江苏电信城域网路由设备局数据配置规范总则 V1.5-2011.10.11

江苏电信城域网路由设备局数据配置规范

总则

中国电信江苏公司

2011年09月

目录

第1章概述 (4)

1.1 术语和缩写语表 (4)

1.2 网络结构说明 (6)

第2章IP城域网网络设备命名及链路描述规范 (7)

2.1 设备命名规范 (7)

2.1.1 适用范围 (7)

2.1.2 设备命名规范格式 (7)

2.2 端口描述规范 (10)

2.2.1 环回端口描述 (10)

2.2.2 网络端口描述规范 (10)

2.2.3 关于SE800/1200的二/三层端口描述 (11)

2.2.4 关于阿朗7750 的二/三层端口描述 (11)

2.2.5 空闲端口 (12)

第3章路由器基本配置规范 (13)

3.1 系统基本配置规范 (13)

3.1.1 设备名称配置 (13)

3.1.2 Banner配置 (13)

3.1.3 设备自身时间及NTP (13)

3.1.4 Telnet配置 (15)

3.1.5 AAA配置 (16)

3.1.6 系统高可靠性配置 (18)

3.1.7 软件启动顺序 (18)

3.2 端口配置规范 (19)

3.2.1 MTU值设计 (19)

3.2.2 Loopback端口配置 (20)

3.2.3 GE端口配置 (20)

3.2.4 GE子端口端口配置 (23)

3.2.5 POS端口配置 (24)

3.2.6 端口镜像配置 (26)

第4章路由协议配置规范 (27)

4.1.1 城域网路由架构概述 (27)

4.1.2 路由优先级/管理距离 (27)

4.1.3 静态路由配置 (28)

4.1.4 ISIS配置 (30)

4.1.5 BGP配置 (37)

4.1.6 RR配置 (41)

4.1.7 默认路由管理 (45)

4.1.8 负载均衡配置 (45)

第5章MPLS协议配置规范 (47)

5.1.1 MPLS全局配置 (47)

5.1.2 LDP协议配置 (47)

5.1.3 资源配置 (50)

第6章网管配置规范 (52)

6.1.1 SNMP管理代理配置 (52)

6.1.2 故障管理配置 (54)

6.1.3 Flow配置 (56)

第7章QOS配置规范 (58)

7.1.1 QoS分类和标记 (58)

7.1.2 预留带宽管理 (58)

7.1.3 流量限速和整形 (59)

7.1.4 队列调度 (59)

7.1.5 拥塞避免 (60)

7.1.6 城域网与ChinaNet、CN2的QoS对接 (61)

7.1.7 江苏城域网QoS部署 (61)

第8章组播配置规范 (64)

8.1.1 组播概述 (64)

8.1.2 组播配置 (64)

8.1.3 组播组规划 (64)

8.1.4 组播RP配置 (64)

8.1.5 组播源配置 (65)

8.1.6 组播MSDP配置 (65)

8.1.7 组播MSDP组限制 (67)

第9章BFD配置规范 (68)

9.1.1 BFD概述 (68)

9.1.2 静态路由配置BFD (68)

9.1.3 ISIS协议配置BFD (69)

9.1.4 BGP协议配置BFD (69)

第10章网络设备安全策略配置推广 (70)

10.1.1 源地址合法性检测 (70)

10.1.2 路由器引擎保护 (70)

10.1.3 城域网设备安全加固策略 (71)

第1章概述

为保证城域网的运行质量，实现易维护、可管理、集中维护的需要，必须在设备能力、网络设计、网络配置、维护流程、支撑系统等环节予以保障。网络配置主要是指通过在设备上实施具体配置规范，开启设备控制层面和转发层面的功能和特性，实现网络的互通，保证网络具备预期的业务承载能力。同样的物理网络在不同的配置下所提供的业务承载能力可能差距甚远，此外，由于网络规模不断扩大，设备特性不断变化，配置工作正日益变得复杂，全网配置发生错误的概率也在增加，因此很有必要对城域网网络设备的网络配置予以规范。

本篇是针对城域网路由设备配置规范制定的总体原则，用于总结性描述城域网网络设备配置的相关规范标准，目的是为城域网配置规范各设备分册提供总体技术特性介绍。

本文主要内容安排如下：

1. 介绍城域网优化目标网络结构以及路由设备在城域网中的功能定位；

2. 从网络配置方面阐述各技术功能和特性的说明以及规范要求。

3. 提出文档维护和执行的管理要求。

1.1 术语和缩写语表

本文中将使用下列术语和缩写，除非文中特别说明，否则意义如下；对于下表中未说明的术语和缩写，应做业界标准或惯例理解。

1.2 网络结构说明

经过城域网改造扩容后，目标网络结构如下图所示。IP 城域网包括城域骨干网和宽带接入网，其中城域骨干网是业务接入控制点（包括BRAS 和SR）及控制点以上的城域网核心路由器组成的三层路由网络，划分为核心层和业务接入控制层两层。业务接入控制层承接宽带接入网和城域骨干网，负责实现集中的业务提供和控制，BRAS 和SR 作为业务接入控制层组成部分，是IP 城域网实现“用户可识别、业务可区分、质量可控制、网络可管理”的转型目标的重要环节。

