國(guó)際專線電路調(diào)試案例分析（重慶分公司）

伴隨中國(guó)經(jīng)濟(jì)的蓬勃發(fā)展和眾多國(guó)內(nèi)企業(yè)國(guó)際化戰(zhàn)略的實(shí)施，國(guó)際專線電路的需求量越來(lái)越大。另一方面，國(guó)際電路的開通也面臨涉及段落多、異設(shè)備、異廠家、跨國(guó)際運(yùn)營(yíng)商的復(fù)雜環(huán)境，開通難度非常大，目前國(guó)內(nèi)運(yùn)營(yíng)商和主流廠家可借鑒的經(jīng)驗(yàn)非常少。近期，在集團(tuán)公司的指導(dǎo)下，重慶分公司在國(guó)際專線開通中積極探索，積累了初步的經(jīng)驗(yàn)。現(xiàn)總結(jié)如下，供大家參考。一、案例背景長(zhǎng)安集團(tuán)是聯(lián)通公司的重要合作伙伴，也是重慶分公司的重點(diǎn)保障對(duì)象。近期，其連續(xù)申請(qǐng)了到日本、英國(guó)和意大利的3條國(guó)際MSTP專線電路，我們?cè)陔娐烽_通調(diào)試初期碰到以下幾個(gè)問(wèn)題：日本電路：重慶聯(lián)通采用華為Metro1000傳輸設(shè)備EFS單板接入以太網(wǎng)專線業(yè)務(wù)，對(duì)端采用思科15454傳輸設(shè)備，兩端業(yè)務(wù)開通后，測(cè)試無(wú)法ping通。英國(guó)電路和意大利電路：（長(zhǎng)安至英國(guó)電路網(wǎng)絡(luò)圖）（長(zhǎng)安至英國(guó)電路簡(jiǎn)圖）問(wèn)題一：在9月下旬，由于E段傳輸路由器還沒(méi)有調(diào)通，協(xié)調(diào)通過(guò)IPSEC隧道臨時(shí)解決，而調(diào)試IPSEC過(guò)程中無(wú)法調(diào)通隧道。問(wèn)題二：在12月9日調(diào)通E段傳輸路由后，進(jìn)行全程聯(lián)調(diào)，ping65500字節(jié)的大包有3%丟包；用MSTP儀表打環(huán)測(cè)試能夠達(dá)到10M帶寬，但兩端使用單臺(tái)電腦下載達(dá)不到10M帶寬（平均速度不到3M帶寬），英國(guó)POP點(diǎn)架設(shè)FTP服務(wù)器端，重慶使用FTP客戶端進(jìn)行下載測(cè)試，平均速率是300KB/S，造成用戶感知不好。意大利電路也有同樣帶寬不能達(dá)10M的情況二、案例分析下面對(duì)這3條電路的開通、調(diào)試過(guò)程詳細(xì)分析如下：日本電路1）、檢查網(wǎng)元告警，Metro1000設(shè)備EFS單板有LP_TIM_VC12、LP_SLM_VC12、LP_RDI_VC12告警，說(shuō)明端設(shè)備J2、V5字節(jié)設(shè)置不一致。2）、由于對(duì)端設(shè)備查詢這兩個(gè)字節(jié)比較困難，華為默認(rèn)的J2字節(jié)為HuaWeiSBS，V5字節(jié)為異步，因此對(duì)J2、V5字節(jié)嘗試更改，當(dāng)J2字節(jié)修改為“00000000000000000000000000000000”（16進(jìn)制方式16個(gè)0）后，LP_TIM-V12告警消失。V5字節(jié)從0X01至0X0D依次修改，發(fā)現(xiàn)對(duì)端設(shè)備采用GFP_F封裝協(xié)議時(shí)，V5字節(jié)為0X0D(GFP映射)，當(dāng)對(duì)端設(shè)備采用HDLC封裝協(xié)議時(shí)，V5字節(jié)為0X08（其它映射（測(cè)試使用）），設(shè)置和對(duì)端一直后，LP_SLM_VC12、LP_RDI_VC12告警消失。3）、封裝與映射中需要配置的包括映射協(xié)議、擾碼方式、校驗(yàn)字段長(zhǎng)度、FCS計(jì)算位序、擴(kuò)展頭選項(xiàng)，而對(duì)端設(shè)備只能看到映射協(xié)議和校驗(yàn)字段長(zhǎng)度兩項(xiàng)。在映射協(xié)議上，華為EFS單板支持GFP、HDLC、LAPS三種封裝協(xié)議，GFP協(xié)議包括GFP-F和GFP-T協(xié)議，華為的EFS單板支持的是GFP_F協(xié)議；對(duì)端選擇GFP-F協(xié)議，本端選擇GFP協(xié)議，校驗(yàn)字段長(zhǎng)度上，對(duì)端選擇CRC32，本端選擇FCS32。其它三項(xiàng)擾碼方式、FCS計(jì)算位序與擴(kuò)展頭選項(xiàng)只能通過(guò)設(shè)置不同的選項(xiàng)來(lái)測(cè)試，最終選擇擾碼方式為“X43+1”，F(xiàn)CS計(jì)算位序?yàn)椤癇igendian”，擴(kuò)展頭選項(xiàng)為“沒(méi)有”。4）、端口內(nèi)外部屬性設(shè)置，進(jìn)入華為以太網(wǎng)端口的數(shù)據(jù)如果不帶VLAN，則需要將外部端口屬性設(shè)置為ACCESS，同時(shí)在入端口后打上默認(rèn)的VLANID（具體VLANID可以修改），如果進(jìn)入以太網(wǎng)端口的數(shù)據(jù)帶VLAN，則需要將端口屬性設(shè)置為TagAware，對(duì)數(shù)據(jù)進(jìn)行透?jìng)鳌Ｖ傲私獾綄?duì)端設(shè)備為VLAN為7的數(shù)據(jù)，需要將端口屬性設(shè)置為TagAware，來(lái)透?jìng)鲾?shù)據(jù)。后來(lái)與日本聯(lián)通聯(lián)系，了解到對(duì)端設(shè)備不帶VLAN，因此將內(nèi)外部端口屬性都設(shè)置為ACCESS，默認(rèn)VLAN設(shè)置為1。5）、以上設(shè)置完成后，通過(guò)電腦測(cè)ping，能夠ping通，但是用戶反應(yīng)有丟包。此時(shí)再與客戶確認(rèn)接入EFS單板設(shè)備的端口工作模式，重慶用戶路由器FE端口設(shè)置的是100M全雙工，因此將傳輸設(shè)備EFS單板端口工作模式設(shè)置為100M全雙工，同時(shí)雙方路由器也經(jīng)過(guò)相應(yīng)參數(shù)更改后，丟包問(wèn)題解決。英國(guó)電路問(wèn)題一的處理過(guò)程：其IPSEC方式組網(wǎng)如下圖：在重慶路由器配置如下：R1(config)#intf0/0

