：從硬件到MPLS的基線配置與避坑指南)
簡介這份文檔面向網(wǎng)絡(luò)工程師與運維人員聚焦上海貝爾阿爾卡特7750業(yè)務(wù)路由器的配置與管理適合需要上手該設(shè)備或梳理配置規(guī)范的中級讀者。壓縮包共1個doc文件約267KB內(nèi)容為一份29頁的配置標(biāo)準(zhǔn)模板按硬件配置、設(shè)備管理配置、路由協(xié)議配置三大模塊組織。硬件部分涵蓋IOM卡與MDA卡的類型查看與正確配置、POS端口與以太口配置及port信息查看設(shè)備管理部分涉及路由器名稱、LOCATION、CONTACT設(shè)置以及系統(tǒng)時間、SNTP、TELNET服務(wù)器與登錄限制等條目路由協(xié)議部分則延伸至OSPF、RIP、ISIS等配置。文檔以命令示例與目錄索引呈現(xiàn)便于按章節(jié)對照設(shè)備逐項落地可作為日常配置、交接培訓(xùn)與排錯核對的參考底稿。目前已有639人學(xué)習(xí)下載。1. 拿到一臺 7750SR 配置模板先別急著敲命令機房上架一臺 7750SR加電、插卡、接 console屏幕亮起來那一刻最容易犯的錯是照著記憶里的 IOS 習(xí)慣直接敲interface。這臺跑的是 SR OS命令行樹、上下文切換、commit 機制完全是另一套邏輯。手里這份 29 頁的配置標(biāo)準(zhǔn)模板價值不在于它寫了多少條命令而在于它把一臺 7750SR 從裸機到能跑 MPLS 業(yè)務(wù)的順序固定下來了先認卡、再認口、然后管好設(shè)備本身、最后才談路由和業(yè)務(wù)。順序錯了后面全是返工。適合誰剛接手 SR 系列、需要一份能照著走完的基線配置的網(wǎng)工也適合手里有模板但看不懂某些段落為什么這么寫的人。下面按硬件、管理面、路由、MPLS 四塊拆開把每一步的命令含義、參數(shù)邊界和翻車點講清楚。2. 硬件配置IOM、MDA 與端口的三層對應(yīng)關(guān)系7750SR 的硬件是三層結(jié)構(gòu)機框插 IOMInput/Output ModuleIOM 上插 MDAMedia Dependent AdapterMDA 再出物理端口。配置的第一原則是先讓軟件認識硬件再讓硬件承載業(yè)務(wù)。模板里 1.1 到 1.3 節(jié)干的就是這件事順序不能顛倒——IOM 類型沒配對MDA 根本起不來MDA 沒配對端口在show port里就是空的。2.1 用 show hardware 摸清家底再動手上電后第一件事不是配是看。show hardware會列出機框里每個槽位的實際插入情況包括 IOM 型號、MDA 型號和端口數(shù)量。這一步的意義在于模板是通用模板實際設(shè)備插的卡未必和模板假設(shè)的一致照抄型號會直接報錯。# 查看整機硬件概況確認槽位、IOM 型號、MDA 型號 show hardware # 只看某個槽位的詳細信息槽位號按實際填 show hardware detail slot 1邏輯說明show hardware輸出的是設(shè)備物理識別到的卡不是配置里寫的卡。參數(shù)上重點看三列——slot槽位號、typeIOM/MDA 型號字符串、admin state。如果某槽位顯示not equipped但你明明插了卡先查卡是否插到位、是否在支持列表里而不是急著敲配置命令。這一步省下來后面能少排查半小時。2.2 IOM 與 MDA 的類型配置型號字符串必須一字不差確認硬件后才進入配置上下文。SR OS 的配置是樹狀的進configure card指定槽位再指定 IOM 類型然后進 MDA 子上下文指定 MDA 類型。# 進入配置模式 configure # 指定槽位 1 的 IOM 卡類型型號以 show hardware 輸出為準(zhǔn) configure card 1 card-type iom3-xp # 進入該槽位下 MDA 1 的上下文配置 MDA 類型 configure card 1 mda 1 mda-type mda-10g-sfp # 退出到根提交配置 exit all邏輯說明card-type和mda-type的取值是設(shè)備固件里預(yù)定義的字符串寫錯一個字符就會提示無效類型。常見做法是先把show hardware里的 type 字段原樣復(fù)制過來別憑記憶敲。參數(shù)邊界一個 IOM 能帶幾個 MDA 取決于 IOM 型號模板里沒寫死實際以show card輸出為準(zhǔn)。配置完必須exit all回到根上下文再提交SR OS 的 commit 是全局的在子上下文里敲 commit 不生效。2.3 POS 口與以太口端口配置的兩種典型路徑MDA 認出來之后端口才會出現(xiàn)在show port里。模板 1.3 節(jié)把端口分 POS 和以太兩類配置思路一致進端口上下文、設(shè)描述、設(shè) MTU、開端口。