第2章IP城域网网络设备命名及链路描述规范

2.1 设备命名规范

2.1.1适用范围

本部分规定的IP城域网设备命名规范，适用于IP城域网内以下设备： 出口核心路由器

汇聚路由器

路由反射器

BRAS设备

SR设备

汇聚交换机

园区交换机

楼道交换机

DSLAM设备

AC、AP等WLAN设备

PON设备

安全防护设备

DNS设备

2.1.2设备命名规范格式

字母大小各市需要采用统一标准，全部大写。

两端、中间不带任何空格。

城市缩写，取城市名称拼音的首字母大写如：南京NJ、盐城YC。

节点缩写，取节点名称拼音的首字母大写，如两节点的首字母有重叠则取拼音不相同的字用全拼，分两种情况：当前一个字不同，则前个字用全拼，如汉中门（HanZM）和后宰门（HouZM）；当后一个字不同时则后一个用全拼。

各厂家规定的设备名称最多字符数：

1、Cisco: CRS、GSR最多63个字符；

2、华为: NE5000E、ME60、5200G、NE80E最多30个字符；

3、阿尔卡特: SR7750最多32个字符；

4、RedBack：SE800/1200最多63个字符；

5、Juniper：E320/1440系列最多63个字符。

6、中兴：M6000系列最多32个字符。

设备属性标识，规定如下

出口/核心路由器：CR

ASBR设备：ASBR

汇聚路由器：BR

BRAS设备：BAS

业务路由器：SR

路由反射器：RR

汇聚交换机：DSW

园区交换机：ASW

楼道交换机：LSW

DSLAM 设备：DSL

PON设备(光节点)：OLT

PON设备(光终端)：ONU

WLAN AC设备：AC

WLAN AP设备：AP

安全防护设备：HD

DNS设备：DNS

设备编号，取阿拉伯数字，从1开始。同节点的相同属性的设备间以设备序号区别。

网络类型：MAN (城域网)，M2N（第2平面设备）

IDC（IDC）

NGN (NGN)

ITV(IPTV)

DCN

设备型号：设备型号编码。

示例：

2.2 端口描述规范

2.2.1环回端口描述

说明：

For：固定字符串。

功能描述：描述该Loopback端口特殊功能，为有意义的英文字符串。如：Management、Multicast、VPN、Global Routing、BGP Load balance等。

2.2.2网络端口描述规范

2.2.2.1 适用范围

本部分适用于城域网设备的互连端口描述。各厂家设备端口描述最大字符：Cisco：CRS、GSR端口描述最多80个字符；

华为：NE5000E端口描述最多242个字符，NE80最多80个字符，ME60最多64个字符，5200G最多80个字符；

阿郎：SR 7750端口描述最多160个字符；

RedBack：SE800端口描述最多63个字符；

Juniper：E320/1440端口模式下描述最多256字符，controller和VRF模式描述最多80个字符。

中兴：M6000系列端口描述最多104个字符。

2.2.2.2 端口描述包含下面几部分

“对端端口类型”不区分对端设备类型，根据端口类型进行统一规范;

“对端端口标志”表示链路对端设备对应端口的具体标志规范;

“(链路传输编号)”表示链路的传输号,如果同机房内设备互连无传输编号,则为(Local);

调测期间的链路描述最后增加“::PROCESSING”，调测完成加业务后取消“::PROCESSING”。

端口类型如下表：

“VR” 对端设备是

接的VR或CONTEXT;

示例：

2.2.3关于SE800/1200的二/三层端口描述

将二层端口描述（ethernet description）按照网络端口描述规范执行；

将三层端口描述（ip description）与相应的二层端口描述一致；

2.2.4关于阿朗7750 的二/三层端口描述

将二层端口(Port)的描述按照网络端口描述规范执行；

将三层端口(Interface)描述和相应的二层端口描述一致；

filter 要加描述。

ENTRY 在需要特别注明时可以加描述。

2.2.5空闲端口

规范要求设备上的所有空闲未用的端口删除配置，统一shutdown。

第3章路由器基本配置规范

3.1 系统基本配置规范

3.1.1设备名称配置

配置说明：

规范设备命名，唯一性标识城域网中的每台设备，用于对城域网的每台设备进行区分，方便设备管理，提高可读性和可管理性。

规范要求：

设备名称要求符合第二章中“IP城域网网络设备命名及链路描述规范”中规定。

3.1.2Banner配置

配置说明：

在连接到路由器，输入用户名称和口令之前，系统显示的提示信息，统一Banner motd语言。

规范要求：

所有路由器配置统一的Banner信息，登陆时提示：

WARNING!!! Authorised access only, all of your done will be recorded! disconnect IMMEDIATELY if you are not an authorised user!

