网络出口区流量清洗经典引流方案分享
网络出口区流量清洗经典引流方案分享
- 拓扑结构
- 业务需求
- 方案规划
- 配置实现
- 转发原理
- 结果测试
拓扑结构
业务需求
某网络需在网络出口区部署Anti-DDoS设备,现需要将南北向业务流量(本案例使用PC1<—>PC2间流量模拟)进行静态引流至清洗设备(本案例使用Router型号模拟器模拟)。
方案规划
1.在出口路由器R1连接南北向业务流的任意一个接口上绑定一个VPN实例(本案在连接PC1的端口下绑定VPN实例),使得绑定了VPN实例的接口在接收到流量并做后续转发时,在VPN实例对应的VPF中查找目的路由对应的下一跳进行转发
2.使用静态路由将去往目的地(本案例PC2为目的地)的下一跳指向清洗设备,也就是R1设备查询VRF时,下一跳指向清洗设备
3.R1设备连接清洗设备的物理端口划分为两个逻辑子接口,并将其中一个子接口也绑定到之前创建的VPN实例下,做为引流接口,另外一个子接口作为流量回注口。
4.R1设备通过配置的静态路由经由引流接口将业务流量发送至清洗设备
5.交换机仅作为互联设备,两边互联接口的端口类型设置为Trunk,并将逻辑子接口上绑定的VLAN ID在接口下放行即可
6.作为清洗设备也需要将其连接业务设备的接口划分成两个逻辑子接口,按照R1设备的配置规划相应的引流接口和回注接口,之后再需要通过配置静态路由让其知晓去往PC1以及PC2的下一跳地址即可,需要注意的是此处要避免下一跳指错。
相比“静态路由+策略路由重定向”的方案,本方案在配置层面做了极大的精简和优化
配置实现
PC1:
PC2:
R1:
sysname r1
#
vlan batch 10 20
#
ip vpn-instance vpn1ipv4-familyroute-distinguisher 1:1
#
interface Ethernet0/0/0.1dot1q termination vid 10ip binding vpn-instance vpn1ip address 1.1.1.1 255.255.255.0arp broadcast enable
#
interface Ethernet0/0/0.2dot1q termination vid 20ip address 2.2.2.1 255.255.255.0
#
interface Ethernet0/0/1ip binding vpn-instance vpn1ip address 1.1.0.254 255.255.255.0
#
interface GigabitEthernet0/0/0ip address 2.2.0.254 255.255.255.0
#
ip route-static 1.1.0.0 255.255.255.0 2.2.2.2
ip route-static vpn-instance vpn1 2.2.0.0 255.255.255.0 1.1.1.2
#
return
LSW1:
sysname Sw
#
vlan batch 10 20
#
interface Ethernet0/0/1port link-type trunkport trunk allow-pass vlan 10 20
#
interface Ethernet0/0/2port link-type trunkport trunk allow-pass vlan 10 20
#
return
清洗设备:
sysname CleanDevice
#
vlan batch 10 20
#
interface Ethernet0/0/0.1dot1q termination vid 10ip address 1.1.1.2 255.255.255.0arp broadcast enable
#
interface Ethernet0/0/0.2dot1q termination vid 20ip address 2.2.2.2 255.255.255.0arp broadcast enable
#
ip route-static 1.1.0.0 255.255.255.0 1.1.1.1
ip route-static 2.2.0.0 255.255.255.0 2.2.2.1
#
return
转发原理
以PC1访问PC2为例
