戰(zhàn)：收斂加速、多拓?fù)渑cSR配置指南)
1. 為什么IS-IS需要拓展功能補(bǔ)充1.1 基礎(chǔ)IS-IS的能力邊界做網(wǎng)絡(luò)的人基本都繞不開(kāi)IS-IS。核心網(wǎng)、城域網(wǎng)、大型數(shù)據(jù)中心到處都有它的身影。但很多人對(duì)IS-IS的印象停留在“鄰居、LSP、SPF、收斂”這幾個(gè)基礎(chǔ)動(dòng)作。用在小型網(wǎng)絡(luò)里默認(rèn)配置確實(shí)夠用可一旦規(guī)模上來(lái)、業(yè)務(wù)復(fù)雜了基礎(chǔ)能力就明顯不夠用。先說(shuō)它到底缺什么。默認(rèn)IS-IS的收斂過(guò)程是一個(gè)路由器收到新的LSP后要重新跑一遍全量SPF計(jì)算才能更新路由表。網(wǎng)絡(luò)規(guī)模越大、路由條目越多全量SPF的CPU開(kāi)銷(xiāo)就越大這一輪收斂可能要幾百毫秒甚至秒級(jí)。對(duì)于一些要求“故障后50毫秒內(nèi)完成切換”的業(yè)務(wù)這完全無(wú)法接受。所以需要增量SPF、PRC、FRR這類(lèi)拓展機(jī)制把收斂時(shí)間壓下來(lái)。再有傳統(tǒng)IS-IS描述網(wǎng)絡(luò)拓?fù)鋾r(shí)IPv4和IPv6共用一套拓?fù)淠Ｐ汀Ｈ绻M網(wǎng)里某些鏈路只有IPv4能力另一些鏈路雙棧全網(wǎng)算出來(lái)的IPv6轉(zhuǎn)發(fā)路徑就會(huì)出現(xiàn)“走到一條不支持IPv6的鏈路上”的成環(huán)或黑洞風(fēng)險(xiǎn)。這個(gè)問(wèn)題的解藥是多拓?fù)銲S-ISMT-ISIS。還有安全加固。IS-IS本身是開(kāi)放式協(xié)議默認(rèn)不認(rèn)證任何能接入二層網(wǎng)絡(luò)的設(shè)備都能偽造Hello包擠進(jìn)IS-IS域甚至發(fā)送偽造的LSP污染全網(wǎng)路由表。電信級(jí)網(wǎng)絡(luò)、政企專(zhuān)網(wǎng)一定要把協(xié)議認(rèn)證補(bǔ)上。再往上層看手工設(shè)置IS-IS的接口開(kāi)銷(xiāo)來(lái)做流量調(diào)優(yōu)在現(xiàn)代網(wǎng)絡(luò)里明顯太笨重?，F(xiàn)在更常見(jiàn)的做法是管理標(biāo)簽和Segment Routing在IS-IS這份IGP協(xié)議之上構(gòu)建完整的流量調(diào)度能力。這些內(nèi)容規(guī)范文檔里叫“協(xié)議擴(kuò)展”在實(shí)際運(yùn)維中就是你給IS-IS這臺(tái)“老機(jī)器”做的拓展功能補(bǔ)充。本文以華為設(shè)備為例把這些功能逐個(gè)拆開(kāi)講清楚包括原理、配置命令、以及我實(shí)際踩過(guò)的坑。1.2 華為設(shè)備支持哪些拓展方向先給個(gè)總覽方便建立全局印象。華為設(shè)備的IS-IS實(shí)現(xiàn)除了基礎(chǔ)鄰居、LSP、SPF之外常見(jiàn)拓展功能大致可以分成五類(lèi)拓展方向解決的核心問(wèn)題典型功能收斂加速故障切換慢、CPU開(kāi)銷(xiāo)大增量SPF、PRC、IPFRR、BFD聯(lián)動(dòng)、定時(shí)器調(diào)優(yōu)多業(yè)務(wù)承載IPv4/IPv6拓?fù)洳灰恢露嗤負(fù)銶T-ISIS安全性增強(qiáng)協(xié)議偽造、路由污染接口/區(qū)域/域三級(jí)認(rèn)證、HMAC-SHA256、Keychain策略與調(diào)度選路不靈活、多出口引流管理標(biāo)簽admin-tag、路由策略聯(lián)動(dòng)可擴(kuò)展性路由條目多、流量工程難做LSP分片、Segment Routing結(jié)合后文我會(huì)重點(diǎn)挑其中幾個(gè)真正改變運(yùn)維方式的功能展開(kāi)收斂?jī)?yōu)化、多拓?fù)?、認(rèn)證與管理標(biāo)簽、SR結(jié)合。這四個(gè)方向是生產(chǎn)網(wǎng)絡(luò)里出問(wèn)題最多、也最能體現(xiàn)“拓展功能價(jià)值”的部分。2. 收斂?jī)?yōu)化從“秒級(jí)”向“毫秒級(jí)”靠攏2.1 增量SPF和PRC到底是在干什么先講一個(gè)容易被忽略的事實(shí)SPF計(jì)算是IS-IS最耗費(fèi)CPU的操作。一個(gè)節(jié)點(diǎn)收到新LSP如果變化的是葉子路由卻要把整棵最短路徑樹(shù)重算一遍這顯然浪費(fèi)。華為設(shè)備上默認(rèn)的SPF計(jì)算會(huì)把全網(wǎng)節(jié)點(diǎn)和路由都算一遍。網(wǎng)絡(luò)規(guī)模大時(shí)一個(gè)次要鏈路抖動(dòng)可能引發(fā)全網(wǎng)路由器CPU飆升這叫“收斂風(fēng)暴”。解決辦法是增量SPFiSPF和PRC部分路由計(jì)算。iSPF只對(duì)受影響節(jié)點(diǎn)的子樹(shù)重新計(jì)算不再全盤(pán)重算。PRC更徹底——它只在路由葉子節(jié)點(diǎn)發(fā)生變化時(shí)直接更新相應(yīng)路由前綴完全不碰SPF樹(shù)。日常工作里90%的路由抖動(dòng)都是葉子級(jí)別iSPFPRC能省下很大一部分計(jì)算量。在華為設(shè)備上這兩類(lèi)能力通常不需要手動(dòng)開(kāi)啟屬于默認(rèn)啟用。但你要注意一個(gè)點(diǎn)確認(rèn)設(shè)備上LSP變化觸發(fā)計(jì)算的方式是“全量SPF”還是“增量SPF”。如果路由表特別大、CPU比例高可以在IS-IS視圖下使用一些與計(jì)算策略相關(guān)的命令部分版本會(huì)提供類(lèi)似timer spf等參數(shù)來(lái)調(diào)整計(jì)算間隔。真正需要主動(dòng)配置的是下面這些定時(shí)器和快速檢測(cè)機(jī)制。2.2 定時(shí)器調(diào)優(yōu)與BFD聯(lián)動(dòng)IS-IS默認(rèn)的收斂節(jié)奏偏保守。鄰居Down需要等Hello超時(shí)LSP泛洪有間隔SPF計(jì)算也有延遲。華為設(shè)備上建議在IS-IS進(jìn)程視圖做這樣一套調(diào)優(yōu)思路isis 1 is-name CORE-A timer lsp-generation 5 10 50 timer spf 5 10 40 timer lsp-refresh 900 bfd all-interfaces enable這里每個(gè)參數(shù)的含義我展開(kāi)說(shuō)一下timer lsp-generation 5 10 50表示首次收到觸發(fā)變化后5毫秒生成LSP后續(xù)如果持續(xù)變化按10毫秒間隔最長(zhǎng)等待50毫秒。這樣既保證快速通告又避免頻繁抖動(dòng)導(dǎo)致LSP風(fēng)暴。timer spf 5 10 40SPF首次計(jì)算延遲5毫秒后續(xù)最短間隔10毫秒最大等待40毫秒。實(shí)際項(xiàng)目中我會(huì)根據(jù)鏈路抖動(dòng)頻率調(diào)整“最大等待時(shí)間”抖動(dòng)頻繁的鏈路可以適度調(diào)大抑制CPU抖動(dòng)。timer lsp-refresh 900LSP定期刷新周期默認(rèn)是1200秒可以調(diào)到600~900秒。刷新頻率越高全網(wǎng)LSP序號(hào)老化越早但也增加一些網(wǎng)絡(luò)泛洪負(fù)擔(dān)。bfd all-interfaces enable這個(gè)非常關(guān)鍵。單純靠Hello超時(shí)檢測(cè)故障需要秒級(jí)。BFD可以在毫秒級(jí)檢測(cè)出鏈路故障再聯(lián)動(dòng)IS-IS快速收斂。生產(chǎn)環(huán)境中BFD是IS-IS收斂加速的基礎(chǔ)設(shè)施強(qiáng)烈建議全使能。