAN,必需配置为Tnmk类型。注：8500系列产品运用的软件版本应当为S85OO-VRP3.10-1128或其以后更新版本；3050系列交换机要求运用软件版本为0021或其以后更新版本；最新的版本信息，请关注网站上的版本更新信息。2.2 管理地址的配置主备85和全部的2层交换机配置同一个管理VLAN（设定为888）,并分别配置1个同一网段的管理IP地址（设定为76.68.39.*24）,掩码一般可以用24位，不仅简洁计算，数量也足够了；最好不要用26、28等位的掩码，感觉不好计算：最好也不要用8
7、、16等短掩码，因为一些网管软件是全网段扫描来搜寻网元的，运用短掩码搜寻范围太大，不仅慢而且会有大量报文冲击85造成网络异样。65与主备85之间是采纳OSPF的环，为了保证不会形成2层环路，65与主备85就不能采纳原来的管理VLAN了，设定65与主用85之间用VLAN666连接，65与备用85之间用VLAN777连接，两端都分别配置一个IP地址，这些IP地址不仅用于网管，也用于65与主备85之间的3层转发，所以可以从网管IP地址段中取出一部分来作为这地址（分别设定为76.68.39.100/252和76.68.39.104/252）,当然也可以另外规划2个网段。2.3 业务VLAN和虚接口地址
8、的配置依据规划分别在3050和主备85上配置须要的业务VLAN,并配置相应的虚接口地址，并在端口上指定允许通过的VLAN,这里着重要说明的是千万不要对端口配置trunkpermitvlanall或trunkpermitvlan2to200之类，必需老醇厚实的一个一个指定允许通过的VLAN,也千万不要配置GVRP。这里多化几秒钟，就可以极大地削减网络中的广播报文，极大地提高网络的稳定性，切记，切记!！唯一例外的是主备85之间的聚合链路,可以不必一个一个指定，例如可用trunkpermitvlan2to665667to776778to4094指定，这样以后增加VLAN也不用一个一个添加，避开遗漏产
9、生问题；但是千万记得要解除与65相连的2个VLAN,因为在VRRP的track中须要监控某一VLANinterface是否DoWN,假如没有解除出来，这个VLANinterface恒久不会DOWN就起不到监控作用了。2.4 VRRP的配置Ping网关往往是诊断网络故障的第一步，所以在VRRP配置前，必需在全局模式下先配置vrrpping-enable,因为这个吩咐在配置VRRP后就不能再配置了。主备85之间每一组VRRP都会以advertise配置的时间间隔发送报文，默认值是1秒钟，假如有多个VRRP组，每秒同一时刻就会有较多的VRRP报文上CPU,为了避开这种状况，可以将VRRP组分为4组，
10、每组分别以则数间隔（2、3、5、7秒）配置advertise,这样就可以使得VRRP报文分散上CPU。VRRP通过PriOrity来配置主备，主备配置必需与STP的配置相一样，否则会使得数据多经过1个交换机加重网络负荷。可以配置VRRP的IraCk来跟踪上行链路，当上行链路发生故障时刚好进行VRRP的主备切换。2.5 STP的配置主用85配置为STP的根，备用85配置为STP的备用根，一般不用设置STP的模式，可以运行在默认的MSTP模式下，假如明确2层交换机不能兼容MSTP才须要强制设置为STP模式。2层交换机剧烈建议启用STP协议，只要干脆启用STP,不用进行其它STP配置。（目前交换机缺
11、省都是STP,并不是MSTP配置）假如主备85之间采纳聚合链路，一般不须要配置链路的花费，假如不是聚合链路，则最好配置链路花费，但是必需留意链路花费的值不要设置错误，链路花费越小优先级越高。连接65或干脆连接服务器的端口一般可以不启用STP,配置为StPdiSable。2.5.1 STPtimer的配置STPtimer定时器有3个，分别为HeHotimer、ForwarddelajMaxtimer,默认配置分别为2秒、15秒和20秒，一般不须要修改；因为局域网线路比较稳定，这几个定时器也可以分别延长至4秒、30秒和40秒。STP另一个比较重要的配置超时时间因子，默认为3,也可以适当大一些。2.