# 以太口配置示例進端口、加描述、設(shè) MTU、使能 configure port 1/1/1 description to-core-sw01 ethernet mtu 9212 no shutdown exit # POS 口配置示例封裝方式與幀格式按對端協(xié)商 configure port 1/2/1 description to-pe-router sonet-sdh framing sonet no shutdown exit邏輯說明端口命名是槽位/MDA號/端口號和前面配的 IOM、MDA 嚴(yán)格對應(yīng)。ethernet mtu設(shè)的是二層 MTU跑 MPLS 時這個值要留足標(biāo)簽開銷模板后面 4.1.5 節(jié)專門提到改 MTU原因就在這里——默認 1514 跑大包業(yè)務(wù)會分片。POS 口的framing必須和對端一致sonet 和 sdh 配反了鏈路起不來現(xiàn)象是端口 up 但協(xié)議 down。配完用show port確認 admin state 和 oper state 都是 upoper 不 up 就回去查物理層。3. 設(shè)備管理面把帶外入口和日志先焊死硬件通了下一步不是配路由是把設(shè)備本身管起來。模板第二章這一串——名稱、時間、SNTP、Telnet 限制、用戶、日志、SNMP、主備同步——看著瑣碎實際是在建一條可審計、可回溯的管理通道。生產(chǎn)網(wǎng)里路由配錯能改管理面配錯可能連設(shè)備都進不去血淚經(jīng)驗都在這。3.1 系統(tǒng)標(biāo)識與時間同步日志可信度的地基設(shè)備名、location、contact 是運維定位的基礎(chǔ)SNTP 則決定日志時間戳可不可信。多臺設(shè)備日志時間不一致排障時對時序就是黑匣子。configure system name SR-CORE-01 location IDC-A-RACK-12 contact netops-team snmp shutdown exit # SNTP 配置指定服務(wù)器并開啟 configure system sntp shutdown no shutdown server 10.10.10.20 server 10.10.10.21 exit邏輯說明name建議帶角色和編號方便show命令輸出里一眼識別。SNTP 配兩個 server 做冗余shutdown再no shutdown是模板里的習(xí)慣寫法確保服務(wù)狀態(tài)被顯式刷新。參數(shù)邊界SNTP 是明文時間同步精度到秒級夠用如果對時間精度有更高要求得走別的機制模板沒展開。配完用show system sntp看 server 狀態(tài)是否為in sync。3.2 Telnet 訪問控制默認允許 白名單拒絕的 ACL 寫法模板 2.5 節(jié)的思路很值得抄先配一條默認允許因為上主控板的流量不止 Telnet再用 ACL 精確放行管理網(wǎng)段最后一條拒絕兜底。這個順序是 SR OS 的 filter 匹配邏輯決定的——從上往下匹配命中即停。configure system security # 定義 Telnet 訪問的 IP filter configure system security telnet-server no shutdown exit exit # 用 ip-filter 控制源地址條目按順序匹配 configure filter ip-filter 10 default-action drop entry 10 match protocol tcp match destination-port 23 match source-address 10.20.0.0/16 action accept exit exit邏輯說明default-action drop是兜底拒絕entry 10 只放行管理網(wǎng)段到 23 端口。模板原文寫的是「默認動作為允許因為是所有上主控板的流量」這是因為它把 filter 掛在主控板入口而非 Telnet 服務(wù)本身兩種掛法效果不同抄的時候要看清掛載點。參數(shù)邊界source-address 用 CIDR別寫成反掩碼entry 編號留間隔10、20、30方便后期插條目。配完用show filter ip-filter 10核對條目順序。3.3 用戶、日志與主備同步三件容易被跳過的事用戶配置要落到「用戶名 密碼 登錄方式 所屬組」四要素模板 2.6 節(jié)拆得很細。日志部分關(guān)鍵是 log-id 和記錄方式file/console/syslog的綁定。主備同步則分自動和手工自動同步保證主控切換后配置不丟。# 建用戶并指定權(quán)限組 configure system security user netadmin password ******** access console access telnet console member administrative exit # 日志定義 log-id 10 寫文件并綁定日志類型 configure log log-id 10 source main destination file 1 exit # 主備同步開啟自動同步 configure redundancy synchronize exit邏輯說明console member決定用戶能進哪些配置上下文給 administrative 組意味著全權(quán)限生產(chǎn)上按最小權(quán)限給。