H3CTE战报-2013年4月-BGP

bitbubble

    因工作要求，今年背负了考H3CTE认证的任务，复习-考试-等待-邮件通知-完成任务:)
    今天给大伙重点说下考试遇到的错误点，以BGP为主框架。

一、排错思路

    建议大家不管是以哪种协议为主框架，考前先把所有知识点涵盖的范围总结下。在考试中阅题时，每读到一句需求就反应是哪个知识点，而且有哪几种实现方式，最好用笔标注出来，检查时看看是不是所有知识点都已排查完毕。所以复习时的分解实验一定要做好。考试跟实际项目还真是有差别的，项目中你可以自己定规划定实现方式，考试时就必须跟着预配置的思维走。）

1.把拓扑分区为总部和分部，先排查总部内部、再排查分部内部、再排查区域间过滤和路径选择、最后排边缘错误。
2.总部AS从业务源端开始排查，先排MSTP、链路汇聚，再排网络层VRRP，OSPF、BGP。
3.分支AS内先排查MP-group、再排查网络层OSPF、BGP。
4.AS间排查ipsec over gre、AS内部和AS间路径选择、路由策略、路由过滤。
5.最后解决NAT、QOS、逐步tracert等边缘错误。

二、故障点排查总结

    考试时遇到的主要问题及解决办法，以知识点划分。因涉及原题保密，在此有些只做示例，最重要的是我现在已经记得不太清啦，哈

1. MSTP故障
错误点：
1.SW1、Sw2、Sw3的stp region name不一致。
2.instance root配置颠倒。
3.没有阻塞Sw2-SW3之间的逻辑链路，
修改：
在SW2上：
interface bridge-aggressive
stp instance 2 cost 1000
在SW3上：
interface bridge-aggressive
stp instance 1 cost 1000
4.在SW1上连接PC的端口没有起stp edged-port。BPDU保护已经全局开启了。
5.预配置在连接用户的端口及上联SW2、SW3的端口开启了 stp-loop-petection。
把连接PC的端口的这个stp-loop-petection参数去掉，不然不能配置成edged-port。

2. link-aggregation故障
错误点：物理接口上配置了trunk并允许所有vlan通过，但interface bridge-aggressive上没有任何配置。
修改：将两个物理接口改为access，只保留聚合配置，然后将interface bridge-aggressive改为 trunk，并只允许vlan10 20通过，配置后vlan1是通过的，需要再次undo per vlan 1，查看配置是否同步到了物理接口上。

3．VRRP故障
错误点：
1.VRRP的优先级配置颠倒。
2.两个交换机上的监控端口配错，看图修改为交换机连接路由器的vlan端口。
3.预配置中惩罚值为15，我修改为了50。

4. OSPF互联故障
错误点：R1、R2、R3、R4都将AS之间的互联地址发布到了ospf,并将这些端口设置为了静默端口。
修改：将以上4个路由器的ospf中的as外部地址从ospf network中删除，并删除静默端口配置。

5. BGP互联故障
错误点：
分部的路由全部采用的【互联地址】定义的IBGP peer，将这些IBGP peer删除，使用loopback地址重新定义，并且加上conect interface 、next-hop-local参数。同时总部路由器也要加上conect interface 、next-hop-local参数。虽然next-hop-local应该是加在EBGP的边界路由器上的，但是R5,SW2,SW3我也是全加上了，对整网没有影响，但了没有太大的意义，不知道会不会扣分。

6.Mp-group故障
错误点：
1.一端的ppp authentication-mod chap写错
2.两台R上4个端口ppp chap user全部写错，应该写成对端用户。
3.两台的local-user都没有定义service-type ppp，检查密码，修改完成重启接口。

7.Ipsec over GRE故障
错误点：
1.ipsec policy在定义ike peer的时候IP使用错误，使用了公网地址，应该使用tunnel接口地址。
2.ipsec policy应用到了物理接口。应该应用到tunnel接口。
3.IPsec ACl配置错误，预配置只配了业务B的acl，应将A业务也加进去。配置完成后进行ping-a测试激活ike sa和ipsec sa。

8.总部AS内部选路故障（local-preferred）
错误点：预配置使用的是cost，此方式MED，改为local-preferred方式。
修改：将SW2、SW3上将次选业务local-pref改小为10，缺省为100。

9.分部AS内部选路故障（BGP ospf迭代查询）
错误点：两条串行链路捆绑后MP-group 1 接口没配cost（也有战友的预配置ospf cost为24），R3--R4之间在R4的端口上手动配置了ospf cost 30。
BGP通过loopback建立邻居后，迭代查询也是以上选路。
修改：把R3-R4的两个互联端口cost改为24。此点我可能会被扣分。

10.AS间选路故障（as-path）
错误点：
1.route-policy定义错误，多了一个“replace”参数，删除此参数
2.route-policy只定义了一条permit规则，将其他路由全都干掉了。应该添加：
route-policy oa permit node 20 将其他路由放过。
3.检查另外一台，R4上也存在此问题。