3.1.3设备自身时间及NTP

NTP实现网络设备时间同步功能，与时间有关的应用，例如Log信息，基于时间限制带宽等，都需要基于正确的时间。

3.1.3.1 时区配置

配置说明：

统一设备的时区配置。

规范要求：

配置系统时区为GMT+8，北京时区。

3.1.3.2 系统本地时间

配置说明：

设置设备硬件时间与NTP服务器的时间同步，使用NTP定期（最短10分钟）同步网络上所有设备的时间，保证网络设备得到正确的时间。

骨干设备南京C1, 南京C4 作为江苏省内城域网出口路由器的NTP SERVER；

城域网配置主和备两组NTP服务器，并分为两级结构：

城域网出口作为NTP CLIENT，配置与202.97.32.192 , 202.97.32.187同步时钟；城域网出口做为NTP SERVER，配置NTP 所在主时钟层数为默认，出口以下路由设备则配置向出口路由器进行时钟同步。

配置现网设备NTP协议版本为V3。

规范要求：

配置NTP服务器更新设备硬件时间，配置主和备两组NTP服务器，版本V3，指定本地发出NTP消息的端口Loopback0。

3.1.3.3 NTP消息源地址

配置说明：

指定设备的端口IP做为NTP消息包的源IP地址，使用该IP与其它NTP设备交换消息包。

规范要求：

城域网核心层、业务控制层设备的使用Loopback0 地址作为NTP消息源地址。

3.1.3.4 NTP协议加密

配置说明：

配置NTP协议加密，防止伪造NTP源引起设备时间错误。

规范要求：

因部分设备不支持NTP协议加密，为了全网统一规范，现阶段NTP协议均不使用使用加密。

3.1.3.5 关闭SNTP进程

配置说明：

SNTP是NTP协议的的一个改写本，相比NTP协议实现更简单，但精确度要低，不能同时与多个Server同步时间。关闭SNTP协议，可防止基于SNTP漏洞的攻击。

规范要求：

路由器配置使用NTP协议同步时间，而不是使用SNTP协议。已配置了使用SNTP协议同步时间的，应更改SNTP协议为NTP协议。

3.1.4Telnet配置

3.1.

4.1 连接数限制

配置说明：

对同时远程登陆到设备上的session数进行限制，可以防止大量的session连接占用过多系统资源，同时便于集中运维，保证故障期间的正常处理。

规范要求：

配置路由器Telnet最大连接数限制为5个（7750设置为7）。

3.1.

4.2 空闲时间

配置说明：

设置了Telnet超时功能，当空闲时间超过设定值后，Telnet线程断开，防止未被授权的人员在操作员离开后进行非法操作。

规范要求：

对VTY、Console、AUX登录超时设置进行配置，设置空闲时间为10分钟。

3.1.

4.3 TELNET访问控制列表

配置说明：

限制Telnet登录网络的源地址，从而增强设备的安全性，最大限度防止非法登陆尝试。

Telnet访问控制分为两类：

1、控制平面下配置允许/限制地址条目；

2、配置number/named acl并在全局或VTY下应用生效。

规范要求：

配置Telnet源地址限制，需包含最小化的省市NOC维护IP网段。

Telnet访问控制列表条目从10开始，条目的间隔步长为10，在访问控制列表的最后显示配置一条deny any 语句。

1、Cisco CRS设备在控制平面下配置地址条目，不需使用acl。

2、华为设备统一取number acl，acl列表名为2577，VTY下应用。

3、Cisco其他设备、中兴统一取named acl。

4、RedBack设备不同Context下，配置named acl，全局下应用。

5、Juniper E320/ERX设备使用named acl，VTY下应用。

6、阿郎设备的Telnet访问控制列表使用CPM-filter过滤列表实现，不使用Management-filter列表，全局下应用。

详细情况如下表：

注：【1】阿郎7750针对全局环境下Telnet、SNMP等应用访问控制是通过在防护设备路由引擎的过滤列表中添加相应的策略选项来实现。

3.1.5AAA配置

3.1.5.1 AAA服务器IP地址和端口号

配置说明：

配置AAA服务器方便后台统一管理，Tacacs+协议支持使用MD5算法来加密交互的Tacacs+报文，通信双方通过设置加密密钥来验证报文的合法性。只有在密钥一致的情况下，双方才能彼此接收对方发来的报文并作出响应。

