码迷,mamicode.com
首页 > 其他好文 > 详细

CCNP路由实验之六 动态路由协议之IS-IS

时间:2014-05-02 04:46:26      阅读:376      评论:0      收藏:0      [点我收藏+]

标签:des   style   blog   tar   ext   color   



                                      CCNP路由实验之六动态路由协议之IS-IS

 

 动态路由协议可以自动的发现远程网络,只要网络拓扑结构发生了变化,路由器就会相互交换路由信息,不仅能够自动获知新增加的网络,还可以在当前网络连接失败时找出备用路径。根据是否在一个自治域内部使用,动态路由协议分为内部网关协议(IGP)和外部网关协议EGP)。这里的自治域指一个具有统一管理机构、统一路由策略的网络。自治域内部采用的路由选择协议称为内部网关协议,常用的有RIPEIGRPOSPFIS-IS外部网关协议主要用于多个自治域之间的路由选择,常用的是BGPBGP-4在一个路由器中,可同时配置静态路由和一种或多种动态路由。它们各自维护的路由表都提供给转发程序,但这些路由表的表项间可能会发生冲突。这种冲突可通过配置各路由表的优先级来解决。通常静态路由具有默认的最高优先级,当其它路由表表项与它矛盾时,均按静态路由转发。

 

简介

  IS-ISIntermediate System to IntermediateSystem Routing Protocol即中间系统到中间系统的路由选择协议IS-IS协议是由国际标准化组织制定的ISO/IEC 10589:2002 所规范的。但是标准的IS-IS协议是无连接网络服务CLNS)设计的,并不直接适合于IP网络,因此互联网工程任务组制定了可以适用于IP网络的集成化的IS-IS协议,适合传送 IP 网络信息的 IS-IS称之为在综合IS-ISIntegrated IS-IS)。在当前路由选择协议中, Integrated IS-IS 具有最重要的一个特征:它支持 VLSM快速收敛。另外它具有可伸缩性,能够支持大规模网络。。IS-IS是一种链路状态协议,是电信运营商普遍采用的内部网关协议之一IS路由器)负责交换基于链路开销的路由信息并决定网络拓扑结构IS-IS类似于 TCP/IP网络的开放最短路径优先(OSPF)协议。IS-IS路由使用两层路由体系。Level 1 路由器只知道它们本区域中的拓扑,包括所有的路由器和主机,而不知道区域以外的路由器以及目的地。Level 1 路由器将去往其它区域的所有流量都转发给本区域内的一台 L1/2 路由器,再由该L1/2把流量转发给L2区域中的L1/2路由器,再由L2区域中的L1/2路由器转发给L2路由器,完成数据转发。每台路由器只能属于一个区域,区域边界在链路上。IS-IS使用LSP分组来更新LSDB,更新数据流量小于OSPFLSA更新LSDBISIS可以在不同的子网上操作,包括广播型和点到点链路(注意:ISO网络包含了终端系统、中间系统、区域(Area)和域(Domain)。终端系统指用户设备,中间系统指路由器路由器形成的本地组称之为区域,多个区域组成一个IS-IS被设计来提供域内或一个区域内的路由IS-IS CLNPES-IS IDRP协议相结合,为整个网络提供完整的路由选择

ISO发布的OSI七层模型中的网络层:

CLNS:无连接网络服务(IS-IS (RoutingIGP))

CLNP:无连接网络协议(类似IPIPX)CLNS是为CLNP所支撑的服务

CONSConnection Oriented Network Service)面向连接的服务

CONP:面向连接网络协议Connection-Oriented Network Protocol),如x.25
 ES-IS:终端系统和中间系统路由交换协议End System to Intermediate System Routing Exchange protocol
 IDRP:域间路由选择协议IInter-Domain Routing Protocol
 IS-IS:中间系统到中间系统协议Intermediate System to Intermediate System
 CLNP可以用于终端系统的网络实体之间或网络层中继系统(Network Layer relay systems)中。 CLNP 主要提供无连接网络服务。CLNP的目标是用于充当子网独立收敛协议(SNICP)的角色,其功能为在定义的一组底层服务上建立 OSI 网络服务,并支持一组相同或不同的互连子网上的 OSI无连接模式网络服务的统一性。当子网独立收敛协议和/或子网访问协议没有提供在一个 NSAP到另一个 NSAP的全部或部分路径上支持无连接网络服务所需的功能时, CLNP可以用来进行调整。除 SNICP之外, CLNP还可以实现其它协议的功能,也因此它也适用于其它子网互连方式。

术语

  1. ISIntermediate System):中间系统。相当于TCP/IP中的路由器,是IS-IS协议中生成路由和传播路由信息的基本单元

  2. ESEnd System):终端系统。相当于TCP/IP中的主机系统。ES不参与IS-IS路由协议的处理,ISO使用专门的ES-IS协议定义终端系统与中间系统间的通信。

  3. RDRouting Domain):路由域。在一个路由域中多个IS通过相同的路由协议来交换路由信息。

  4. Area:区域,路由域的细分单元,IS-IS允许将整个路由域分为多个区域。

  5. LSDBLink State DataBase):链路状态数据库。网络内所有链路的状态组成了链路状态数据库,在每一个IS中都至少有一个LSDBIS使用SPF算法,利用LSDB来生成自己的路由。

  6. LSPLink State Protocol Data UnitLink State Packet):链路状态协议数据单元或链路状态报文。在IS-IS中,每一个IS都会生成LSP,此LSP包含了本IS的所有链路状态信息。每个IS收集本区域内所有的LSP生成自己的LSDB

  7. NPDUNetwork Protocol Data Unit):网络协议数据单元,是ISO中的网络层协议报文,相当于TCP/IP中的IP报文。

  8. DISDesignated IS):广播网络上选举的指定路由器,也可以称为指定IS或伪节点。选举DIS顺序:1)接口优先级(默认64);(2)最大MAC地址。在广播网络中,IS-IS需要在所有的路由器中选举一个路由器作为DISDesignated Intermediate System)。Level-1Level-2DIS是分别选举的,用户可以为不同级别的DIS选举设置不同的优先级。DIS优先级数值越高,被选中的可能性就越大。如果优先级最高的路由器有多台,则其中SNPASubnetwork Point of Attachment,子网连接点)地址(广播网络中的SNPA地址是MAC地址)最大的路由器会被选中。不同级别的DIS可以是同一台路由器,也可以是不同的路由器。在IS-IS广播网中,同一网段上的同一级别的路由器之间都会形成邻接关系,包括所有的非DIS路由器之间也会形成邻接关系。DIS用来创建和更新伪节点(Pseudonodes),并负责生成伪节点的LSP,用来描述这个网络上有哪些路由器。伪节点是用来模拟广播网络的一个虚拟节点,并非真实的路由器。在IS-IS中,伪节点用DISSystemID和一个字节的Circuit ID(非0值)标识。使用伪节点可以简化网络拓扑,使产生的LSP数量较少,减少SPF的资源消耗。IS-IS广播网络上所有的路由器之间都形成邻接关系,但LSDB的同步仍然依靠DIS来保证。

