文章目錄
- ISIS收斂特性
- ISIS的智能定時器
- LSP 快速擴散
- IS-IS擴充特性—IS-IS認證
-
- 認證分類
- 認證方式
- ISIS wide metric
- IS-IS擴充特性—IS-IS LSP分片擴充
- IS-IS管理特性—IS-IS管理标記（Tag）
- 綜合實驗
- 故障排除思路
ISIS收斂特性
ISIS自帶屬性，無需配置
- 快速收斂
-
增量最短路徑優先算法I-SPF
隻對受影響的節點進行路由計算
隻第一次計算全部節點
- 部分路由計算PRC
-
PRC的原理與I-SPF相同，都是隻對發生變化的路由進行重新計算。不同的是，PRC不需要計算節點路徑，而是根據I-SPF算出來的SPT來更新路由。在路由計算中，葉子代表路由，節點則代表路由器。如果I-SPF計算後的SPT改變，PRC會隻處理那個變化的節點上的所有葉子；如果經過I-SPF計算後的SPT并沒有變化，則PRC隻處理變化的葉子資訊。比如一個節點使能一個IS-IS接口，則整個網絡拓撲的SPT是不變的，這時PRC隻更新這個節點的接口路由，進而節省CPU占用率。
ISIS的智能定時器
- 當網絡變化比較頻繁時，IS-IS會頻繁的進行SPF計算。頻繁的SPF計算會消耗系統大量的CPU資源，進而影響其他業務的運作。配置智能定時器的優勢在于當剛開始進行SPF計算時，兩次計算的間隔時間較小，保證IS-IS路由的收斂速度。之後随着整個IS-IS網絡的拓撲趨于穩定時，就可以适當的延長兩次SPF計算的間隔時間，進而減少不必要的資源消耗
- 分為SPF計算智能定時器和LSP生成智能定時器
-
當網絡變化頻繁時，智能定時器的間隔時間會自動延長
LSP生成智能定時器：為了避免LSP頻繁振蕩對網絡帶來的沖擊，LSP的生成存在一個最小間隔的限制，即同一個LSP在最小間隔内不允許重複生成，一般預設（沒有使能SPF智能定時期）最小時間間隔為5秒，作了這種限制後，路由收斂速度受到較大影響
IS-IS中，LSDB發生變化時需要進行路由計算，但頻繁的路由計算會占用大量的系統資源，導緻系統性能下降。延遲SPF計算可以在一定程度上提高路由計算的效率。另一方面，如果路由計算的延遲時間過長，則會減慢路路由的收斂速度
timer spf max-interval [ init-interval [ incr-interval ] ]
初次進行SPF計算的延遲時間為init-interval；第二次進行SPF計算的延遲時間為incr-interval。随後，每變化一次，SPF計算的延遲時間增大為前一次的兩倍，直到max-interval
LSP 快速擴散
- 由于LSP數量比較龐大，通常為了減輕大量LSP一起發送時對網絡裝置帶來的沖擊，一般IS-IS都是采用周期性分批擴散LSP的方法（預設情況下，接口上發送LSP封包的最小間隔時間是50毫秒，每次發送LSP封包的最大數目是10）
- 正常情況下，當IS-IS收到其它裝置發來的LSP時，如果此LSP比本地LSDB中相應的LSP要新，則更新LSDB中的LSP，并用一個定時器定期将LSDB内已更新的LSP擴散出去。 LSP快速擴散特性改進了這種方式，使能了此特性的裝置收到一個或多個較新的LSP時，在路由計算之前，先将小于指定數目的LSP擴散出去，加快LSDB的同步過程。這種方式在很大程度上可以提高整個網絡的收斂速度
每個接口最大發送6個LSP，最大發送間隔為100毫秒
[Huawei] isis 1
[Huawei-isis-1] flash-flood 6 max-timer-interval 100
IS-IS擴充特性—IS-IS認證
認證分類
-
接口認證
隻對Level-1和Level-2的Hello 封包進行認證
interface GigabitEthernet0/0/1
isis authentication-mode md5 plain huawei
-
區域認證
對Level-1的SNP和LSP封包進行認證
isis 1
is-level level-1
network-entity 49.0123.0000.0000.1111.00
area-authentication-mode md5 plain huawei
-
路由域認證
對Level-2的SNP和LSP封包進行認證
isis 1
is-level level-2
network-entity 49.4444.0000.0000.4444.00
domain-authentication-mode md5 plain huawei
認證方式
Null
明文
MD5
ospf的認證是在ospf頭部攜帶，也是3中認證方式
ISIS wide metric
-
OSPF與ISIS協定都被擴充以便能夠攜帶MPLS TE接口參數;對于Is-Is協定來說,使用以下兩種新的TLV
擴充的IS可達性(類型22)
擴充的IP可達性（類型135
[R4-GigabitEthernet0/0/0]isis cost ?