log-id 的source main表示收主日志流destination file 1落到本地文件容量和輪轉(zhuǎn)在 file 上下文里另配。主備同步的synchronize是自動同步開關(guān)手工同步用admin redundancy synchronize。參數(shù)邊界密碼策略、登錄失敗鎖定這些模板沒寫屬于安全加固范疇按現(xiàn)場規(guī)范補。4. 路由與 MPLS從系統(tǒng)地址到 LSP 的完整鏈路管理面通了才輪到轉(zhuǎn)發(fā)面。模板第三章路由、第四章 MPLS邏輯是一條線先給路由器一個系統(tǒng)地址router-id 的來源再配接口 IP然后起 IGPOSPF/IS-IS最后在 IGP 可達的基礎(chǔ)上建 MPLS LSP。這條鏈路任何一環(huán)斷了LSP 都起不來而且報錯信息往往指向最后一環(huán)容易誤判。4.1 系統(tǒng)地址與接口router-id 的隱性依賴configure router下的router-id和interface system是兩回事但強相關(guān)。系統(tǒng)接口承載 router-id 和協(xié)議報文源地址業(yè)務(wù)接口承載轉(zhuǎn)發(fā)。configure router router-id 1.1.1.1 interface system address 1.1.1.1/32 exit interface to-core address 10.0.0.1/30 port 1/1/1 exit exit邏輯說明router-id建議和 system 接口地址一致避免協(xié)議里出現(xiàn)兩個身份。業(yè)務(wù)接口用port綁定前面配好的物理端口地址掩碼按互聯(lián)規(guī)劃給。參數(shù)邊界system 接口用 /32業(yè)務(wù)接口用 /30 或 /31別混。配完show router interface確認狀態(tài)show router route-table看直連路由是否生成。4.2 OSPF區(qū)域、cost、認證與路由注入的取舍模板 3.3 節(jié)把 OSPF 的常規(guī)動作都覆蓋了建區(qū)域、設(shè)接口 cost、stub/NSSA、虛鏈路、認證、聚合、靜態(tài)注入。實際落地不必全上但要知道每個開關(guān)解決什么問題。configure router ospf area 0.0.0.0 interface to-core interface-type point-to-point cost 10 authentication-type password authentication-key ******** exit exit # 把靜態(tài)路由注入 OSPF需配合 policy export static-to-ospf exit邏輯說明interface-type point-to-point在互聯(lián)鏈路上能省掉 DR/BDR 選舉收斂更快。cost影響選路按帶寬反比設(shè)。認證類型 password 是明文生產(chǎn)上更常見的是 md5模板給的是 password按現(xiàn)場安全要求替換。靜態(tài)注入必須走 policy不能直接 export 靜態(tài)路由表這是 SR OS 和某些廠商的差異點。參數(shù)邊界stub 區(qū)域不能有虛鏈路穿過NSSA 用于引入外部路由又不泛洪選哪個看拓撲。4.3 IS-IS 與 BGP區(qū)域 ID、層級與鄰居建立IS-IS 部分模板強調(diào)區(qū)域 ID 和路由器等級level-1/level-2。BGP 部分從建 AS、配 router-id 到指 neighbor是標(biāo)準(zhǔn)的 eBGP/iBGP 骨架。configure router isis area-id 49.0001 level-capability level-2 interface to-core interface-type broadcast exit exit configure router bgp group ebgp-peers peer-as 65001 neighbor 10.0.0.5 exit exit邏輯說明level-capability level-2表示只跑 L2適合骨干area-id格式是 XX.XXXX寫錯格式直接報錯。BGP 的 group 用來批量套策略neighbor 指對端地址peer-as 必須和對端一致。參數(shù)邊界iBGP 要全互聯(lián)或配路由反射器模板沒展開 RR實際大網(wǎng)必須考慮。配完show router bgp summary看鄰居狀態(tài)是否 Established。4.4 MPLS LSP路徑、主備與 MTU 的連鎖反應(yīng)MPLS 是這份模板的重頭。4.1 節(jié)從接口使能 MPLS到建命名路徑再到配 LSP 和主路徑最后 4.1.5 節(jié)改 MTU——這個順序說明 LSP 依賴路徑路徑依賴接口 MPLS 使能。