提示修改SPF定時(shí)器屬于全局收斂行為參數(shù)不要設(shè)得太激進(jìn)。比如SPF首次計(jì)算延遲設(shè)成0毫秒鏈路密集抖動(dòng)時(shí)CPU反而被打滿。我一般推薦“首跳快、后續(xù)穩(wěn)”的參數(shù)組合。2.3 IPFRR和自動(dòng)FRR給轉(zhuǎn)發(fā)面“兜底”收斂再快也是秒到百毫秒級(jí)別。對(duì)某些承載語(yǔ)音、金融交易等場(chǎng)景的鏈路要求故障切換在50毫秒內(nèi)完成這時(shí)就必須靠IPFRR。華為設(shè)備上IS-IS支持FRR快速重路由核心原理是預(yù)先計(jì)算好備份下一跳。主路徑故障時(shí)轉(zhuǎn)發(fā)面直接切換到備份路徑不用等IGP重新收斂。這個(gè)思路跟“事先系好安全帶”一樣——等事故發(fā)生了再反應(yīng)永遠(yuǎn)不夠快。配置方法分兩步。第一步全局使能IS-IS FRR指定備份路徑的計(jì)算方式第二步在接口上按需排除不希望作為備份的鏈路。isis 1 frr loop-free-alternate華為設(shè)備上常見(jiàn)的是loop-free-alternateLFA或更高級(jí)的remote-lfaR-LFA。區(qū)別在于LFA要求備份下一跳必須是無(wú)環(huán)的鄰居拓?fù)浜?jiǎn)單時(shí)可用R-LFA允許通過(guò)隧道的方式找到更遠(yuǎn)端的無(wú)環(huán)備份復(fù)雜拓?fù)湎赂采w更全。我建議除非網(wǎng)絡(luò)特別簡(jiǎn)單否則優(yōu)先用remote-lfa。FRR配置完成后要用display isis frr查看備份路徑是否正常生成。如果某些路由沒(méi)有備份通常是因?yàn)橥負(fù)渲胁淮嬖趪?yán)格無(wú)環(huán)的備份下一跳這個(gè)要靠調(diào)整鏈路開(kāi)銷(xiāo)或者多加一條冗余鏈路解決。2.4 防微環(huán)鏈路恢復(fù)瞬間的“隱形坑”說(shuō)完快速切換很多人會(huì)忽略鏈路恢復(fù)時(shí)的微環(huán)問(wèn)題。故障瞬間FRR能兜住但鏈路恢復(fù)時(shí)各路由器收斂時(shí)序不一致有的先行切換有的還在走舊路徑就會(huì)形成臨時(shí)環(huán)路導(dǎo)致少量丟包甚至路由震蕩。華為設(shè)備在IS-IS里有的版本會(huì)提供與防微環(huán)相關(guān)的策略或切換控制另外在Segment Routing場(chǎng)景下也可以通過(guò)顯式路徑規(guī)劃規(guī)避。若你的設(shè)備不支持專(zhuān)門(mén)的防微環(huán)功能最有效的經(jīng)驗(yàn)做法是在鏈路恢復(fù)前先把相關(guān)接口的IS-IS開(kāi)銷(xiāo)臨時(shí)調(diào)大讓SPF先計(jì)算穩(wěn)定再把開(kāi)銷(xiāo)恢復(fù)原值。雖然要人工干預(yù)但在沒(méi)有防微環(huán)機(jī)制的舊版本上這招很管用。實(shí)操心得我維護(hù)過(guò)一張三千臺(tái)設(shè)備的路由器網(wǎng)絡(luò)Core鏈路的閃斷天天有。BFD聯(lián)動(dòng)IS-IS、配合FRR故障切換基本無(wú)感真正出問(wèn)題的反而是鏈路恢復(fù)那幾秒的微環(huán)。后來(lái)我在核心互聯(lián)接口上啟用了防微環(huán)功能并且把SPF首次延遲調(diào)到了5毫秒左右微環(huán)導(dǎo)致的丟包幾乎消失。3. 多拓?fù)銶T雙棧網(wǎng)絡(luò)不再“打架”3.1 為什么標(biāo)準(zhǔn)IS-IS做雙棧會(huì)出問(wèn)題標(biāo)準(zhǔn)IS-IS使用NLPID網(wǎng)絡(luò)層協(xié)議標(biāo)識(shí)來(lái)標(biāo)識(shí)IPv4和IPv6但拓?fù)涿枋鲇玫氖峭惶譒SP信息。這意味著IPv4的鄰接和IPv6的鄰接在協(xié)議層面共享一個(gè)拓?fù)湟晥D。實(shí)際組網(wǎng)中經(jīng)常會(huì)遇到這種局面骨干鏈路全部雙棧但接入側(cè)某段鏈路只通了IPv4沒(méi)通IPv6。標(biāo)準(zhǔn)IS-IS無(wú)法表達(dá)“這條鏈路只有IPv4路由可用”這個(gè)事實(shí)。IPv6路由計(jì)算完成后可能把下一跳指向那條沒(méi)有IPv6能力的鏈路上導(dǎo)致轉(zhuǎn)發(fā)黑洞。更麻煩的是如果兩條鏈路分別只有一種協(xié)議通互相學(xué)習(xí)路由還會(huì)形成依賴(lài)關(guān)系上的環(huán)路。多拓?fù)銲S-ISMT-ISIS就是為了解決這類(lèi)問(wèn)題。它給每個(gè)地址族分配獨(dú)立的MT-IDIPv4和IPv6各自建立拓?fù)?、各自?jì)算SPF。IPv4的鏈路狀態(tài)不會(huì)影響IPv6的路徑計(jì)算。鏈路層面“我只能通IPv4”就只在IPv4拓?fù)淅锍霈F(xiàn)IPv6流量根本不往那兒走。3.2 華為設(shè)備上的MT配置步驟華為設(shè)備開(kāi)啟MT-ISIS關(guān)鍵點(diǎn)在于進(jìn)程下開(kāi)啟多拓?fù)浣涌谙率鼓躀Pv6并關(guān)聯(lián)拓?fù)?。以一個(gè)簡(jiǎn)單的雙棧核心網(wǎng)為例isis 1 is-name MT-CORE ipv6 enable topology ipv6 network-entity 49.0001.0000.0000.0001.00 interface GigabitEthernet0/0/1 isis enable 1 isis circuit-type level-2-only ipv6 enable isis ipv6 enable topology ipv6命令的邏輯很清楚ipv6 enable topology ipv6是在IS-IS進(jìn)程下為IPv6創(chuàng)建一個(gè)獨(dú)立拓?fù)鋵?shí)例。接口下ipv6 enable是打開(kāi)接口的IPv6能力isis ipv6 enable topology ipv6是把該接口加入IPv6多拓?fù)?。全網(wǎng)所有路由器只要參與IPv6承載都需要保持一致配置。特別是在MT模式下只跑IPv4的接口不要加IPv6拓?fù)浞駝t它會(huì)出現(xiàn)在IPv6拓?fù)淅飳?dǎo)致其他路由器誤以為這條鏈路支持IPv6。還有個(gè)關(guān)鍵點(diǎn)IS-IS的Level-1和Level-2都要使能MT。只在Level-2使能、Level-1未使能跨區(qū)域的路由學(xué)習(xí)會(huì)出現(xiàn)MT-ID不一致輕則路由不完整重則鄰居振蕩。3.3 MT配置最容易踩的三個(gè)坑第一MT-ID不一致導(dǎo)致鄰居Down。IS-IS建立鄰接時(shí)會(huì)協(xié)商MT能力。一邊啟用了IPv6拓?fù)淞硪贿厸](méi)啟用兩邊能力集不同鄰居直接起不來(lái)。排查時(shí)用display isis error或抓包看Hello報(bào)文里的MT TLV能快速定位。第二MT模式下的默認(rèn)拓?fù)洳灰獎(jiǎng)h。多拓?fù)洳淮砟阒槐Ａ鬒Pv6拓?fù)銲Pv4的默認(rèn)拓?fù)銶T-ID 0仍然是必須的。有些朋友為了讓IPv4和IPv6完全隔離想只用IPv6拓?fù)渑軜I(yè)務(wù)結(jié)果默認(rèn)拓?fù)浔粍h了IPv4路由直接全丟。第三多拓?fù)鋾?huì)成倍增加SPF計(jì)算開(kāi)銷(xiāo)。每個(gè)拓?fù)涓髯越⒁豢肧PF樹(shù)對(duì)CPU的消耗基本是翻倍的。我很早之前在一臺(tái)中端設(shè)備上啟用了MT結(jié)果鏈路頻繁抖動(dòng)時(shí)CPU持續(xù)高位后來(lái)把一些邊緣鏈路的SPF定時(shí)器放寬才穩(wěn)定下來(lái)。啟用MT前請(qǐng)確認(rèn)設(shè)備規(guī)格和路由規(guī)模是否匹配。4. 