Quidway S8500 双机热备份典型组网配置指导

目录1双机典型组网图 (2)2典型配置 (3)2.1端口类型的配置 (3)2.2管理地址的配置 (3)2.3业务VLAN和虚接口地址的配置 (4)2.4VRRP的配置 (4)2.5STP的配置 (4)2.5.1STP timer的配置 (4)2.5.2关于配置负载均衡 (5)2.6防病毒ACL规则的配置 (5)2.7广播抑制的配置 (6)2.82层交换机的配置 (6)2.9强制双工和速率的配置 (6)2.10路由协议的配置 (6)2.11聚合链路的配置 (6)3问题排查 (7)3.1双机组网的特点 (7)3.2问题排查的基本步骤 (7)4附录 (7)4.1附录A 各种情况下数据的转发路径 (7)4.2附录B 组网配置实例 (8)Quidway S8500 双机热备份典型组网配置指导1 双机典型组网图政府机关、集团公司总部等对网络可用性很高的单位往往采用双机热备份方案来组网，2层交换机的2条千兆链路分别上行到主备85，主备85应用VRRP 为用户PC 提供虚拟网关，应用STP 来切断冗余链路组成的环路。

双机热备份组网常用的有2种，见图1和图2：图1 典型组网图18512 8512NE083050305030503026服务器群6506图2 典型组网图2 2个典型组网的主要差别是服务器群的位置和连接广域网分支机构的方式有所不同，主备85互连以及主备85与2层交换机的连接与配置是完全一样的，下面介绍组网的配置以及注意事项。

2 典型配置2.1 端口类型的配置6506与主备85之间是采用OSPF 的环走3层，所以相关端口可以配置为Access 类型，主备85之间由于要2层互通，必须配置为Trunk 类型，3050与主备85之间由于要有多个VLAN 通过，都必须配置为Trunk 类型。

2层交换机的下行口一般配置为Access 类型，如果下面再挂2层交换机并且需要通过多个VLAN ，必须配置为Trunk 类型。

注：8500系列产品使用的软件版本应该为S8500-VRP3.10-1128或其以后更新版本；3050系列交换机要求使用软件版本为0021或其以后更新版本；最新的版本信息，请关注 网站上的版本更新信息。

2.2 管理地址的配置主备85和所有的2层交换机配置同一个管理VLAN （设定为888），并分别配置1个同一网段的管理IP 服务器群8512 8512NE083050305030503026地址（设定为76.68.39.*/24），掩码一般可以用24位，不仅容易计算，数量也足够了；最好不要用26、28等位的掩码，感觉不好计算；最好也不要用8、16等短掩码，因为一些网管软件是全网段扫描来搜索网元的，使用短掩码搜索范围太大，不仅慢而且会有大量报文冲击85造成网络异常。

65与主备85之间是采用OSPF的环，为了保证不会形成2层环路，65与主备85就不能采用原来的管理VLAN了，设定65与主用85之间用VLAN666连接，65与备用85之间用VLAN777连接，两端都分别配置一个IP地址，这些IP地址不仅用于网管，也用于65与主备85之间的3层转发，所以可以从网管IP地址段中取出一部分来作为这地址（分别设定为76.68.39.100/252和76.68.39.104/252），当然也可以另外规划2个网段。

2.3 业务VLAN和虚接口地址的配置根据规划分别在3050和主备85上配置需要的业务VLAN，并配置相应的虚接口地址，并在端口上指定允许通过的VLAN，这里着重要说明的是千万不要对端口配置trunk permit vlan all或trunk permit vlan 2 to 200之类，必须老老实实的一个一个指定允许通过的VLAN，也千万不要配置GVRP。

这里多化几秒钟，就可以极大地减少网络中的广播报文，极大地提高网络的稳定性，切记，切记!!!!唯一例外的是主备85之间的聚合链路，可以不必一个一个指定，例如可用trunk permit vlan 2 to 665 667 to 776 778 to 4094指定，这样以后增加VLAN也不用一个一个添加，避免遗漏产生问题；但是千万记得要排除与65相连的2个VLAN，因为在VRRP的track中需要监控某一VLAN interface是否DOWN，如果没有排除出来，这个VLAN interface永远不会DOWN就起不到监控作用了。

这里面可以说明6500缺省就是trunk permit vlan all的设置，所以8500一定要设置。

2.4 VRRP的配置ping网关往往是诊断网络故障的第一步，所以在VRRP配置前，必须在全局模式下先配置vrrpping-enable，因为这个命令在配置VRRP后就不能再配置了。

主备85之间每一组VRRP都会以advertise配置的时间间隔发送报文，默认值是1秒钟，如果有多个VRRP组，每秒同一时刻就会有较多的VRRP报文上CPU，为了避免这种情况，可以将VRRP组分为4组，每组分别以则数间隔（2、3、5、7秒）配置advertise，这样就可以使得VRRP报文分散上CPU。

