漏掉与多出的路由

2015-12-03

网络安全和信息化 2015年9期

故障现象

笔者管理的是一个地市级教育城域网，下属学校都要接入网内。近期，一所新建设的中学在接入过程中产生了诸多问题，不过，在排查问题的过程中，也学到了一些经验，在此与大家分享一下。网络结构如图1所示。

图1 网络结构图

学校建设之初为方便工作人员上网，临时开了一条10M的电信出口线路。学校正式运行之后，教师较多，10M的出口已不能满足需求，学校想借接入教育城域网之际，拓展带宽，关掉电信出口。稳妥起见，我们决定先实现市网管中心与学校内网之间互访，再关掉电信出口，把学校用户上网改到教育城域网的联通出口，那就是轻而易举的事了。如果在下班时间操作的话，根本不会影响网内用户的上网。

图中的H3C7506E、ISP交换机、7206交换机全部通过裸光纤互联，接口模块全部为10公里1.25G光收发模块。两端交换机各划分一个基于端口的VLAN，交换机端口为Access模式，相当于路由器的三层接口，然后配置虚拟接口IP（为防止IP浪费，以及未用IP产生无效的数据包，虚拟接口IP，也就是互联IP的子网掩码全部为30位）。最后，在三台交换机的路由表中分别加入互指的静态路由，网络就应当通了。配置代码如下：

上述代码172.16.20.0/24是学校分配的IP段，172.16.10.0/24是市网络中心分配的IP段；7506E和ISP的互联IP是172.16.10.1/30，ISP和学校之间的互联IP是172.16.10.5/30。上述路由表实现学校用户与市网络中心之间的IP段访问。配置完成后，满怀信心地让学校管理员测试，得到的回复是：上级的设备都不能Ping通，根本上不了网。

故障排查

表面上看，上述配置代码没什么问题，所有设备的静态路由都是互相指向的。笔者首先查看了配置代码，还请同事帮助看了一遍，确定没有写错，然后测试了一下，发现从7506E到ISP能Ping通，到学校的交换机就不通了。在哪发现的问题，就先在哪解决问题。先解决7506E到7206间的联通问题。常规的思维都会以为是ISP的静态路上配置问题，因为它是中间设备，路由经过中间设备才不能通过。所以首先跟联通公司的技术人员讨论这个问题，排除模块和光路问题后，还是落脚在配置问题上。

仔细分析发现，互联IP段与用户使用的IP段不在同一个网段，7506E交换机在配置静态路由时，没有把互联IP段的路由加上，漏掉了ISP到7206之间的互联IP段的路由（用户的上网数据包每经过一个物理接口都会加上相应的接口IP信息，而在静态路由配置模式下，7506E学习不到7206的接口IP信息，必须得人工告知），所以在7506E上还得加上一条路由，配置如下：

H3C7506E静态指向路由：

IP route 172.16.20.0/24 172.16.10.2

IP route 172.16.10.5/30 172.16.10.2

如此配置后，发现仍然不通，百思不得其解。后来又发现从ISP到学校的7206交换机之间也不通。与联通公司技术人员商量后，一致认为问题还是出在学校端，决定去学校实地查看一下。

通过更换光模块、更换光模块的交换机插槽，以及测试光路等办法，排除了光模块和光路的问题。打开合勤7206的配置界面，发现全是英文的，而且版本较老，设备较老，是2009年的设备，是从老校退下来的交换机，新交换机正在招标。经过查看配置发现，路由条目：IP route 172.16.10.0/24 172.16.10.5，目的IP段与互联地址段在同一个网段，看着别扭，但是从技术上讲也是允许的。联通技术人员说，换一下互联IP试试，我说，一直是这样配置的，网络中心用于网管的IP与互联IP一直在同一个网段，换的话，需要重新规划IP段。

故障解决

不得已，我们打了合勤的800服务电话。还真是这儿的问题，交换机的操作系统不允许目标IP段与下一跳IP有重叠的地方。在不影响IP段重新规划的情况下，缩小目标IP段。于是把7206的路由改为：IP route 172.16.10.193/25 172.16.10.5，如此就可以了。

市网络中心与学校网互联成功以后，就可以把学校的网络改到教育城域网了，所以，7206交换机的测试路由：IP route 172.16.10.193/25 172.16.10.5，就可以去掉了，换成缺省路由：IP route 0.0.0/0 172.16.10.5。在这里会发现，缺省路由与互联IP段有重叠的地方。又打800电话问了一下，得到的回复是，仅有缺省路由可以。天哪！这叫什么规定呀。