linux oracle 网络安全 编程
分类： 系统运维
2013-01-09 09:54:21
1. 系统配置模式下启用BFD基本功能
[quidway]bfd
[quidway-bfd]delay-up 120
delay-up的时间为second，该命令可以延迟bfd UP的时间，可以使路由生成和协议收敛。也可以抑制链路震荡造成的影响。
2. 在协议进程下使能动态BFD全局功能
[HUAWEI]isis 100
[HUAWEI-IS-IS-100]bfd all-interfaces enable
[HUAWEI-IS-IS-100]bfd all-interfaces min-tx-interval 50 min-rx-interval 50 detect-multiplier 5
默认所有协议接口将启用bfd功能，可以在接口上使用isis bfd block将该端口的bfd功能闭塞。不同的产品 TX和RX的最小值不一致，最好设置为全局统一值。 本地的min-TX和对端的min-RX协商得到receive-interval，如果在receive-interval×multiplier-value时间间隔内没有收到对方发送的BFD报文，就宣告邻居失效
receive-interval、 transmit-interval 单位为ms, detect-multiplier 默认为3
3. 在接口下使能动态BFD功能
[HUAWEI] interface pos1/0/0
[HUAWEI-Pos1/0/0] isis bfd enable
[HUAWEI-Pos1/0/0] isis bfd min-rx-interval 400 min-tx-interval 400 detect-multiplier 4
在接口上启用BFD功能和在协议进程下启用作用一样，但是接口启用的优先级高于全局启用。
4. 物理链路检测BFD功能配置
bfd ethtrunk bind peer-ip default-ip interface GigabitEthernet1/1/10 source-ip 192.168.1.1
discriminator local 8001
discriminator remote 8101
min-tx-interval 30
min-rx-interval 30
wtr 5
process-interface-status
commit
对于eth-trunk等链路可以用default-ip，默认使用组播的224.0.0.184地址，所以假如使用default-ip的话，必须保证该链路允许通过该组播地址。源IP地址可以不需要，适用于default-ip变成接口IP的情况。
discriminator local和对端的discriminator remote值必须一致。
WTR值用来避免bfd回话震荡，本端和对端WTR值需要一致；假如配置了wtr，那么BFD的回话UP事件要等待WTR设置的时间后才会上报应用程序，但其他状态事件还是立即上报，不受WTR影响。WTR单位为分钟。
process-interface-status用来将BFD会话和其绑定的端口状态进行联动，只能对采用缺省组播IP地址检测的单跳BFD会话配置process-interface-status命令
commit命令用来提交BFD会话配置，配置完毕后必须提交该命令使得BFD配置生效，且当进行任何配置修改后，需重新使用该命令提交BFD配置。
bfd ugm_0 bind peer-ip 192.168.1.10 interface GigabitEthernet1/0/1 source-ip 192.168.1.9
discriminator local 101
discriminator remote 102
min-tx-interval 30
min-rx-interval 30
detect-multiplier 5
process-pst
commit
process-pst命令用来允许BFD会话修改端口状态表PST（Port State Table）process-pst命令只能在绑定了接口的BFD会话视图下配置，即：只能配置在BFD单跳检测的情况下；对于某些需要通过PST来感知BFD检测故障的应用，比如部署基于BFD检测的IP FRR和LDP FRR时，必须配置process-pst命令
5. BFD For VRRP
interface gigabitethernet 2/0/0
vrrp vrid 2 track bfd-session session-name hello peer reduced 10
使用VRRP监视BFD session功能，在BFD session状态改变后通知VRRP模块。VRRP模块根据配置降低或增加优先级，实现VRRP快速切换。
在城域以太网中，NPE之间运行VRRP协议。NPE之间运行的BFD叫做Peer BFD，用于检测NPE之间的链路和设备故障。NPE与UPE之间运行的BFD叫Link BFD，用于检测NPE和UPE之间的链路和设备故障。
如果不配置peer或link参数，则执行命令vrrp vrid track bfd-session表示配置VRRP监视普通BFD。
如果配置了peer或link参数，则执行命令vrrp vrid track bfd-session表示配置VRRP监视Peer BFD或Link BFD。此时，Peer BFD或Link BFD不修改备份组的优先级，而是直接影响备份组的状态。因此，在非抢占模式下，配置Peer BFD或Link BFD后可能出现Backup的优先级大于Master的情况。
如果要配置VRRP备份组监视的BFD为peer或link类型，请确保该VRRP是管理VRRP。
如果VRRP同时监视BFD会话和监视接口，则所监视的BFD会话和接口的总数最多为8个
6. BFD for static-routing
ip route-static 1.1.1.1 32 1.1.1.2 track bfd-session test
7. BFD For LSP
BFD可以用来检测MPLS LSP转发路径上数据平面的故障，同时BFD的报文格式是固定的，非常适合在硬件上实现和穿越防火墙。因此用BFD检测MPLS LSP数据平面的故障具有以下优势：
