示例：配置 MSDP

开始之前：

• 配置路由器接口。

• 配置内部网关协议或静态路由。请参阅 用于路由设备的 Junos OS 路由协议库。

• 启用 PIM。请参阅 PIM 概述。

您可以在以下类型的实例中配置 MSDP：

• 转发

• 无转发

• 虚拟路由器

• VPLS

• VRF

在路由实例中，MSDP 的主要用途是支持网络中的任何播 RP，从而允许您配置冗余 RPS。任播 RP 寻址需要 MSDP 支持才能在 RP 之间同步活动源。

此示例包括以下 MSDP 设置。

• 身份验证密钥 — 默认情况下，组播路由器接受并处理来自已配置对等方地址的任何正确格式化的 MSDP 消息。这种默认行为可能会违反许多组织的安全策略，因为根据定义，MSDP 消息来自不受组播路由器组织安全实践控制的另一个路由域。

  路由器可以使用 MSDP 对等会话的 TCP 消息摘要 5 （MD5） 签名选项来验证 MSDP 消息。此身份验证可防止在 MSDP 对等会话中引入欺骗数据包。实施 MSDP 身份验证的两个组织必须决定两个对等方的可读密钥。此密钥包含在两个对等方之间发送的每个 MSDP 分段的 MD5 签名计算中。

  无论 MSDP 对等方是在组中定义还是在个人中定义，您均可按对等方配置 MSDP 身份验证密钥。如果为组中同一对等方和单独一个对等方配置不同的认证密钥，则会使用单个密钥。

  对等方密钥可以是长达 16 个字母和数字的文本字符串。字符串可以包含除 （，） 和 [） 之外的任何 ASCII 字符。如果在 MSDP 身份验证密钥中包含空格，请将所有字符括起来以引号 （“ ”）。

  对等会话中添加、删除或更改 MSDP 身份验证密钥将重置现有 MSDP 会话，并在受影响的 MSDP 对等方之间建立新会话。由于密钥不匹配，立即终止会话可防止过度重新传输和最终的会话超时。

• 导入 和 导出 — 所有路由协议都使用路由表存储所学习的路由，并确定在协议数据包中通告的路由。路由策略允许您控制路由协议存储在路由表中的路由和检索路由表中的路由。

  您可以在全球范围内为某个组或单个对等方配置路由策略。此示例说明如何为单个对等方配置策略。

  如果在组级别配置路由策略，则组中的每个对等方都会继承该组的路由策略。

  导 入 语句适用于从 MSDP 导入源活动缓存的源活动消息。导 出 语句适用于从源活动缓存导出到 MSDP 的源活动消息。如果指定多个策略，则按指定的顺序（从第一个到最后）评估它们，并将第一个匹配策略应用于路由。如果导入策略未找到匹配项，则 MSDP 仅与路由表共享从 MSDP 路由器获知的路由。如果导出策略未找到匹配项，则默认 MSDP 出口策略适用于源活动缓存中的条目。有关匹配条件列表，请参阅 表 1 。

  表 1：MSDP 源活动消息过滤器匹配条件

  匹配条件	匹配
  接口	由名称或 IP 地址指定的路由器接口或接口
  邻居	邻接方地址（源活动消息 IP 标头中的源地址）
  路由过滤器	源活动消息中嵌入的组播组地址
  源地址过滤器	源活动消息中嵌入的组播源地址

• 本地地址 — 标识您配置为 MSDP 路由器（本地路由器）的路由器地址。配置 MSDP 时，需要 本地地址语句 。路由器还必须是协议无关组播 （PIM） 稀疏模式汇聚点 （RP）。

• 对等方 — MSDP 路由器必须知道哪些路由器是其对等方。通过配置本地路由器的 MSDP 对等方相邻路由器，您可以明确定义对等关系。建立对等关系后，MSDP 对等方将交换消息以通告活动组播源。您必须至少配置一个对等方才能使 MSDP 正常工作。配置 MSDP 时，需要 对等 方语句。路由器还必须是协议无关组播 （PIM） 稀疏模式汇聚点 （RP）。

