IGP高级特性---OSPF多进程+防火墙虚拟系统引流

本文主要是介绍IGP高级特性---OSPF多进程+防火墙虚拟系统引流，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

ospf多进程，在同一台路由器上可以运行多个不同的ospf进程，他们互不影响，彼此独立，不同进程之间的路由交互相当于不同路由协议之间的路由交互
路由器的一个接口只能属于一个ospf进程
OSPF进程号为本地属性，对外部设备不影响，本端接口需要绑定vpn实例，对端设备按需绑定vpn实例
不使用实例创建也是可以建立正常邻居关系，但是共同都属于一个路由表，不能做到独立分开
在根区域配置不同进程的ospf，邻居建立成功以后只有根区域可以访问其他区域，其他区域不能互访，需要互相引入进程

实验步骤

1.配置所有接口地址，并且运行ospf

2.配置R1,R2到R3接口、R3到R4接口ospf进程，并且宣告接口 PS：正常宣告

3.配置R3的多进程ospf且绑定vpn实例

实验配置

1.省略配置各个互联接口，业务地址，ospf宣告。

2.配置R1，R2的ospf进程宣告互联地址和route-id


R1
#
ospf 1 router-id 10.0.1.1 area 0.0.0.0 network 10.0.0.1 0.0.0.0 network 10.0.1.1 0.0.0.0 network 10.0.11.0 0.0.0.255 network 10.0.12.0 0.0.0.255 network 10.0.13.0 0.0.0.255 network 10.0.14.0 0.0.0.255 
##
R2
#area 0.0.0.0 network 10.0.0.5 0.0.0.0 network 10.0.2.2 0.0.0.0 network 10.0.21.0 0.0.0.255 network 10.0.22.0 0.0.0.255 network 10.0.23.0 0.0.0.255 network 10.0.24.0 0.0.0.255 
#

3.配置R3的多进程

1.）分别配置vpn实例，并且设置rd值。

#
ip vpn-instance AR1ipv4-familyroute-distinguisher 100:1
#
ip vpn-instance AR2ipv4-familyroute-distinguisher 100:2
#

2.）配置R3的ospf，并且增加带有实例的ospf进程

#
ospf 1 router-id 10.0.13.3 vpn-instance AR1   //和R1建立vpn实例关系
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。area 0.0.0.0 network 10.0.0.2 0.0.0.0 network 10.0.12.3 0.0.0.0 
#
ospf 2 router-id 10.0.23.3 vpn-instance AR2   //和R2建立vpn实例关系
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。area 0.0.0.0 network 10.0.0.6 0.0.0.0 network 10.0.23.3 0.0.0.0 
#
ospf 4 router-id 10.0.34.3 //和R4建立正常邻居关系area 0.0.0.0 network 10.0.0.9 0.0.0.0 network 10.0.34.3 0.0.0.0 
#

3.）配置接口绑定实例，此操作会使原来配置的ip地址丢失，需要重新配置ip

#
interface GigabitEthernet0/0/0ip binding vpn-instance AR1ip address 10.0.0.2 255.255.255.252 
#
interface GigabitEthernet0/0/1ip binding vpn-instance AR2ip address 10.0.0.6 255.255.255.252 
#

4.）等待邻居建立，查看邻居建立和路由表项

增加防火墙使得AR1和AR2 可以访问到R4

通过二层接口进行引流创建2个vlan，一个vlan用于参与进vpn-AR1路由表，一个用于根路由表。共4个vlan用于两条vpn。10和20用于绑定，11和21用于加入路由表

配置R3和FW的vlanif接口地址，均放行trunk 接口，透传vlan

R3需要增加二层板卡，增加24口的即可

FW需要将接口更改为二层接口，使用portswitch命令即可

R3
#
interface Vlanif10ip address 10.0.0.14 255.255.255.252 
#
interface Vlanif11ip address 10.0.0.18 255.255.255.252 
#
interface Vlanif20ip address 10.0.0.22 255.255.255.252 
#
interface Vlanif21ip address 10.0.0.26 255.255.255.252 
#FW    interface Vlanif10ip address 10.0.0.13 255.255.255.252
#
interface Vlanif11ip address 10.0.0.17 255.255.255.252
#
interface Vlanif20ip address 10.0.0.21 255.255.255.252
#
interface Vlanif21ip address 10.0.0.25 255.255.255.252
#

配置步骤

1.路由器增加配置

1.1.绑定vlanif10、20接口，并且将接口加入到对应的ospf实例进程中

#
interface Vlanif10ip binding vpn-instance AR1ip address 10.0.0.14 255.255.255.252 
#
interface Vlanif20ip binding vpn-instance AR2ip address 10.0.0.22 255.255.255.252 
#
ospf 1 router-id 10.0.13.3 vpn-instance AR1
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。area 0.0.0.0 network 10.0.0.14 0.0.0.0 
#
ospf 2 router-id 10.0.23.3 vpn-instance AR2
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。area 0.0.0.0 network 10.0.0.22 0.0.0.0

1.2.将剩余vlanif 11、21接口加入本地ospf中

#
ospf 4 router-id 10.0.34.3 area 0.0.0.0 network 10.0.0.18 0.0.0.0 network 10.0.0.26 0.0.0.0 
#

2.防火墙配置

2.1 启用防火墙的vlan，启用三层vlanif接口，不做ip配置

2.2 启用防火墙虚拟系统，配置AR1和AR2两个虚拟系统，并且配置vlan地址

#
vsys name AR1     //创建虚拟系统AR1并且绑定vlan 10和11assign vlan 10assign vlan 11
#
vsys name AR2 assign vlan 20assign vlan 21
#

2.3 进入虚拟系统配置安全区域，vlan10和20分别作为两个虚拟系统的trust区域，11和21作为untrust区域，并且更改安全策略

switch vsys AR1
#
#
firewall zone trustadd interface Vlanif10
#
firewall zone untrustadd interface Vlanif11
#[FW-AR1]security-policy    //测试环境下更改防火墙策略为全放行
[FW-AR1-policy-security]default  action permit

2.4 配置防火墙ospf实例

#
ospf 1 router-id 1.1.1.1 vpn-instance AR1
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。area 0.0.0.0network 10.0.0.13 0.0.0.0network 10.0.0.17 0.0.0.0
#
ospf 2 router-id 2.2.2.2 vpn-instance AR2
vpn-instance-capability simple  //命令用来禁止路由环路检测，直接进行路由计算。area 0.0.0.0network 10.0.0.21 0.0.0.0network 10.0.0.25 0.0.0.0
#

然后等待邻居建立，查询R4上的路由表，得到全局网络的路由表明细

在R1进行带源测试