12、5.2 关于配置负载均衡依据前面VRRP和STP的配置，主备85是热备份方式，正常状况下备用85无任何业务，只能在网络发生故障如主用85当机或2层交换机连接主用85的光纤DoWN时，业务才会全部或部分切换到备用85。有用户提出要进行主备85之间的负荷分担，假如2层交换机全部或部分支持MSTP,负荷分担是完全可以实现的，只要配置MSTP的几个实例，将不同的VLAN划分到不同的实例中，配置不同的实例有不同的根，并相应配置VRRP的主用，这样不同的实例走不同的85,起到负荷分担的作用；但是在实际应用中，局域网的流量并不大，采纳双机更多的是处于牢靠性的考虑，配置负荷分担并不能提高网络的性能，反而增加了
13、配置的困难性，潜在的也降低了网络的稳定性，终归越是困难稳定性越难以保证，所以一般状况下不建议配置主备85之间的负荷分担。这里配置负载分担应当可以通过配置几个VRRP组在备用8500上为master,但是须要同时修改MSTP,配置的确比较困难对于其次种组网，交换机业务并不为空，假如全部跑到左边的设备上去运行，才多走了台设备。2.6 防病毒ACL规则的配置病毒攻击产生大量的未知单播报文冲击85,造成网络振荡和设备故障，所以必需在全部交换机配置防病毒ACL规则对病毒报文进行过虑，但是由于一些应用程序和某些病毒运用同样的端口，假如不加选择的屏蔽某些端口会导致正常的业务不能运行，启用防病毒ACL规则后应
14、当测试各种应用。常用的过虑端口有以下一些（不断完善中），请谨慎选用：aclnameanti-virusadvancedrule 42 deny tcp destination-port eq 135rule 43 deny tcp destination-port eq 137rule 44 deny tcp destination-port eq 138rule 45 deny tcp destination-port eq 139（网上邻居运用, （网上邻居运用, （网上邻居运用, （网上邻居运用,假如关闭可能会导致网络打印机等不能运用）假如关闭可能会导致网络打印机等不能运用）假如关闭可能
15、会导致网络打印机等不能运用）假如关闭可能会导致网络打印机等不能运用）rule46denytcpdestination-porteq593rule47denytcpdestination-porteq445（防震荡波病毒）rule48denytcpdestination-porteq4444rule49denyudpdestination-porteqnctbios-nsrule50denyudpdestination-porteq445（防腐荡波病毒）rule51denyudpdestination-porteq1434rule52denyUdPdestination-porteq4444ru
16、le53denytcpdestination-porteq1022rule54denytcpdestination-porteq1023rule55denytcpdestination-porteq5554（防震荡波病毒）rule56denyudpdestination-porteq6666rule57denytcpdestination-porteq9996（防震荡波病毒）2.7 广播抑制的配置由于网络中存在物理环路，在受到攻击时会造成STP的BPDU报文丢失，使得STP计算错误就会导致网络风暴，大量的广播报文冲击不仅会使得网络很难自愈，并且有可能冲坏2、3层交换机，使得网络长时间不能复原。
17、在运用上面的各种方法防止环路形成外，可以在配置全部端口配置广播抑制，一般配置到最小值1%就已经能够远远超出正常的须要（网络中正常的广播报文并不多，一般只有ARP和DHCP报文），这样就是产生环路，网络中的广播报文也不会许多，网络可以很快叁原正常切断环路。2.8 2层交换机的配置2层交换机的配置相对比较简洁，除了上面提到的须要配置管理VLAN和虚接口，配置业务VLAN,配置端口类型，启用STP,防病毒ACL规则，广播抑制外，另外须要配置的地方不多，一是配置条默认路由指向管理网段的VRRP虚接口，二是配置SNMP以便网管软件运用，三是配置用户登录方式和密码以供应telnet登录。一般状况下2层交换
18、机不用配置端口环路检测功能，特殊是在上行端口,千万不要启用环路检测功能；在下行可以依据实际状况确定是否启用，假如2层交换机下可能再挂交换机和HUB,可以考虑启用。对于2层交换机务必升级到最新版本，另外对于3050,肯定要配置如下吩咐：queue-schedulerwrr25252525从而保证BPDU能够百分之百的转发。2.9 强制双工和速率的配置电接口的自协商功能稳定一些，一般采纳自协商就可以了，但是在实际运用时须要检查端口是否自协商胜利，因为工作在半双工模式会出各种问题；光接口由于光模块的兼容性梢差、某些线路光衰比较大等缘由，有些端口自协商会不胜利，须要设置为强制双工和强制速率。2.10