R1(config-if)#ipadd4552

R1(config-if)#nosh

R1(config-if)#intf1/0

R1(config-if)#ipadd952

R1(config-if)#nosh

R1(config-if)#endR1#conft

R1(config)#aaanew-model

R1(config)#aaaauthorizationnetworkvpn-client-userlocalR1(config)#iplocalpoolVPNDHCP0050

R1(config)#cryptoisakmpclientconfigurationgroupvpn-client-user

R1(config-isakmp-group)#keynorvel

R1(config-isakmp-group)#poolVPNDHCP

R1(config-isakmp-group)#dns4

R1(config-isakmp-group)#domainnorvel

R1(config-isakmp-group)#exit

R1(config)#R1(config)#cryptoisakmppolicy10

R1(config-isakmp)#authenticationpre-share

R1(config-isakmp)#encryption3des

R1(config-isakmp)#group2

R1(config-isakmp)#hashsha

R1(config-isakmp)#exit

R1(config)#end

R1#conft

R1(config)#cryptoipsectransform-setR1esp-sha-hmacesp-3des

R1(cfg-crypto-trans)#exit

R1(config)#cryptodynamic-mapdyvpn10

R1(config-crypto-map)#settransform-setR1

R1(config-crypto-map)#reverse-route

R1(config-crypto-map)#exitR1(config)#cryptomapdyvpnisakmpauthorizationlistvpn-client-user

