江苏电信BRAS （华为ME60/MA5200G）
设备配置规范
中国电信江苏分公司
2010年11月
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
目 录
第1章 1.1 1.2 第2章 2.1
概述 ....................................................................................................................................... 1 术语和缩写语表 ................................................................................................................... 1 网络结构说明 ....................................................................................................................... 3 IP城域网网络设备命名及链路描述规范.......................................................................... 4 设备命名规范 ....................................................................................................................... 4
2.1.1 2.1.2
2.2
适用范围 .......................................................................................................................... 4 设备命名规范格式 .......................................................................................................... 4
端口描述规范 ....................................................................................................................... 5
2.2.1 2.2.2
环回接口描述 .................................................................................................................. 5 网络端口描述规范 .......................................................................................................... 6
适用范围 .............................................................. 6 端口描述包含下面几部分 ................................................. 6
2.2.2.1 2.2.2.2
2.2.3 2.2.4 2.2.5
第3章 3.1
用户端口 .......................................................................................................................... 6 关于华为BRAS 上连端口的描述 .................................................................................. 7 空闲端口描述 .................................................................................................................. 7
华为ME60配置规范 .......................................................................................................... 8 系统基本配置规范 ............................................................................................................... 8
3.1.1 3.1.2 3.1.3
设备名称配置 .................................................................................................................. 8 系统高可靠性配置 .......................................................................................................... 8 设备自身时间及NTP ...................................................................................................... 9
时区配置 .............................................................. 9 NTP配置 .............................................................. 9 NTP协议加密 ......................................................... 10 SNTP进程关闭 ........................................................ 10 配置范例 ............................................................. 11
3.1.3.1 3.1.3.2 3.1.3.3 3.1.3.4 3.1.3.5
3.1.4 VTY接口配置 ................................................................................................................ 11
连接数限制............................................................ 11 空闲时间 ............................................................. 11 访问控制列表 .......................................................... 12 Console认证配置 ...................................................... 13 配置范例 ............................................................. 13
3.1.4.1 3.1.4.2 3.1.4.3 3.1.4.4 3.1.4.5
3.1.5 AAA配置 ........................................................................................................................ 14
概述 ................................................................. 14
第1页
3.1.5.1
中国电信江西分公司
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
3.1.5.2 3.1.5.3 3.1.5.4 3.1.5.5
管理AAA配置 ......................................................... 14 用户AAA配置 ......................................................... 16 本地用户帐号 .......................................................... 18 配置范例 ............................................................. 19
3.1.6
3.2
典型垃圾流量过滤策略 ................................................................................................ 21 Loopback地址配置 ....................................................................................................... 22 GE端口配置 .................................................................................................................. 23
GE用做上连接口 ....................................................... 23 GE用做下联接口 ....................................................... 23 GE拨号下联子接口(dot1Q) .............................................. 24 GE拨号下联子接口(QinQ) ............................................... 24 GE专线下联子接口 ..................................................... 25 接口uRPF ............................................................ 26 hold-time配置 ......................................................... 26 配置范例 ............................................................. 27
端口配置规范 ..................................................................................................................... 22
3.2.1 3.2.2
3.2.2.1 3.2.2.2 3.2.2.3 3.2.2.4 3.2.2.5 3.2.2.6 3.2.2.7 3.2.2.8
3.3 MULTI-VR(CONTEXT)配置 ......................................................................................................... 28
3.3.1 3.3.2 3.3.3 3.3.4
3.4
VR(context)规划 ........................................................................................................... 28 VR(context)接口绑定 ................................................................................................... 28 VR(context)间路由处理 ............................................................................................... 29 Domain配置 .................................................................................................................. 29 路由优先级/管理距离 ................................................................................................... 31 静态路由配置 ................................................................................................................ 32
静态路由配置方式 ...................................................... 32 黑洞路由配置方式 ...................................................... 32 浮动静态路由配置方式 .................................................. 33
路由协议配置规范 ............................................................................................................. 31
3.4.1 3.4.2
3.4.2.1 3.4.2.2 3.4.2.3
3.4.3 OSPF配置 ...................................................................................................................... 33
概述 ................................................................. 33 OSPF进程名 .......................................................... 33 OSPF ROUTER-ID ...................................................... 34 OSPF 时间参数 ........................................................ 34 OSPF 接口宣告 ........................................................ 35 OSPF reference-bandwidth .............................................. 35 OSPF负载均衡条目 .................................................... 36 OSPF重分布路由 ...................................................... 37 OSPF AREA规划 ....................................................... 37 OSPF路由协议优先级 .................................................. 38
第2页
3.4.3.1 3.4.3.2 3.4.3.3 3.4.3.4 3.4.3.5 3.4.3.6 3.4.3.7 3.4.3.8 3.4.3.9 3.4.3.10
中国电信江西分公司
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
3.4.3.11 3.4.3.12 3.4.3.13 3.4.3.14