VRRP通过priority来配置主备，主备配置必须与STP的配置相一致，否则会使得数据多经过1个交换机加重网络负荷。

可以配置VRRP的track来跟踪上行链路，当上行链路发生故障时及时进行VRRP的主备切换。

2.5 STP的配置主用85配置为STP的根，备用85配置为STP的备用根，一般不用设置STP的模式，可以运行在默认的MSTP模式下，如果明确2层交换机不能兼容MSTP才需要强制设置为STP模式。

2层交换机强烈建议启用STP协议，只要直接启用STP，不用进行其它STP配置。

（目前交换机缺省都是STP，并不是MSTP配置）如果主备85之间采用聚合链路，一般不需要配置链路的花费，如果不是聚合链路，则最好配置链路花费，但是必须注意链路花费的值不要设置错误，链路花费越小优先级越高。

连接65或直接连接服务器的端口一般可以不启用STP，配置为stp disable。

2.5.1STP timer的配置STP timer 定时器有3个，分别为Hello timer、Forward delay和Max timer，默认配置分别为2秒、15秒和20秒，一般不需要修改；因为局域网线路比较稳定，这几个定时器也可以分别延长至4秒、30秒和40秒。

STP另一个比较重要的配置超时时间因子，默认为3，也可以适当大一些。

2.5.2关于配置负载均衡按照前面VRRP和STP的配置，主备85是热备份方式，正常情况下备用85无任何业务，只能在网络发生故障如主用85当机或2层交换机连接主用85的光纤DOWN时，业务才会全部或部分切换到备用85。

有用户提出要进行主备85之间的负荷分担，如果2层交换机全部或部分支持MSTP，负荷分担是完全可以实现的，只要配置MSTP的几个实例，将不同的VLAN划分到不同的实例中，配置不同的实例有不同的根，并相应配置VRRP的主用，这样不同的实例走不同的85，起到负荷分担的作用；但是在实际应用中，局域网的流量并不大，采用双机更多的是处于可靠性的考虑，配置负荷分担并不能提高网络的性能，反而增加了配置的复杂性，潜在的也降低了网络的稳定性，毕竟越是复杂稳定性越难以保证，所以一般情况下不建议配置主备85之间的负荷分担。

这里配置负载分担应该可以通过配置几个VRRP组在备用8500上为master，但是需要同时修改MSTP，配置确实比较复杂对于第二种组网，交换机业务并不为空，如果全部跑到左边的设备上去运行，才多走了一台设备。

2.6 防病毒ACL规则的配置病毒攻击产生大量的未知单播报文冲击85，造成网络振荡和设备故障，所以必须在所有交换机配置防病毒ACL规则对病毒报文进行过虑，但是由于一些应用程序和某些病毒使用同样的端口，如果不加选择的屏蔽某些端口会导致正常的业务不能运行，启用防病毒ACL规则后应该测试各种应用。

常用的过虑端口有以下一些（不断完善中），请谨慎选用：acl name anti-virus advancedrule 42 deny tcp destination-port eq 135 （网上邻居使用，如果关闭可能会导致网络打印机等不能使用）rule 43 deny tcp destination-port eq 137 （网上邻居使用，如果关闭可能会导致网络打印机等不能使用）rule 44 deny tcp destination-port eq 138 （网上邻居使用，如果关闭可能会导致网络打印机等不能使用）rule 45 deny tcp destination-port eq 139 （网上邻居使用，如果关闭可能会导致网络打印机等不能使用）rule 46 deny tcp destination-port eq 593rule 47 deny tcp destination-port eq 445 (防震荡波病毒)rule 48 deny tcp destination-port eq 4444rule 49 deny udp destination-port eq netbios-nsrule 50 deny udp destination-port eq 445 (防震荡波病毒)rule 51 deny udp destination-port eq 1434rule 52 deny udp destination-port eq 4444rule 53 deny tcp destination-port eq 1022rule 54 deny tcp destination-port eq 1023rule 55 deny tcp destination-port eq 5554(防震荡波病毒)rule 56 deny udp destination-port eq 6666rule 57 deny tcp destination-port eq 9996(防震荡波病毒)2.7 广播抑制的配置由于网络中存在物理环路，在受到攻击时会造成STP的BPDU报文丢失，使得STP计算错误就会导致网络风暴，大量的广播报文冲击不仅会使得网络很难自愈，并且有可能冲坏2、3层交换机，使得网络长时间不能恢复。

在使用上面的各种方法防止环路形成外，可以在配置所有端口配置广播抑制，一般配置到最小值1％就已经能够远远超出正常的需要（网络中正常的广播报文并不多，一般只有ARP和DHCP报文），这样就是产生环路，网络中的广播报文也不会很多，网络可以很快恢复正常切断环路。

2.8 2层交换机的配置2层交换机的配置相对比较简单，除了上面提到的需要配置管理VLAN和虚接口，配置业务VLAN，配置端口类型，启用STP，防病毒ACL规则，广播抑制外，另外需要配置的地方不多，一是配置一条默认路由指向管理网段的VRRP虚接口，二是配置SNMP以便网管软件使用，三是配置用户登录方式和密码以提供telnet登录。