11.分部缺省路由故障
错误点：R4直接在BGP里引入了直连路由，并允许引入缺省路由。
修改：不允许引入，只能在peer上发布缺省路由。
BGP 65001
peer 3.3.3.3 default-route advertise
peer 5.5.5.5 default-route advertise
注：R4向R3发布了缺省，但需要在R3上做AS间的路由过滤，保证缺省路由不发往EBGP R1，此问题关联下面的故障点。

12. AS间路由过滤
错误：
非原题，大体结构如下
ACl number 3004
rule permit ip source 0.0.0.0 0
#
BGP 65001
Peer 172.16.x.x（EBGP邻居） route-policy 1 export
#
route-policy 1permit node 10
if-match acl 3004
route-policy 1 permit node 20
if-match as-path 1
route-policy 1 deny node 30
#
ip as-path 1 permit .*
错误：
1.路由过滤的ACl写错了，匹配的应该是业务流与OA流。
注：这个ACL困扰了我很长时间，考试时犯晕吃不准这个ACL主要考什么，当时只permit了业务流，把OA流没放进去。虽然把缺省路由给过滤掉了，但OA流也过滤了，影响了断线测试的路由学习。这点肯定要扣分。
2.总部向分部过滤路由时，AS-path正则表达式错误。修改为ip as-path 1 permit ^$。

13.NAT故障
错误点：在NAT的acl中包括了OA和生产业务流，错误。
修改：将生产业务流从ACL中删除。

14.QOS故障
错误点：使用了AF，并且设置的bandwith 为具体数值。
修改：改成EF pct 50，接口下添加qos max-bandwith 4096
注：因R5与R4是通过mp-group捆绑，单根最大带宽是2048k，双根就是4096。R5与R4双向都需要做。我改成4096不知道会不会扣分。

15.逐步tracert
错误：没有配置ip unreachable enable和ip ttl-expired enable
修改：将这两条加上。
注：我考试是把所有设备都加上了，一台交换机为纯二层考试中没有要求。现在比较担心就是多写配置会不会扣分，虽然对整体没影响。

三、考试心得
1. 时间安排
    半小时：审题，标注IP地址
    十分钟：保存当前错误配置
    半小时：吃饭，与战友沟通思路
    十五分钟：保存所有配置，抓所有配置保存到考试机
    一小时：写排错报告
    其他时间：排错
2.主要消耗时间的地方：缺省路由与路由过滤的关联问题，脑袋犯晕一直没想明白。导致最后只留了一个小时写报告。
3.实验报告：前面4个故障点写得详细，后面的只写了现象和解决办法，理论分析也得很大概，实验报告扣分肯定是最多的，若挂估计也是挂在报告上面了。TE考试实验报告真的很重要！！建议大家复习时自己用手写好好写几遍，虽然我没有这样练，但我哥们练了很有效果。
4.时间太紧，近N年来第一次一口气写这么多字的，全程手发抖，不断甩胳膊~~~~

四、复习心得
    06年考的CCNP，09年应公司要求考的SE，期间就没有再考过认证了，现在考TE的感觉跟当年考试的感觉不太一样，以前考试是为了超越自我，现在考试完全是工作任务，压力更大了哈。4个月前参加过培训，断断续续听完老师讲的课程，之后又放下了，不断的出差出差出差~~~~，在宾馆可真是没心看文档啊~~~~。临近考试前三天才跟哥们一起做分解实验，一起沟通才找到感觉。我记性不太好，考前晚上又把所有知识点的典型配置用手写了一遍。考完之后很有感觉，属于短平快的项目，比较兴奋：）

    好在通过了~~，平时的工作积累还是很重要啊。

    13年开始在接触系统方面的项目，系统啊数据库啊又是一大坑呐，要学的太多了，兄弟们继续努力吧！

幸福的海

mhchen2012

还在继续998

恭喜楼主啊。谢谢楼主无私分享

Cause-bb

刘sir001

公司好啊

青年008

remove

楼主好强……

dml444988615

楼主牛人，我跟你考的同一张拓扑，
1、r3与r4过滤缺省路由发给总部，我用了route-policy，可能要出错
2、ip unreachable enable和ip ttl-expired enable 我给加上了，但是没有标出是错误点，
3、报告没写好·漏了一个。。10.AS间选路故障（as-path）。。估计是硬伤了···
不知道这次能不能过，，，，要挂了就找块豆腐撞死算求！

bitbubble

dml444988615 发表于 2013-4-25 09:39
楼主牛人，我跟你考的同一张拓扑，
1、r3与r4过滤缺省路由发给总部，我用了route-policy，可能要出错
2、 ...

1. 如果用route-policy实现的话，是可以的，要扣分估计也就扣几十分
2.ip unreachable enable和ip ttl-expired enable只要加上，应该有分的，这个不算错误。
3. as-path的replace参数算是新考点，这个的确是硬伤，可能会减40-70分。
如果别的实验做得完美，报告还凑和的话，分数大概在850左右
放心你能过！等你的好消息！

cannon_he

好东西必须顶。

qzalong

箫音断肠

谢谢分享，受益匪浅

dml444988615

bitbubble 发表于 2013-4-25 14:08
1. 如果用route-policy实现的话，是可以的，要扣分估计也就扣几十分
2.ip unreachable enable和ip ttl-e ...

借楼主吉言，希望能过···

芜湖王子