网络工程

网络工程师的问答

3
路由器是否应该使用SLAAC进行IPv6地址分配？
对于与IPv6有关的以下2个RFC，我有些困惑： RFC 4862（IPv6无状态地址自动配置） RFC 7084（IPv6 CE路由器要求） RFC 4862指出： 本文档中指定的自动配置过程仅适用于主机，不适用于路由器。由于主机自动配置使用路由器通告的信息，因此将需要通过其他某种方式来配置路由器。 RFC 7084列出了其地址分配的WAN端配置要求之一： WAA-1：IPv6 CE路由器必须支持无状态地址自动配置（SLAAC）[RFC4862]。 这里有矛盾吗？ 路由器是否应该能够为其WAN接口自动配置IPv6地址？ RFC 4862为什么说 由于主机自动配置使用路由器通告的信息，因此将需要通过其他某种方式来配置路由器。 例如，如果我使用路由器将LAN连接到ISP，则ISP网络中是否没有与我的路由器通信的路由器？ 我本以为将2个（或更多）路由器链接在一起是完全合理的。在那种情况下，为什么不在第二台路由器的WAN接口上使用SLAAC？ 也许问题出在主机和路由器之间的人为区分上？根据RFC 4862： 节点-实现IP的设备。 路由器-转发未明确寻址到其自身的IP数据包的节点。 主机-任何不是路由器的节点。 但是，主机（即托管服务器或应用程序的计算机）也不能具有路由表并充当路由器吗？并且我们有效地将2个路由器再次链接在一起。 编辑：我后来发现一些额外的信息... Linux内核处理SLAAC，并且严格遵循RFC 4862。一直到主机和路由器之间的区别。请参阅ip-sysctl上的内核文档： 假定为主机行为。这意味着将发送路由器请求，并将路由器广告用于地址自动配置。 仅当启用转发（/proc/sys/net/ipv6/conf/all/forwarding）时，该设备才被视为ROUTER。这意味着将不发送任何路由器请求，并且路由器广告将被忽略。 事实证明，这种区别可以追溯到IPv6之前的版本。参见参数/proc/sys/net/ipv4/ip_forward： 这个变量是特殊的，它的变化重置所有配置参数设置为默认状态（RFC1122主机，RFC1812的路由器）
11 router  ipv6  rfc  dhcpv6 
2
如何断开网络的一半？
我正在寻找一些事后建议，因此此事件不会再发生。 我们有两个Cisco 4500x交换机的网络核心，配置为VSS冗余。从这些服务器中，我们有iSCSI设备，用于vSphere的HP刀片中心，到用户访问交换机的聚合链接以及在服务器机房中用于铜缆设备的一对4948e交换机。从4948es开始，我们有一对用于两个ISP链路的2960交换机，以及一对用作防火墙的ASA。除了许多连接到4948e的设备只有一个NIC之外，冗余性还不错。我们只能做很多事情。 我们正准备将现有的用户访问开关（旧的Extremes）替换为Meraki。我们还正在实施Meraki AP，以取代目前的Arubas。无线项目的一部分涉及为AP管理和访客无线建立一些新的VLAN和子网。 我们在4500x上有两个已定义的VLAN（20和40），它们在任何地方都没有使用过-确认子网为空，没有使用它们的端口，等等。我进入4500x并发出“ no interface vlan 20”，然后用子网重建它我想了。然后，我将其添加到连接到Meraki的两个10Gb端口 switchport trunk allowed <previous list plus two VLANs above plus existing wireless VLAN> 我注意到20个VLAN和40个VLAN已关闭，因此我no shutdown对它们进行了发布。那时我失去了访问Merakis的权限，所以我意识到我没有为该链接的端口通道接口添加VLAN。 此时，我们一半的环境变得无法访问 我们的互联网链接变得异常脆弱。我们的Avaya VoIP电话无法拨入或拨出。我们有几个铜缆连接的iSCSI设备不可用-没有面向用户的中断，但是我们的备份和邮件存档受到影响。我进入服务器机房，将Merakis与4500x断开连接（拔下两个10Gb光纤端口），以防万一我以某种方式造成了环路-没改变。我承认当时只是盯着它看了一会儿。 我拉起Orion，并注意到我们的一个外部开关（Cat2960）和我们的ASA对之一也掉线了。显然我们有部分局域网连接丢失，但是ASA对也相互交叉连接，并且它们的上行链路没有断开，因此它们没有故障转移到内部设备可以到达的范围。我关闭了“关闭”的ASA，并且互联网再次可以访问。 我给TAC打了电话，经过几个小时的努力，技术人员不断为我在4500x上展示给他的每台故障主机挑选每个端口配置，然后我登录到我们的4948e交换机中，并展示了它无法ping的事情直接连接并向上连接-我们基于Windows的铜iSCSI设备之一，刀片中心上的iLO接口等。 