R1(config)#cryptomapdyvpnclientconfigurationaddressrespond

R1(config)#cryptomapdyvpn1ipsec-isakmpdynamicdyvpn

R1(config)#inte1/0

R1(config-if)#cryptomapdyvpnR1(config)#iproute0測(cè)試能使用IPSEC正常連接；同樣在英國(guó)倫敦也能IPSEC正常連接。但在伯明翰使用如上方式不能正常連接。經(jīng)檢查，在倫敦POP點(diǎn)是通過(guò)家庭網(wǎng)關(guān)撥號(hào)連接的，獲得的IP只有一個(gè)：9。因此在重慶路由器上的9這個(gè)IP在外網(wǎng)是不可見的。因此在伯明翰連接9這個(gè)IP時(shí)，其實(shí)是連接至英國(guó)倫敦POP點(diǎn)的家庭網(wǎng)關(guān)這臺(tái)設(shè)備上的，因此不能正常連接。此時(shí)考慮兩個(gè)方案解決該問(wèn)題：方案一、在英國(guó)倫敦POP點(diǎn)的家庭網(wǎng)關(guān)配置映射，將9所有應(yīng)用（包括IPSEC協(xié)議：AuthenticationHeader（AH）協(xié)議和EncapsulatingSecurityPayload（ESP）協(xié)議分別對(duì)應(yīng)IP協(xié)議號(hào)"51"和"50"）映射至重慶的路由器FA1/0口54這個(gè)IP上。方案二、將IPSEC路由器從重慶移至英國(guó)倫敦POP點(diǎn)，在路由器上添加ADSL卡直接撥號(hào)獲取9這個(gè)公網(wǎng)IP。通過(guò)web方式登錄英國(guó)倫敦POP點(diǎn)的家庭網(wǎng)關(guān)，在DMZ區(qū)將9所有應(yīng)用映射至私網(wǎng)54，測(cè)試IPSEC仍不能正常連接。后咨詢相關(guān)廠家說(shuō)是該家庭網(wǎng)關(guān)設(shè)備性能太弱，不能將IPSEC的IP協(xié)議號(hào)50和51做映射。設(shè)備上的映射其實(shí)只是所有tcp和UDP端口的映射。無(wú)果！通過(guò)第二個(gè)方案來(lái)解決時(shí)，發(fā)現(xiàn)英國(guó)倫敦POP點(diǎn)的家庭網(wǎng)關(guān)配置是PPPOA撥號(hào)，在cisco路由器上需要配置ATM卡的撥號(hào)方式，而這種卡一時(shí)無(wú)法找到。無(wú)果！由于設(shè)備的瓶頸，需要更改整個(gè)IPSEC方案，在VPN的幾個(gè)協(xié)議中，考慮L2TP沒(méi)有IP協(xié)議號(hào)，只需映射L2TP端口（1701）做映射。于是在英國(guó)倫敦POP點(diǎn)的家庭網(wǎng)關(guān)將9端口1701映射至54這個(gè)IP的1701端口上。在重慶路由器主要配置如下：aaanew-modelaaaauthenticationlogindefaultlocalaaaauthenticationloginciscolocalaaaauthenticationpppdefaultlocalaaaauthorizationnetworkvpn-client-userlocalaaasession-idcommonipcefipauth-proxymax-nodata-conns3ipadmissionmax-nodata-conns3vpdnenablevpdn-groupVPN-SERVER!DefaultL2TPVPDNgroupaccept-dialinprotocoll2tpvirtual-template1nol2tptunnelauthenticationpoolVPNDHCPinterfaceFastEthernet0/0descriptionto-neiwangipaddress4552duplexautospeedautointerfaceFastEthernet0/1ipaddress53duplexautospeedautocryptomapdyvpninterfaceVirtual-Template1ipaddress54peerdefaultipaddresspoolVPDNPOOL-1pppmtuadaptivepppauthenticationms-chap-v2ms-chapchappappppipcpdns45iplocalpoolVPNDHCP0050iplocalpoolVPDNPOOL-153ipforward-protocolndiproute54iproute46iproute46通過(guò)外網(wǎng)測(cè)試L2TP，能正常撥號(hào)。至此解決了長(zhǎng)安公司英國(guó)的臨時(shí)電路問(wèn)題。問(wèn)題二的處理過(guò)程：1）、分別在英國(guó)POP點(diǎn)與重慶長(zhǎng)途落地機(jī)房SDH設(shè)備上配置以太網(wǎng)落地，重慶聯(lián)通采用Metro3000設(shè)備EFS單板接入以太網(wǎng)專線業(yè)務(wù)，對(duì)端采用思科15454設(shè)備。