  9. NSAPNetwork Service Access Point):网络服务接入点,即ISO中网络层的地址,用来标识一个抽象的网络服务访问点,每种服务对应一个 NSAP地址,描述ISO模型的网络地址结构。NSAPIDPInitial Domain Part)和DSPDomain Specific Part)组成。IDP相当于IP地址中的主网络号,DSP相当于IP地址中的子网号和主机地址。IDP部分是ISO规定的,它由AFIAuthority and Format Identifier)与IDIInitial Domain Identifier)组成,AFI表示地址分配机构和地址格式,IDI用来标识域。DSPHODSPHigh Order DSP)、SystemIDSEL三个部分组成。HODSP用来分割区域,SystemID用来区分主机,SEL指示服务类型。IDPDSP的长度都是可变的,NSAP总长最多是20个字节,最少8个字节。

  10. 区域地址:IDPDSP中的HODSPHigh Order DSP)一起,既能够标识路由域,也能够标识路由域中的区域,因此,它们一起被称为区域地址(Area Address)。两个不同的路由域中不允许有相同的区域地址。同一区域中的路由器都必须使用相同的区域地址,这个地址定义了该区域。区域地址用于L2路由选择ES只能识别同一子网中具有相同区域地址的ISES。为了支持区域的平滑合并、分割及转换,一台路由器最多可配置3个区域地址

  11. System ID用来在区域内唯一标识主机或路由器。它的长度固定为48bit6字节)。实际System ID的指定可以有不同的方法,但要保证能够唯一标识主机或路由器,实际应用中,一般使用Router IDSystem ID进行对应。假设一台路由器使用接口Loopback0IP地址168.10.1.1作为Router ID,则它在IS-IS使用的System ID可通过如下方法转换得到:

  1. IP地址168.10.1.1的每一部分都扩展为3位,不足3位的在前面补0

  2. 将扩展后的地址168.010.001.001重新划分为3部分,每部分由4位数字组成,得到的1680.1000.1001就是System ID

  1. SELNSAP Selector,有时也写成NSEL)的作用类似IP中的“协议标识符”,不同的传输协议对应不同的SEL。在IP中,SEL均为00

  2. 路由方式:由于这种地址结构明确地定义了区域,Level-1路由器很容易识别出发往它所在的区域之外的报文,这些报文需要转交给具有Level-2功能的路由器去处理。Level-1路由器利用System ID进行区域内的路由,如果发现报文的目的地址不属于自己所在的区域,就将报文转发给最近的Level-1-2路由器。Level-2路由器根据区域地址进行区域间的路由。

  3. NETNetwork Entity Title,网络实体名称)指示的是IS本身的网络层信息,不包括传输层信息(SEL0),可以看作是一类特殊的NSAP,即SEL0NSAP地址。因此,NET的长度与NSAP的相同,最多为20个字节,最少为8个字节。通常情况下,一台路由器配置一个NET即可,当区域需要重新划分时,例如将多个区域合并,或者将一个区域划分为多个区域,这种情况下配置多个NET可以在重新配置时仍然能够保证路由的正确性。由于一台路由器最多可配置3个区域地址,所以最多也只能配置3NET。在配置多个NET时,必须保证它们的System ID都相同。例如NET为:ab.cdef.1234.5678.9abc.00,则其中Areaab.cdefSystemID1234.5678.9abcSEL00

  4. IS-IS在路由域内采用两级的分层结构。一个大的路由域被分成一个或多个区域(Areas)。区域内的路由通过Level-1路由器管理,区域间的路由通过Level-2路由器管理。

  1. Level-1路由器负责区域内的路由,它只与属于同一区域的Level-1Level-1-2路由器形成邻居关系,维护一个Level-1LSDB,该LSDB包含本区域的路由信息,到区域外的报文转发给最近的Level-1-2路由器。类似于OSPF的内部非骨干路由器。

  2. Level-2路由器负责区域间的路由,可以与同一区域或者其它区域的Level-2Level-1-2路由器形成邻居关系,维护一个Level-2LSDB,该LSDB包含区域间的路由信息。所有Level-2路由器和Level-1-2路由器组成路由域的骨干网,负责在不同区域间通信,路由域中的Level-2路由器必须是物理连续的,以保证骨干网的连续性。只有Level-2路由器才能直接与路由域外的路由器交换数据报文或路由信息。

  3. Level-1-2路由器同时属于Level-1Level-2的路由器称为Level-1-2路由器,可以与同一区域的Level-1Level-1-2路由器形成Level-1邻居关系,也可以与同一区域或者其他区域的Level-2Level-1-2路由器形成Level-2的邻居关系。Level-1路由器必须通过Level-1-2路由器才能连接至其他区域。Level-1-2路由器维护两个LSDBLevel-1LSDB用于区域内路由,Level-2LSDB用于区域间路由。类似于OSPFABR。但它不向L1路由器通告L2路由,所以L1路由器不会学到区域外的路由,这有点像OSPF的完全末节区域。

说明:于不同区域的Level-1路由器不能形成邻居关系。Level-2路由器是否形成邻居关系则与区域无关。

  1. IS-IS路由协议中的路由信息分为四级:

  1. Level-0存在于ESIS之间,准确的讲不算路由协议,我们可以称它为Discovery Protocol发现协议,类似于TCP/IP网络中的ARP地址解释协议。

  2. Level-1存在于同一区域内的多台路由器之间,用于实现区域内路由,类似于OSPF的域内路由(O)。

  3. Level-2存在于同一域内的多台路由器之间,用于实现域内路由,类似于OSPF的域间路由(O IA)。

  4. Level-3存在于不同的域之间,类似于TCP/IP网络中由BGP实现的AS间路由。

     

  1. IS-IS协议认证:IS-IS的认证只限于明文口令,CiscoIOS支持3个级别的认证:

  1. 邻居认证——相互连接的路由器接口必须配置相同的口令,同时必须为L1L2类型的邻居关系配置各自的认证,L1邻居认证的密码和L2邻居的认证的密码可以不同。邻居认证通过命令“isis password”配置。

  2. 区域认证——区域内的每台路由器必须执行认证,并且必须使用相同的口令。区域认证通过命令“area-password”配置。

  3. 域认证——域内的每一个L2L1/L2类型的路由器必须执行认证,并且必须使用相同的口令。域认证通过命令“domain-password”配置。

  1. 接口的路由层次类型:对于类型是Level-1-2的路由器,可能需要与某个对端只建立Level-1的邻接关系,与另一个对端只建立Level-2的邻接关系。可以通过设置相应接口的路由层次类型来限制接口上所能建立的邻接关系,如Level-1的接口只能建立Level-1的邻接关系,Level-2的接口只能建立Level-2的邻接关系。对于Level-1-2的路由器,通过将某些接口配置为Level-2,还可以防止将Level-1Hello报文发送到Level-2骨干网上,从而节省带宽。