他查看了日志并没有发现任何内容，但是此时他说：“即使我在日志中看不到它，看起来也像是生成树的错误”，因此我们重新启动了4948e及其所有部件连接的主机立即恢复-包括Avaya机柜，因此我们的电话再次开始工作。4500x光纤连接设备仍然存在问题-死路径，因为它们都是多余的。他想对它进行非正常的关机后再开机，但这已经包含了我们所有的10 Gbit iSCSI，这将使我们的vSphere环境（本质上是我们所有的服务器）表现糟糕。我说服他进行了优雅的冗余切换，从而解决了剩余的问题。 TL; DR：我对核心进行了相当无害的更改，并导致了一个可怕的问题。我是否犯了应该预料会导致此错误的配置错误-例如，如果我先不关闭VLAN，然后将其添加到端口通道，然后再将其添加到端口，是否可以避免这种情况？思科技术人员并未这么说。他说，由于正常运行时间超过一年并且使用的是旧的IOS版本，这种情况并不奇怪。 4500x：Cisco IOS软件，IOS-XE软件，Catalyst 4500 L3交换机软件（cat4500e-UNIVERSALK9-M）版本03.04.05.SG发行软件（fc1）ROM：15.0（1r）SG10 4948e：Cisco IOS软件，Catalyst 4500 L3交换软件（cat4500e-IPBASEK9-M），版本15.0（2）SG10，发布软件（fc1）ROM：12.2（44r）SG11
1
Cisco IOS编程，自动化和信息
我对Cisco IOS感到困惑，对此有些疑问。 Cisco IOS用于路由器和其他设备。 是否可以为此编写代码（例如PHP）？ 如果可能，我可以使用哪种语言？ 让我感到困惑的不是如何使用Cisco IOS；它使我感到困惑。关于是否可以根据网络需求开发和更改路由器或其他设备？
11 cisco  cisco-ios 
1
BGP“ AS_SET”如何使用？
RFC 1771定义AS_PATH的路径属性类型，如下所示： AS_PATH (Type Code 2): AS_PATH is a well-known mandatory attribute that is composed of a sequence of AS path segments. Each AS path segment is represented by a triple <path segment type, path segment length, path segment value>. The path segment type is a 1-octet long field with …
1
如何理解Cisco CAR中的“正常突发”和“最大突发”？
据我了解，Cisco IOS CAR（承诺访问速率）基于泄漏桶算法（思想与令牌桶算法完全相同），我配置为平均速率的位数为“水不断泄漏桶的数量” ”。例如，此处的平均输入速率限制速率为5Mbps： interface FastEthernet0/0 ip address 10.10.10.2 255.255.255.0 rate-limit input 5000000 937500 1875000 conform-action transmit exceed-action drop 现在，如果流量速率低于平均速率，则始终保持一致。我是否正确确定“正常突发”决定了在应用超出动作之前流量突发的数量是多少？因此，在上面的示例中，如果一直有5Mbps（存储桶中的625000字节）的恒定通信速率，那么我可以发送一秒钟7.5Mbps（向存储桶中增加312500字节）的通信量，而不会丢掉一个比特？并且如果存储桶中的字节介于正常突发和最大突发之间，那么如果最大突发也已满，则基于类似RED的算法丢弃字节，直到丢弃所有新数据包？
11 cisco  cisco-ios 
5
在此图中，符号F0 / 0和F0 / 1是什么意思？
我最近一直在接管一个使用中子网络和GRE隧道的OpenStack环境。我们遇到了网络性能问题，我确定这是某些VM实例中的MTU设置被设置为默认值1500的问题，而确实需要将它们设置得较低，比如说1456，以便对数据包进行封装在通过GRE的数据包中。 在研究此问题时，我遇到了以下两个站点： 路径MTU发现和GRE 路径MTU发现 在第二个URL上有以下图表： 该图中路由器周围的F0 / 0和F0 / 1表示什么意思？
11 routing  mtu 
2
在IPsec VPN中，如何对预共享密钥进行加密？
我在ASA 8.0上进行了IPsec VPN，对此我了解一些。发起方首先将其ISAKMP策略发送给响应方，然后响应方发回匹配的策略。此后，Diffie-Hellman密钥进行交换，然后将两者都将预共享的密钥发送给另一个进行身份验证。 现在我们有两个键： 一个将通过AES加密生成 一个将由Diffie-Hellman组生成 哪个密钥用于加密预共享密钥？
11 cisco  cisco-asa  vpn  ipsec 
4
在ping结果中解释TTL
