Praktični primeri – Modul 27 – Napredne mrežne teme

Primeri koriste Cisco IOS/IOS-XE sintaksu za stvarnu opremu. Primer 1 i deo Primera 2 mogu se ponoviti u Packet Traceru (i u laboratorijskoj vežbi); za Primere 3–5 preporučuju se emulatori iz Modula 22 ili Cisco CML.

Primer 1 – HSRP sa podelom opterećenja, usklađenim STP-om i praćenjem

Situacija: Dva distributivna L3 sviča (DSW1, DSW2) opslužuju VLAN 10 i 20. Oba sviča treba da budu iskorišćena, a gateway mora da „pređe" na drugi svič i kada prvi izgubi uplink, a ne samo kada se ugasi.

DSW1 — aktivan za VLAN 10, rezervni za VLAN 20:

spanning-tree vlan 10 root primary
spanning-tree vlan 20 root secondary
!
ip sla 1
 icmp-echo 10.27.255.1 source-interface GigabitEthernet0/1
 frequency 5
ip sla schedule 1 life forever start-time now
track 1 ip sla 1 reachability
!
interface Vlan10
 ip address 10.27.1.2 255.255.255.0
 standby version 2
 standby 10 ip 10.27.1.1
 standby 10 priority 110
 standby 10 preempt
 standby 10 track 1 decrement 20
interface Vlan20
 ip address 10.27.2.2 255.255.255.0
 standby version 2
 standby 20 ip 10.27.2.1
 standby 20 preempt

DSW2 — obrnuto: spanning-tree vlan 20 root primary, vlan 10 root secondary, standby 20 priority 110 sa praćenjem svog uplink-a, a za grupu 10 samo preempt.

Provera:

DSW1# show standby brief
                     P indicates configured to preempt.
                     |
Interface   Grp  Pri P State   Active          Standby         Virtual IP
Vl10        10   110 P Active  local           10.27.1.3       10.27.1.1
Vl20        20   100 P Standby 10.27.2.3       local           10.27.2.1

Test: kada ping iz DSW1 ka 10.27.255.1 prestane da uspeva (uplink ili sused u kvaru), track 1 prelazi u Down, a prioritet DSW1 za grupu 10 pada na 90. DSW2 (100, sa preempt) postaje Active za VLAN 10. Klijenti u VLAN-u 10 nastavljaju rad preko DSW2 i njegovog ispravnog uplink-a.

Zaključak: HSRP bez praćenja štiti samo od otkaza celog sviča. Praćenje dostupnosti preko IP SLA štiti i od „tihih" kvarova iznad sviča. Usklađen STP root sprečava da L2 saobraćaj ide preko drugog sviča do aktivnog gateway-a.

Primer 2 – Izbor tipova OSPF oblasti i podešavanje cene

Situacija: Firma ima centralu (area 0), kampus (area 1) i tri poslovnice (area 2, 3, 4). Na ivici centrale redistribuiše se 300 spoljnih ruta partnera (LSA tip 5). Poslovnica 4 ima sopstveni ruter prema lokalnom partneru, sa statičkim rutama koje treba redistribuisati.

Konfiguracija na ABR-u za area 2 i area 4: area 2 stub no-summary i area 4 nssa. Na svim ruterima tih oblasti je i area 2 stub odnosno area 4 nssa.

Cena i referentni propusni opseg — sa podrazumevanom referencom od 100 Mb/s:

Sa podrazumevanom referencom OSPF ne razlikuje veze od 1 i 10 Gb/s i može da izabere sporiju. Zato se na svim ruterima podešava auto-cost reference-bandwidth 100000.

Zaključak: Tip oblasti bira se prema tome da li oblast ima jedan ili više izlaza i da li u njoj postoji redistribucija. Referentni propusni opseg mora biti isti na celom domenu.