2）、英國(guó)POP點(diǎn)架設(shè)FTP服務(wù)器端，重慶使用FTP客戶端進(jìn)行下載測(cè)試；最高下載速度為525KB/S，平均保持在300KB/S。經(jīng)檢查英國(guó)POP點(diǎn)傳輸設(shè)備端口為強(qiáng)制10M全雙工，F(xiàn)TP服務(wù)器端口為自適應(yīng)，將該FTP服務(wù)器端口修改為強(qiáng)制10M全雙工，再進(jìn)行FTP下載測(cè)試，網(wǎng)速稍有好轉(zhuǎn)，平均下載速度保持在360KB/S。英國(guó)POP點(diǎn)發(fā)現(xiàn)傳輸設(shè)備(思科)有異常：倫敦向重慶側(cè)FTP時(shí)端口的PM，檢測(cè)到思科傳輸設(shè)備端口上ifInErrors計(jì)數(shù)值增加的比較多。檢查重慶端傳輸設(shè)備無(wú)異常。在重慶段的PC機(jī)使用wireshark抓包工具進(jìn)行抓包，截圖如下：發(fā)現(xiàn)許多“TCPsegmentofareassembledPDU”，且報(bào)文長(zhǎng)度均為1248字節(jié)。“TCPsegmentofareassembledPDU”指TCP層收到上層大塊報(bào)文后分解成段后發(fā)出去。其實(shí)這個(gè)是由TCP的MSS(MaximumSegmentSize，最大報(bào)文段長(zhǎng)度)決定的，TCP在發(fā)起連接的第一個(gè)報(bào)文的TCP頭里通過(guò)MSS這個(gè)可選項(xiàng)告知對(duì)方本端能夠接收的最大報(bào)文（當(dāng)然，這個(gè)大小是TCP凈荷的大小）。其實(shí)主機(jī)響應(yīng)一個(gè)FTP命令時(shí)如果要回應(yīng)很多數(shù)據(jù)（信息）而這些數(shù)據(jù)超出了TCP的最大MSS時(shí)，主機(jī)會(huì)通過(guò)發(fā)送多個(gè)數(shù)據(jù)包來(lái)傳送這些數(shù)據(jù)（注意：這些包并未被分片）。對(duì)wireshark來(lái)說(shuō)這些對(duì)相應(yīng)同一個(gè)FTP命令的數(shù)據(jù)包被標(biāo)記了“TCPsegmentofareassembledPDU”。也就是說(shuō)在倫敦POP點(diǎn)的一個(gè)FTP報(bào)文凈值按照TCP的MSS值被分成多段，在重慶客戶端接受多段又需要重裝成一個(gè)報(bào)文。在分段和重裝過(guò)程中影響了傳送效率，使得帶寬不能充分利用。而要使得一個(gè)報(bào)文不被分段和重裝，可以調(diào)整全程線路上的MTU值至最大，或者將PC機(jī)TCPMSS值調(diào)整小點(diǎn)。

3）、出于以上的分析，檢查MTU值。英國(guó)POP點(diǎn)告知思科設(shè)備無(wú)法修改MTU值，且無(wú)法找到該值在何處。由于華為設(shè)備默認(rèn)為1522，華為重慶端直接將MTU值由1522修改為9600，再次測(cè)試該電路，傳輸速率保持在1.17MB/S，問(wèn)題得到解決。后英國(guó)POP點(diǎn)也找到思科設(shè)備MTU值在何處查看，經(jīng)查看思科設(shè)備MTU值默認(rèn)為9600，且無(wú)法修改，至此，為以后長(zhǎng)安公司等國(guó)際長(zhǎng)途電路提供了經(jīng)驗(yàn)，當(dāng)遠(yuǎn)端采用思科傳輸設(shè)備時(shí)，由于默認(rèn)MTU值是9600，故本端華為傳輸設(shè)備MTU值都用9600。4）、將整個(gè)電路放通。由重慶長(zhǎng)安PC機(jī)至英國(guó)長(zhǎng)安PC機(jī)直接進(jìn)行測(cè)試，Ping65500的包有嚴(yán)重丟包現(xiàn)象，使用飛秋傳送文件速度最高為30KB/S。該測(cè)試表明用戶使用為非正常狀態(tài)。5）、拋開重慶長(zhǎng)安及英國(guó)長(zhǎng)安兩端路由器進(jìn)行測(cè)試。測(cè)試方法：因長(zhǎng)安英國(guó)方無(wú)FTP服務(wù)器，故只使用“飛秋”進(jìn)行文件傳輸測(cè)試。測(cè)試發(fā)現(xiàn)，“飛秋”傳輸速度只有500-600KB/S。該結(jié)果也為非正常數(shù)值。經(jīng)檢查重慶長(zhǎng)安端PC機(jī)（②端口）網(wǎng)卡端口模式為100M半雙工，經(jīng)協(xié)商同時(shí)將雙方PC機(jī)網(wǎng)卡端口模式同時(shí)改為100M全雙工，修改后英國(guó)長(zhǎng)安端PC機(jī)（⑨端口）閃斷（飛秋可以登陸然后就斷掉，之后端口無(wú)法啟用），并發(fā)現(xiàn)英國(guó)長(zhǎng)安端只能使用10M全雙工模式。雙方又同時(shí)將PC機(jī)端口模式修改為10M全雙工，使用“飛秋”傳送文件發(fā)現(xiàn)“飛秋”傳輸速度只有250-300K