    路由渗透(Route Leaking通常情况下,IS-IS的区域也称为Level-1区域,区域内的路由通过Level-1的路由器进行管理。所有的Level-2路由器构成一个Level-2区域。因此,一个IS-IS的路由域可以包含多个Level-1区域,但只有一个Level-2区域。Level-1区域必须且只能与Level-2区域相连,不同的Level-1区域之间并不相连。Level-1区域内的路由信息通过Level-1-2路由器发布到Level-2区域,因此,Level-2路由器知道整个IS-IS路由域的路由信息。但是,在缺省情况下,Level-2路由器并不将自己知道的其他Level-1区域以及Level-2区域的路由信息发布到Level-1区域。这样,Level-1路由器将不了解本区域以外的路由信息,Level-1路由器只将去往其它区域的报文发送到最近的Level-1-2路由器,所以可能导致对本区域之外的目的地址无法选择最佳的路由。为解决上述问题,IS-IS提供了路由渗透功能,使Level-1-2路由器可以将己知的其他Level-1区域以及Level-2区域的路由信息发布到指定的Level-1区域。

    IS-IS网络类型只支持两种根据物理链路不同可分为:

  1. 广播链路:如EthernetToken-Ring等。以多播形式发送LSPs

  2. 点到点链路:如PPPHDLC等。以单播形式发送LSPs

  3. 对于NBMANon-Broadcast Multi-Access)网络,如ATM,需对其配置子接口,并将子接口类型配置为点到点网络或广播网络。IS-IS不能在点到多点(Point to MultiPointP2MP)链路上运行。

 

IS-IS报文格式:

  1. PDU头格式:网络层的PDU称之为数据报或包(Datagram or Packet),数据链路层的PDU称之为帧(Frame)。IS-IS报文是直接封装在数据链路层的帧结构中的。PDUProtocol Data Unit,协议数据单元)可以分为两个部分,报文头和变长字段部分。其中报文头又可分为通用报头和专用报头。对于所有PDU来说,通用报头都是相同的,但专用报头根据PDU类型不同而有所差别

b)  Hello、包括ESHES发至IS),ISHIS发至ES),IIHIS之间)三种类型,用于建立和维护毗邻关系。广播网中的Level-1路由器使用Level-1 LAN IIH,广播网中的Level-2路由器使用Level-2 LAN IIH,点到点网络中的路由器则使用P2P IIH它们的报文格式有所不同,P2P IIH中的多数字段与LAN IIH相同。不同的是没有PriorityLAN ID字段,而多了一个Local Circuit ID字段,表示本地链路ID

  1. Reserved/Circuit Type:高位的6比特保留,值为0。低位的2比特表示路由器的类型(00保留,01表示L110表示L211表示L1/2)。

  2. Source ID:发送Hello报文的路由器的SystemID

  3. Holding Time:保持时间。在此时间内如果没有收到邻居发来的Hello报文,则中止已建立的邻居关系。

  4. PDU LengthPDU的总长度,以字节为单位。

  5. Priority:选举DIS的优先级。

  6. LAN ID:包括System ID和一字节的伪节点ID

c)  LSP报文格式Link State PDUs,链路状态报文)用于交换链路状态信息。LSP分为两种:Level-1 LSPLevel-2LSPLevel-1路由器传送Level-1 LSPLevel-2路由器传送Level-2 LSPLevel-1-2路由器则可传送以上两种LSP。用于发布链路状态信息。注意它是数据链路层数据包,不依靠于其它协议传递,但同时也意味着只能在直接相连的路由器之间传递。两类LSP有相同的报文格式

1) PDU LengthPDU的总长度,以字节为单位。

    1. Remaining LifetimeLSP的存活时间,以秒为单位。

    2. LSP ID:由三部分组成,System ID、伪节点ID(一字节)和LSP的分片号(一字节)。

    3. Sequence NumerLSP的序列号。

    4. ChecksumLSP的校验和。

    5. PPartition Repair):仅与L2 LSP有关,表示路由器是否支持自动修复区域分割。

    6. ATTAttachment):由L1/L2路由器产生,但仅与L1 LSP有关,表示产生此LSP的路由器(L1/L2路由器)与多个区域相连接。

    7. OLLSDB Overload):表示本路由器因内存不足而导致LSDB不完整。其他路由器在得知这一信息后,就不会把需要此路由器转发的报文发给它,但到此路由器直连地址的报文仍然可以被转发。如图10所示,假设正常情况下RouterARouterC的报文都是经过RouterB转发,但如果RouterBOL位置1,则RouterA会认为RouterB的路由不完整,从而将报文通过RouterDRouterE转发给RouterC,但到RouterB直连地址的报文不受影响

d) SNP格式:时序报文SNPSequenceNumber PDUs)用于确认邻居之间最新接收的LSP,作用类似于确认(Acknowledge)报文,但更有效。SNP包括CSNPComplete SNP,全时序报文)和PSNPPartial SNP,部分时序报文),进一步又可分为Level-1 CSNPLevel-2 CSNPLevel-1 PSNPLevel-2 PSNPCSNP包括LSDB中所有LSP的摘要信息,从而可以在相邻路由器间保持LSDB的同步。在广播网络上,CSNPDIS定期发送(缺省的发送周期为10秒);在点到点链路上,CSNP只在第一次建立邻接关系时发送。PSNP只列举最近收到的一个或多个LSP的序号,它能够一次对多个LSP进行确认。当发现LSDB不同步时,也用PSNP来请求邻居发送新的LSP

e) TLVPDU中的变长字段部分是多个TLVType-Length-Value)三元组。 不同PDU类型所包含的TLV是不同的

f) 通用报头格式所有的PDU都有相同的通用报头格式

  1. Intradomain Routeing ProtocolDiscriminator(域内路由协议鉴别符):设置为0x83

  2. Length Indicator(长度标识符):PDU头部的长度(包括通用报头和专用报头),以字节为单位。

  3. Version/Protocol ID Extension(版本/协议标识扩展):设置为10x01)。

  4. ID Length(标识长度):NSAP地址和NETID长度。

  5. RReserved,保留):设置为0

  6. Version(版本):设置为10x01)。

  7. Maximum Area Address(最大区域地址数):支持的最大区域个数。

     

    集成IS-IS特点:可以实现三种形式的路由即单纯的OSI协议路由、单纯的IP路由或两者的结合

  1. 维护一个链路状态数据库,并使用SPF算法来计算最佳路径;

  2. Hello包建立和维护邻居关系;

  3. 使用区域来构造两级层次化的拓扑结构;

  4. 在区域之间可以使用路由汇总来减少路由器的负担;

  5. 支持VLSMCIDR

  6. 在广播多路访问网络通过选举指定ISDIS)来管理和控制网络上的泛洪扩散;

  7. 具有认证功能;

  8. IS-IS采用Cost作为度量值;

  9. 快速收敛;

  10. 适合大型网络

 

IS-ISOPSF比较:

 

相同点

不同点

 

 

 

基本特点比较

都是应用广泛的IGP,都是链路状态协议

IS-IS支持CLNP环境

都支持IP环境

IS-IS只支持点到点和广播子网。OSPF支持P2P,广播,P2MPNBMA网络

都采用分层设计和分区域设计

OSPF支持虚链接

 