configure router mpls interface to-core no shutdown exit path pri-path hop 10.0.0.5 exit lsp to-pe01 to 2.2.2.2 primary pri-path no shutdown exit no shutdown exit exit邏輯說明path里寫顯式跳地址lsp的to是 LSP 終點通常是對方 router-id。主路徑和 LSP 本身都要no shutdown模板里連敲兩次不是冗余是兩級對象各自的狀態(tài)。MTU 那一步MPLS 封裝會增加標(biāo)簽棧開銷接口 MTU 不夠會導(dǎo)致大包丟棄現(xiàn)象是 ping 通但業(yè)務(wù)不通屬于典型玄學(xué)故障。參數(shù)邊界LSP 的 metric、帶寬約束模板沒寫按業(yè)務(wù)需求補。5. 避坑與排查五條從現(xiàn)場帶回來的記錄5.1 現(xiàn)象MDA 配了類型但端口不出現(xiàn)原因IOM 的 card-type 和實際插入型號不符或者 MDA 插在 IOM 不支持的子槽位。解決回退到show hardware逐槽核對先改 IOM 類型再改 MDA改完exit all提交必要時admin card 1 mda 1 reboot讓卡重新初始化。5.2 現(xiàn)象Telnet 能連但登錄被拒原因ACL 放行了源地址但用戶沒配access telnet或者用戶所屬組沒有對應(yīng)權(quán)限。解決show system security user看 access 字段show system security profile看組權(quán)限兩處都對了再查 filter 命中計數(shù)show filter ip-filter 10 counters。5.3 現(xiàn)象OSPF 鄰居卡在 ExStart原因互聯(lián)兩端 MTU 不一致或者認證類型/密鑰不匹配。解決show router ospf neighbor看狀態(tài)和 dead timer兩端show port對比 MTU認證用show router ospf interface detail核對類型。MTU 不一致在 SR OS 上不會自動協(xié)商必須手工對齊。5.4 現(xiàn)象MPLS LSP 起不來但 IGP 正常原因路徑里的下一跳地址不可達或者接口沒使能 MPLS。解決show router mpls interface確認接口狀態(tài)show router mpls path pri-path看路徑校驗結(jié)果show router route-table確認 hop 地址有路由。IGP 通不代表 MPLS 通兩層要分開查。5.5 現(xiàn)象主備切換后配置丟失原因自動同步?jīng)]開或者切換前沒手工同步。解決show redundancy看同步狀態(tài)configure redundancy synchronize開啟自動同步重大變更后養(yǎng)成admin redundancy synchronize手工推一次的習(xí)慣。這條是后悔藥切換前不做切換后只能重配。6. 把模板變成自己的基線版本化與差異比對模板最大的坑不是命令寫錯是把它當(dāng)成一次性腳本用完就扔。我一般會把這份 29 頁的模板拆成三段落地硬件段、管理段、路由段各存一個文本文件每段開頭寫清適用槽位和前提條件。上機時按段粘貼每段結(jié)束exit all提交后立刻admin save存配置再用show configuration導(dǎo)出當(dāng)前運行配置和模板做 diff。# 保存當(dāng)前配置到本地 admin save # 導(dǎo)出運行配置用于比對 show configuration cf3:/running.cfg # 比對模板與運行配置的差異在跳板機上做 diff -u template-baseline.cfg running.cfg邏輯說明admin save落的是啟動配置show configuration輸出的是運行配置兩者在剛提交后應(yīng)一致不一致說明有未提交的改動。diff 的價值在于發(fā)現(xiàn)「模板里有但設(shè)備上沒生效」的條目——常見于型號不匹配被靜默跳過的命令。參數(shù)邊界配置文件存cf3:是主控本地盤主備切換后另一塊主控未必有重要基線建議同時存到外部 TFTP/FTP 服務(wù)器。再補一個驗證習(xí)慣每配完一段用對應(yīng)的show命令做一次正向驗證而不是等全部配完再統(tǒng)一查。硬件段用show card和show port管理段用show system security和show log log-id 10路由段用show router ospf neighbor和show router mpls lsp。正向驗證的好處是故障定位范圍被壓縮在當(dāng)前段不會出現(xiàn)「配了三十條命令不知道哪條錯」的局面。從那以后我每次拿到這類標(biāo)準(zhǔn)模板都強制先跑一遍show hardware和show version把實際型號和固件版本記在模板首頁再開始敲第一條配置命令——模板是死的設(shè)備是活的先對齊再動手比任何排錯技巧都省時間。希望幫到你。本文還有配套的精品資源點擊獲取 7750SR 配置模板實戰(zhàn)：從硬件到MPLS的基線配置與避坑指南