OSPF log邻居变化信息 ................................................. 38 OSPF邻居链路加密 .................................................... 39 OSPF链路COST值调整 ................................................. 39 配置范例 ........................................................... 39
3.4.4 ISIS配置 ........................................................................................................................ 40
概述 ................................................................. 40 ISIS进程名 ........................................................... 40 ISIS NET ID ........................................................... 41 ISIS路由类型及Metric类型 ............................................. 41 路由协议优先级 ........................................................ 42 ISIS log邻居变化信息 .................................................. 42 ISIS 邻居链路加密 ..................................................... 43 ISIS负载均衡条目及其他 ............................................... 43 ISIS接口宣告 ......................................................... 44 配置范例 ........................................................... 44
3.4.4.1 3.4.4.2 3.4.4.3 3.4.4.4 3.4.4.5 3.4.4.6 3.4.4.7 3.4.4.8 3.4.4.9 3.4.4.10
3.4.5 BGP配置 ........................................................................................................................ 45
概述 ................................................................. 45 自治系统 ............................................................. 45 BGP路由引入策略 ..................................................... 46 BGP router-id配置 ..................................................... 46 BGP log邻居变化信息 .................................................. 46 关闭BGP同步和自动汇总 ............................................... 47 BGP邻居MD5加密 .................................................... 47 BGP时间参数 ......................................................... 47 BGP Peer group命名 ................................................... 48 BGP community 属性规划 ............................................... 48 BRAS BGP 路由策略 .................................................... 49 配置范例 ........................................................... 50
3.4.5.1 3.4.5.2 3.4.5.3 3.4.5.4 3.4.5.5 3.4.5.6 3.4.5.7 3.4.5.8 3.4.5.9 3.4.5.10 3.4.5.11 3.4.5.12
3.5 用户策略配置 ..................................................................................................................... 51
3.5.1 3.5.2 3.5.3 3.5.4 3.5.5 3.6.1
IP Pool配置 ................................................................................................................... 51 DNS配置 ........................................................................................................................ 51 用户限速配置 ................................................................................................................ 52 页面推送配置 ................................................................................................................ 53 配置范例 ........................................................................................................................ 53 MPLS配置 ...................................................................................................................... 54
全局开启MPLS功能 .................................................... 54 LDP router-id .......................................................... 54 LDP协议加密 .......................................................... 55
第3页
3.6 MPLS VPN配置规范 ............................................................................................................... 54
3.6.1.1 3.6.1.2 3.6.1.3
中国电信江西分公司
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
3.6.1.4 3.6.1.5 3.6.1.6
LDP标签发布和管理 .................................................... 56 LDP标签过滤 .......................................................... 57 LDP协议时间参数 ...................................................... 57
3.6.2 MP-BGP配置 ................................................................................................................. 58
概述 ................................................................. 58 MP-BGP 部署策略 ...................................................... 58 BGP router-id配置 ..................................................... 59 BGP log邻居变化信息 .................................................. 60 关闭BGP同步和自动汇总 ............................................... 60 BGP时间参数 ......................................................... 60 BGP Peer group命名 ................................................... 61 BGP邻居MD5加密 .................................................... 61
3.6.2.1 3.6.2.2 3.6.2.3 3.6.2.4 3.6.2.5 3.6.2.6 3.6.2.7 3.6.2.8
3.7 网管配置 ............................................................................................................................. 62
3.7.1 SNMP管理代理配置 ..................................................................................................... 62
全局开启SNMP进程.................................................... 62 SNMP版本 ............................................................ 63 RO Community值 ...................................................... 63 RW Community值 ..................................................... 64 SNMP访问控制列表 .................................................... 64 Ifindex索引一致性 ..................................................... 65 配置范例 ............................................................. 66
3.7.1.1 3.7.1.2 3.7.1.3 3.7.1.4 3.7.1.5 3.7.1.6 3.7.1.7
3.7.2 故障管理配置 ................................................................................................................ 66
SNMP TRAP信息内容 ................................................... 66 SNMP TRAP 服务器地址 ................................................ 67 SNMP TRAP消息源地址 ................................................. 67 SYSLOG服务器地址 .................................................... 67 SYSLOG信息级别 ...................................................... 67 SYSLOG消息源地址 .................................................... 68 配置范例 ............................................................. 68
3.7.2.1 3.7.2.2 3.7.2.3 3.7.2.4 3.7.2.5 3.7.2.6 3.7.2.7
3.7.3
3.9
关闭不需要的服务 ........................................................................................................ 68
3.8 H-QOS配置规范 ..................................................................................................................... 69
业务配置实例 ..................................................................................................................... 69
3.9.1 3.9.2 3.9.3 3.9.4 3.9.5 3.9.6
拨号业务配置实例 ........................................................................................................ 69 专线业务配置实例 ........................................................................................................ 70 @10000业务配置实例 ................................................................................................. 72 IPTV业务配置实例（参考） ....................................................................................... 73 Wlan无线共享和C+W业务配置规范 ........................................................................ 75 VPN业务配置实例 ........................................................................................................ 83
第4页
中国电信江西分公司
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
3.9.6.1 3.9.6.2
VPDN业务配置实例（参考） ............................................ 84 MPLS VPN业务配置实例（参考） ........................................ 85
3.10. 安全加固配置 ..................................................................................................................... 87
3.10.1. 3.10.2. 3.10.3. 3.10.4. 3.10.5. 3.10.6. 3.10.7. 3.10.8. 3.10.9.