Primer 3 – BGP sa dva provajdera: kontrola izlaznog i ulaznog saobraćaja

Situacija: Firma (AS 65027, javni opseg 198.51.100.0/24) ima provajdera ISP1 (brža veza) i ISP2 (rezerva). Izlazni i dolazni saobraćaj treba da idu preko ISP1, a firma ne sme da postane „tranzit" između dva provajdera.

ip prefix-list NAS-OPSEG seq 10 permit 198.51.100.0/24
!
route-map ISP1-IN permit 10
 set local-preference 200
!
route-map ISP2-OUT permit 10
 match ip address prefix-list NAS-OPSEG
 set as-path prepend 65027 65027 65027
!
router bgp 65027
 network 198.51.100.0 mask 255.255.255.0
 neighbor 203.0.113.1 remote-as 64500
 neighbor 203.0.113.1 description ISP1
 neighbor 203.0.113.1 route-map ISP1-IN in
 neighbor 203.0.113.1 prefix-list NAS-OPSEG out
 neighbor 192.0.2.1 remote-as 64510
 neighbor 192.0.2.1 description ISP2
 neighbor 192.0.2.1 route-map ISP2-OUT out
!
ip route 198.51.100.0 255.255.255.0 Null0

Kako radi:

• Izlaz: rute primljene od ISP1 dobijaju Local Preference 200 (podrazumevano je 100), pa su najbolje, a ruter šalje saobraćaj preko ISP1. Kada ISP1 otkaže, ostaju rute od ISP2.
• Ulaz: prema ISP2 opseg se oglašava sa AS_PATH-om produženim tri puta (65027 65027 65027 65027). Ostatak interneta vidi kraći put preko ISP1 i koristi njega.
• Bez tranzita: prefix-list i route-map na izlazu propuštaju samo sopstveni opseg. Rute naučene od jednog provajdera se ne oglašavaju drugom.

Provera: show ip bgp — za prefikse sa interneta najbolja putanja (>) je ona sa LocPrf 200; show ip bgp neighbors 192.0.2.1 advertised-routes — oglašen je samo 198.51.100.0/24.

Zaključak: Local Preference upravlja izlaznim saobraćajem. Na dolazni saobraćaj se može samo uticati (AS path prepending, MED, BGP community-ji provajdera), a izlazni filteri su obavezni.

Primer 4 – Dvosmerna redistribucija bez petlji (oznake ruta)

Situacija: Posle preuzimanja druge firme njena mreža koristi EIGRP (AS 100), a matična OSPF. Na dva rutera (R-A i R-B) radi se dvosmerna redistribucija, radi redundanse. Bez zaštite, ruta iz EIGRP-a ulazi u OSPF na R-A, a na R-B se vraća u EIGRP — petlja ili neoptimalna putanja.

Na oba rutera za redistribuciju:

route-map EIGRP-U-OSPF deny 10
 match tag 110
route-map EIGRP-U-OSPF permit 20
 set tag 90
!
route-map OSPF-U-EIGRP deny 10
 match tag 90
route-map OSPF-U-EIGRP permit 20
 set tag 110
!
router ospf 1
 redistribute eigrp 100 subnets route-map EIGRP-U-OSPF
router eigrp 100
 redistribute ospf 1 metric 100000 10 255 1 1500 route-map OSPF-U-EIGRP

Kako radi:

• Rute iz EIGRP-a pri ulasku u OSPF dobijaju oznaku 90, a rute iz OSPF-a pri ulasku u EIGRP oznaku 110.
• Ruta sa oznakom 90 (poreklom iz EIGRP-a) se nikada ne vraća nazad u EIGRP, i obrnuto.
• Seed metrika za EIGRP (propusni opseg, kašnjenje, pouzdanost, opterećenje, MTU) mora biti zadata.

Zaključak: Dvosmerna redistribucija na više tačaka uvek zahteva zaštitu od povratka ruta — oznake i filtere. Dugoročno je bolje rešenje prelazak cele mreže na jedan protokol.