簡介這份文檔面向網(wǎng)絡(luò)工程師與運維人員聚焦上海貝爾阿爾卡特7750業(yè)務(wù)路由器的配置與管理適合需要上手該設(shè)備或梳理配置規(guī)范的中級讀者。壓縮包共1個doc文件約267KB內(nèi)容為一份29頁的配置標(biāo)準(zhǔn)模板按硬件配置、設(shè)備管理配置、路由協(xié)議配置三大模塊組織。硬件部分涵蓋IOM卡與MDA卡的類型查看與正確配置、POS端口與以太口配置及port信息查看設(shè)備管理部分涉及路由器名稱、LOCATION、CONTACT設(shè)置以及系統(tǒng)時間、SNTP、TELNET服務(wù)器與登錄限制等條目路由協(xié)議部分則延伸至OSPF、RIP、ISIS等配置。文檔以命令示例與目錄索引呈現(xiàn)便于按章節(jié)對照設(shè)備逐項落地可作為日常配置、交接培訓(xùn)與排錯核對的參考底稿。目前已有639人學(xué)習(xí)下載。1. 拿到一臺 7750SR 配置模板先別急著敲命令機房上架一臺 7750SR加電、插卡、接 console屏幕亮起來那一刻最容易犯的錯是照著記憶里的 IOS 習(xí)慣直接敲interface。這臺跑的是 SR OS命令行樹、上下文切換、commit 機制完全是另一套邏輯。手里這份 29 頁的配置標(biāo)準(zhǔn)模板價值不在于它寫了多少條命令而在于它把一臺 7750SR 從裸機到能跑 MPLS 業(yè)務(wù)的順序固定下來了先認卡、再認口、然后管好設(shè)備本身、最后才談路由和業(yè)務(wù)。順序錯了后面全是返工。適合誰剛接手 SR 系列、需要一份能照著走完的基線配置的網(wǎng)工也適合手里有模板但看不懂某些段落為什么這么寫的人。下面按硬件、管理面、路由、MPLS 四塊拆開把每一步的命令含義、參數(shù)邊界和翻車點講清楚。2. 硬件配置IOM、MDA 與端口的三層對應(yīng)關(guān)系7750SR 的硬件是三層結(jié)構(gòu)機框插 IOMInput/Output ModuleIOM 上插 MDAMedia Dependent AdapterMDA 再出物理端口。配置的第一原則是先讓軟件認識硬件再讓硬件承載業(yè)務(wù)。模板里 1.1 到 1.3 節(jié)干的就是這件事順序不能顛倒——IOM 類型沒配對MDA 根本起不來MDA 沒配對端口在show port里就是空的。2.1 用 show hardware 摸清家底再動手上電后第一件事不是配是看。show hardware會列出機框里每個槽位的實際插入情況包括 IOM 型號、MDA 型號和端口數(shù)量。這一步的意義在于模板是通用模板實際設(shè)備插的卡未必和模板假設(shè)的一致照抄型號會直接報錯。# 查看整機硬件概況確認槽位、IOM 型號、MDA 型號 show hardware # 只看某個槽位的詳細信息槽位號按實際填 show hardware detail slot 1邏輯說明show hardware輸出的是設(shè)備物理識別到的卡不是配置里寫的卡。參數(shù)上重點看三列——slot槽位號、typeIOM/MDA 型號字符串、admin state。如果某槽位顯示not equipped但你明明插了卡先查卡是否插到位、是否在支持列表里而不是急著敲配置命令。這一步省下來后面能少排查半小時。2.2 IOM 與 MDA 的類型配置型號字符串必須一字不差確認硬件后才進入配置上下文。SR OS 的配置是樹狀的進configure card指定槽位再指定 IOM 類型然后進 MDA 子上下文指定 MDA 類型。# 進入配置模式 configure # 指定槽位 1 的 IOM 卡類型型號以 show hardware 輸出為準(zhǔn) configure card 1 card-type iom3-xp # 進入該槽位下 MDA 1 的上下文配置 MDA 類型 configure card 1 mda 1 mda-type mda-10g-sfp # 退出到根提交配置 exit all邏輯說明card-type和mda-type的取值是設(shè)備固件里預(yù)定義的字符串寫錯一個字符就會提示無效類型。常見做法是先把show hardware里的 type 字段原樣復(fù)制過來別憑記憶敲。參數(shù)邊界一個 IOM 能帶幾個 MDA 取決于 IOM 型號模板里沒寫死實際以show card輸出為準(zhǔn)。配置完必須exit all回到根上下文再提交SR OS 的 commit 是全局的在子上下文里敲 commit 不生效。2.3 POS 口與以太口端口配置的兩種典型路徑MDA 認出來之后端口才會出現(xiàn)在show port里。模板 1.3 節(jié)把端口分 POS 和以太兩類配置思路一致進端口上下文、設(shè)描述、設(shè) MTU、開端口。