  您可以将 MSDP 对等方排列成组。每个组必须至少包含一个对等方。如果您想阻止来自某些对等方的来源并接受其他对等方的来源，或者在一组而不是其他组上设置追踪选项，则将对等方安排成组很有用。此示例说明如何分组配置 MSDP 对等方。如果在一个组中配置 MSDP 对等方，则组中的每个对等方都会继承所有组级选项。

• 程序
• 结果

要验证配置，请运行以下命令：

• show msdp 实例 VPN-100

• show msdp 源-主动 VPN-100

• 显示组播使用实例 VPN-100

• 显示路由表 VPN-100.inet.4

开始之前：

• 配置路由器接口。

• 配置内部网关协议或静态路由。请参阅 用于路由设备的 Junos OS 路由协议库。

• 启用 PIM 稀疏模式。请参阅 PIM 概述。

• 将路由器配置为 PIM 稀疏模式 RP。请参阅 配置本地 PIM RP。

对 MSDP 消息（例如 RP）感兴趣的路由器可能必须处理从其他路由器传入的大量 MSDP 消息，特别是源活动消息。由于可能需要路由器来检查、处理和创建许多 MSDP 数据包的状态表，因此运行 MSDP 的路由器可能会受到基于 MSDP 的拒绝服务 （DoS） 攻击。为了将这种可能性降至最低，您可以配置路由器以限制路由器接受的源活动消息的数量。此外，您还可以配置一个应用随机早期检测 （RED） 的阈值，以丢弃部分但并非所有 MSDP 活动源消息。

默认情况下，路由器接受 25，000 条源活动消息，然后忽略其余消息。限制为 1 到 1，000，000。该限制适用于消息的数量和 MSDP 对等方的数量。

默认情况下，路由器在应用 RED 配置文件以防止可能发生的 DoS 攻击之前接受 24，000 条源活动消息。这个数字也可以从 1 到 1，000，000 不等。接下来的 1000 条消息将由 RED 配置文件和所接受的消息进行筛选。如果配置了无丢弃配置文件（因为此示例没有），RED 仍然有效，并可作为管理拥塞的主要机制。在默认 RED 丢弃配置文件中，当数据包队列填充级别为 0% 时，丢弃概率为 0%。当填充级别为 100%时，丢弃概率为 100%。

注意：

路由器使用封装的 TCP 数据包忽略源活动消息。组播不使用 TCP;源活动消息内部的分段最有可能是蠕虫活动的结果。

为阈值配置的编号必须小于为最大活动 MSDP 源数配置的编号。

您可以在全球范围内为某个组或对等方配置活动源限制。如果在层次结构的多个级别（如此示例中所示）配置了活动源限制，则会应用所有限制。

您可以为地址范围以及特定对等方配置活动源限制。每源活动源限制使用 IP 前缀和前缀长度，而不是特定地址。您可以配置一个以上的每个源活动源限制。最长匹配决定限制。

每源活动源限制可与对等方、组和全局（实例）层次结构级别的活动源限制相结合。在任何其他类型的活动源限制之前，会应用按源限制。限制按以下顺序测试：

• 每源

• 按对等方或组

• 每实例

活动源消息在被接受之前必须“传递”已建立的所有限制。例如，如果一个源配置了 10，000 个活动组播组的活动源限制，并且实例配置了限制为 5000（并且没有配置其他源或限制），则仅从此源接受 5000 条活动源消息。

MSDP 网状组是以全网状拓扑配置的对等方组，可将源活动消息泛滥限制到相邻对等方。每个网状组成员都必须与所有其他网状组成员建立对等连接。从网状组成员接收源活动消息时，源活动消息始终被接受，但不会淹没到同一网状组的其他成员。但是，源活动消息会泛滥至非网状组对等方或其他网状组成员。默认情况下，如果未指定 网状组 ，则适用标准泛洪规则。