报文封装方式不同

 

OSPF基于接口划分区域。IS-IS基于路由路划分区域

 

 

 

 

 

 

 

邻接关系比较

都通过Hello协议发现领居,形成邻接关系

建立邻接关系的条件不同。

ISIS采用的Hello协议比较简单,OSPF比较复杂;而且ISIS检查比较宽松,领居之间的HelloDead时间不必一样,而OSPF要求一致。

在多点访问网络上选举DR/DIS

点到点链路上OSPF的邻接关系形成比IS-IS要可靠。

ISIS使用两次握手机制形成邻接关系,但现在也有3次握手的机制。

 

IS-IS的邻接关系分成L1L2邻接关系

 

OSPF中普通路由器不同DR形成邻接关系。IS-IS中都形成邻接关系

 

DRDIS选举过程不同

ISIS协议的DIS选举比较简单,而且是抢占式可预见的,优先级最高的是DIS,优先级为0的也可能成为DIS

为了保证变动小,OSPFDR选举复杂且不可预见,优先级最高的不一定是DR,优先级为0的不可能成为DR,并且有BDR的概念,DR失败,BDR立即承担DR的职责,而ISIS没有备份DISDIS失败,重新选举DIS

 

 

 

 

 

 

链路状态数据库同步过程比较

都遵循基本的链路状态数据库同步方法

OSPFLSA种类很多,数据库结构复杂,定位故障困难;ISISLSP只有路由器LSP和伪节点LSP,数据库结构简单,定位故障容易

 

同步过程不同

 

OSPFLSA生存周期是从0增加(0~60分钟,且周期不可配置);ISIS从最大值减小(20分钟~0,周期可配置)

 

 

 

 

 

 

 

 

 

 

路由计算过程比较

都使用SPF算法计算路由

OSPF把前缀作为SPT的节点;ISIS把前缀作为叶子。

ISSISPF算法要简单一些,另外ISIS把前缀作为SPT的叶子,因此在叶子发生变化时可以使用部分路由计算(PRC)来更新叶子而不需进行SPF运算。

 

ISIS接口cost值为0~63,对链路层区分不够,且一个网络的metric达到1024就认为不可达(IEFTRFC3784中扩大了const的取值范围和最大metric);

OSPF接口cost值为0~1024,一个网络的metric达到65535才认为不可达。

 

ISIS开销类型比OSPF复杂。

ISIS开销分为:narrownarrow-compatiblewidewide-compatiblecompatible

 

 

 

 

性能比较

无环路,收敛快,支持大规模网络应用(200台以上)

OSPF提倡划分区域;ISIS一般使用单区域

 

ISIS采用TLV结构,扩展性更好

 

 

实验一:配置单区域集成的IS-ISIPCLNS

bubuko.com,布布扣

R1配置:

R1(config)#conf t

R1(config)#clns routing//先全局启用CLNS路由选择

R1(config)#int fa0/0

R1(config-if)#clns router isis//再在接口上启用CLNS路由选择

R1(config-if)#isis circuit-typelevel-1//在接口中修改链路类型为L1,默认级别为L1/L2

R1(config-if)#no sh

R1(config)#router isis//启用ISIS路由协议

R1(config-router)#is-type level-1 //设置路由器类型L1

R1(config-router)#net49.0001.1111.1111.1111.00//配置NET地址;NET地址由区域地址(49.0001)、系统ID(0000.0000.0003)NSEL(00)组成

R1(config-router)#exit

 

R2配置:

R2#conf t

R2(config)#clns routing

R2(config)#int fa0/0

R2(config-if)#clns router isis

R2(config-if)#isis circuit-typelevel-1

R2(config-if)#no sh

R2(config-if)#exit

R2(config)#int s1/0

R2(config-if)#clock rate 64000

R2(config-if)#clns router isis

R2(config-if)#isis circuit-typelevel-1

R2(config-if)#no sh

R2(config-if)#exit

R2(config)#router isis

R2(config-router)#net49.0001.2222.2222.2222.00

R2(config-router)#exit

 

R3配置:

R3#conf t

R3(config)#clns routing

R3(config)#int s0/0

R3(config-if)#clock rate 64000

R3(config-if)#clns router isis

R3(config-if)#isis circuit-type level-1

R3(config-if)#no sh

R3(config-if)#exit

R3(config)#router isis

R3(config-router)#net 49.0001.3333.3333.3333.00

R3(config-router)#exit

 

此时查看R1的路由信息和与其他路由器的联通性

R1#ping 49.0001.3333.3333.3333.00

Type escape sequence to abort.

Sending 5, 100-byte CLNS Echos with timeout2 seconds

!!!!!

Success rate is 100 percent (5/5),round-trip min/avg/max = 40/43/56 ms

R1#ping 49.0001.2222.2222.2222.00

Type escape sequence to abort.

Sending 5, 100-byte CLNS Echos with timeout2 seconds

!!!!!

Success rate is 100 percent (5/5),round-trip min/avg/max = 16/22/36 ms

show clns route

show clns nei

show ip route isis

show isis topology

show isis database

下面我们要此网络实现IP路由支持,需要对R1R2R3进行如下配置:

R1#conf t

R1(config)#int fa0/0

R1(config-if)#ip add 192.168.12.1255.255.255.0

R1(config-if)#ip router isis //接口上运行IS-IS

R1(config-if)#exit

R1(config)#int lo0

R1(config-if)#ip add 1.1.1.1 255.255.255.0

R1(config-if)#ip router isis

R1(config-if)#exit

 

R2#conf t

R2(config)#int fa0/0

R2(config-if)#ip add 192.168.12.2255.255.255.0

R2(config-if)#ip router isis

R2(config-if)#exit

R2(config)#int lo1

R2(config-if)#ip add 2.2.2.2 255.255.255.0

R2(config-if)#ip router isis

R2(config-if)#exit

R2(config)#int s1/0

R2(config-if)#ip add 192.168.23.1255.255.255.0

R2(config-if)#ip router isis

R2(config-if)#exit

 

R3#conf t

R3(config)#int lo0

R3(config-if)#ip add 3.3.3.3 255.255.255.0

R3(config-if)#exit

R3(config)#int s0/1

R3(config-if)#ip add 192.168.23.2255.255.255.0

R3(config-if)#ip router isis

R3(config-if)#exit

 

再次查看R1的变化和IP网络联通性

R1#sh ip rou isis

    2.0.0.0/24 is subnetted, 1 subnets

i L1   2.2.2.0 [115/20] via 192.168.12.2, FastEthernet0/0

i L1 192.168.23.0/24 [115/20] via 192.168.12.2,FastEthernet0/0

R1#sh isis database

IS-IS Level-1 Link State Database:

LSPID                LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

R1.00-00           * 0x00000010   0x8DB4       829              0/0/0

R1.01-00           * 0x00000002   0xC4CE       0 (825)          0/0/0

R2.00-00             0x00000011   0xC8BF       1049             0/0/0

R2.01-00             0x0000000B   0x123A       823              0/0/0

R3.00-00             0x00000003   0xC476       470              0/0/0

IS-IS Level-2 Link State Database:

LSPID                LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

R1.00-00           * 0x00000004   0xD805       1023             0/0/0

R1#sh ip rou isis

    2.0.0.0/24 is subnetted, 1 subnets

i L1   2.2.2.0 [115/20] via 192.168.12.2,FastEthernet0/0

i L1 192.168.23.0/24 [115/20] via192.168.12.2, FastEthernet0/0

完成以上配置我们的IS-IS路由协议就能同时支持IPclns协议了

 

实验二:IS-ISDIS选举

bubuko.com,布布扣

R1配置:

R1#conf t

R1(config)#int lo0

R1(config-if)#ip add 1.1.1.1255.255.255.0

R1(config-if)#ip router isis

R1(config-if)#exit

R1(config)#int fa0/0

R1(config-if)#ip add 192.168.1.1255.255.255.0

R1(config-if)#ip router isis

R1(config-if)#no sh

R1(config-if)#exit

R1(config)#router isis

R1(config-router)#net49.0001.1111.1111.1111.00

R1(config-router)#is-type level-1

R1(config-router)#passive-interfaceloopback 0 //设置环回口只能学习,不能向别人发送更新包

R1(config-router)#exit

 

R2配置:

R2#conf t

R2(config)#int lo0

R2(config-if)#ip add 2.2.2.2255.255.255.0

R2(config-if)#ip router isis

R2(config-if)#exit

R2(config)#int fa0/0

R2(config-if)#ip add 192.168.1.2255.255.255.0

R2(config-if)#ip router isis

R2(config-if)#exit

R2(config)#int fa0/0

R2(config-if)#no sh

R2(config-if)#exit

R2(config)#router isis

R2(config-router)#net49.0001.2222.2222.2222.00

R2(config-router)#is-type level-1

R2(config-router)#passive-interfaceloopback 0

R2(config-router)#exit

 

R3配置:

R3#conf t

Enter configuration commands, oneper line. End with CNTL/Z.

R3(config)#int lo0

R3(config-if)#ip add 3.3.3

R3(config-if)#ip add 3.3.3.3255.255.255.0

R3(config-if)#ip router isis

R3(config-if)#exit

R3(config)#int fa0/0

R3(config-if)#ip add 192.168.1.3255.255.255.0

R3(config-if)#ip router isis

R3(config-if)#no sh

R3(config-if)#exit

R3(config)#router isis

R3(config-router)#net49.0001.3333.3333.3333.00

R3(config-router)#is-type level-1

R3(config-router)#passive-interfaceloopback 0

R3(config-router)#exit

 

完成配置后全网就能互通啦,此时查看R1IS-IS的路由表、链路状态数据库、邻居表,发现R3DIS,因为DIS比较的原则为:先比优先级,在比较MAC,从上可知,以太网的优先级默认为64

 

R1#sh ip rou isis

    2.0.0.0/24 is subnetted, 1 subnets

i L1   2.2.2.0 [115/10] via 192.168.1.2,FastEthernet0/0

    3.0.0.0/24 is subnetted, 1 subnets

i L1   3.3.3.0 [115/10] via 192.168.1.3,FastEthernet0/0

R1#sh isis database

IS-IS Level-1 Link State Database:

LSPID                LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

R1.00-00           * 0x0000000A   0xF37B       935              0/0/0

R2.00-00             0x00000009   0x936E       985              0/0/0

R3.00-00             0x00000006   0x375F       944              0/0/0

R3.02-00             0x00000003   0xF638       771              0/0/0

R1#sh isis neighbors

System Id     Type Interface   IP Address      State Holdtime Circuit Id

R2            L1   Fa0/0      192.168.1.2    UP    29      R3.02

R3            L1   Fa0/0      192.168.1.3    UP    7       R3.02

 

然后我们修改R1接口优先级大于64,此时再查看R1的邻居表和链路状态数据库,会发现R1变成了DIS

R1#conf t

R1(config)#int fa0/0

R1(config-if)#isis priority 100

 

R1#sh isis database

IS-IS Level-1 Link State Database:

LSPID                LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

R1.00-00           * 0x0000000E   0xB87F       858              0/0/0

R1.02-00           * 0x00000003   0x906B       862              0/0/0

2222.2222.2222.00-00 0x0000000D  0x5872        861              0/0/0

3333.3333.3333.00-00 0x0000000C  0xF765        871              0/0/0

3333.3333.3333.02-00 0x00000001  0x5771        0 (871)          0/0/0

R1#sh isis neighbors

System Id     Type Interface   IP Address      State Holdtime Circuit Id

2222.2222.2222 L1  Fa0/0      192.168.1.2     UP   26      R1.02

3333.3333.3333 L1  Fa0/0      192.168.1.3     UP   20      R1.02

我们可以发现DIS选举的规则是:先比较接口优先级(默认64),再比较MAC.



实验三:IS-IS区域间路由、路由汇总、路由泄露

bubuko.com,布布扣

R1配置:

R1#conf t

R1(config)#intlo0

R1(config-if)#ipadd 1.1.1.1 255.255.255.0

R1(config-if)#iprouter isis

R1(config-if)#exit

R1(config)#intfa0/0

R1(config-if)#ipadd 192.168.12.1 255.255.255.0

R1(config-if)#iprouter isis

R1(config-if)#isiscircuit-type level-1

R1(config-if)#nosh

R1(config-if)#exit

R1(config)#routerisis

R1(config-router)#net49.0001.1111.1111.1111.00

R1(config-router)#passive-interfaceloopback 0

R1(config-router)#is-typelevel-1

R1(config-router)#

 

R2配置:

R2#conf t

R2(config)#intlo0

R2(config-if)#ipadd 2.2.2.2 255.255.255.0

R2(config-if)#iprouter isis

R2(config-if)#exit

R2(config)#intfa0/0

R2(config-if)#ipadd 192.168.12.2 255.255.255.0

R2(config-if)#iprouter isis

R2(config-if)#isiscircuit-type level-1-2

R2(config-if)#nosh

R2(config-if)#exit

R2(config)#ints1/0

R2(config-if)#clockrate 64000

R2(config-if)#ipadd 192.168.23.1 255.255.255.0

R2(config-if)#isiscircuit-type level-1-2

R2(config-if)#nosh

R2(config-if)#exit

R2(config)#routerisis

R2(config-router)#net49.0001.2222.2222.2222.00

R2(config-router)#is-typelevel-1-2

R2(config-router)#passive-interfaceloopback 0

R2(config-router)#exit

 

R3配置:

R3(config)#intlo0

R3(config-if)#ipadd 3.3.3.3 255.255.255.0

R3(config-if)#iprouter isis

R3(config-if)#exit

R3(config)#intlo1

R3(config-if)#ipadd 172.168.16.1 255.255.255.0

R3(config-if)#iprouter isis

R3(config-if)#exit

R3(config)#intlo2

R3(config-if)#ipadd 172.168.17.1 255.255.255.0

R3(config-if)#iprouter isis

R3(config-if)#exit

R3(config)#intlo3

R3(config-if)#ipadd 172.168.18.1 255.255.255.0

R3(config-if)#iprouter isis

R3(config-if)#exit

R3(config)#ints0/0

R3(config-if)#clockrate 64000

R3(config-if)#ipadd 192.168.23.2 255.255.255.0

R3(config-if)#iprouter isis

R3(config-if)#isiscircuit-type level-1-2

R3(config-if)#nosh

R3(config-if)#exit

R3(config)#routerisis

R3(config-router)#net49.0002.3333.3333.3333.00

R3(config-router)#is-typelevel-1-2

R3(config-router)#passive-interfaceloopback 0

R3(config-router)#

 

完成以上配置全网互通了,然后我们查看R1R2R3的路由表、链路状态数据库、邻居表

R1#ship rou isis

    2.0.0.0/24 is subnetted, 1 subnets

iL1   2.2.2.0 [115/20] via 192.168.12.2,FastEthernet0/0

iL1 192.168.23.0/24 [115/20] via 192.168.12.2, FastEthernet0/0

i*L1 0.0.0.0/0 [115/10]via 192.168.12.2, FastEthernet0/0

R1#shisis database

IS-ISLevel-1 Link State Database:

LSPID                LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

R1.00-00           * 0x00000007   0xA02D       503              0/0/0

R2.00-00             0x00000007  0xE949       788               1/0/0

R2.02-00             0x00000004   0x1939       476              0/0/0

R1#shisis neighbors

SystemId     Type Interface   IP Address      State Holdtime Circuit Id

R2            L1   Fa0/0      192.168.12.2   UP    8       R2.02

 

R2#ship rou isis

    1.0.0.0/24 is subnetted, 1 subnets

iL1   1.1.1.0 [115/10] via 192.168.12.1,FastEthernet0/0

    3.0.0.0/24 is subnetted, 1 subnets

iL2   3.3.3.0 [115/10] via 192.168.23.2,Serial1/0

    172.168.0.0/24 is subnetted, 3 subnets

iL2   172.168.16.0 [115/20] via192.168.23.2, Serial1/0

iL2   172.168.17.0 [115/20] via192.168.23.2, Serial1/0

iL2   172.168.18.0 [115/20] via192.168.23.2, Serial1/0

R2#shisis database

IS-ISLevel-1 Link State Database:

LSPID                LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

R1.00-00             0x00000007   0xA02D       412              0/0/0

R2.00-00           * 0x00000007   0xE949       700              1/0/0

R2.02-00           * 0x00000005   0x173A       1123             0/0/0

IS-ISLevel-2 Link State Database:

LSPID                LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

R2.00-00           * 0x00000006   0xC577       694              0/0/0

R3.00-00             0x0000000B   0xEDF8       694              0/0/0

R2#shisis neighbors

SystemId     Type Interface   IP Address      State Holdtime Circuit Id

R1            L1   Fa0/0      192.168.12.1   UP    28      R2.02

R3            L2   Se1/0      192.168.23.2   UP   22       00

 

R3#ship rou isis

iL2 192.168.12.0/24 [115/20] via 192.168.23.1, Serial0/0

    1.0.0.0/24 is subnetted, 1 subnets

iL2   1.1.1.0 [115/20] via 192.168.23.1,Serial0/0

    2.0.0.0/24 is subnetted, 1 subnets

iL2   2.2.2.0 [115/20] via 192.168.23.1,Serial0/0

R3#shisis database

IS-ISLevel-1 Link State Database:

LSPID                LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

R3.00-00           * 0x0000000B   0x4101       577              1/0/0

IS-ISLevel-2 Link State Database:

LSPID                LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

R2.00-00             0x00000006   0xC577       571              0/0/0

R3.00-00           * 0x0000000B   0xEDF8       571              0/0/0

R3#shisis nei

R3#shisis neighbors

SystemId     Type Interface   IP Address      State Holdtime Circuit Id

R2            L2   Se0/0      192.168.23.1   UP    25      00

 

以上我们可以看出:

  1. R1有一条默认路由,原因是R1的路由类型为L1,而R2L1-2类型,R1R2处于相同区域Area49.0001.因此其会接到R2路由器发送的L1类型的默认路由。这有点像ospf中的完全末节区域。这样做的好处就是减少了路由表的大小。同时也增强了isis的稳定性

  2. 路由器类型(is-type),相邻路由器要么同时是L1L2,要么2端中有一端是L1L2,否则形成不了邻居。

  3. 链路类型(isiscircuit-type),链路的2端,要么同时是L1L2,要么2端中有一端是L1L2,否则形成不了邻居。

  4. 路由器类型为L1时,只能建立L1的邻居,且只学习域内的路由。对于路由器类型为L2,同样只能建立L2的邻居,不仅学习域内路由还会学习域间路由,L1/L2路由器维护两个分离的L1L2link statedatebase,将计算完全独立的L1L2拓扑自已SPF tree

  5. 两端的路由器类型要和链路类型相匹配,否则不能建立邻居关系。

接着把目光放到R2的路由表上,发现它学习到的路由有点臃肿,有些路由可以汇总,减小路由表的大小,而这些路由是来自域外的R3的。那么可以对R3进行汇总,然后再次查看R2的路由表变化

R3(config)#router isis

R3(config-router)#summary-address172.168.16.0 255.255.252.0

 

R2#sh ip rou isis

    1.0.0.0/24 is subnetted, 1 subnets

i L1   1.1.1.0 [115/10] via 192.168.12.1, FastEthernet0/0

    3.0.0.0/24 is subnetted, 1 subnets

i L2   3.3.3.0 [115/10] via 192.168.23.2, Serial1/0

    172.168.0.0/22 issubnetted, 1 subnets

i L2   172.168.16.0 [115/20] via 192.168.23.2,Serial1/0

 

我们再把目光移到R1上,发现R1有一条默认路由指向R2通往域外。有时候我们可能需要R1知道一些域外的明细路由达到最优选路,此时就要使用IS-IS的路由泄露功能。针对R2进行如下配置,然后再查看R1IS-IS路由表变化

R2#conft

R2(config)#access-list100 permit ip 3.3.3.0 0.0.0.255 any //创建ACL允许注入的域外网段R2(config)#router isis

R2(config-router)#redistributeisis ip level-2 into level-1 distribute-list 100 //根据ACLL2路由器将域外网段注入L1路由器

 

R1#ship rou isis

    2.0.0.0/24 is subnetted, 1 subnets

iL1   2.2.2.0 [115/20] via 192.168.12.2,FastEthernet0/0

    3.0.0.0/24 is subnetted, 1 subnets

i ia   3.3.3.0 [115/148] via 192.168.12.2,FastEthernet0/0 //多了一条域外路由

iL1 192.168.23.0/24 [115/20] via 192.168.12.2, FastEthernet0/0

i*L10.0.0.0/0 [115/10] via 192.168.12.2, FastEthernet0/0

 

 

 

实验四:IS-IS的多进程多区域和区域迁移

bubuko.com,布布扣

R1配置:

R1#conf t

R1(config)#int lo0

R1(config-if)#iip add 1.1.1.1 255.255.255.0

R1(config-if)#exit

R1(config)#int s0/0

R1(config-if)#clock rate 64000

R1(config-if)#ip add 192.168.12.1 255.255.255.0

R1(config-if)#ip router isis 1

R1(config-if)#isis circuit-type level-1-2 //可以不打,默认即可

R1(config-if)#no sh

R1(config-if)#exit

R1(config)#int s0/1

R1(config-if)#clock rate 64000

R1(config-if)#ip add 192.168.13.1 255.255.255.0

R1(config-if)#ip router isis 1

R1(config-if)#isis circuit-type level-1-2

R1(config-if)#no sh

R1(config-if)#exit

R1(config)#router isis 1

R1(config-router)#net 49.0001.1111.1111.1111.00

R1(config-router)#is-type level-1-2

R1(config-router)#passive-interface loopback 0

R1(config-router)#exit

 

R2配置:

R2#conf t

R2(config)#int lo0

R2(config-if)#ip add 2.2.2.2 255.255.255.0

R2(config-if)#ip router isis 1

R2(config-if)#exit

R2(config)#int s0/0

R2(config-if)#clock rate 64000

R2(config-if)#ip add 192.168.12.2 255.255.255.0

R2(config-if)#ip router isis 2

R2(config-if)#no sh

R2(config-if)#exit

R2(config)#router isis 1

R2(config-router)#net 49.0002.2222.2222.2222.00

R2(config-router)#is-typelevel-1//IS-IS等级为1,只与本区域(L1区域)交换路由信息,它会收到本区域中L1/L2的默认路由

R2(config-router)#exit

R2(config)#router isis 2

R2(config-router)#net 49.0001.2222.2222.2222.00

R3(config-router)#is-typelevel-1-2

R2(config-router)#exit

 

R3配置:

R3#conf t

R3(config)#int lo0

R3(config-if)#ip add 3.3.3.3 255.255.255.0

R3(config-if)#ip router isis 1

R3(config-if)#exit

R3(config)#int s0/0

R3(config-if)#clock rate 64000

R3(config-if)#ip add 192.168.13.2 255.255.255.0

R3(config-if)#ip router isis 2

R3(config-if)#no sh

R3(config-if)#exit

R3(config)#router isis 1

R3(config-router)#net 49.0003.3333.3333.3333.00

R3(config-router)#is-typelevel-1

R3(config-router)#exit

R3(config)#router isis 2

R3(config-router)#net 49.0001.3333.3333.3333.00

R3(config-router)#is-typelevel-1-2

R3(config-router)#exit

配置完成后就可以全网互通了,查看R2的路由表、链路状态数据库、邻居表,此时我们发现

  1. 一台路由器上启动多个IS-IS路由进程,并将不同的进程应用到相应的接口上,使一个路由器可以支持多个area

  2. IS-IS中进程号用TAG表示,它可以使数字或字母,与OSPFEIGRP等略有不同

  3. is-is创建的第一个进程默认为L2L1/L2等级,第二个进程是L1等级。

  4. IS-IS等级为1时,只与本区域(L1区域)交换路由信息,它会收到本区域中L1/L2的默认路由

    R2# sh ip rou isis

        1.0.0.0/24 is subnetted, 1 subnets

    i L1   1.1.1.0 [115/10] via 192.168.12.1, Serial0/0

    i L1 192.168.13.0/24 [115/20] via192.168.12.1, Serial0/0

        3.0.0.0/24 is subnetted, 1 subnets

    i L2   3.3.3.0 [115/30] via 192.168.12.1, Serial0/0

    R2#sh isis database

    Area 2:

    IS-IS Level-1 Link State Database:

    LSPID                 LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

    R1.00-00              0x00000007   0xEEFE       1125             1/0/0

    R2.00-00            * 0x00000006   0xA73B       328              1/0/0

    R3.00-00              0x00000003   0xB8C3       810              1/0/0

    IS-IS Level-2 Link State Database:

    LSPID                 LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

    R1.00-00              0x00000004   0xCD2B       1134             0/0/0

    R2.00-00            * 0x00000002   0x0B41       1135             0/0/0

    R3.00-00              0x00000004   0x3AA3       803              0/0/0

    Area 1:

    IS-IS Level-1 Link State Database:

    LSPID                 LSP Seq Num  LSP Checksum LSP Holdtime     ATT/P/OL

    R2.00-00            * 0x00000003   0x04BC       563              1/0/0

    R2#sh isis neighbors

    Area 2:

    System Id     Type Interface  IP Address      State Holdtime Circuit Id

    R1            L1L2 Se0/0      192.168.12.1    UP   25      00

    Area 1:

    System Id     Type Interface  IP Address      State Holdtime Circuit Id

     

    接着我们进行区域实时迁移,且不中断网络业务(OSP迁移需要中断网络),将Area 49.0001迁移到Area 50.abcd.下面对R1R2R3同时添加迁移目标的NET地址,最后才删除原来的NET地址,达到平滑过渡迁移的目的。

    R1(config)#router isis 1

    R1(config-router)#net 50.abcd.1111.1111.1111.00//在对应IS-IS进程中添加我们需要迁移的目标NET,最多可添加3

     

    R2(config)#router isis 2

    R2(config-router)#net 50.abcd.2222.2222.2222.00//在对应IS-IS进程中添加我们需要迁移的目标NET,最多可添加3

     

     

    R3(config)#router isis 2

    R3(config-router)#net 50.abcd.3333.3333.3333.00//在对应IS-IS进程中添加我们需要迁移的目标NET,最多可添加3

     

    R1(config)#router isis 1

    R1(config-router)#no net 49.0001.1111.1111.1111.00 //添加完成后,删除不需要的NET地址

     

    R2(config)#router isis 2

    R2(config-router)#no net 49.0001.2222.2222.2222.00//添加完成后,删除不需要的NET地址

     

    R3(config)#router isis 2

    R3(config-router)#no net 49.0001.3333.3333.3333.00//添加完成后,删除不需要的NET地址

     

    测试网络连通在修改过程联通性,并且查看R1的链路状态数据库变化

    R1#sh isis database detail

    IS-IS Level-1 Link State Database:

    LSPID                LSP Seq Num LSP Checksum  LSP Holdtime      ATT/P/OL

    R1.00-00           * 0x00000017  0x91CC        503               1/0/0

      Area Address: 50.abcd

      NLPID:       0xCC

      Hostname: R1

      IP Address:  1.1.1.1

      Metric: 10        IP 192.168.12.0 255.255.255.0

      Metric: 10        IP 192.168.13.0 255.255.255.0

      Metric: 0         IP 1.1.1.0 255.255.255.0

      Metric: 10        IS R2.00

      Metric: 10        IS R3.00

    --More--

     

     

    实验五:IS-IS的认证

    IS-IS认证特性分为邻居关系认证、区域认证、路由域认证三个方面。认证的目的即是为了防止恶意攻击,蓄意入侵。IS-IS认证的加密方式有两种,一种是明文加密,一种是MD5密文加密,这里我们推荐使用MD5加密认证。