認(rèn)證與管理標(biāo)簽安全加固和流量調(diào)度的基本功4.1 IS-IS三級(jí)認(rèn)證與HMAC-SHA256IS-IS默認(rèn)不加密任何報(bào)文。只要一臺(tái)設(shè)備能接入你的二層網(wǎng)絡(luò)理論上它就可以偽裝成鄰居、發(fā)送Hello報(bào)文、偽造LSP。尤其是LSP一旦被注入惡意路由全網(wǎng)路由表都會(huì)被污染這是非常嚴(yán)重的故障。所以協(xié)議認(rèn)證不是可選項(xiàng)是必選項(xiàng)。IS-IS的認(rèn)證分為三個(gè)層面認(rèn)證級(jí)別保護(hù)對(duì)象作用范圍接口認(rèn)證HelloHello報(bào)文阻止非法設(shè)備建立鄰居區(qū)域認(rèn)證LSP、SNP保護(hù)Level-1區(qū)域內(nèi)的路由信息域認(rèn)證LSP、SNP保護(hù)Level-2域內(nèi)路由信息實(shí)際配置中區(qū)域和域認(rèn)證要分開(kāi)配置因?yàn)樗鼈兏髯缘腡LV不同。華為設(shè)備上推薦使用HMAC-SHA256而不是簡(jiǎn)單的明文密碼或MD5MD5在強(qiáng)度上已經(jīng)不足以應(yīng)對(duì)當(dāng)前的安全審計(jì)。配置示例isis 1 authentication-mode hmac-sha256 keychain isis-ks area-authentication-mode hmac-sha256 keychain isis-ks domain-authentication-mode hmac-sha256 keychain isis-ks keychain isis-ks mode periodic daily key-id 1 algorithm hmac-sha256 key-string cipher %^%#abc...%^%# send-time daily 00:00 23:59authentication-mode管的是接口Hello認(rèn)證area-authentication-mode管Level-1路由信息domain-authentication-mode管Level-2路由信息。三者必須全網(wǎng)統(tǒng)一。否則最常見(jiàn)的現(xiàn)象是鄰居能起來(lái)但LSDB同步異?；蛘週SP被靜默丟棄。4.2 Keychain的價(jià)值密鑰定期滾動(dòng)Keychain的價(jià)值在于定期更換密鑰。你不可能每過(guò)一兩個(gè)月手工把所有設(shè)備的認(rèn)證密碼都改一遍。用Keychain可以設(shè)定密鑰生效時(shí)間段舊密鑰到期前自動(dòng)切換到新密鑰設(shè)備之間通過(guò)時(shí)間槽位協(xié)同做到“無(wú)縫換鑰”。這在實(shí)際運(yùn)維中太重要了。我見(jiàn)過(guò)不少網(wǎng)絡(luò)認(rèn)證配完之后密碼一直不換安全性其實(shí)打了折扣。有了Keychain安全審計(jì)要求“定期更換認(rèn)證密鑰”時(shí)你只需要提前新加一個(gè)Key ID到了生效時(shí)間自動(dòng)切換。配置Keychain時(shí)有個(gè)容易忽視的細(xì)節(jié)Send time和Receive time要提前重疊一小段時(shí)間。比如新密鑰給一個(gè)提前量確保新舊密鑰交替時(shí)有重疊窗口避免因?yàn)樵O(shè)備時(shí)間偏差導(dǎo)致認(rèn)證失敗。4.3 管理標(biāo)簽admin-tag流量調(diào)度的輕量方案業(yè)務(wù)側(cè)經(jīng)常會(huì)有“這個(gè)網(wǎng)段走這條路徑、那個(gè)網(wǎng)段走那條路徑”的需求。以前只能用接口開(kāi)銷(xiāo)硬調(diào)路徑一多就很痛苦?，F(xiàn)在華為設(shè)備IS-IS支持管理標(biāo)簽 admin-tag給路由打標(biāo)簽再配合路由策略非常靈活。配置思路很簡(jiǎn)單isis 1 admin-tag 100 tag 100 route-policy TAG-ROUTE或者更直接地在IS-IS進(jìn)程下給特定前綴設(shè)置標(biāo)簽然后在路由策略里引用這個(gè)標(biāo)簽做優(yōu)先級(jí)調(diào)整或引入到其它協(xié)議。比如把視頻業(yè)務(wù)網(wǎng)段打上tag100再通過(guò)路由策略強(qiáng)制它優(yōu)先走某條出口鏈路。使用時(shí)有兩點(diǎn)經(jīng)驗(yàn)管理標(biāo)簽只在IS-IS域內(nèi)傳遞不會(huì)帶出到其他協(xié)議跨協(xié)議比如OSPF引入IS-IS時(shí)需要用路由策略重新打標(biāo)。標(biāo)簽不能代替鏈路開(kāi)銷(xiāo)計(jì)算。它更適合做“策略前綴”分流而不是替代SPF本身。如果網(wǎng)絡(luò)中所有路由都要打不同的標(biāo)簽做嚴(yán)格路徑規(guī)劃那其實(shí)是SR的使用場(chǎng)景別硬用admin-tag。5. 可擴(kuò)展性增強(qiáng)LSP分片和Segment Routing5.1 LSP分片別讓“大包”壓垮網(wǎng)絡(luò)IS-IS的LSP有長(zhǎng)度限制默認(rèn)通常不超過(guò)1400字節(jié)左右。當(dāng)路由信息非常多、或者LSP承載了大量擴(kuò)展TLV比如各種SR信息、TE信息單個(gè)LSP就可能不夠用。華為設(shè)備支持LSP分片配置把同一路由器產(chǎn)生的LSP分成多個(gè)片F(xiàn)ragment發(fā)送。它可以控制Origin LSP和Additional LSP的生成節(jié)奏。isis 1 lsp-length originate 512 receive 1024 fragment-level 1lsp-length originate控制本端生成的LSP最大長(zhǎng)度receive控制從遠(yuǎn)端接收時(shí)能接受的最大長(zhǎng)度。這里有一個(gè)關(guān)鍵考量分片并非越小越好。分片太多LSDB里條目多、LSDB同步開(kāi)銷(xiāo)大分片太大又可能導(dǎo)致MPLS或組播環(huán)境下MTU不匹配。我一般在核心設(shè)備上把Origin LSP長(zhǎng)度控制在512字節(jié)左右既能容納SRGB和TE擴(kuò)展又不至于讓LSP過(guò)分臃腫。fragment-level 1是讓Level-1和Level-2分別執(zhí)行分片避免兩個(gè)Level共用分片號(hào)時(shí)產(chǎn)生LSDB混亂。5.2 與Segment Routing結(jié)合流量工程的更優(yōu)解如果說(shuō)MT是雙棧的進(jìn)階那么Segment RoutingSR就是IS-IS拓展功能里最重量級(jí)的一項(xiàng)。SR把路徑編碼成指令序列Segment List源節(jié)點(diǎn)決定整條路徑令網(wǎng)絡(luò)中不再完全依賴(lài)逐跳SPF選路。華為設(shè)備在IS-IS下使用SR大致需要三個(gè)層面的配置mpls lsr-id 10.0.0.1 segment-routing mpls srgb 16000 23999 isis 1 segment-routing mpls prefix-sid index 1 interface GigabitEthernet0/0/1 segment-routing mpls adjacency-sid 15001這里每個(gè)配置的作用mpls lsr-id是MPLS節(jié)點(diǎn)標(biāo)識(shí)SR也需要基礎(chǔ)MPLS能力。segment-routing mplssrgb 16000 23999聲明本節(jié)點(diǎn)的SRGB范圍為全局前綴段預(yù)留標(biāo)簽區(qū)間。IS-IS進(jìn)程下的prefix-sid index 1為L(zhǎng)oopback路由分配節(jié)點(diǎn)SID。