为何MPLS-TE需要导流操作?

VSole2022-04-24 16:12:33

为什么MPLS-TE需要有引流的操作(自动路由,静态,tunne-policy),而LDP却不需要?

MPLS-TE和LDP不都是隧道吗?

LDP不是隧道,它仅仅是用来将路由表映射为标签Label。

MPLS-TE单向(Uni-Directional)隧道。所谓单向隧道是指,假设隧道Tunnel1的起点是上海PE,隧道的终点是北京PE,通过流量导流操作(Auto-Route,Static Route,Tunnel-Policy)从起点(上海PE)灌入,到达终点(北京PE),游戏就结束了。

北京PE如果有返程的流量去上海PE,能使用上文的隧道Tunnel1吗?

不能。

为何不能?

因为Tunnel1在北京PE上压根不存在。

怎么办?

有两种方法:

  • 方法1:北京PE作为起点,上海PE作为终点,由北京PE主动发起建立一个隧道Tunnelx,这个下标x,为任意正整数或0,假定也是Tunnel1吧。当Tunnel1处于UP状态时,北京PE就可以通过流量导流操作(Auto-Route,Static Route,Tunnel-Policy)从起点(北京PE)灌入,到达终点(上海PE),流量就成功返回。
  • 方法2:北京PE不打算创建什么鬼MPLS-TE隧道,麻烦死了北京PE把流量的转发全权交给路由表做决策。路由表查询发现,流量需要转发给上海的PE。流量就这么转发出去了吗?

No,这种普通的IP转发在这里玩不开了,为什么呢?

因为IP报文的目的IP地址是私有IP,如10.x.x.x/8,在北京PE与上海PE之间,还有很多中间路由器P,它们没有10.x.x.x/8的路由,如果将IP报文转发给中间节点P,那么大概率丢包处理,永远无法到达目的地。

那如何是好?

LDP粉墨登场,LDP就是为了解决以上难题而存在的。每个路由器,包括北京PE、上海PE、中间大量的路由器P,通过OSPF/ISIS知道每个PE的路由表,其中包括北京PE、上海PE、广州PE、深圳PE、成都PE、西安PE、武汉PE等等。然后为每个PE使用LDP动态生成一个Label。这个Label可以告知中间节点路由器P,出口PE是谁?对于核心网的路由器P来说,只要根据Label能将流量转发到出口PE了,就可以了。管你IP报文中的目的IP是什么?自作多情了,中间节点压根不看目的IP,只看Label。

回正题,北京PE查完路由表,然后根据路由表指示的出口PE为上海PE,然后查上海PE对应的LDP表,发现Label =2022,这个2022是谁告诉北京PE的?

天津路由器P告诉的。这里的逻辑是,由于北京PE的OSPF/ISIS邻居是天津P,天津P通过LDP会话北京PE:老哥,如果去往上海PE,请使用标签2022。

于是,北京PE将IP报文打包封装起来,在外面打上标签2022,包裹扔给天津P。

天津P,通过查外包装的2022,知道需要发给苏州路由器P,使用苏州路由器P告知的标签3033。

包裹到达苏州,苏州路由器P根据3033,知道包裹需要扔给上海PE,使用上海PE告知的标签6066。

包裹到达上海PE,上海PE将外包装全部撕掉,只剩下原始的IP报文,目的IP可能是10.x.x.x/8,上海PE说,毫无压力,查询路由表就可以完成最终的转发。这个路由表不是全局路由表,而是客户专属VRF路由表,里面塞满了各种10打头的私有路由表。

用方法2,即LDP动态生成标签,采用标签转发不是挺好的吗,为何要有方法1存在的必要呢?

从上文可以看出,LDP数据的源头是OSPF/ISIS,最短路径算法。按照最短路径走G2是不错的选择,即北京-天津-济南-苏州-上海。但是由于这条G2线路太拥堵,尽管在OSPF/ISIS眼里是最优的,但是到达上海延迟非常大,事实上并不是最优的。因为隔壁的深海高速G15,非常空闲,虽然有点远,但是延迟绝对比G2要小。

尽管G15更优,可是我们却无法将流量切换到G15,因为OSPF/ISIS总是会选择G2,因为Cost最小。

如何能将流量切到G15上去?