我为VoIP服务提供商提供服务，并且正在与客户建立有线网络连接，从而使我陷入困境。 他只有一个块，我们假装为70.141.15.0/29，网关位于.1，路由器位于.2和3.。这两个路由器都连接到他的电缆调制解调器，据我们所知，电缆调制解调器已设置为电缆提供商所想象的“桥接模式”。 我正在同一盒中同时对这两个路由器执行ping操作，这是一个Linux系统，从（可能）Level（3）连接到光纤。不用说，地球上没有人知道这里和那里之间有多少个节点。但是请检查ping结果。 到第一个路由器： 64 bytes from 70.141.15.2: icmp_seq=2637 ttl=47 time=45.0 ms 64 bytes from 70.141.15.2: icmp_seq=2638 ttl=47 time=39.2 ms 64 bytes from 70.141.15.2: icmp_seq=2639 ttl=47 time=37.3 ms 64 bytes from 70.141.15.2: icmp_seq=2640 ttl=47 time=46.1 ms 64 bytes from 70.141.15.2: icmp_seq=2641 ttl=47 time=45.8 ms 64 bytes from 70.141.15.2: icmp_seq=2642 ttl=47 …
2
谁在通过多个提供商时为流量付费
TLDR问题： 谁在通过多个提供商时为流量付费 原始问题 我知道有很多关于此问题和答案的站点，但是到目前为止我还无法理解它们。如果我在CT中并且想与CA中的某人（服务器）联系，则我的数据很可能会通过至少三个ISP（我的ISP，他们的ISP和介于两者之间的其他ISP）进行传输。如果将连接路由到海外再到英国，再到德国，依此类推，情况也是如此。 在我看来，要说这些建立了如此庞大的网络的公司在“通过”时既不允许来自客户的流量，也不允许他们的客户“流量很好”，真是太神奇了。特别是在俄克拉荷马州的某人或使用美国-欧洲或美国-亚洲海底电缆的人，大部分流量不会来自其客户，因此他们无法通过流量付费。 我可以继续进行下去，但是您可以想象自己所有的问题和复杂性。一旦到达“大动脉”甚至铺设海底电缆，通过这种交通方式也许相对便宜？或者，也许有少量的政府资金和企业慈善支持了整个事情？ 我知道这可能是错误的网站，但我正在寻找真正了解该主题的人。
11 internet  isp  peering 
2
IPv6子网划分-阻止交换机上的RA？
我目前正在计划仅使用v6的小型数据中心网络。现在想象一下一个由6个机架组成的部署，每个机架12个服务器。每个服务器都有2个NIC，用于两个物理上独立的网络（管理和数据）。机架相互连接。 对于ULA地址，我想将16个子网位除以4位（用于“网络类型”），4位（用于“部署ID”）和8位（用于“机架ID”）。因此，每个机架都有自己的子网，人类可以轻松识别它们。因此，对于每个机架，我需要发送具有其他机架可访问的链接前缀和SLAAC前缀的RA，以便服务器生成其地址。但是机架没有物理路由器。只有机架上方的分布层具有路由器。 我现在的想法是让一台服务器为机架发送“路由器生存时间= 0”（在这种情况下允许（请参阅RFC4861））发送RA。但是现在RA遍布所有机架。 论文：我需要阻止RA穿越交换机。 问题：这是要完成的意思吗？仅v6上的数据中心网络有运营经验吗？
11 router  switch  ipv6  subnet 
1
非Cisco SFP在2960s和2960 PoE交换机中默认为err-disable状态
我最近在设置堆栈以替换旧的M开关设置时遇到了一个问题。我使用SFP电缆将3台交换机堆叠在一起-2台Cisco 2960交换机和1台C2960 PoE交换机背板。 我的计划是使用交换机前端的SFP模块直接上行到核心，而不是上行到Core1和Core2的最低M和最高M。 我们购买了非Cisco SFP（Cisco的价格要贵得多）并安装了它们。我通过Termmon注意到，每个SFP插入后都会立即掉线。 000016: *Feb 28 22:35:32.507 EST: %PHY-4-SFP_NOT_SUPPORTED: The SFP in Gi2/0/50 is not supported (B2-FL1-Stack-2) 000017: *Feb 28 22:35:32.507 EST: %PM-4-ERR_DISABLE: gbic-invalid error detected on Gi2/0/50, putting Gi2/0/50 in err-disable state (B2-FL1-Stack-2) 由于它们不兼容，因此考虑到SFP是国际标准，这令人困惑。
11 cisco  switch 
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.