INTEGER<1-16777214> Cost value—預設為1-63。該值為改過metric style之後的值
具體配置如下
isis 1
is-level level-2
cost-style wide //ISIS開銷值改為寬路徑成本
注意：isis要想使用tag标簽，必須為寬路徑成本，否則不生效
IS-IS擴充特性—IS-IS LSP分片擴充
-
LSP分片擴充
使IS-IS路由器生成更多的LSP分片，用來攜帶更多的IS-IS資訊
IS-IS管理特性—IS-IS管理标記（Tag）
- 管理标記
- 管理标記特性允許在IS-IS域中通過管理标記對IP位址字首進行控制，可以達到簡化管理。其用途包括控制不同級别和不同區域間的路由引入，以及在同一路由器上運作的IS-IS多執行個體（即我們說的Tag）
- 使能管理标記時，必須使能IS-IS wide metric屬性
R4：
isis 1
cost-style wide
network-entity 49.4444.0000.0000.4444.00
interface LoopBack0
ip address 44.1.1.1 255.255.255.0
isis enable 1
isis tag-value 666
綜合實驗
1、R1、R2和R3是Level-1路由器，R6是Level-2路由器
2、通告相關接口
3、R4和R6、R5和R6之間不能有DIS選舉,建立可靠的鄰居；
4、R1、R2和R3共享網絡中，要求R3為DIS，需在R1和R2上配置，且優先級設定盡量小但仍可以參與DIS選舉
5、實作不同區域間的互相通路，且要求如下
- R6需引入10.0.X.0/24網段，并标記為100；
- 要求區域47.0001能夠通過R4學到10.0.X.0/24網段明細，且必須保持這些路由的标記為100
6、R2隻允許通過預設路由通路區域47.0002的網絡。不能使用ACL和字首清單。
7、增強網絡安全性，要求如下
- 區域47.0001的所有路由器發送的LSP和SNP需要進行認證，認證類型為MD5，密碼為Huawei；
- Level-2路由器發送的IIH需要進行認證，認證類型為MD5，密碼為Huawei。
基礎配置見如圖下方配置，題目要求配置如下
解答：
1、R1,R2,R3的isis層級為level-1，R6為level-2，R4和R5為level-1-2路由器
2、使能接口isis enable
3、R4和R6、R5和R6之間使用p2p網絡類型，無dis，p2p使用3-way握手
[AR4-GigabitEthernet0/0/0]isis circuit-type p2p
[AR4-GigabitEthernet0/0/0]isis ppp-negotiation 3-way only
[AR5-GigabitEthernet0/0/0]isis circuit-type p2p
[AR5-GigabitEthernet0/0/0]isis ppp-negotiation 3-way only
[AR6-GigabitEthernet0/0/0]isis circuit-type p2p
[AR6-GigabitEthernet0/0/0]isis ppp-negotiation 3-way only
[AR6-GigabitEthernet0/0/1]isis circuit-type p2p
[AR6-GigabitEthernet0/0/1]isis ppp-negotiation 3-way only
4、設定R1和R2的優先級為0，比較優先級，越高越優，預設64，最高127，isis優先級為0任然參與選舉。
[AR1-GigabitEthernet0/0/0]isis dis-priority 0
[AR2-GigabitEthernet0/0/0]isis dis-priority 0
[AR2-GigabitEthernet0/0/0]display isis lsdb
Database information for ISIS(1)
--------------------------------
Level-1 Link State Database
LSPID Seq Num Checksum Holdtime Length ATT/P/OL
-------------------------------------------------------------------------------
1111.1111.1111.00-00 0x00000005 0x37de 1168 86 0/0/0
2222.2222.2222.00-00* 0x00000005 0x7f27 1169 86 0/0/0
2222.2222.2222.01-00* 0x00000002 0x8f9f 0 (1169) 27 0/0/0 //老化掉了，holdtime=0
3333.3333.3333.00-00 0x00000007 0x1e80 1168 140 0/0/0
3333.3333.3333.01-00 0x00000001 0x1a51 1168 66 0/0/0 //為dis
4444.4444.4444.00-00 0x00000008 0x57f0 937 102 1/0/0
5555.5555.5555.00-00 0x00000008 0x328f 926 102 1/0/0
Total LSP(s): 7
*(In TLV)-Leaking Route, *(By LSPID)-Self LSP, +-Self LSP(Extended),
ATT-Attached, P-Partition, OL-Overload
5、不同區域互訪需要配置isis路由滲透，标記為100需要配置管理标記tag，
[AR6]acl 2001
[AR6-acl-basic-2001]rule permit source 10.0.0.0 0.0.3.255
[AR6-acl-basic-2001]q
[AR6]route-policy Import-dir permit node 10
Info: New Sequence of this List.