这个工具就是MPLS-TE,TE是Traffic Engnieering的缩写,就是为了自由切换流量而存在的。

如何强迫流量走G15?

只要建一个隧道,隧道起点为北京PE,隧道终点为上海PE,然后让RSVP-TE去动态创建隧道就可以了吗?

当然不行。因为这条隧道依然会走G2,即北京-天津-济南-苏州-上海。

需要加入约束算法,告知RSVP-TE,隧道起点为北京PE,隧道终点为上海PE,线路中一定要走青岛、南通,其它的不Care。

由于G2并不满足这个约束条件,被剔除出去。然后就在满足约束条件的路线中,挑选出最短路径,这条线路最后只会是G15。

然后北京PE使用RSVP-TE这个信令协议,沿着G15的线路预约好带宽资源、标签,沿途经过天津、青岛、连云港、南通、上海。

当G15单向隧道创建成功时,就可以通过流量导流操作(Auto-Route,Static Route,Tunnel-Policy)从起点(北京PE)灌入,到达终点(上海PE),游戏就结束了。

 

最后,无论使用LDP转发,还是MPLS-TE转发,都使用标签转发,除了入口PE、出口PE检查IP地址,其它节点压根不看。

流量路由表
本作品采用《CC 协议》,转载必须注明作者和本文链接
ELB 弹性负载均衡(Elastic Load Balance,简称ELB)是将访问流量根据分配策略分发到后端多台服务器的流量分发控制服务。弹性负载均衡可以通过流量分发扩展应用系统对外的服务能力,同时通过消除单点故障提升应用系统的可用性。 01信息搜集 查询IP地址组列表
系统运行配置状态检查display interface #接口流量、链路状态dis current-configuration inter #地址分配dis current-configuration |include ospf #路由扩散display ip routing-table #路由信息display ip interface #显示 vlan 端口统计数据display saved-configuration #保存配置文件display logbuffer #日志信息display port trunk #查看参与 trunk 的端口03?vrrp 和端口聚合检查display vrrp #查看虚拟路由冗余协议display vrrp statistics #查看主备用状态display link-aggregation summary #查看链路聚合组的情况
为什么MPLS-TE需要有引流的操作(自动路由,静态,tunne-policy),而LDP却不需要?MPLS
Orange西班牙公司的RIPE账号被盗,攻击者将其网络核心配置(BGP和RPKI)改为无效,导致全国互联网中断了大约3小时;据悉,攻击者在信息窃取软件的数据集中发现了此次被利用的账号(未启用双因子认证),为了“找乐子”实施了此次攻击。
近日,纽约大学和鲁汶大学的研究人员发现大多数VPN产品中都存在长达二十多年的多个漏洞,攻击者可利用这些漏洞读取用户流量、窃取用户信息,甚至攻击用户设备。
近日,纽约大学和鲁汶大学的研究人员发现大多数VPN产品中都存在长达二十多年的多个漏洞,攻击者可利用这些漏洞读取用户流量、窃取用户信息,甚至攻击用户设备。“我们的攻击所需的计算资源并不昂贵,这意味着任何具有适当网络访问权限的人都可以实施这些攻击,且不受VPN安全协议限制。
sdn 网络架构是否可以取代tcp/ip架构?1、sdn nfv不同于传统路由表选路规则,通过openflo
注意在整个过程中,客户不要事先征集到现场或现场的人员操作情况。启动或部署监测设备,针对病毒感染进行全面监测,避免死灰复燃。在此过程中并没有展开分析,随后制作收集所有相关的样本日志等,并寻找感染源头,并制定整改。先找出急用的木马文件,不要于打包一份。
雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的完整性,包括版权声明等全部内容。未经雷神众测允许,不得任意修改或者增减此文章内容,不得以任何方式将其用于商业目的。
应急响应的基本流程
2022-01-01 08:34:07
注意在整个过程中不要被客户或现场的运维人员误导。操作前需先征得客户许可。
VSole
网络安全专家