网络工程

网络工程师的问答

4
带有/ 30链接的OSPF选举？
我有几个/ 30子网通过具有广播功能的链路连接OSPF路由器。我是否还应该将链路中涉及的接口配置为点对点ip ospf网络？还是有关系吗？我唯一能想到的就是阻止选举，因为子网中只有2台主机（路由器），所以就我的理解而言，这应该无关紧要？
2
为什么IGMP中的TTL值为1
为什么IGMP协议中的TTL值为1，以及TTL部分中的多播可能有哪些不同的值？ 我从谷歌那里得到的是，如果TTL值为1，那么它不会离开局域网，但是如果它不会离开局域网，则味精将如何广播？
9 ipv4  multicast  igmp 
4
测量每个链路的延迟/抖动/数据包丢失
我需要测量网络中每个链路（而不是端对端）的延迟，抖动和数据包丢失，例如： s1-eth0 <-> s2-eth0（平均延迟约为20µs，标准派生值为10µs，丢包率为57％/最后一秒） s2-eth1 <-> s3-eth0（平均延迟时间为25µs，标准偏差为5µs，丢包率为21％/最后一秒） ... 我能够找到的所有解决方案都是学术建议，或者涉及使用专用硬件进行主动探测。 这是一个摘要，根据我的研究无法解决： NetFlow：无延迟信息，仅端到端 主动探测：我无法更改网络配置 测量往返时间：不提供每个链接的统计信息 是否有网络协议，测量工具或其他功能可提供全部或至少部分上述统计信息？
1
EoMPLS，MSTP和RPVST
我们正在寻找Cisco ME3600，以便为某些软件定义的网络提供数据中心结构之间的连接。由于该平台对EoMPLS xconnect的限制高于VRF（512 vs 128），因此我们正在考虑在每个DC中为软件路由器分配vLAN，并使用EoMPLS将这两个软件路由器连接在一起以路由第3层的方法交通。 为了实现冗余，我们希望一对软件路由器之间的每个连接都具有2个PW，考虑到各种生成树实现之间的交互作用，我很好奇如何做到这一点。 我们的一个数据中心已将MSTP部署为单个区域，实例1中的赔率在实例2中为偶数，实例2中的CIST在实例0中为CIST。另一个数据中心仍在运行R-PVST。 当前的计划是创建从交换矩阵到ME3600的中继，并将EFP用于特定的vLAN，并将其分配给xconnect。我很好奇两端的交换结构将如何处理-我是否必须在两侧都设置vLAN 1 EFP并传递PVST流量？这足以在两边设置root / block / alternate吗？ 下图是物理布局，以及连接两个软件路由器的逻辑思想。
2
多分支Cat5e / 6电缆？
我正在寻找在小型企业中安装以太网端口的方法。共有7-8组小隔间，每间都有4个桌子。理想情况下，我想在每张桌子上铺设电缆，但是如果我的数学正确，那么我正在寻找将近6,000英尺以上的电缆。 我看到了有关多对电缆的信息，但是我敢肯定那只是为了语音。是否存在诸如Cat5e或Cat6电缆之类的东西，它们会像32（4x8）线那样运行，这些电线可以分开并端接到壁装电源插座，而不是4个单独的以太网电缆引入线？ 如果没有，除了添加开关之外，我还能做什么以“专业”地实现目标？
1
SVI或450x上的接口上的辅助IP地址号是否有限制？
在搜索了配置指南和文档后，我没有任何证据表明ip address secondary在450x SUP6E上某个VLAN上的配置受到限制。 有谁知道我在哪里可以找到这些信息或确认是否有任何信息？ 据我所知，对在SVI或接口上配置的辅助IP没有任何限制。 谢谢。
2
如何在不直接连接到服务器交换机的情况下将私人用户连接到受信任网络中的应用程序
我有2个控制中心站点，每个站点都具有2个全网状设计的N7K，以及2个Nexus 5548UP作为内部服务器场聚合和2个ASA防火墙，分别挂在每个N5K Agg上。两个站点均具有镜像设计。我们的用户需要直接访问内部服务器场应用程序，我们还需要一个安全边界来处理来自内部服务器应用程序的出站连接请求。此外，我需要在Agg中托管专用DMZ，以将入站连接请求与我们归类为较低安全区域的区域隔离开来（N7K CORE将使用vrf：Global指向较低安全网络子网的路由）。 通常，将用户视为较低的安全区域，但此设计用于托管大型电网的控制系统。考虑到这一点，我也不想直接将用户连接到N5K Agg，以允许SITE1服务器场Agg崩溃，从而允许SITE 2托管应用程序（当前，我们将用户连接到与应用程序相同的物理交换机上） 。我想提供一种经典的数据中心设计，其中用户从HA L3 CORE（4 x N7K Full Mesh）路由到服务器场。但是，由于它们被认为与“内部服务器”具有相同的安全级别，因此我想将它们隔离到托管在N7K CORE上的私有VPN云中。由于N7K支持MPLS，因此这将是最合乎逻辑的 我的当前设计在Nexus 5548聚合中具有用于内部服务器的L2 / L3边界，因为防火墙也已连接到那里。Nexus 5K不支持MPLS，但支持VRF Lite。N5K还以完整的网格连接到每个站点的本地N7K。 要利用N5K和N7K之间的所有4条链路，我要么需要配置pt到pt L3链路，否则就会使将内部用户流量与核心区与需要转发防火墙的流量隔离开来，或者我可以利用5K之间的FabricPath。