接口下的adjacency-sid為鄰接分配Adjacency SID用于逐跳段。啟用SR后默認(rèn)SPF計(jì)算出的轉(zhuǎn)發(fā)路徑不會(huì)變但你可以在邊界路由器上用策略下發(fā)“Segment List”實(shí)現(xiàn)顯式路徑。比如讓流量繞開(kāi)某段擁塞鏈路segment-routing mpls transit forwarding-policy PATH segment-list FORWARD index 5 sid 16102 index 10 sid 16205一個(gè)SR策略配置好后轉(zhuǎn)發(fā)面按Segment List壓棧轉(zhuǎn)發(fā)路徑完全可控而且不依賴(lài)逐跳IGP視圖。IS-IS在這里的角色是充當(dāng)SR的控制面負(fù)責(zé)擴(kuò)散SRGB、Prefix-SID、Adjacency-SID信息。5.3 啟用SR前后的檢查清單SR雖然強(qiáng)大但配置前有些細(xì)節(jié)必須先把關(guān)全網(wǎng)SRGB規(guī)劃一致。尤其是跨廠商設(shè)備SRGB必須有全局共識(shí)否則換算出的標(biāo)簽錯(cuò)位流量直接斷。Loopback地址作為穩(wěn)定全局標(biāo)識(shí)必須通過(guò)IS-IS Level-2通告且所有設(shè)備能學(xué)習(xí)到。如果存在雙棧回退或區(qū)域邊界優(yōu)先用IPv4 Loopback分配SID。轉(zhuǎn)發(fā)層面要確認(rèn)支持SR MPLS。華為很多企業(yè)級(jí)產(chǎn)品支持但老舊的板卡或特殊VXLAN場(chǎng)景需要額外確認(rèn)。啟用SR不會(huì)自動(dòng)改變默認(rèn)最短路徑這一點(diǎn)對(duì)于平滑升級(jí)非常友好。我從傳統(tǒng)LDP網(wǎng)絡(luò)遷移SR時(shí)先啟SR、再逐步把業(yè)務(wù)切到SR策略整個(gè)過(guò)程無(wú)需割接窗口。注意SR和LDP可以共存但同一條IGP路由同時(shí)攜帶LDP標(biāo)簽和SR標(biāo)簽時(shí)轉(zhuǎn)發(fā)表優(yōu)先用SR標(biāo)簽。遷移時(shí)一定要先確認(rèn)業(yè)務(wù)側(cè)綁定的是哪套標(biāo)簽避免流量中斷。6. 常見(jiàn)問(wèn)題與排查技巧實(shí)錄6.1 鄰居反復(fù)Up/Down這個(gè)現(xiàn)象在IS-IS排障里最常見(jiàn)拓展功能沒(méi)配好往往first point就在這里。用display isis peer看鄰居狀態(tài)。如果鄰居在Up和Down之間反復(fù)橫跳排查順序先看MT能力是否一致。一邊開(kāi)了ipv6 enable topology ipv6另一邊沒(méi)開(kāi)Hello報(bào)文里的MT TLV不同鄰居起不來(lái)或反復(fù)重建。再看認(rèn)證是否匹配。尤其區(qū)分authentication-mode、area-authentication-mode、domain-authentication-mode三層。有時(shí)接口Hello認(rèn)證配錯(cuò)了鄰居根本起不來(lái)區(qū)域認(rèn)證配錯(cuò)了可能Level-1鄰居能起來(lái)但LSDB同步異常。還要檢查System ID是否重復(fù)。全網(wǎng)System ID重復(fù)鄰居會(huì)造成LSDB沖突表現(xiàn)就是一會(huì)兒Up一會(huì)兒Down。6.2 路由黑洞或路由不一致雙棧網(wǎng)絡(luò)中IPv6路由時(shí)有時(shí)無(wú)多半是多拓?fù)錄](méi)有全覆蓋。排查方法是分別查看IPv4和IPv6的LSDBdisplay isis lsdb display isis lsdb ipv6對(duì)比兩個(gè)LSDB的拓?fù)湟晥D。如果IPv6視圖里缺少某個(gè)區(qū)域的節(jié)點(diǎn)說(shuō)明那臺(tái)設(shè)備沒(méi)有正確使能IPv6拓?fù)浠蛘週evel-2區(qū)域的MT能力沒(méi)打通。還有一種情況啟用FRR后備份路由顯示正常但實(shí)際切換丟包。大概率是備份路徑只是一條“ICMP可達(dá)”鏈路實(shí)際轉(zhuǎn)發(fā)面沒(méi)有打通需要檢查備份下一跳的MPLS或VRF配置。6.3 認(rèn)證配置了還是被抓包看到明文報(bào)文不少人在接口下只配了authentication-mode simple這種是明文密碼抓包直接能看到。既然做安全加固就上HMAC-SHA256。如果設(shè)備版本較老至少要保證MD5且定期更換Keychain密鑰。另外要注意SPTSNP也參與認(rèn)證。很多網(wǎng)絡(luò)接口認(rèn)證做了但I(xiàn)S-IS的CSNP/PSNP沒(méi)做攻擊者照樣可以通過(guò)偽造SNP干擾LSDB同步。華為設(shè)備上domain-authentication-mode和area-authentication-mode會(huì)把LSP和SNP一起保護(hù)這層別漏。6.4 排查命令速查表用途命令鄰居狀態(tài)display isis peerIS-IS摘要display isis briefLSDBIPv4/IPv6display isis lsdb/display isis lsdb ipv6網(wǎng)管與故障統(tǒng)計(jì)display isis errorFRR備份路徑display isis frr認(rèn)證信息核查display isis authenticationSR配置核查display segment-routing mplsLSP分片信息display isis spf-tree/display isis lsdb verbose提醒一點(diǎn)不同版本的華為設(shè)備命令細(xì)節(jié)略有差異。上線前務(wù)必在實(shí)驗(yàn)環(huán)境先跑一遍display isis各命令的輸出確認(rèn)兼容性再落到生產(chǎn)設(shè)備上。6.5 一些實(shí)戰(zhàn)經(jīng)驗(yàn)的補(bǔ)充分享最后再聊幾句我自己的習(xí)慣。剛開(kāi)始做IS-IS拓展功能時(shí)我總是急著調(diào)參數(shù)結(jié)果經(jīng)常把簡(jiǎn)單網(wǎng)絡(luò)搞復(fù)雜。后來(lái)我給自己定了三條規(guī)矩先看基礎(chǔ)拓?fù)?。領(lǐng)域劃分、System ID規(guī)劃、接口類(lèi)型這些沒(méi)做對(duì)拓展功能配得再好也是白搭。每個(gè)功能小步上線。比如先只做BFD聯(lián)動(dòng)等一天看穩(wěn)定再做FRR再看一天最后才啟SR。這樣出問(wèn)題能很快定位。每次變更都要記錄基線。IS-IS這種承載全網(wǎng)路由的協(xié)議變更前備份配置只是基本操作更重要的是記錄當(dāng)時(shí)的LSDB和路由表快照出問(wèn)題才能對(duì)比。網(wǎng)絡(luò)不是做加法而是做平衡。IS-IS拓展功能都是為了解決具體問(wèn)題而生的快速收斂解決故障恢復(fù)多拓?fù)浣鉀Q雙棧黑洞認(rèn)證解決安全風(fēng)險(xiǎn)SR解決流量調(diào)度。用不用、用多狠取決于你的網(wǎng)絡(luò)規(guī)模和業(yè)務(wù)要求。小網(wǎng)絡(luò)默認(rèn)配置夠用不必硬堆拓展大型網(wǎng)絡(luò)每一步都要有依據(jù)避免“為了功能而功能”。我個(gè)人在實(shí)際維護(hù)中的體會(huì)是把基礎(chǔ)協(xié)議理解透再上拓展功能出問(wèn)題時(shí)才能快速定位到底哪一環(huán)出了問(wèn)題——多數(shù)“詭異故障”最后都落在基礎(chǔ)配置不一致上。系統(tǒng)性地把拓展功能逐個(gè)驗(yàn)證、逐步鋪開(kāi)遠(yuǎn)比一次性全量上線穩(wěn)妥得多。 IS-IS拓展功能實(shí)戰(zhàn)：收斂加速、多拓?fù)渑cSR配置指南