谨慎：

配置 MSDP 网状组时，您必须以相同的方式配置所有成员。如果不配置全网状，可能会发生源活动消息的过度泛洪。

MSDP 网状组的通用应用程序是对等反向路径转发 （对等 RPF） 检查旁路。例如，如果自治系统 （AS） 内有两个 MSDP 对等方，并且其中只有一个具有外部 MSDP 会话到另一个 AS，则内部 MSDP 对等方通常会拒绝由对等方通过外部链路中继的传入源活动消息。之所以发生拒绝，是因为内部 MSDP 对等方必须通过下一跳跃到达其他 AS 中的源，因此无法确定此下一跳跃情况。为防止拒绝，请在内部 MSDP 对等方上配置 MSDP 网格组，以便始终接受源活动消息。

注意：

绕过对等 RPF 检查的另一种方法是配置默认对等方。在只有一个 MSDP 对等方的网络（尤其是存根网络）中，源活动消息始终需要被接受。MSDP 默认对等方是 MSDP 对等方，在不执行对等 RPF 检查的情况下接受所有源活动消息。您可以通过包含默认对等方语句，在对等方或组级别建立 默认对等 方。

表 2 解释了此示例中的对等方如何处理泛洪。.

表 2：源活动消息泛洪解释

从	源主动消息泛滥至	源主动消息不会泛滥至
Peer 21	Peer 11、Peer 12、Peer 13、Peer 31、Peer 32	Peer 22
Peer 11	Peer 21、Peer 22、Peer 31、Peer 32	Peer 12、Peer 13
Peer 31	Peer 21、Peer 22、Peer 11、Peer 12、Peer 13、Peer 32	–

图 3 说明了同一网状组内不同网状组和对等方之间的源活动消息泛洪。

此示例包括以下设置：

• 主动源限制最多 10000 — 将 10，000 个活动源的限制应用于所有其他对等方。

• 数据封装禁用 — 在使用 MSDP 的 RP 路由器上，禁用 MSDP 中收到的组播数据的默认封装，以在 MSDP 源活动消息中注册消息。

  MSDP 数据封装主要涉及组播流量的突发来源。每隔几分钟仅发送一个数据包的源会遇到源与其组播组 （S，G） 之间状态关系超时的问题。路由器在尝试重新建立 （S，G） 状态表时丢失数据。因此，组播注册消息包含数据，而 MSDP 源活动消息中的此数据封装可通过配置打开或关闭。

  默认情况下，MSDP 数据封装已启用。运行 MSDP 的 RP 会接收到达源寄存器消息的数据包，并将数据封装在 MSDP 源活动消息中。

  但是，数据封装在 inet.1 表中创建组播转发缓存条目（这也是转发表）和 inet.4 表中的路由表条目。如果没有数据封装，MSDP 只会 在 inet.4 表中创建路由表条目。在某些情况下，如互联网蠕虫或其他形式的 DoS 攻击的存在，路由器的转发表可能填充这些条目。为防止转发表中填充 MSDP 条目，您可以将路由器配置为不使用 MSDP 数据封装。但是，如果禁用数据封装，路由器将忽略并丢弃封装数据。如果没有数据封装，具有超过 3 分钟传输间隔的突发源的组播应用程序可能无法正常工作。

• 组 MSDP-group 本地地址 10.1.2.3 — 指定本地路由器（此路由器）的地址。

• 组 MSDP-group 模式网状组 — 指定属于 MSDP 组 的所有对等方均为网状组成员。

• 组 MSDP-group 对等方 10.10.10.10 — 防止向邻接方 10.10.10.10.10 发送源活动消息。

• 组 MSDP-group 对等方 10.10.10.10 主动源限制最大 7500 — 在 组 MSDP 组中将 7500 个活动源限制应用于 MSDP 对等方 10.10.10.10.10。

• 对等方 10.0.0.1 主动源限制最大 5000 阈值 4000 — 将 4000 个活动源的三分位和 5000 个活动源限制应用于 MSDP 对等方 10.0.0.1。

• 源 10.1.0.0/16 主动源限制最多 500 — 将 500 个活动源限制应用于 10.1.0.0/16 网络上的任何来源。

• 程序
• 结果

要验证配置，请运行以下命令：

• show msdp 源- 主动

• 显示 msdp 统计数据