和7K，并使用vrf lite，其中唯一的FabricPath vlan将是4个节点与防火墙的外部vlan之间的接口SVI，用于连接N7K的vrf：全局路由表。由于这些必须获得许可，因此这可能是过高的，但是我们有独特的安全要求，因此成本往往是一个小问题。 对于路由，我将在防火墙中安装默认路由以指向N7K vrf：Global，它将运行OSPF或EIGRP并学习到其他较低安全性网络的路由。对于高安全区，我将安装一个vrf：在所有N5K和N7K上安装Internal，最有可能运行BGP，因为N7K上的MPLS需要使用MP-BGP。这只会学习SITE2内部服务器场和内部用户的路由（我们的应用程序需要站点之间的L3才能防止脑裂）。我还必须非常小心，不允许vrf：Global与vrf：内部交换路由，因为这将造成状态防火墙在两个vrf之间提供L3连接的不对称噩梦。在本地站点N5K和防火墙上使用简单的默认路由，在N7K中使用指向内部服务器子网的汇总路由，可以避免此问题。 或者，我考虑在N7K上再建一个VDC，以提供FHRP并将防火墙移到VDC。N5K仅使用FabricPath，不使用任何形式的L3。 由于这很可能不是典型的设计，因此我希望能收到任何反馈。
2
我应该使用默认路由还是完整的BGP表？
我的网络具有三个链接（ISPA，3MB，ISPB，1.5MB，ISPC，50MB）。我有三种不同的速度，因此，ISP A和B主要用于冗余。我目前正在接收来自所有三个提供商的路由，但是在备用链接上过滤了其中的一些路由。当我希望将流量仅排在较近的较大管道之外时，我感觉好像不需要从所有ISP检索完整的路由表，而只需要同步默认路由即可。 是这样吗 有没有一种方法可以将BGP限制为仅同步下一跳或本地路由？我担心要启用完全同步，因为我正在使用较旧的路由器，并且正在使用有限数量的RAM。
9 routing  bgp 
1
瞻博网络SRX HA链路通过交换机
必须通过两个交换机EX4200将两个srx650加入机箱集群（被动/主动）中。我需要从三个示例中选择一个。请帮助定义正确的选择并描述Srx650和交换机ex4200上的设置。同样重要的时刻-是否可以通过光纤连接开关？以下三个图概述了逻辑配置： 选项1： 选项2： 选项3：
3
Cisco SDM的Cisco路由器配置替代方案（即无需Java）
我们这里有一个旧的Cisco 850系列路由器，在我们安装新的Palo-Alto之前碰巧临时需要它。 现在，在我重置它并尝试10.10.10.1像通常那样在其上拉配置页面时，我遇到了一些问题。 配置器根本无法将Internet Explorer 11识别为Internet Explorer-认为它是Netscape。因此，我被迫使用旧版本或Firefox（无论如何，首选，我只是在提到问题） 该配置器允许您登录到网页，然后在第二次登录时启动Java。之后，它将停止工作。我已经在新旧浏览器中进行了尝试。我仍然必须尝试将Java降级（如此处所建议），并查看是否可以采用这种方式。显然，这是Cisco的常见情况-请查看此报价： 只是一个愚蠢的轶事... Cisco有着导致旧JRE必要性的可怕历史，它几乎不可能用不同的软件版本来管理几台不同的设备。他们真的需要为此工作。 看来JRE 6 update 11可以做到这一点（仅x86；据报道x64无法正常工作）。 好的，即使我可以运行配置程序，也不想为了访问路由器配置而正常运行旧版本的Java。 如果我一次可以进入路由器配置，是否有办法使该路由器运行某些不依赖Java的固件？我已经成功地用DD-WRT刷新了TP-Link，但是DD-WRT似乎不能在Cisco 850上运行。 有什么建议吗？ [结论] 尽管已为该问题标记了答案，但我只是想分享我的一些最终想法，以防万一它对任何人都有帮助。 我们最终通过控制台电缆+ Putty配置了路由器。这使我们可以完全不用担心SDM或Java。我的计划是能够通过SSH（再次通过Putty或一个名为mRemoteNG的可爱选项卡式应用程序）远程管理路由器，从而再次避免了Java问题。 但是，我还发现了另一个有趣的小花絮。我有一台运行Windows XP的老戴尔，它有一个控制台端口。我决定保留它仅用于配置设备。它还具有Windows7。我还找到了路由器随附的旧Cisco光盘，它使我可以在计算机本身上安装SDM，还安装了Java5。现在，我可以通过控制台SSH访问路由器了。以及SDM都在无需更新的机器上。因此，我只需插入此框即可，而不必担心搞乱常规工作站的配置。
1
如何为空间多样性T1提供故障转移