[AR6-route-policy]if-match acl 2001
[AR6-route-policy]isis
[AR6-isis-1]import-route direct route-policy Import-dir level-2 tag 100 //引入直連到level-2，标記tag為100
在6個路由器上均執行如下指令
[AR6-isis-1]cost-style wide //不執行此指令，會沒有
tag标簽
要求區域47.0001能夠通過R4學到10.0.X.0/24網段明細，且必須保持這些路由的标記為100
[AR4-isis-1]import-route isis level-2 into level-1 filter-policy route-policy Import-tag
Warning: The configuration is successful. Configure the specified policy/ACL to validate the configuration.
[AR4]route-policy Import-tag permit node 10
Info: New Sequence of this List.
[AR4-route-policy]if-match tag 100
[AR3-isis-1]dis ip routing-table protocol isis verbose | inc 10
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Routing Tables: Public
Destinations : 11 Routes : 12
Preference: 15 Cost: 10
Preference: 15 Cost: 10
Preference: 15 Cost: 10
Preference: 15 Cost: 10
Preference: 15 Cost: 10
Preference: 15 Cost: 10
Destination: 10.0.0.0/24
Tag: 100 Priority: low
Destination: 10.0.1.0/24
Tag: 100 Priority: low
Destination: 10.0.2.0/24
Tag: 100 Priority: low
Destination: 10.0.3.0/24
Tag: 100 Priority: low
[AR3-isis-1]
6、R2隻允許通過預設路由通路區域47.0002的網絡。不能使用ACL和字首清單。
[AR2]route-policy Dent-tag deny node 10
Info: New Sequence of this List.
[AR2-route-policy]if-match tag 100
[AR2-route-policy]q
[AR2]route-policy Dent-tag permit node 20
Info: New Sequence of this List.