  5. bubuko.com,布布扣

    R1配置:

    R1#conft

    R1(config)#key chain test //创建密钥链test

    R1(config-keychain)#key 1 //为密钥链test创建密钥 key 1

    R1(config-keychain-key)#key-string kkfloat //设置key 1的密码为kkfloat

    R1(config-keychain-key)#exit

    R1(config-keychain)#exit

    R1(config)#int lo0

    R1(config-if)#ip add 1.1.1.1 255.255.255.0

    R1(config-if)#ip router isis

    R1(config-if)#exit

    R1(config)#int fa0/0

    R1(config-if)#ip add 192.168.12.1 255.255.255.0

    R1(config-if)#ip router isis

    R1(config-if)#isis authentication key-chain test level-1 //在接口fa0/0上开启is-islevel-1验证,并设置密钥链为test

    R1(config-if)#isis authentication mode md5 level-1 //设置IS-ISLevel-1验证使用使用MD5加密方式

    R1(config-if)#no sh

    R1(config-if)#exit

    R1(config)#router isis

    R1(config-router)#net 49.0001.1111.1111.1111.00

    R1(config-router)#passive-interface loopback 0

    R1(config-router)#authentication key-chain test //设置IS-IS49.0001域认证使用密钥链test

    R1(config-router)#authentication mode md5 level-1//设置IS-IS49.0001域认证使用MD5加密

    R1(config-router)#exit

     

    R2配置:

    R2#conf t

    R2(config)#key chain test//创建密钥链test

    R2(config-keychain)#key 1 //为密钥链test创建密钥 key 1

    R2(config-keychain-key)#key-string kkfloat//设置密钥key 1的密码为kkfloat

    R2(config-keychain-key)#exit

    R2(config-keychain)#exit

    R2(config)#int lo0

    R2(config-if)#ip add 2.2.2.2 255.255.255.0

    R2(config-if)#ip router isis

    R2(config-if)#exit

    R2(config)#int fa0/0

    R2(config-if)#ip add 192.168.12.2 255.255.255.0

    R2(config-if)#ip router isis

    R2(config-if)#isis  authentication key-chain test//在接口fa0/0上开启is-islevel-1验证,并设置密钥链为test

    R2(config-if)#isis authentication mode md5 level-1 //设置IS-ISLevel-1验证使用使用MD5加密方式

  6. R2(config-if)#no sh

    R2(config-if)#exit

    R2(config)#int s1/0

    R2(config-if)#clock rate 64000

    R2(config-if)#ip add 192.168.23.2 255.255.255.0

    R2(config-if)#ip router isis

    R2(config-if)#no sh

    R2(config-if)#exit

  7. R2(config)#router isis

    R2(config-router)#net 49.0001.2222.2222.2222.00

    R2(config-router)#passive-interface loopback 0

    R2(config-router)#authentication key-chain test //设置IS-IS49.0001域内认证使用密钥链test

    R2(config-router)#authentication mode md5 level-1//设置IS-IS49.0001域内认证使用MD5加密

    R2(config-router)#authentication key-chain test level-2 //设置IS-IS路由域将的认证使用密钥链test

    R2(config-router)#authentication mode md5 level-2//设置IS-IS路由域间的认证使用MD5加密

     

    R3配置:

    R3#conft

    R3(config)#key chain test//创建密钥链test

    R3(config-keychain)#key 1//为密钥链test创建密钥 key 1

    R3(config-keychain-key)#key-string kkfloat//为密钥key1设置密码为kkfloat

    R3(config-keychain-key)#exit

    R3(config-keychain)#exit

    R3(config)#int lo0

    R3(config-if)#ip add 3.3.3.3 255.255.255.0

    R3(config-if)#ip router isis

    R3(config-if)#exit

    R3(config)#int s0/0

    R3(config-if)#clock rate 64000

    R3(config-if)#ipadd 192.168.23.3 255.255.255.0

    R3(config-if)#ip router isis

    R3(config-if)#no sh

    R3(config-if)#exit

    R3(config)#router isis

    R3(config-router)#net49.0002.3333.3333.3333.00

    R3(config-router)#authentication key-chain test level-2//设置IS-IS路由域将的认证使用密钥链test

    R3(config-router)#authentication mode md5 level-2//设置IS-IS路由域间的认证使用MD5加密

    R3(config-router)#passive-interface loopback 0

    R3(config-router)#exit

     

    总结三种认证:

  1. IS-IS邻居关系认证:即是接口认证,用以确认邻居的正确性和有效性,防止与无法信任的路由器形成邻居。可以为IS-ISlevel1level2分配一个接口认证密码。如果不指定level2,则默认的level1的认证。如果接口开启了明文认证,那么密码会被插入封装到到IS-ISHello报文中,接收路由器会对接收到的Hello报文进行认证密码的检查,一致时才会与对端IS-IS路由器建立邻居关系。比如AB两台路由器互联,如果A没有配邻居认证,而B配置了邻居认证,那么在A来说是可以建立B的邻居关系.B则不起邻居关系。因为在协议实现上,没配置认证的一端是可以接收对端的Hello报文,并不进行密文的比较,可以建立起邻居关系的;而配置认证的一端,收到hello报文后,必须进行密文的比较,如果两端密文不一致,则直接丢弃;也就是说自己不配置认证的宽入,配置认证的严入;

  2. IS-IS区域认证:其实就是Level 1 area的验证,区域认证可以防止将从不信任的路由器学习到的路由信息加入到本地Level-1LSDB中,也就是拒绝接收没有通过认证的路由器发来的路由通告。配置区域认证后,认证密码将封装到Level-1报文(LSPCSNPPSNP)中,并对收到的Level-1报文进行认证密码的检查。但同一区域内的路由器必须配置相同的认证方式和认证密码。例如如果A路由器配置了区域认证,但是B没有配置,此时A发送出来的Level 1LSP都会携带密文认证的TLV,然而由于B并没有开启认证,因此A发送的这些LSP到了BB直接忽略LSP中的认证信息,直接去读取,因此B能学习到A通告的路由,然而A不能从B学习到任何路由。

  3. IS-IS路由域认证:即是Level 2认证,可以防止将不可信的Level-2路由信息注入当前路由域。配置路由域认证后,认证密码将会封装到Level-2报文(LSPCSNPPSNP)中,并对收到的Level-2报文进行认证密码的检查。但所有骨干层(Level-2)路由器必须配置相同的认证方式和认证密码。例如如果A路由器配置了路由域认证,但是B没有配置,此时A发送出来的Level 2LSP都会携带密文认证的TLV,然而由于B并没有开启认证,因此A发送的这些LSP到了BB直接忽略LSP中的认证信息,直接去读取,因此B能学习到A通告的路由,然而A不能从B学习到任何路由。

     

CCNP路由实验之六 动态路由协议之IS-IS,布布扣,bubuko.com

CCNP路由实验之六 动态路由协议之IS-IS

标签:des   style   blog   tar   ext   color   

原文地址:http://blog.csdn.net/kkfloat/article/details/24853361

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!