# 以太口配置示例進端口、加描述、設(shè) MTU、使能 configure port 1/1/1 description to-core-sw01 ethernet mtu 9212 no shutdown exit # POS 口配置示例封裝方式與幀格式按對端協(xié)商 configure port 1/2/1 description to-pe-router sonet-sdh framing sonet no shutdown exit邏輯說明端口命名是槽位/MDA號/端口號和前面配的 IOM、MDA 嚴(yán)格對應(yīng)。ethernet mtu設(shè)的是二層 MTU跑 MPLS 時這個值要留足標(biāo)簽開銷模板后面 4.1.5 節(jié)專門提到改 MTU原因就在這里——默認 1514 跑大包業(yè)務(wù)會分片。POS 口的framing必須和對端一致sonet 和 sdh 配反了鏈路起不來現(xiàn)象是端口 up 但協(xié)議 down。配完用show port確認 admin state 和 oper state 都是 upoper 不 up 就回去查物理層。3. 設(shè)備管理面把帶外入口和日志先焊死硬件通了下一步不是配路由是把設(shè)備本身管起來。模板第二章這一串——名稱、時間、SNTP、Telnet 限制、用戶、日志、SNMP、主備同步——看著瑣碎實際是在建一條可審計、可回溯的管理通道。生產(chǎn)網(wǎng)里路由配錯能改管理面配錯可能連設(shè)備都進不去血淚經(jīng)驗都在這。3.1 系統(tǒng)標(biāo)識與時間同步日志可信度的地基設(shè)備名、location、contact 是運維定位的基礎(chǔ)SNTP 則決定日志時間戳可不可信。多臺設(shè)備日志時間不一致排障時對時序就是黑匣子。configure system name SR-CORE-01 location IDC-A-RACK-12 contact netops-team snmp shutdown exit # SNTP 配置指定服務(wù)器并開啟 configure system sntp shutdown no shutdown server 10.10.10.20 server 10.10.10.21 exit邏輯說明name建議帶角色和編號方便show命令輸出里一眼識別。SNTP 配兩個 server 做冗余shutdown再no shutdown是模板里的習(xí)慣寫法確保服務(wù)狀態(tài)被顯式刷新。參數(shù)邊界SNTP 是明文時間同步精度到秒級夠用如果對時間精度有更高要求得走別的機制模板沒展開。配完用show system sntp看 server 狀態(tài)是否為in sync。3.2 Telnet 訪問控制默認允許 白名單拒絕的 ACL 寫法模板 2.5 節(jié)的思路很值得抄先配一條默認允許因為上主控板的流量不止 Telnet再用 ACL 精確放行管理網(wǎng)段最后一條拒絕兜底。這個順序是 SR OS 的 filter 匹配邏輯決定的——從上往下匹配命中即停。configure system security # 定義 Telnet 訪問的 IP filter configure system security telnet-server no shutdown exit exit # 用 ip-filter 控制源地址條目按順序匹配 configure filter ip-filter 10 default-action drop entry 10 match protocol tcp match destination-port 23 match source-address 10.20.0.0/16 action accept exit exit邏輯說明default-action drop是兜底拒絕entry 10 只放行管理網(wǎng)段到 23 端口。模板原文寫的是「默認動作為允許因為是所有上主控板的流量」這是因為它把 filter 掛在主控板入口而非 Telnet 服務(wù)本身兩種掛法效果不同抄的時候要看清掛載點。參數(shù)邊界source-address 用 CIDR別寫成反掩碼entry 編號留間隔10、20、30方便后期插條目。配完用show filter ip-filter 10核對條目順序。3.3 用戶、日志與主備同步三件容易被跳過的事用戶配置要落到「用戶名 密碼 登錄方式 所屬組」四要素模板 2.6 節(jié)拆得很細。日志部分關(guān)鍵是 log-id 和記錄方式file/console/syslog的綁定。主備同步則分自動和手工自動同步保證主控切換后配置不丟。# 建用戶并指定權(quán)限組 configure system security user netadmin password ******** access console access telnet console member administrative exit # 日志定義 log-id 10 寫文件并綁定日志類型 configure log log-id 10 source main destination file 1 exit # 主備同步開啟自動同步 configure redundancy synchronize exit邏輯說明console member決定用戶能進哪些配置上下文給 administrative 組意味著全權(quán)限生產(chǎn)上按最小權(quán)限給。