- 因为不知道目的网段,把目的ip地址 2.2.0.1和自身掩码255.255.255.0做与运算。得出目的网段位2.2.0.0/24
- 把源IP地址与掩码做与运算,得出本机网段1.1.0.0/24
- 由于目的网段和本机网段不同,因此检查是否配置了网关。
- 若没有配置网关,会直接把数据包发送给目的地址2.2.0.1,进而在ARP缓存表中查找2.2.0.1的条目。
- 此图中PC1配置了网关1.1.0.254 ,PC1在发送数据给2.2.0.1时先把数据发送给网关处理。
- 在PC1的ARP缓存表中查找网关1.1.0.254的MAC地址,没有命中。
- 触发ARP miss报文上送CPU,CPU通知ARP模块进行ARP学习过程。
- PC1经过一次ARP过程学习到网关的1.1.0.254的MAC。
- PC1发送数据包目的地址2.2.0.1 ,源地址1.1.0.1 ,目的MAC 网关 ,源MAC PC1,从E0/0/1接口发送。
- R1路由器的E0/0/1接口收到一份目的MAC为自身接口的数据帧,接受并处理,自学习计入MAC表。同时由于接口绑定VPN实例,在VRF中查找,通过最长掩码匹配得到去往2.2.0.1路由可达,下一跳走1.1.1.2。
- 通过查找ARP缓存表和ARP学习过程,学习得1.1.1.2对应MAC为清洗设备的E0/0/0.1接口MAC。
根据VRF的转发表把报文从E0/0/0.1接口发出。其中源IP 1.1.0.1 ,目的IP 2.2.0.1 ,源MAC R1的E0/0/0.1接口MAC,目的MAC R2的E0/0/0.1接口MAC ,并携带vlan标签10 - SW1的E0/0/1为trunk接口收到带tag10的数据帧,源MAC学习加入vlan10的MAC表中,或刷新表项(ARP时已经学到),由于trunk接口放行列表中有vlan10,又因为pvid为1,因此接收报文但不剥离标签。
- SW1交换模块认为收到带vlan10的数据,在vlan10的MAC表中查找目的MAC,命中E0/0/02出接口,且E0/0/02接口作为trunk接口放行列表中允许vlan10通过。
- 由于E0/0/02接口PVID为1,因此交换机SW1从E0/0/2接口携带vlan10标签转发。 报文源目IP 源目MAC均不改变。
- R2设备从E0/0/0.1接口收到带tag10标记数据帧目的mac为自身,接收并处理 根据dot1q剥离tag10标签
- 在IP路由表中根据最长掩码匹配查找得去往2.2.0.1下一跳2.2.2.1
- 查找ARP缓存,经过ARP学习2.2.2.1对应MAC,查找转发表,指导数据从出接口E0/0/0.2转发。 dot1q封装携带标签20 ,源IP1.1.0.1 ,目的IP 2.2.0.1 ,源MAC R2 E/0/0.2的接口MAC ,目的MAC R1E0/0/0.2接口MAC
- SW1的E0/0/2为trunk接口收到带tag20的数据帧,源MAC学习加入vlan20的MAC表中,或刷新表项(ARP时已经学到)
- 由于trunk接口放行列表中有vlan20,又因为pvid为1,因此接收报文但不剥离标签。
- SW1交换模块认为收到带vlan20的数据,在vlan20的MAC表中查找目的MAC,命中E0/0/01出接口。 且E0/0/02接口作为trunk接口放行列表中允许vlan20通过。
- 由于E0/0/2接口PVID为1,因此交换机SW1从E0/0/2接口携带vlan20标签转发。 报文源目IP 源目MAC均不改变。
- R1设备从E0/0/0.2接口收到带tag20标签数据帧目的mac为自身,接收并处理 根据dot1q剥离tag20标签
- 在IP路由表中根据最长掩码匹配查找得去往2.2.0.1下一跳2.2.0.254,查找ARP缓存,经过ARP学习2.2.0.1对应MAC,查找转发表,指导数据从出接口G0/0/0转发。报文源IP1.1.0.1,目的IP 2.2.0.1,源MAC R1 G0/0/0的接口MAC,目的MAC PC2 MAC
回程类似。
结果测试
PC1访问PC2路径:
网络出口区流量清洗经典引流方案分享相关推荐
- 网络营销:新媒体项目实战之今日头条推广引流技巧分享
网络营销:新媒体项目实战之今日头条推广引流技巧分享 最新数据统计,今日头条累计激活用户数已达 7 亿,如此庞大的数据证明了其庞大的传播性和影响力.目前,今日头条已成为网络营销人才的主要战场.商家必争的 ...