1. 為什么IS-IS需要拓展功能補(bǔ)充1.1 基礎(chǔ)IS-IS的能力邊界做網(wǎng)絡(luò)的人基本都繞不開(kāi)IS-IS。核心網(wǎng)、城域網(wǎng)、大型數(shù)據(jù)中心到處都有它的身影。但很多人對(duì)IS-IS的印象停留在“鄰居、LSP、SPF、收斂”這幾個(gè)基礎(chǔ)動(dòng)作。用在小型網(wǎng)絡(luò)里默認(rèn)配置確實(shí)夠用可一旦規(guī)模上來(lái)、業(yè)務(wù)復(fù)雜了基礎(chǔ)能力就明顯不夠用。先說(shuō)它到底缺什么。默認(rèn)IS-IS的收斂過(guò)程是一個(gè)路由器收到新的LSP后要重新跑一遍全量SPF計(jì)算才能更新路由表。網(wǎng)絡(luò)規(guī)模越大、路由條目越多全量SPF的CPU開(kāi)銷(xiāo)就越大這一輪收斂可能要幾百毫秒甚至秒級(jí)。對(duì)于一些要求“故障后50毫秒內(nèi)完成切換”的業(yè)務(wù)這完全無(wú)法接受。所以需要增量SPF、PRC、FRR這類(lèi)拓展機(jī)制把收斂時(shí)間壓下來(lái)。再有傳統(tǒng)IS-IS描述網(wǎng)絡(luò)拓?fù)鋾r(shí)IPv4和IPv6共用一套拓?fù)淠Ｐ汀Ｈ绻M網(wǎng)里某些鏈路只有IPv4能力另一些鏈路雙棧全網(wǎng)算出來(lái)的IPv6轉(zhuǎn)發(fā)路徑就會(huì)出現(xiàn)“走到一條不支持IPv6的鏈路上”的成環(huán)或黑洞風(fēng)險(xiǎn)。這個(gè)問(wèn)題的解藥是多拓?fù)銲S-ISMT-ISIS。還有安全加固。IS-IS本身是開(kāi)放式協(xié)議默認(rèn)不認(rèn)證任何能接入二層網(wǎng)絡(luò)的設(shè)備都能偽造Hello包擠進(jìn)IS-IS域甚至發(fā)送偽造的LSP污染全網(wǎng)路由表。電信級(jí)網(wǎng)絡(luò)、政企專(zhuān)網(wǎng)一定要把協(xié)議認(rèn)證補(bǔ)上。再往上層看手工設(shè)置IS-IS的接口開(kāi)銷(xiāo)來(lái)做流量調(diào)優(yōu)在現(xiàn)代網(wǎng)絡(luò)里明顯太笨重?，F(xiàn)在更常見(jiàn)的做法是管理標(biāo)簽和Segment Routing在IS-IS這份IGP協(xié)議之上構(gòu)建完整的流量調(diào)度能力。這些內(nèi)容規(guī)范文檔里叫“協(xié)議擴(kuò)展”在實(shí)際運(yùn)維中就是你給IS-IS這臺(tái)“老機(jī)器”做的拓展功能補(bǔ)充。本文以華為設(shè)備為例把這些功能逐個(gè)拆開(kāi)講清楚包括原理、配置命令、以及我實(shí)際踩過(guò)的坑。1.2 華為設(shè)備支持哪些拓展方向先給個(gè)總覽方便建立全局印象。華為設(shè)備的IS-IS實(shí)現(xiàn)除了基礎(chǔ)鄰居、LSP、SPF之外常見(jiàn)拓展功能大致可以分成五類(lèi)拓展方向解決的核心問(wèn)題典型功能收斂加速故障切換慢、CPU開(kāi)銷(xiāo)大增量SPF、PRC、IPFRR、BFD聯(lián)動(dòng)、定時(shí)器調(diào)優(yōu)多業(yè)務(wù)承載IPv4/IPv6拓?fù)洳灰恢露嗤負(fù)銶T-ISIS安全性增強(qiáng)協(xié)議偽造、路由污染接口/區(qū)域/域三級(jí)認(rèn)證、HMAC-SHA256、Keychain策略與調(diào)度選路不靈活、多出口引流管理標(biāo)簽admin-tag、路由策略聯(lián)動(dòng)可擴(kuò)展性路由條目多、流量工程難做LSP分片、Segment Routing結(jié)合后文我會(huì)重點(diǎn)挑其中幾個(gè)真正改變運(yùn)維方式的功能展開(kāi)收斂?jī)?yōu)化、多拓?fù)?、認(rèn)證與管理標(biāo)簽、SR結(jié)合。這四個(gè)方向是生產(chǎn)網(wǎng)絡(luò)里出問(wèn)題最多、也最能體現(xiàn)“拓展功能價(jià)值”的部分。2. 收斂?jī)?yōu)化從“秒級(jí)”向“毫秒級(jí)”靠攏2.1 增量SPF和PRC到底是在干什么先講一個(gè)容易被忽略的事實(shí)SPF計(jì)算是IS-IS最耗費(fèi)CPU的操作。一個(gè)節(jié)點(diǎn)收到新LSP如果變化的是葉子路由卻要把整棵最短路徑樹(shù)重算一遍這顯然浪費(fèi)。華為設(shè)備上默認(rèn)的SPF計(jì)算會(huì)把全網(wǎng)節(jié)點(diǎn)和路由都算一遍。網(wǎng)絡(luò)規(guī)模大時(shí)一個(gè)次要鏈路抖動(dòng)可能引發(fā)全網(wǎng)路由器CPU飆升這叫“收斂風(fēng)暴”。解決辦法是增量SPFiSPF和PRC部分路由計(jì)算。iSPF只對(duì)受影響節(jié)點(diǎn)的子樹(shù)重新計(jì)算不再全盤(pán)重算。PRC更徹底——它只在路由葉子節(jié)點(diǎn)發(fā)生變化時(shí)直接更新相應(yīng)路由前綴完全不碰SPF樹(shù)。日常工作里90%的路由抖動(dòng)都是葉子級(jí)別iSPFPRC能省下很大一部分計(jì)算量。在華為設(shè)備上這兩類(lèi)能力通常不需要手動(dòng)開(kāi)啟屬于默認(rèn)啟用。但你要注意一個(gè)點(diǎn)確認(rèn)設(shè)備上LSP變化觸發(fā)計(jì)算的方式是“全量SPF”還是“增量SPF”。如果路由表特別大、CPU比例高可以在IS-IS視圖下使用一些與計(jì)算策略相關(guān)的命令部分版本會(huì)提供類(lèi)似timer spf等參數(shù)來(lái)調(diào)整計(jì)算間隔。真正需要主動(dòng)配置的是下面這些定時(shí)器和快速檢測(cè)機(jī)制。2.2 定時(shí)器調(diào)優(yōu)與BFD聯(lián)動(dòng)IS-IS默認(rèn)的收斂節(jié)奏偏保守。鄰居Down需要等Hello超時(shí)LSP泛洪有間隔SPF計(jì)算也有延遲。華為設(shè)備上建議在IS-IS進(jìn)程視圖做這樣一套調(diào)優(yōu)思路isis 1 is-name CORE-A timer lsp-generation 5 10 50 timer spf 5 10 40 timer lsp-refresh 900 bfd all-interfaces enable這里每個(gè)參數(shù)的含義我展開(kāi)說(shuō)一下timer lsp-generation 5 10 50表示首次收到觸發(fā)變化后5毫秒生成LSP后續(xù)如果持續(xù)變化按10毫秒間隔最長(zhǎng)等待50毫秒。這樣既保證快速通告又避免頻繁抖動(dòng)導(dǎo)致LSP風(fēng)暴。timer spf 5 10 40SPF首次計(jì)算延遲5毫秒后續(xù)最短間隔10毫秒最大等待40毫秒。實(shí)際項(xiàng)目中我會(huì)根據(jù)鏈路抖動(dòng)頻率調(diào)整“最大等待時(shí)間”抖動(dòng)頻繁的鏈路可以適度調(diào)大抑制CPU抖動(dòng)。timer lsp-refresh 900LSP定期刷新周期默認(rèn)是1200秒可以調(diào)到600~900秒。刷新頻率越高全網(wǎng)LSP序號(hào)老化越早但也增加一些網(wǎng)絡(luò)泛洪負(fù)擔(dān)。bfd all-interfaces enable這個(gè)非常關(guān)鍵。單純靠Hello超時(shí)檢測(cè)故障需要秒級(jí)。BFD可以在毫秒級(jí)檢測(cè)出鏈路故障再聯(lián)動(dòng)IS-IS快速收斂。生產(chǎn)環(huán)境中BFD是IS-IS收斂加速的基礎(chǔ)設(shè)施強(qiáng)烈建議全使能。