log-id 的source main表示收主日志流destination file 1落到本地文件容量和輪轉(zhuǎn)在 file 上下文里另配。主備同步的synchronize是自動同步開關(guān)手工同步用admin redundancy synchronize。參數(shù)邊界密碼策略、登錄失敗鎖定這些模板沒寫屬于安全加固范疇按現(xiàn)場規(guī)范補。4. 路由與 MPLS從系統(tǒng)地址到 LSP 的完整鏈路管理面通了才輪到轉(zhuǎn)發(fā)面。模板第三章路由、第四章 MPLS邏輯是一條線先給路由器一個系統(tǒng)地址router-id 的來源再配接口 IP然后起 IGPOSPF/IS-IS最后在 IGP 可達的基礎(chǔ)上建 MPLS LSP。這條鏈路任何一環(huán)斷了LSP 都起不來而且報錯信息往往指向最后一環(huán)容易誤判。4.1 系統(tǒng)地址與接口router-id 的隱性依賴configure router下的router-id和interface system是兩回事但強相關(guān)。系統(tǒng)接口承載 router-id 和協(xié)議報文源地址業(yè)務(wù)接口承載轉(zhuǎn)發(fā)。configure router router-id 1.1.1.1 interface system address 1.1.1.1/32 exit interface to-core address 10.0.0.1/30 port 1/1/1 exit exit邏輯說明router-id建議和 system 接口地址一致避免協(xié)議里出現(xiàn)兩個身份。業(yè)務(wù)接口用port綁定前面配好的物理端口地址掩碼按互聯(lián)規(guī)劃給。參數(shù)邊界system 接口用 /32業(yè)務(wù)接口用 /30 或 /31別混。配完show router interface確認狀態(tài)show router route-table看直連路由是否生成。4.2 OSPF區(qū)域、cost、認證與路由注入的取舍模板 3.3 節(jié)把 OSPF 的常規(guī)動作都覆蓋了建區(qū)域、設(shè)接口 cost、stub/NSSA、虛鏈路、認證、聚合、靜態(tài)注入。實際落地不必全上但要知道每個開關(guān)解決什么問題。configure router ospf area 0.0.0.0 interface to-core interface-type point-to-point cost 10 authentication-type password authentication-key ******** exit exit # 把靜態(tài)路由注入 OSPF需配合 policy export static-to-ospf exit邏輯說明interface-type point-to-point在互聯(lián)鏈路上能省掉 DR/BDR 選舉收斂更快。cost影響選路按帶寬反比設(shè)。認證類型 password 是明文生產(chǎn)上更常見的是 md5模板給的是 password按現(xiàn)場安全要求替換。靜態(tài)注入必須走 policy不能直接 export 靜態(tài)路由表這是 SR OS 和某些廠商的差異點。參數(shù)邊界stub 區(qū)域不能有虛鏈路穿過NSSA 用于引入外部路由又不泛洪選哪個看拓撲。4.3 IS-IS 與 BGP區(qū)域 ID、層級與鄰居建立IS-IS 部分模板強調(diào)區(qū)域 ID 和路由器等級level-1/level-2。BGP 部分從建 AS、配 router-id 到指 neighbor是標(biāo)準(zhǔn)的 eBGP/iBGP 骨架。configure router isis area-id 49.0001 level-capability level-2 interface to-core interface-type broadcast exit exit configure router bgp group ebgp-peers peer-as 65001 neighbor 10.0.0.5 exit exit邏輯說明level-capability level-2表示只跑 L2適合骨干area-id格式是 XX.XXXX寫錯格式直接報錯。BGP 的 group 用來批量套策略neighbor 指對端地址peer-as 必須和對端一致。參數(shù)邊界iBGP 要全互聯(lián)或配路由反射器模板沒展開 RR實際大網(wǎng)必須考慮。配完show router bgp summary看鄰居狀態(tài)是否 Established。4.4 MPLS LSP路徑、主備與 MTU 的連鎖反應(yīng)MPLS 是這份模板的重頭。4.1 節(jié)從接口使能 MPLS到建命名路徑再到配 LSP 和主路徑最后 4.1.5 節(jié)改 MTU——這個順序說明 LSP 依賴路徑路徑依賴接口 MPLS 使能。