规范要求：

根据AAA认证服务器的类型指定采用Tacacs+认证。华为设备使用hwtacacs。

3.1.5.2 AAA消息数据包源地址

配置说明：

指定使用Loopback0做为交换AAA消息数据包的源地址。

规范要求：

配置出口路由器AAA消息数据包源地址为Loopback0端口地址。

3.1.5.3 认证模式

配置说明：

AAA的认证组件负责提供识别（认证）用户的方法。可能包括登录访问，以及其他类型的访问。使用AAA认证时，定义了一个和更多的认证方法，供路由器在认证一个用户时使用。认证模式一般为本地认证和远程服务器认证。

规范要求：

配置远程登陆帐号认证顺序为首先使用Tacacs+服务器，当Tacacs服务器失效离线时，其次选用本地用户信息进行认证。

通过Console口登陆使用本地认证，通过认证后，通过相应级别的enable密码进入到相应的level。

3.1.5.4 授权模式

配置说明：

用户认证成功完成之后，AAA授权用来限制一个用户能执行什么行为或者一个用户能访问什么服务。本地console口登陆设备本地授权。远程登陆帐户使用Tacacs服务器授权。用户分3个等级：

1级只具有一般的查看权限，不具有查看配置权限；

2级具有1级权限和配置端口权限；

3级全部操作权限。

规范要求：

配置远程登陆帐号由Tacacs服务器授权，其次由本地授权，用户分3个等级。具体帐号级别根据设备类型指定。例：Cisco设备level 15为管理员，华为设备level 3即可以为管理员。

3.1.5.5 审计模式

配置说明：

AAA审计功能负责对认证和授权行为事件保持记录。AAA的审计功能保持事件的日志记录。审计功能要求有一台外部AAA安全服务器来存储实际的记帐记录。

规范要求：

配置Tacacs+服务器对登陆设备的用户进行审计记录。

Console口登陆的帐号同样需要被审计。

3.1.5.6 本地用户帐号

配置说明：

配置本地用户帐号，作为AAA服务器连接失败时的应急登陆用。配置本地用户帐号admin，设置最高权限，使用统一指定的密码。路由器的console口配置为本地认证。

规范要求：

设置最高权限的本地账号，用于Tacacs服务器离线后本地认证。

设置console口为本地认证。

3.1.6系统高可靠性配置

配置说明：

配置系统引擎冗余模式，当主引擎出现故障时能快速切换到备用引擎。配置现网设备将可能引起引擎重启。

规范要求：

Cisco 6509/7609/GSR配置为SSO冗余模式。

Juniper E320/1440设备配置冗余模式。

Cisco CRS、华为、RedBack SE、阿郎、中兴设备系统自动配置。

3.1.7软件启动顺序

配置说明：

指定设备启动时加载的软件名称和存在多个软件时启动的顺序，设备启动时

将按照指定的顺序引导系统。

Cisco 6509/7609/GSR设备、阿郎设备可配置多条启动语句

Cisco CRS-1、华为、RedBack SE、中兴设备无须专门配置。

3.2 端口配置规范

3.2.1MTU值设计

没有特殊说明的情况下，MTU值含义是指二层数据帧最大长度；IP MTU值是指除去二层包头开销的IP净荷的长度；MPLS MTU为二层数据帧加上MPLS 堆栈数量X4字节。

MTU值一般均配置在网络设备的物理端口下，不同厂家设备端口MTU配置或者为二层MTU，或者为三层MTU。城域网路由型设备端口MTU的设置主要受多个方面因素影响：

IP城域网内部统一IP MTU值(MPLS MTU随IP MTU自动调整)；对厂家、机型、板卡类型、端口类型都统一；

L3 Protocol MTU值尽可能取大值，以加快协议收敛；

IGP路由协议邻居关系的建立，需要两侧设备端口MTU值保持一致；

接入网以太化，终端侧MTU一般不超过1500；

与外部连接端口的MTU值需与对端设备协商保持一致，尽可能取大值。 PIM Join消息以端口MTU为基准，进行Join 数据包分片；

ISIS协议LSP数据包默认最大值为1497；

规范IP城域网路由型设备的所有互连端口，GE/10GE以太网口IP MTU统一取值为1600字节；POS口IP MTU统一取值为4470字节。

为缩短IGP邻居建立时间，IGP协议配置全部取消对端口MTU的检查。

各厂家设备的设备端口配置下MTU具体含义有所不同，具体见下表：