提示修改SPF定時(shí)器屬于全局收斂行為參數(shù)不要設(shè)得太激進(jìn)。比如SPF首次計(jì)算延遲設(shè)成0毫秒鏈路密集抖動(dòng)時(shí)CPU反而被打滿。我一般推薦“首跳快、后續(xù)穩(wěn)”的參數(shù)組合。2.3 IPFRR和自動(dòng)FRR給轉(zhuǎn)發(fā)面“兜底”收斂再快也是秒到百毫秒級(jí)別。對(duì)某些承載語(yǔ)音、金融交易等場(chǎng)景的鏈路要求故障切換在50毫秒內(nèi)完成這時(shí)就必須靠IPFRR。華為設(shè)備上IS-IS支持FRR快速重路由核心原理是預(yù)先計(jì)算好備份下一跳。主路徑故障時(shí)轉(zhuǎn)發(fā)面直接切換到備份路徑不用等IGP重新收斂。這個(gè)思路跟“事先系好安全帶”一樣——等事故發(fā)生了再反應(yīng)永遠(yuǎn)不夠快。配置方法分兩步。第一步全局使能IS-IS FRR指定備份路徑的計(jì)算方式第二步在接口上按需排除不希望作為備份的鏈路。isis 1 frr loop-free-alternate華為設(shè)備上常見(jiàn)的是loop-free-alternateLFA或更高級(jí)的remote-lfaR-LFA。區(qū)別在于LFA要求備份下一跳必須是無(wú)環(huán)的鄰居拓?fù)浜?jiǎn)單時(shí)可用R-LFA允許通過(guò)隧道的方式找到更遠(yuǎn)端的無(wú)環(huán)備份復(fù)雜拓?fù)湎赂采w更全。我建議除非網(wǎng)絡(luò)特別簡(jiǎn)單否則優(yōu)先用remote-lfa。FRR配置完成后要用display isis frr查看備份路徑是否正常生成。如果某些路由沒(méi)有備份通常是因?yàn)橥負(fù)渲胁淮嬖趪?yán)格無(wú)環(huán)的備份下一跳這個(gè)要靠調(diào)整鏈路開(kāi)銷(xiāo)或者多加一條冗余鏈路解決。2.4 防微環(huán)鏈路恢復(fù)瞬間的“隱形坑”說(shuō)完快速切換很多人會(huì)忽略鏈路恢復(fù)時(shí)的微環(huán)問(wèn)題。故障瞬間FRR能兜住但鏈路恢復(fù)時(shí)各路由器收斂時(shí)序不一致有的先行切換有的還在走舊路徑就會(huì)形成臨時(shí)環(huán)路導(dǎo)致少量丟包甚至路由震蕩。華為設(shè)備在IS-IS里有的版本會(huì)提供與防微環(huán)相關(guān)的策略或切換控制另外在Segment Routing場(chǎng)景下也可以通過(guò)顯式路徑規(guī)劃規(guī)避。若你的設(shè)備不支持專(zhuān)門(mén)的防微環(huán)功能最有效的經(jīng)驗(yàn)做法是在鏈路恢復(fù)前先把相關(guān)接口的IS-IS開(kāi)銷(xiāo)臨時(shí)調(diào)大讓SPF先計(jì)算穩(wěn)定再把開(kāi)銷(xiāo)恢復(fù)原值。雖然要人工干預(yù)但在沒(méi)有防微環(huán)機(jī)制的舊版本上這招很管用。實(shí)操心得我維護(hù)過(guò)一張三千臺(tái)設(shè)備的路由器網(wǎng)絡(luò)Core鏈路的閃斷天天有。BFD聯(lián)動(dòng)IS-IS、配合FRR故障切換基本無(wú)感真正出問(wèn)題的反而是鏈路恢復(fù)那幾秒的微環(huán)。后來(lái)我在核心互聯(lián)接口上啟用了防微環(huán)功能并且把SPF首次延遲調(diào)到了5毫秒左右微環(huán)導(dǎo)致的丟包幾乎消失。3. 多拓?fù)銶T雙棧網(wǎng)絡(luò)不再“打架”3.1 為什么標(biāo)準(zhǔn)IS-IS做雙棧會(huì)出問(wèn)題標(biāo)準(zhǔn)IS-IS使用NLPID網(wǎng)絡(luò)層協(xié)議標(biāo)識(shí)來(lái)標(biāo)識(shí)IPv4和IPv6但拓?fù)涿枋鲇玫氖峭惶譒SP信息。這意味著IPv4的鄰接和IPv6的鄰接在協(xié)議層面共享一個(gè)拓?fù)湟晥D。實(shí)際組網(wǎng)中經(jīng)常會(huì)遇到這種局面骨干鏈路全部雙棧但接入側(cè)某段鏈路只通了IPv4沒(méi)通IPv6。標(biāo)準(zhǔn)IS-IS無(wú)法表達(dá)“這條鏈路只有IPv4路由可用”這個(gè)事實(shí)。IPv6路由計(jì)算完成后可能把下一跳指向那條沒(méi)有IPv6能力的鏈路上導(dǎo)致轉(zhuǎn)發(fā)黑洞。更麻煩的是如果兩條鏈路分別只有一種協(xié)議通互相學(xué)習(xí)路由還會(huì)形成依賴(lài)關(guān)系上的環(huán)路。多拓?fù)銲S-ISMT-ISIS就是為了解決這類(lèi)問(wèn)題。它給每個(gè)地址族分配獨(dú)立的MT-IDIPv4和IPv6各自建立拓?fù)?、各自?jì)算SPF。IPv4的鏈路狀態(tài)不會(huì)影響IPv6的路徑計(jì)算。鏈路層面“我只能通IPv4”就只在IPv4拓?fù)淅锍霈F(xiàn)IPv6流量根本不往那兒走。3.2 華為設(shè)備上的MT配置步驟華為設(shè)備開(kāi)啟MT-ISIS關(guān)鍵點(diǎn)在于進(jìn)程下開(kāi)啟多拓?fù)浣涌谙率鼓躀Pv6并關(guān)聯(lián)拓?fù)?。以一個(gè)簡(jiǎn)單的雙棧核心網(wǎng)為例isis 1 is-name MT-CORE ipv6 enable topology ipv6 network-entity 49.0001.0000.0000.0001.00 interface GigabitEthernet0/0/1 isis enable 1 isis circuit-type level-2-only ipv6 enable isis ipv6 enable topology ipv6命令的邏輯很清楚ipv6 enable topology ipv6是在IS-IS進(jìn)程下為IPv6創(chuàng)建一個(gè)獨(dú)立拓?fù)鋵?shí)例。接口下ipv6 enable是打開(kāi)接口的IPv6能力isis ipv6 enable topology ipv6是把該接口加入IPv6多拓?fù)?。全網(wǎng)所有路由器只要參與IPv6承載都需要保持一致配置。特別是在MT模式下只跑IPv4的接口不要加IPv6拓?fù)浞駝t它會(huì)出現(xiàn)在IPv6拓?fù)淅飳?dǎo)致其他路由器誤以為這條鏈路支持IPv6。還有個(gè)關(guān)鍵點(diǎn)IS-IS的Level-1和Level-2都要使能MT。只在Level-2使能、Level-1未使能跨區(qū)域的路由學(xué)習(xí)會(huì)出現(xiàn)MT-ID不一致輕則路由不完整重則鄰居振蕩。3.3 MT配置最容易踩的三個(gè)坑第一MT-ID不一致導(dǎo)致鄰居Down。IS-IS建立鄰接時(shí)會(huì)協(xié)商MT能力。一邊啟用了IPv6拓?fù)淞硪贿厸](méi)啟用兩邊能力集不同鄰居直接起不來(lái)。排查時(shí)用display isis error或抓包看Hello報(bào)文里的MT TLV能快速定位。第二MT模式下的默認(rèn)拓?fù)洳灰獎(jiǎng)h。多拓?fù)洳淮砟阒槐Ａ鬒Pv6拓?fù)銲Pv4的默認(rèn)拓?fù)銶T-ID 0仍然是必須的。有些朋友為了讓IPv4和IPv6完全隔離想只用IPv6拓?fù)渑軜I(yè)務(wù)結(jié)果默認(rèn)拓?fù)浔粍h了IPv4路由直接全丟。第三多拓?fù)鋾?huì)成倍增加SPF計(jì)算開(kāi)銷(xiāo)。每個(gè)拓?fù)涓髯越⒁豢肧PF樹(shù)對(duì)CPU的消耗基本是翻倍的。我很早之前在一臺(tái)中端設(shè)備上啟用了MT結(jié)果鏈路頻繁抖動(dòng)時(shí)CPU持續(xù)高位后來(lái)把一些邊緣鏈路的SPF定時(shí)器放寬才穩(wěn)定下來(lái)。啟用MT前請(qǐng)確認(rèn)設(shè)備規(guī)格和路由規(guī)模是否匹配。4. 