- 如何利用亚马逊买家秀和亚马逊红人视频关联竞品流量,帮助产品曝光抢流量和店铺引流
短视频时代,随之而来Tiktok根据亚马逊2021年的统计数据,潜在买家观看买家秀,主图视频,QA视频的转换率比没有视频的视频高Listing它增加了大约四倍.这些数据充分表明,平台视频不仅有利于买家 ...
- 即构推出微信引流方案,助力在线教育平台大幅降低获客成本
随着互联网红利结束,线上流量贵.获客成本高.用户数量增长难成为在线教育的行业困境.为了增加品牌曝光度,在线教育平台习惯依赖高价明星代言.巨额综艺冠名.投放品牌广告等方式来进行引流. 当拉新成本越来越高 ...
- 怎么做好直播引流?直播引流方案介绍
随着时代的新旧更替,不少行业也被随之替换,新兴行业也就此出现,其中就包括了直播行业.在直播队伍之中除了个人还有企业,所以说竞争是十分激烈的,要想从中占据优势,那么必须要有的操作就是引流.虽然很多人对于 ...
- 社群运营:美容店怎么做社群引流?分享5个到店提高转化率的方法!
如今大街小巷随处可见各类美容美发店,随着美容美发店的同质化发展,消费者对美容美发店的了解越来越多,美容美发店的生意也越来越难做. 同时随着互联网的发展,美容美发店的老板们可能会发现,传统的引流方法越难 ...
- 干货分享:TikTok五大完美引流方案
2020年初,疫情突然袭来,这场全球疫情令TikTok逆势爆发. 数据公司Sensor Tower显示,2020年2月,TikTok的下载量和应用内收入创历史新高,获得全球范围内近1.13亿次安装和5 ...
- 培训机构微信裂变引流方案,培训机构如何利用微信群裂变引流招生?
微信群裂变玩法,裂变营销的威力是很恐怖的,做社群或自媒体运营的都知道不管网赚是卖什么东西,坚持做上一年可超越许多同行.用户一天增长1000是再正常不过的.那么培训机构群裂变活动方案? 一.个人定位 我 ...
- 视频号该如何涨粉引流,分享10种涨粉技巧+5种引流方法丨国仁网络
微信的视频号是一个人人可以记录和创作的平台,也是一个了解他人.了解世界的窗口. 当你开通了微信视频号,准备发视频的时候,你得想清楚你发给谁看?是自娱自乐那当然无所谓. 但是如果你是想通过玩微信视频号涨 ...
- 抖音如何吸引精准流量?短视频引流应该怎么做
在现在这个时代大家都知道流量为王,但是流量其实不值钱,精准流量才足够值钱.当我们清楚如何引流.如何变现的时候,那么短视频引流对你来说也就没有了难度.今天就来分享一下抖音如何吸引精准流量,抖音吸引流量的 ...
最新文章
- python RSA 加密与签名
- Spring Security –在一个应用程序中有两个安全领域
- idea怎么将本地文件和远程git对比_IDEA新建本地项目关联远程git仓库
- 开创先河!《王者荣耀国际版》成为东南亚运动会正式比赛项目
- 1000米感知能力?!图森无人车说这是他们的最新突破
- 自己追加内存【注意事项】
- 「星火计划沙龙视频」云原生数据湖专场
- 处理器排行_数字信号处理器价格和库存TOP10排行
- Visual Studio 2008 无法安装解决办法
- 【Matlab】RGB, HSV 颜色空间绘制
- EffectiveC++-条款52:写了 placement new 也要写 placement delete
- Tuscany SCA V1.0中的扩展机制和启动过程中的扩展点[11月29日更新]
- 三菱PLC MC协议的配置和使用简析
- 【 实测可用 】ESP32 + AD8232 心电图实验
- 用计算机despair,despair造句
- 回文数-第14届蓝桥杯Scratch选拔赛真题
- 超详细!ActionBar 使用·详解
- XMind 2020 for mac (XMind思维导图)
- java 乐器钢琴_Java swing实现录音、播放、180多种乐器模拟、电子钢琴等功能
- 华为鸿蒙显示器,华为鸿蒙2.0、EMUI 11齐发 打通手机、电视、PC全平台