[AR2-route-policy]isis
[AR2-isis-1]filter-policy route-policy Dent-tag import
[AR2-isis-1]display isis route
Route information for ISIS(1)
-----------------------------
ISIS(1) Level-1 Forwarding Table
--------------------------------
IPV4 Destination IntCost ExtCost ExitInterface NextHop Flags
-------------------------------------------------------------------------------
0.0.0.0/0 20 NULL GE0/0/0 192.168.1.3 A/-/-/-
10.0.0.0/24 30 NULL GE0/0/0 192.168.1.3 -/-/-/U
3.3.3.3/32 10 NULL GE0/0/0 192.168.1.3 A/-/-/-
192.168.1.0/24 10 NULL GE0/0/0 Direct D/-/L/-
10.0.3.0/24 30 NULL GE0/0/0 192.168.1.3 -/-/-/U
2.2.2.2/32 0 NULL Loop0 Direct D/-/L/-
10.0.2.0/24 30 NULL GE0/0/0 192.168.1.3 -/-/-/U
5.5.5.5/32 20 NULL GE0/0/0 192.168.1.3 A/-/-/-
1.1.1.1/32 10 NULL GE0/0/0 192.168.1.1 A/-/-/-
10.0.1.0/24 30 NULL GE0/0/0 192.168.1.3 -/-/-/U
34.1.1.0/24 20 NULL GE0/0/0 192.168.1.3 A/-/-/-
35.1.1.0/24 20 NULL GE0/0/0 192.168.1.3 A/-/-/-
46.1.1.0/24 30 NULL GE0/0/0 192.168.1.3 A/-/-/-
56.1.1.0/24 30 NULL GE0/0/0 192.168.1.3 A/-/-/-
4.4.4.4/32 20 NULL GE0/0/0 192.168.1.3 A/-/-/-
Flags: D-Direct, A-Added to URT, L-Advertised in LSPs, S-IGP Shortcut,
U-Up/Down Bit Set
[AR2-isis-1]dis ip r
[AR2-isis-1]dis ip rou
[AR2-isis-1]dis ip routing-table p isis
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Public routing table : ISIS
Destinations : 9 Routes : 9
ISIS routing table status : <Active>
Destinations : 9 Routes : 9
Destination/Mask Proto Pre Cost Flags NextHop Interface
0.0.0.0/0 ISIS-L1 15 20 D 192.168.1.3 GigabitEthernet0/0/0
1.1.1.1/32 ISIS-L1 15 10 D 192.168.1.1 GigabitEthernet0/0/0
3.3.3.3/32 ISIS-L1 15 10 D 192.168.1.3 GigabitEthernet0/0/0
4.4.4.4/32 ISIS-L1 15 20 D 192.168.1.3 GigabitEthernet0/0/0
5.5.5.5/32 ISIS-L1 15 20 D 192.168.1.3 GigabitEthernet0/0/0
34.1.1.0/24 ISIS-L1 15 20 D 192.168.1.3 GigabitEthernet0/0/0
35.1.1.0/24 ISIS-L1 15 20 D 192.168.1.3 GigabitEthernet0/0/0
46.1.1.0/24 ISIS-L1 15 30 D 192.168.1.3 GigabitEthernet0/0/0
56.1.1.0/24 ISIS-L1 15 30 D 192.168.1.3 GigabitEthernet0/0/0
ISIS routing table status : <Inactive>
Destinations : 0 Routes : 0
isis路由表有10網段，但是在isis中進行了過濾，是以在ip 的路由表中沒有10網段的路由
7、
- 區域47.0001的所有路由器發送的LSP和SNP需要進行認證，認證類型為MD5，密碼為Huawei，即level-1的區域認證方式
- Level-2路由器發送的IIH需要進行認證，認證類型為MD5，密碼為Huawei，即接口認證方式
在AR1,AR2,AR3,AR4,AR5上執行如下指令
[AR1-isis-1]area-authentication-mode md5 cipher Huawei
在AR4的g0/0/0,AR5的g0/0/0,AR6的g0/0/0和g0/0/1上執行如下指令
[AR4-GigabitEthernet0/0/0]isis authentication-mode md5 cipher Huawei
8、其它
在Ar4上對10網段做彙總
[AR4-isis-1]summary 10.0.0.0 255.255.248.0 level-1 tag 100 //在Ar4上做彙總，通過AR4發給AR3的10網段為彙總後的位址，且攜帶一個彙總後的tag值100
[AR3-isis-1]dis isis route
Route information for ISIS(1)
-----------------------------
ISIS(1) Level-1 Forwarding Table
--------------------------------
IPV4 Destination IntCost ExtCost ExitInterface NextHop Flags
-------------------------------------------------------------------------------
0.0.0.0/0 10 NULL S1/0/0 34.1.1.4 A/-/-/-
S1/0/1 35.1.1.5
//AR4和AR5兩個level-1-2路由器在level-1區域封包ATT=1，由于到兩個level-1-2路由器開銷值相等，AR3生成了兩個預設路由