認(rèn)證與管理標(biāo)簽安全加固和流量調(diào)度的基本功4.1 IS-IS三級(jí)認(rèn)證與HMAC-SHA256IS-IS默認(rèn)不加密任何報(bào)文。只要一臺(tái)設(shè)備能接入你的二層網(wǎng)絡(luò)理論上它就可以偽裝成鄰居、發(fā)送Hello報(bào)文、偽造LSP。尤其是LSP一旦被注入惡意路由全網(wǎng)路由表都會(huì)被污染這是非常嚴(yán)重的故障。所以協(xié)議認(rèn)證不是可選項(xiàng)是必選項(xiàng)。IS-IS的認(rèn)證分為三個(gè)層面認(rèn)證級(jí)別保護(hù)對(duì)象作用范圍接口認(rèn)證HelloHello報(bào)文阻止非法設(shè)備建立鄰居區(qū)域認(rèn)證LSP、SNP保護(hù)Level-1區(qū)域內(nèi)的路由信息域認(rèn)證LSP、SNP保護(hù)Level-2域內(nèi)路由信息實(shí)際配置中區(qū)域和域認(rèn)證要分開(kāi)配置因?yàn)樗鼈兏髯缘腡LV不同。華為設(shè)備上推薦使用HMAC-SHA256而不是簡(jiǎn)單的明文密碼或MD5MD5在強(qiáng)度上已經(jīng)不足以應(yīng)對(duì)當(dāng)前的安全審計(jì)。配置示例isis 1 authentication-mode hmac-sha256 keychain isis-ks area-authentication-mode hmac-sha256 keychain isis-ks domain-authentication-mode hmac-sha256 keychain isis-ks keychain isis-ks mode periodic daily key-id 1 algorithm hmac-sha256 key-string cipher %^%#abc...%^%# send-time daily 00:00 23:59authentication-mode管的是接口Hello認(rèn)證area-authentication-mode管Level-1路由信息domain-authentication-mode管Level-2路由信息。三者必須全網(wǎng)統(tǒng)一。否則最常見(jiàn)的現(xiàn)象是鄰居能起來(lái)但LSDB同步異?；蛘週SP被靜默丟棄。4.2 Keychain的價(jià)值密鑰定期滾動(dòng)Keychain的價(jià)值在于定期更換密鑰。你不可能每過(guò)一兩個(gè)月手工把所有設(shè)備的認(rèn)證密碼都改一遍。用Keychain可以設(shè)定密鑰生效時(shí)間段舊密鑰到期前自動(dòng)切換到新密鑰設(shè)備之間通過(guò)時(shí)間槽位協(xié)同做到“無(wú)縫換鑰”。這在實(shí)際運(yùn)維中太重要了。我見(jiàn)過(guò)不少網(wǎng)絡(luò)認(rèn)證配完之后密碼一直不換安全性其實(shí)打了折扣。有了Keychain安全審計(jì)要求“定期更換認(rèn)證密鑰”時(shí)你只需要提前新加一個(gè)Key ID到了生效時(shí)間自動(dòng)切換。配置Keychain時(shí)有個(gè)容易忽視的細(xì)節(jié)Send time和Receive time要提前重疊一小段時(shí)間。比如新密鑰給一個(gè)提前量確保新舊密鑰交替時(shí)有重疊窗口避免因?yàn)樵O(shè)備時(shí)間偏差導(dǎo)致認(rèn)證失敗。4.3 管理標(biāo)簽admin-tag流量調(diào)度的輕量方案業(yè)務(wù)側(cè)經(jīng)常會(huì)有“這個(gè)網(wǎng)段走這條路徑、那個(gè)網(wǎng)段走那條路徑”的需求。以前只能用接口開(kāi)銷(xiāo)硬調(diào)路徑一多就很痛苦?，F(xiàn)在華為設(shè)備IS-IS支持管理標(biāo)簽 admin-tag給路由打標(biāo)簽再配合路由策略非常靈活。配置思路很簡(jiǎn)單isis 1 admin-tag 100 tag 100 route-policy TAG-ROUTE或者更直接地在IS-IS進(jìn)程下給特定前綴設(shè)置標(biāo)簽然后在路由策略里引用這個(gè)標(biāo)簽做優(yōu)先級(jí)調(diào)整或引入到其它協(xié)議。比如把視頻業(yè)務(wù)網(wǎng)段打上tag100再通過(guò)路由策略強(qiáng)制它優(yōu)先走某條出口鏈路。使用時(shí)有兩點(diǎn)經(jīng)驗(yàn)管理標(biāo)簽只在IS-IS域內(nèi)傳遞不會(huì)帶出到其他協(xié)議跨協(xié)議比如OSPF引入IS-IS時(shí)需要用路由策略重新打標(biāo)。標(biāo)簽不能代替鏈路開(kāi)銷(xiāo)計(jì)算。它更適合做“策略前綴”分流而不是替代SPF本身。如果網(wǎng)絡(luò)中所有路由都要打不同的標(biāo)簽做嚴(yán)格路徑規(guī)劃那其實(shí)是SR的使用場(chǎng)景別硬用admin-tag。5. 可擴(kuò)展性增強(qiáng)LSP分片和Segment Routing5.1 LSP分片別讓“大包”壓垮網(wǎng)絡(luò)IS-IS的LSP有長(zhǎng)度限制默認(rèn)通常不超過(guò)1400字節(jié)左右。當(dāng)路由信息非常多、或者LSP承載了大量擴(kuò)展TLV比如各種SR信息、TE信息單個(gè)LSP就可能不夠用。華為設(shè)備支持LSP分片配置把同一路由器產(chǎn)生的LSP分成多個(gè)片F(xiàn)ragment發(fā)送。它可以控制Origin LSP和Additional LSP的生成節(jié)奏。isis 1 lsp-length originate 512 receive 1024 fragment-level 1lsp-length originate控制本端生成的LSP最大長(zhǎng)度receive控制從遠(yuǎn)端接收時(shí)能接受的最大長(zhǎng)度。這里有一個(gè)關(guān)鍵考量分片并非越小越好。分片太多LSDB里條目多、LSDB同步開(kāi)銷(xiāo)大分片太大又可能導(dǎo)致MPLS或組播環(huán)境下MTU不匹配。我一般在核心設(shè)備上把Origin LSP長(zhǎng)度控制在512字節(jié)左右既能容納SRGB和TE擴(kuò)展又不至于讓LSP過(guò)分臃腫。fragment-level 1是讓Level-1和Level-2分別執(zhí)行分片避免兩個(gè)Level共用分片號(hào)時(shí)產(chǎn)生LSDB混亂。5.2 與Segment Routing結(jié)合流量工程的更優(yōu)解如果說(shuō)MT是雙棧的進(jìn)階那么Segment RoutingSR就是IS-IS拓展功能里最重量級(jí)的一項(xiàng)。SR把路徑編碼成指令序列Segment List源節(jié)點(diǎn)決定整條路徑令網(wǎng)絡(luò)中不再完全依賴(lài)逐跳SPF選路。華為設(shè)備在IS-IS下使用SR大致需要三個(gè)層面的配置mpls lsr-id 10.0.0.1 segment-routing mpls srgb 16000 23999 isis 1 segment-routing mpls prefix-sid index 1 interface GigabitEthernet0/0/1 segment-routing mpls adjacency-sid 15001這里每個(gè)配置的作用mpls lsr-id是MPLS節(jié)點(diǎn)標(biāo)識(shí)SR也需要基礎(chǔ)MPLS能力。segment-routing mplssrgb 16000 23999聲明本節(jié)點(diǎn)的SRGB范圍為全局前綴段預(yù)留標(biāo)簽區(qū)間。IS-IS進(jìn)程下的prefix-sid index 1為L(zhǎng)oopback路由分配節(jié)點(diǎn)SID。