我继承了一个小型的，孤立的专用网络，该网络基本上没有问题，因此我自然希望对其进行改进：-)阅读后，我降低了网络知识，并精明地理解为2到3左右，比例为1-10网络帖子在这里。为了清楚起见，我仅在图中包含了相关的路由器。 当前，每个园区中大约混合有6-8个Cisco 2800和2900，以及专用于本地应用的语音卡，使用静态路由在两个园区之间获取数据包。他们在R1和R2上运行c2801-spservicesk9-mz.124-3g，在R3和R4上运行c2800nm-adventerprisek9-mz.124-15.t3。 这是一个固定不变的网络，仅服务于该专用应用程序。没有台式机或笔记本电脑来回走动，只有Cisco路由器通过每个园区中环形拓扑中的第三方光纤多路复用器连接，并连接了几台服务器计算机（“其他节点”的一部分）。 在客户决定的某个时候，最好在R2和R3之间安装第二个T1以实现冗余。根据我的测试，静态路由无法使用第二个T1。即使在通往新T1的辅助路由上使用AD /度量，只有T1发生故障的路由器才知道这一点，而该园区中的其他路由器则不知道。 我用的是在这里读这样的解决方案让事情变得简单，并尽量减少心烦到网络后，IP跟踪对象考虑。然后，我读到EIGRP是处理此问题的首选方法。 但是，如果要采用动态路由，则必须以不中断服务的方式实现它。这一切对我来说都很遥远，如果我在重新配置期间失去连接，需要我安排一名本地技术人员待命。希望使用如此小的，不变的网络，可以将这种干扰降到最低。 因此，我应该研究如何使用IP跟踪对象或EIGRP来完成此T1故障转移路由吗？ 编辑：这是R4当前配置的路由。我非常有信心在这里有些麻烦，但是我尝试了一次来简化它，但是当我犯了一个小错误并且失去了与Campus B的连接时，我放弃了。中断是一个很大的禁忌。我决定让自己呆得足够好，直到我设计出更好的方法为止。 ip route 10.0.0.0 255.0.0.0 10.1.1.8 ip route 10.1.1.8 255.255.255.252 Serial0/3/0 ip route 192.168.30.0 255.255.255.0 Serial0/3/0 ip route 192.168.6.0 255.255.255.0 Serial0/3/0 ip route 192.168.8.0 255.255.255.0 FastEthernet0/0 ip route 10.0.2.128 255.255.255.192 192.168.31.2 ip route 10.2.160.0 255.255.255.0 192.168.31.2 ip route 192.168.254.0 255.255.255.0 …
3
10gb / s接口上的数据包丢失
在Cisco 6500的Sup 720上，我的10gb / s接口上有一定数量的数据包被丢弃。在清除计数器后，一分钟之内您可以看到被丢弃的数据包的数量。 我们看不到任何性能下降，也没有客户抱怨。将来这将成为一个严重的问题吗？我从未在队列中看到一个数据包。我正在考虑将输入队列大小更改为1024，因为默认情况下该队列中的数据包为75个数据包，但是我想知道为什么数据包在丢弃之前根本不进入队列。在1gb / s的接口上，我根本看不到任何丢弃的数据包，一切都很好。请帮助我解决队列丢弃问题。 sh int TenGigabitEthernet1/1 Hardware is C6k 10000Mb 802.3, address is 000f.3589.ac00 (bia 000f.3589.ac00) Description: transit Internet address is 192.0.2.1/24 MTU 1500 bytes, BW 10000000 Kbit, DLY 10 usec, reliability 255/255, txload 84/255, rxload 3/255 Encapsulation ARPA, loopback not set Keepalive not set …
2
思科IPSec站点到站点VPN。如果VPN关闭，则允许流量
“安全带”配置规划位。 背景： 我们有一个成功的到远程数据中心的站点到站点VPN链接。 远程“受保护”网络也是通过防火墙作为面向Internet的端点打开的IP网络范围。 因此：我们使用VPN，以便可以访问非公共端点。 问题陈述： 如果VPN链路断开，即使Internet端点仍可通过远程防火墙访问，ASA也会丢弃流量。 问题： 当VPN关闭时，如何配置VPN以“通过”流量作为常规传出流量。 这是配置的相关部分。 crypto map vpn-crypto-map 20 match address remdc-vpn-acl crypto map vpn-crypto-map 20 set peer a.b.c.d crypto map vpn-crypto-map 20 set transform-set remdc-ipsec-proposal-set crypto map vpn-crypto-map interface outside 匹配流量的ACL非常原始：它指定表示为网络对象的两个网络（专用网络和远程网络）。 access-list remdc-vpn-acl extended permit ip object <private> object <remote> log 和原始图。 INTERNET x …
9 vpn  ipsec  cisco 
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.