10.0.0.0/21 20 NULL S1/0/0 34.1.1.4 A/-/-/U //彙總後
3.3.3.3/32 0 NULL Loop0 Direct D/-/L/-
192.168.1.0/24 10 NULL GE0/0/0 Direct D/-/L/-
2.2.2.2/32 10 NULL GE0/0/0 192.168.1.2 A/-/-/-
5.5.5.5/32 10 NULL S1/0/1 35.1.1.5 A/-/-/-
1.1.1.1/32 10 NULL GE0/0/0 192.168.1.1 A/-/-/-
34.1.1.0/24 10 NULL S1/0/0 Direct D/-/L/-
35.1.1.0/24 10 NULL S1/0/1 Direct D/-/L/-
46.1.1.0/24 20 NULL S1/0/0 34.1.1.4 A/-/-/-
56.1.1.0/24 20 NULL S1/0/1 35.1.1.5 A/-/-/-
4.4.4.4/32 10 NULL S1/0/0 34.1.1.4 A/-/-/-
Flags: D-Direct, A-Added to URT, L-Advertised in LSPs, S-IGP Shortcut,
U-Up/Down Bit Set
如果想實作AR3通路10網段時走AR4，其它位址走預設路由
[AR3-isis-1]nexthop 35.1.1.5 weight 1 //更改權重值
Aug 1 2020 14:24:48-08:00 AR3 %%01RM/4/IPV4_DEFT_RT_CHG(l)[4]:IPV4 default Route is changed. (ChangeType=Delete, InstanceId=0, Protocol=ISIS, ExitIf=Serial1/0/0, Nexthop=34.1.1.4, Neighbour=0.0.0.0, Preference=251658240, Label=NULL, Metric=167772160)
[AR3-isis-1]dis isis route
Route information for ISIS(1)
-----------------------------
ISIS(1) Level-1 Forwarding Table
--------------------------------
IPV4 Destination IntCost ExtCost ExitInterface NextHop Flags
-------------------------------------------------------------------------------
0.0.0.0/0 10 NULL S1/0/1 35.1.1.5 A/-/-/-
10.0.0.0/21 20 NULL S1/0/0 34.1.1.4 A/-/-/U
3.3.3.3/32 0 NULL Loop0 Direct D/-/L/-
192.168.1.0/24 10 NULL GE0/0/0 Direct D/-/L/-
2.2.2.2/32 10 NULL GE0/0/0 192.168.1.2 A/-/-/-
5.5.5.5/32 10 NULL S1/0/1 35.1.1.5 A/-/-/-
1.1.1.1/32 10 NULL GE0/0/0 192.168.1.1 A/-/-/-
34.1.1.0/24 10 NULL S1/0/0 Direct D/-/L/-
35.1.1.0/24 10 NULL S1/0/1 Direct D/-/L/-
46.1.1.0/24 20 NULL S1/0/0 34.1.1.4 A/-/-/-
56.1.1.0/24 20 NULL S1/0/1 35.1.1.5 A/-/-/-
4.4.4.4/32 10 NULL S1/0/0 34.1.1.4 A/-/-/-
Flags: D-Direct, A-Added to URT, L-Advertised in LSPs, S-IGP Shortcut,
U-Up/Down Bit Set
[AR3-isis-1]dis ip routing-table protocol isis
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Public routing table : ISIS
Destinations : 8 Routes : 8
ISIS routing table status : <Active>
Destinations : 8 Routes : 8
Destination/Mask Proto Pre Cost Flags NextHop Interface
0.0.0.0/0 ISIS-L1 15 10 D 35.1.1.5 Serial1/0/1
1.1.1.1/32 ISIS-L1 15 10 D 192.168.1.1 GigabitEthernet0/0/0
2.2.2.2/32 ISIS-L1 15 10 D 192.168.1.2 GigabitEthernet0/0/0
4.4.4.4/32 ISIS-L1 15 10 D 34.1.1.4 Serial1/0/0
5.5.5.5/32 ISIS-L1 15 10 D 35.1.1.5 Serial1/0/1
10.0.0.0/21 ISIS-L1 15 20 D 34.1.1.4 Serial1/0/0
46.1.1.0/24 ISIS-L1 15 20 D 34.1.1.4 Serial1/0/0
56.1.1.0/24 ISIS-L1 15 20 D 35.1.1.5 Serial1/0/1
ISIS routing table status : <Inactive>
Destinations : 0 Routes : 0
上圖中的配置ip，通告相關接口配置如下
<AR1>dis current configuration isis
[V200R003C00]
#
isis 1 //配置ISIS程序号為1
is-level level-1 //level層級為level-1，不更改的話預設為level-1-2
network-entity 47.0001.1111.1111.1111.00
#
return
<AR1>dis current-configuration interface
[V200R003C00]
#
interface GigabitEthernet0/0/0
ip address 192.168.1.1 255.255.255.0
isis enable 1
#
interface LoopBack0
ip address 1.1.1.1 255.255.255.255