l 反向只要求IP路由可达
l 快速检测
l 支持大规模LSP的故障检测
检测MPLS LSP的连通性时，BFD会话协商有两种方式：
l 静态配置BFD：通过手工配置BFD的本地标识符和远端标识符，由BFD本身的协商机制建立会话。
l 动态创建BFD会话：通过在LSP Ping报文中携带BFD Discriminator TLV进行会话协商。
静态方式下，目前的NE80E/40E中，BFD能够检测的LSP类型有：
l 静态LSP
l LDP LSP
TE：Tunnel、与Tunnel绑定的静态CR-LSP、基于RSVP的动态CR-LSP。BFD能够检测信令协议为CR-Static和RSVP-TE的TE隧道，并且能够检测与TE隧道绑定的主用LSP
动态方式下，BFD支持的转发路径有：
l LDP LSP
l RSVP-LSP
目前动态BFD会话只能检测RSVP-LSP，不能检测基于其他信令协议的TE LSP，且不能检测TE Tunnel。
由于BFD检测LSP和TE这些单向链路时，反向链路只要求IP路由可达即可。因此，反向链路可以是IP、LSP或TE隧道。
BFD for LDP-LSP
bfd 1to4 bind ldp-lsp peer-ip 4.4.4.4 nexthop 10.1.1.2 interface gigabitethernet 1/0/0
discriminator local 101
discriminator remote 102
min-tx-interval 50
min-rx-interval 50
detect-multiplier 5
commit
可以触发VPN FRR和VLL FRR
该命令只能在LSP的入节点上执行。
当被检测的LSP出接口地址是借用的或者是被借用时，必须指定出接口。
Peer-ip BFD会话绑定动态LSP的宿端IP地址（对端路由器的loopback地址）
nexthop被检测LSP路由器的下一跳IP地址（路由器的互联端口地址）
interface 可以是虚接口（eth-trunk）也可以是实际的物理端口。看LSP具体在哪用了。
BFD需要正反2个方向都配置才能形成会话，正向的BFD报文封装在MPLS里，因为判断的是MPLS 的LSP通道，但是反向通道报文可以是MPLS报文或IP报文，只需要标示符一致即可。
静态BFD For MPLS TE & CR-LSP
BFD For TE是MPLS TE中的一种端到端的快速检测机制，用于快速检测隧道所经过的链路中所发生的故障。BFD for TE提供BFD for Tunnel和BFD for TE CR-LSP两种方式
BFD for TE是对CR-LSP的检测，能够快速检测到CR-LSP的故障，并及时通知转发层面，从而保证流量的快速切换。BFD for TE通常与hot-standby CR-LSP或者隧道保护组配合使用
bfd 1to4 tunnel bind mpls-te interface Tunnel 1/0/10
discriminator local 423
discriminator remote 324
min-tx-interval 100
min-rx-interval 100
process-pst
commit
bfd 1to4 rsvp bind mpls-te interface Tunnel 1/0/10 te-lsp （backup）
discriminator local 423
discriminator remote 324
min-tx-interval 100
min-rx-interval 100
process-pst
commit
动态BFD For MPLS TE& CR-LSP
interface tunnel 1/0/0
mpls te bfd enable
mpls te bfd min-tx-interval 100 min-rx-interval 100 detect-multiplier 3
mpls te commit
同时需要在对端路由器使用该命令
bfd
mpls-passive
8. BFD for RSVP
BFD for RSVP一般用在TE FRR中PLR节点与主路径上的RSVP邻居之间存在二层设备的情况。在PLR和MP节点使能GR的组网中建议配置BFD for RSVP, 可以触发TE FRR
interface Eth-Trunk21
ip address 10.13.21.1 255.255.255.0
mpls
mpls te
mpls te max-link-bandwidth 100000
mpls te max-reservable-bandwidth 50000
mpls rsvp-te
mpls rsvp-te bfd enable
或者全局启用
mpls
mpls te
mpls rsvp-te
mpls rsvp-te hello
mpls te cspf
mpls rsvp-te bfd all-interfaces enable
9. BFD for Tunnel
使用BFD检测整条TE隧道，触发VPN FRR、VLL FRR等应用进行流量切换。
静态BFD for Tunnel应用于VPN FRR
ip vpn-instance test
route-distinguisher 100:1
vpn frr route-policy vpn_frr
tnl-policy policy1
vpn-target 100:1 export-extcommunity
vpn-target 100:1 import-extcommunity
#
route-policy vpn_frr permit node 10
if-match ip next-hop ip-prefix vpn_frr
apply backup-nexthop 3.3.3.3
#
ip ip-prefix vpn_frr permit 2.2.2.2 32
#
bfd test bind mpls-te interface Tunnel0/0/400
discriminator local 400
discriminator remote 709
min-tx-interval 100
min-rx-interval 100
process-pst
commit