19、路由协议的配置65与主备85之间配置OSPF协议，配置特别简洁，一般状况下互连网段的network以及引入直连路由就可以了，须要留意的是配置network时掩码不要配错了。假如不用OSPF,运用其它的路由协议如RIP、ISlS等配置也一样特别简洁，不再一一描述。如有必要，还须要配置静态的默认路由，将对外网的访问报文路由出去。2.11 聚合链路的配置链路聚合的配置没有特殊之处，依据吩咐配置就是。（6500的在聚合链路上运用上有些须要留意：必需保证逻辑主端口状态为叩，否则会导致二层协议报文如StP报文通不过，这个时候就会导致环路的产生，所以8500和6500在汇聚链路的运用上须要留意）3问题排查3
20、.1 双机组网的特点在单机树型组网中，在网络设备受到病毒等恶意攻击时，一般表现为网络访问速度变慢或很慢，但是在双机热备份组网中，由于存在物理环路，设备在受到攻击时很简洁造成STP的BPDU丢失从而使得STP计算错误，不能正准确断物理环路，引发广播风暴。广播风暴往往会占用全部的带宽，使得用户根本无法访问网络资源，同时广播风暴会使得STP的BPDU报文更加难以得到处理，网络很难白愈复原正常，只能关闭备用主机来取消环路。另外2、3层交换机长时间受到巨量广播报文冲击，有时转发芯片会失效，就是在广播风暴消逝后也不能正常转发数据包，必需手工复位交换机。因此，双机组网相比单机组网显得脆弱些，跟交换机本身稳定
21、性反而关系不是太大，其它厂商的交换机一样如此。所以，针对双机组网，必需严格依据上面描述的步骤进行配置，供应网络的整体稳定性。3.2 问题排查的基本步骤一般状况下假如严格依据双机配置指导书来配置网络,应当不会再出现STP计算错误引起网络风暴而导致的网络不行用的问题；原来己经配置的双机网络，不符合要求，请刚好整改，防范于未然。假如还没有来的及整改就发生了问题，请按以下步骤定位：1、 查看端口的STP状态：运用displaystpbriefl吩咐查看端口的STP状态，正常状况下每一条环路应当有一个端口是DISCARDING的，假如全部端口都是FoRWARDlNG的，就说明网络已经形成了环路；（这里描
22、述应当是讲的STP吧，MSTP应当在端口上某些Vlan为forwarding,某些VIan为discarding）2、 对一个形成环路的每一个端口，运用displaystpinterface吩咐查看BPDU收发报文数是否在增长，假如BPDU收发报文数有增长，一般状况下网络会在几分钟之后自愈复原正常。假如某端口BPDU收发报文数没有增长，则说明网络已经很难自愈，请马上关闭备用85以取消环路,一般状况下重启备用85是没有用的，必需下电；3、 备用85下电后一般网络都会复原正常，假如某些交换机还是不正常，可能芯片已经被巨量广播报文冲瘫了，必需重启此交换机；4、 网络正常后，可以查看各端口的流量和广播
23、流量，假如某些端口广播流量特殊大，基本可以确定下挂的PC被病毒感染，可以通过端口镜像抓包来确认；5、 最终依据双机配置指导正确配置网络，备用85上电，正确完成配置后般网络都不会再有问题了。4附录4.1 附录A各种状况下数据的转发路径下面通过各种状况下数据的转发过程描述VRRP和STP的协作：1、正常状况下，由于STP的生效，备用85连接2层交换机的端口均被DISCARDlNG,备用85无业务，只处理主用85、65和2层交换机发送过来的一些协议报文以及主用85通过聚合链路发送过来的广播报文。全部的数据通过主用85转发：PC2层交换机今主用8565服务器今65今主用85今2层交换机PC；2、假如某
24、一2层交换机连接备用85的线路故障，数据转发流程基本同上；3、假如某一2层交换机连接主用85的线路故障，一段时间后备用85连接2层交换机的端口状态切换为FoRWARING,此时VRRP并不会切换，故3层终结还是在主用85,备用85参加数据转发。假如须要访问其他2层交换机下的PC机，则通过连接主备85的聚合链路；假如须要访问65下的服务器，则数据转发过程如下：PCT2层交换机今备用85玲主用851659服务器65主用85备用85T2层交换机PC；4、假如主用85连接65的线路故障，VRRP发生切换，将全部2层交换机的网关切换到备用85,但是STP没有切换，故3层终结在备用85,数据转发过程如下：
25、PC玲2层交换机今主用85今备用85065T服务器65备用859主用85今2层交换机Pe5、假如备用85连接65的线路故障，数据转发流程基本同1：6、假如主用85连接65的线路故障，同时某一2层交换机连接主用85的线路也故障，则STP和VRRP均发生切换,此2层交换机下的数据转发流程为:PC92层交换机T备用85T65T服务器65备用85T2层交换机Pc7、主备85之间的聚合链路基本考虑不会同时发生故障，即使聚合链路同时发生故障，STP也会自动选择一条通过2层交换机的链路作为主链路，对全部2层交换机的数据转发基本无影响。4.2 附录B组网配置实例0000BSLtXtBSZtXt63XtJOSDftTtJM