isis enable 1
#
return
------------------------------------------------------------------------
<AR2>dis current configuration isis
[V200R003C00]
#
isis 1
is-level level-1
network-entity 47.0001.2222.2222.2222.00
#
return
<AR2>dis current-configuration interface
[V200R003C00]
#
interface GigabitEthernet0/0/0
ip address 192.168.1.2 255.255.255.0
isis enable 1
#
interface LoopBack0
ip address 2.2.2.2 255.255.255.255
isis enable 1
#
return
------------------------------------------------------------------------
<AR3>dis current configuration isis
[V200R003C00]
#
isis 1
is-level level-1
network-entity 47.0001.3333.3333.3333.00
#
return
<AR3>dis current-configuration interface
[V200R003C00]
#
interface Serial1/0/0
link-protocol ppp
ip address 34.1.1.3 255.255.255.0
isis enable 1
#
interface Serial1/0/1
link-protocol ppp
ip address 35.1.1.3 255.255.255.0
isis enable 1
#
interface GigabitEthernet0/0/0
ip address 192.168.1.3 255.255.255.0
isis enable 1
#
interface LoopBack0
ip address 3.3.3.3 255.255.255.255
isis enable 1
#
return
<AR3>
------------------------------------------------------------------------
<AR4>dis current configuration isis
[V200R003C00]
#
isis 1
network-entity 47.0001.4444.4444.4444.00
#
return
<AR4>dis current-configuration interface
[V200R003C00]
#
interface Serial1/0/0
link-protocol ppp
ip address 34.1.1.4 255.255.255.0
isis enable 1
#
interface Serial1/0/1
link-protocol ppp
#
interface GigabitEthernet0/0/0
ip address 46.1.1.4 255.255.255.0
isis enable 1
#
interface LoopBack0
ip address 4.4.4.4 255.255.255.255
isis enable 1
#
return
<AR4>
------------------------------------------------------------------------
<AR5>dis current configuration isis
[V200R003C00]
#
isis 1
network-entity 47.0001.5555.5555.5555.00
#
return
<AR5>dis current-configuration interface
[V200R003C00]
#
interface Serial1/0/0
link-protocol ppp
ip address 35.1.1.5 255.255.255.0
isis enable 1
#
interface Serial1/0/1
link-protocol ppp
#
interface GigabitEthernet0/0/0
ip address 56.1.1.5 255.255.255.0
isis enable 1
#
interface LoopBack0
ip address 5.5.5.5 255.255.255.255
isis enable 1
#
return
<AR5>
------------------------------------------------------------------------
<AR6>dis current configuration isis
[V200R003C00]
#
isis 1
is-level level-2
network-entity 47.0002.6666.6666.6666.00
#
return
<AR6>dis current-configuration interface
[V200R003C00]
#
interface GigabitEthernet0/0/0
ip address 46.1.1.6 255.255.255.0
isis enable 1
#
interface GigabitEthernet0/0/1
ip address 56.1.1.6 255.255.255.0
isis enable 1
#
interface LoopBack0
ip address 6.6.6.6 255.255.255.255
isis enable 1
#
interface LoopBack10
ip address 10.0.0.1 255.255.255.0
#
interface LoopBack11
ip address 10.0.1.1 255.255.255.0
#
interface LoopBack12
ip address 10.0.2.1 255.255.255.0
#
interface LoopBack13
ip address 10.0.3.1 255.255.255.0
#
return
<AR6>
故障排除思路
僅考慮ISIS
⚫ 檢查接口是否在IS-IS中使能
⚫ 基本配置是否正确
⚫ 相應接口級别是否配置正确
⚫ 路由器區域是否相同
⚫ 相鄰接口IP位址是否處于相同子網中
⚫ 系統ID是否重複
⚫ 是否開啟了認證，認證配置是否正确
⚫ 接口是否發送标準Hello封包