configure router mpls interface to-core no shutdown exit path pri-path hop 10.0.0.5 exit lsp to-pe01 to 2.2.2.2 primary pri-path no shutdown exit no shutdown exit exit邏輯說明path里寫顯式跳地址lsp的to是 LSP 終點通常是對方 router-id。主路徑和 LSP 本身都要no shutdown模板里連敲兩次不是冗余是兩級對象各自的狀態(tài)。MTU 那一步MPLS 封裝會增加標(biāo)簽棧開銷接口 MTU 不夠會導(dǎo)致大包丟棄現(xiàn)象是 ping 通但業(yè)務(wù)不通屬于典型玄學(xué)故障。參數(shù)邊界LSP 的 metric、帶寬約束模板沒寫按業(yè)務(wù)需求補。5. 避坑與排查五條從現(xiàn)場帶回來的記錄5.1 現(xiàn)象MDA 配了類型但端口不出現(xiàn)原因IOM 的 card-type 和實際插入型號不符或者 MDA 插在 IOM 不支持的子槽位。解決回退到show hardware逐槽核對先改 IOM 類型再改 MDA改完exit all提交必要時admin card 1 mda 1 reboot讓卡重新初始化。5.2 現(xiàn)象Telnet 能連但登錄被拒原因ACL 放行了源地址但用戶沒配access telnet或者用戶所屬組沒有對應(yīng)權(quán)限。解決show system security user看 access 字段show system security profile看組權(quán)限兩處都對了再查 filter 命中計數(shù)show filter ip-filter 10 counters。5.3 現(xiàn)象OSPF 鄰居卡在 ExStart原因互聯(lián)兩端 MTU 不一致或者認證類型/密鑰不匹配。解決show router ospf neighbor看狀態(tài)和 dead timer兩端show port對比 MTU認證用show router ospf interface detail核對類型。MTU 不一致在 SR OS 上不會自動協(xié)商必須手工對齊。5.4 現(xiàn)象MPLS LSP 起不來但 IGP 正常原因路徑里的下一跳地址不可達或者接口沒使能 MPLS。解決show router mpls interface確認接口狀態(tài)show router mpls path pri-path看路徑校驗結(jié)果show router route-table確認 hop 地址有路由。IGP 通不代表 MPLS 通兩層要分開查。5.5 現(xiàn)象主備切換后配置丟失原因自動同步?jīng)]開或者切換前沒手工同步。解決show redundancy看同步狀態(tài)configure redundancy synchronize開啟自動同步重大變更后養(yǎng)成admin redundancy synchronize手工推一次的習(xí)慣。這條是后悔藥切換前不做切換后只能重配。6. 把模板變成自己的基線版本化與差異比對模板最大的坑不是命令寫錯是把它當(dāng)成一次性腳本用完就扔。我一般會把這份 29 頁的模板拆成三段落地硬件段、管理段、路由段各存一個文本文件每段開頭寫清適用槽位和前提條件。上機時按段粘貼每段結(jié)束exit all提交后立刻admin save存配置再用show configuration導(dǎo)出當(dāng)前運行配置和模板做 diff。# 保存當(dāng)前配置到本地 admin save # 導(dǎo)出運行配置用于比對 show configuration cf3:/running.cfg # 比對模板與運行配置的差異在跳板機上做 diff -u template-baseline.cfg running.cfg邏輯說明admin save落的是啟動配置show configuration輸出的是運行配置兩者在剛提交后應(yīng)一致不一致說明有未提交的改動。diff 的價值在于發(fā)現(xiàn)「模板里有但設(shè)備上沒生效」的條目——常見于型號不匹配被靜默跳過的命令。參數(shù)邊界配置文件存cf3:是主控本地盤主備切換后另一塊主控未必有重要基線建議同時存到外部 TFTP/FTP 服務(wù)器。再補一個驗證習(xí)慣每配完一段用對應(yīng)的show命令做一次正向驗證而不是等全部配完再統(tǒng)一查。硬件段用show card和show port管理段用show system security和show log log-id 10路由段用show router ospf neighbor和show router mpls lsp。正向驗證的好處是故障定位范圍被壓縮在當(dāng)前段不會出現(xiàn)「配了三十條命令不知道哪條錯」的局面。從那以后我每次拿到這類標(biāo)準(zhǔn)模板都強制先跑一遍show hardware和show version把實際型號和固件版本記在模板首頁再開始敲第一條配置命令——模板是死的設(shè)備是活的先對齊再動手比任何排錯技巧都省時間。希望幫到你。本文還有配套的精品資源點擊獲取