Primer 5 – QoS za glas na WAN vezi sa shaping-om

Situacija: Poslovnica ima ugovorenu vezu od 100 Mb/s na portu od 1 Gb/s. Pozivi „seckaju" tokom velikih prenosa. Telefoni već označavaju glas sa DSCP EF, a video konferencije sa AF41.

class-map match-any GLAS
 match dscp ef
class-map match-any VIDEO
 match dscp af41
class-map match-any SIGNALIZACIJA
 match dscp cs3
!
policy-map WAN-KLASE
 class GLAS
  priority percent 20
 class VIDEO
  bandwidth percent 30
 class SIGNALIZACIJA
  bandwidth percent 5
 class class-default
  fair-queue
!
policy-map WAN-SHAPE-100M
 class class-default
  shape average 100000000
  service-policy WAN-KLASE
!
interface GigabitEthernet0/0/1
 service-policy output WAN-SHAPE-100M

Kako radi:

• Spoljna (roditeljska) politika ograničava izlaz na ugovorenih 100 Mb/s. Zagušenje zato nastaje na ruteru firme, gde se QoS primenjuje, a ne kod provajdera, gde se paketi odbacuju bez reda.
• Unutrašnja politika daje glasu strogi prioritet (do 20%), videu garantovanih 30%, a ostatku pravedno deljenje.

Provera: show policy-map interface GigabitEthernet0/0/1 — brojači paketa po klasi, odbačeni paketi i dubina redova.

Zaključak: Hijerarhijski QoS (shaping + prioritet) je standardno rešenje za sub-rate WAN veze. Bez shaping-a QoS politika praktično ne radi, jer port od 1 Gb/s nikada nije zagušen.

Poslovni scenario – Visoka dostupnost i DR plan za firmu „Sigma Logistika"

Situacija: Firma ima centralu sa server salom i 12 poslovnica. Posle višednevnog prekida zbog poplave u susednoj zgradi, uprava traži da najvažniji sistemi rade najviše 4 sata posle katastrofe, uz gubitak podataka od najviše 15 minuta.

Analiza uticaja (BIA) i ciljevi:

Visoka dostupnost u centrali (svakodnevni kvarovi):

• dva core sviča u virtuelnoj šasiji;
• HSRP ka firewall klasteru;
• dve internet veze sa BGP-om i sopstvenim /24 opsegom;
• UPS sa agregatom;
• BFD na vezama ka provajderima.

DR (gubitak cele centrale):

1. Mreža poslovnica: SD-WAN sa dva tunela — ka centrali i ka DR okruženju u cloud-u. Politika automatski prebacuje saobraćaj sistema za pošiljke na DR kada centrala nije dostupna.
2. Javni pristup: javni /24 se preko BGP-a može oglasiti i sa DR lokacije (ugovor sa provajderom). DNS zapisi imaju TTL od 5 minuta.
3. Adresiranje: DR okruženje koristi isti adresni blok za servere kao centrala (aktivira se samo pri katastrofi), pa se konfiguracije aplikacija ne menjaju.
4. Runbook:

• proglašenje katastrofe (direktor + IT šef, rezervni kontakti);
• aktiviranje DR okruženja (Terraform iz Git-a, Modul 25);
• provera replikacije;
• prebacivanje DNS-a;
• obaveštenje poslovnica i klijenata;
• dnevnik svih koraka.

5. Testovi: kvartalna stolna vežba i godišnji potpuni prelazak vikendom, sa izveštajem o problemu (Modul 23) i ispravkama plana.

Rezultat prvog potpunog testa: sistem za pošiljke podignut je za 3 h 10 min. Otkrivena su dva problema: jedan firewall objekat sa starom adresom i nedostupan DR runbook, jer je bio samo na file serveru centrale. Oba su ispravljena — runbook se sada čuva i u cloud-u i odštampan.