接口下的adjacency-sid為鄰接分配Adjacency SID用于逐跳段。啟用SR后默認(rèn)SPF計(jì)算出的轉(zhuǎn)發(fā)路徑不會(huì)變但你可以在邊界路由器上用策略下發(fā)“Segment List”實(shí)現(xiàn)顯式路徑。比如讓流量繞開(kāi)某段擁塞鏈路segment-routing mpls transit forwarding-policy PATH segment-list FORWARD index 5 sid 16102 index 10 sid 16205一個(gè)SR策略配置好后轉(zhuǎn)發(fā)面按Segment List壓棧轉(zhuǎn)發(fā)路徑完全可控而且不依賴(lài)逐跳IGP視圖。IS-IS在這里的角色是充當(dāng)SR的控制面負(fù)責(zé)擴(kuò)散SRGB、Prefix-SID、Adjacency-SID信息。5.3 啟用SR前后的檢查清單SR雖然強(qiáng)大但配置前有些細(xì)節(jié)必須先把關(guān)全網(wǎng)SRGB規(guī)劃一致。尤其是跨廠商設(shè)備SRGB必須有全局共識(shí)否則換算出的標(biāo)簽錯(cuò)位流量直接斷。Loopback地址作為穩(wěn)定全局標(biāo)識(shí)必須通過(guò)IS-IS Level-2通告且所有設(shè)備能學(xué)習(xí)到。如果存在雙棧回退或區(qū)域邊界優(yōu)先用IPv4 Loopback分配SID。轉(zhuǎn)發(fā)層面要確認(rèn)支持SR MPLS。華為很多企業(yè)級(jí)產(chǎn)品支持但老舊的板卡或特殊VXLAN場(chǎng)景需要額外確認(rèn)。啟用SR不會(huì)自動(dòng)改變默認(rèn)最短路徑這一點(diǎn)對(duì)于平滑升級(jí)非常友好。我從傳統(tǒng)LDP網(wǎng)絡(luò)遷移SR時(shí)先啟SR、再逐步把業(yè)務(wù)切到SR策略整個(gè)過(guò)程無(wú)需割接窗口。注意SR和LDP可以共存但同一條IGP路由同時(shí)攜帶LDP標(biāo)簽和SR標(biāo)簽時(shí)轉(zhuǎn)發(fā)表優(yōu)先用SR標(biāo)簽。遷移時(shí)一定要先確認(rèn)業(yè)務(wù)側(cè)綁定的是哪套標(biāo)簽避免流量中斷。6. 常見(jiàn)問(wèn)題與排查技巧實(shí)錄6.1 鄰居反復(fù)Up/Down這個(gè)現(xiàn)象在IS-IS排障里最常見(jiàn)拓展功能沒(méi)配好往往first point就在這里。用display isis peer看鄰居狀態(tài)。如果鄰居在Up和Down之間反復(fù)橫跳排查順序先看MT能力是否一致。一邊開(kāi)了ipv6 enable topology ipv6另一邊沒(méi)開(kāi)Hello報(bào)文里的MT TLV不同鄰居起不來(lái)或反復(fù)重建。再看認(rèn)證是否匹配。尤其區(qū)分authentication-mode、area-authentication-mode、domain-authentication-mode三層。有時(shí)接口Hello認(rèn)證配錯(cuò)了鄰居根本起不來(lái)區(qū)域認(rèn)證配錯(cuò)了可能Level-1鄰居能起來(lái)但LSDB同步異常。還要檢查System ID是否重復(fù)。全網(wǎng)System ID重復(fù)鄰居會(huì)造成LSDB沖突表現(xiàn)就是一會(huì)兒Up一會(huì)兒Down。6.2 路由黑洞或路由不一致雙棧網(wǎng)絡(luò)中IPv6路由時(shí)有時(shí)無(wú)多半是多拓?fù)錄](méi)有全覆蓋。排查方法是分別查看IPv4和IPv6的LSDBdisplay isis lsdb display isis lsdb ipv6對(duì)比兩個(gè)LSDB的拓?fù)湟晥D。如果IPv6視圖里缺少某個(gè)區(qū)域的節(jié)點(diǎn)說(shuō)明那臺(tái)設(shè)備沒(méi)有正確使能IPv6拓?fù)浠蛘週evel-2區(qū)域的MT能力沒(méi)打通。還有一種情況啟用FRR后備份路由顯示正常但實(shí)際切換丟包。大概率是備份路徑只是一條“ICMP可達(dá)”鏈路實(shí)際轉(zhuǎn)發(fā)面沒(méi)有打通需要檢查備份下一跳的MPLS或VRF配置。6.3 認(rèn)證配置了還是被抓包看到明文報(bào)文不少人在接口下只配了authentication-mode simple這種是明文密碼抓包直接能看到。既然做安全加固就上HMAC-SHA256。如果設(shè)備版本較老至少要保證MD5且定期更換Keychain密鑰。另外要注意SPTSNP也參與認(rèn)證。很多網(wǎng)絡(luò)接口認(rèn)證做了但I(xiàn)S-IS的CSNP/PSNP沒(méi)做攻擊者照樣可以通過(guò)偽造SNP干擾LSDB同步。華為設(shè)備上domain-authentication-mode和area-authentication-mode會(huì)把LSP和SNP一起保護(hù)這層別漏。6.4 排查命令速查表用途命令鄰居狀態(tài)display isis peerIS-IS摘要display isis briefLSDBIPv4/IPv6display isis lsdb/display isis lsdb ipv6網(wǎng)管與故障統(tǒng)計(jì)display isis errorFRR備份路徑display isis frr認(rèn)證信息核查display isis authenticationSR配置核查display segment-routing mplsLSP分片信息display isis spf-tree/display isis lsdb verbose提醒一點(diǎn)不同版本的華為設(shè)備命令細(xì)節(jié)略有差異。上線前務(wù)必在實(shí)驗(yàn)環(huán)境先跑一遍display isis各命令的輸出確認(rèn)兼容性再落到生產(chǎn)設(shè)備上。6.5 一些實(shí)戰(zhàn)經(jīng)驗(yàn)的補(bǔ)充分享最后再聊幾句我自己的習(xí)慣。剛開(kāi)始做IS-IS拓展功能時(shí)我總是急著調(diào)參數(shù)結(jié)果經(jīng)常把簡(jiǎn)單網(wǎng)絡(luò)搞復(fù)雜。后來(lái)我給自己定了三條規(guī)矩先看基礎(chǔ)拓?fù)?。領(lǐng)域劃分、System ID規(guī)劃、接口類(lèi)型這些沒(méi)做對(duì)拓展功能配得再好也是白搭。每個(gè)功能小步上線。比如先只做BFD聯(lián)動(dòng)等一天看穩(wěn)定再做FRR再看一天最后才啟SR。這樣出問(wèn)題能很快定位。每次變更都要記錄基線。IS-IS這種承載全網(wǎng)路由的協(xié)議變更前備份配置只是基本操作更重要的是記錄當(dāng)時(shí)的LSDB和路由表快照出問(wèn)題才能對(duì)比。網(wǎng)絡(luò)不是做加法而是做平衡。IS-IS拓展功能都是為了解決具體問(wèn)題而生的快速收斂解決故障恢復(fù)多拓?fù)浣鉀Q雙棧黑洞認(rèn)證解決安全風(fēng)險(xiǎn)SR解決流量調(diào)度。用不用、用多狠取決于你的網(wǎng)絡(luò)規(guī)模和業(yè)務(wù)要求。小網(wǎng)絡(luò)默認(rèn)配置夠用不必硬堆拓展大型網(wǎng)絡(luò)每一步都要有依據(jù)避免“為了功能而功能”。我個(gè)人在實(shí)際維護(hù)中的體會(huì)是把基礎(chǔ)協(xié)議理解透再上拓展功能出問(wèn)題時(shí)才能快速定位到底哪一環(huán)出了問(wèn)題——多數(shù)“詭異故障”最后都落在基礎(chǔ)配置不一致上。系統(tǒng)性地把拓展功能逐個(gè)驗(yàn)證、逐步鋪開(kāi)遠(yuǎn)比一次性全量上線穩(wěn)妥得多。