关闭IP直接广播 ...................................................................................................... 88 拉圾过虑（上行口出入方向ACL） ........................................................................ 89 私网流量过滤 ........................................................................................................... 90 Syslog安全 .............................................................................................................. 90 NTP部署 ................................................................................................................... 91 关闭控制层面未用服务 ............................................................................................ 91 telnet 防护 ............................................................................................................... 91 关闭未使用的服务.................................................................................................... 91 密码加密 ................................................................................................................... 92
3.10.10. SNMP 安全 ............................................................................................................... 92
中国电信江西分公司 第5页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
第1章 概述
为保证城域网的运行质量，必须在设备能力、网络设计、网络配置、维护流程、支撑系统等环节予以保障。由于网络规模不断扩大，设备特性不断变化，配置工作正日益变得复杂，全网配置发生错误的概率也在增加，因此很有必要对城域网BRAS网络设备的网络配置予以规范化。
本课题涉及的对象就是城域网网络设备配置的相关规范标准，目的是为城域网维护人员提供实用维护工具。考虑到城域网网络设备维护分工明确，配置规范按分册进行编写，本篇只针对城域网核心层路由器设备制定相关配置规范。
本文主要内容安排如下：
1. 介绍城域网优化目标网络结构以及路由器在城域网中的功能定位； 2. 从网络配置方面阐述配置说明以及规范要求，并给出主流路由器型号设备的配置示例。针对路由器设备，网络配置主要包括系统基本配置、端口配置、安全配置、网管配置等。
3. 提出文档维护和执行的管理要求。
1.1 术语和缩写语表
本文中将使用下列术语和缩写，除非文中特别说明，否则意义如下；对于下表中未说明的术语和缩写，应做业界标准或惯例理解。
AAA ACL AS BGP CAR CE D DDoS DiffServ DSCP Autentication Authorization and Accounting 认证、授权与计费 Access Control List 访问控制列表 Autonomous System 自治系统 Boarder Gateway Protocol 边界网关协议 Committed Access Rate 承诺访问速率 Customer Edge 客户边缘设备 Core Router 核心路由器 Distributed Deny of Service 分布式拒绝服务攻击 Differentiated Services 差分服务 Differentiated Service Code Point 差分服务代码点 中盈优创资讯科技有限公司 第1页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
FRR GE GR HA HDLC H-QOS IP ISIS LDP LSP LSR MP-BGP MIB MPLS NSF NSR NTP OAM OSPF PE POS PPP QoS RR RSVP SDH SNMP SR TCP TE UDP uRPF Fast Re-route 快速重路由 Gigabyte Ethernet 千兆以太网 Graceful Restart 平滑重启动 High Availability 高可用性 High Data Link Control 高级数据链路控制 Hierarchical Quality of Servie Internet Protocol 互联网协议 Inter System to Inter System 中间系统到中间系统 Label Distribution Protocol 标记分发协议 Label Switching Path 标记转发路径 Label Switch Router 标记交换路由器 Multi-protocol Boarder Gate Protocol 多协议边界网关协议 Management Information Base 管理信息库 Multiple Protocol Label Switching 多协议标签交换 Non stop Fowarding 不间断转发 Non stop Routing 不间断路由 Network Time Protocol Operation Administration and Maintenance 操作维护管理 Open Shortest Path First Provider Edge 运营商边缘设备 Packet over SDH SDH封装数据包 Point to Point Protocol 点到点协议 Quality of Service 服务质量 Route Reflector 路由反射器 Resource Reservation Protocol 资源预留协议 SymMetric Digital Hierarchy 同步数字序列 Simple Network Management Protocol 简单网络管理协议 Service Router 业务路由器 Transfer Control Protocol 传输控制协议 Traffic Engineering 流量工程 User Data Protocol 用户数据报协议 Reverse Path Fowarding 反向路径转发 中盈优创资讯科技有限公司 第2页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
VPLS VPN VRF VRRP 上行流量 下行流量 …… Virtual Private LAN Service 虚拟专用局域网业务 Virtual Private Network虚拟专用网 Virtual Routing and Forwarding 虚拟路由转发实例 Virtual Routing Redundancy Protocol 虚拟路由冗余协议 用户发出的流量 用户收到的流量 ……
1.2 网络结构说明
经过城域网改造扩容后，目标网络结构如下图所示。IP 城域网包括城域骨干网和宽带接入网，其中城域骨干网是业务接入控制点（包括BRAS 和SR）及控制点以上的城域网核心路由器组成的三层路由网络，划分为核心层和业务接入控制层两层。业务接入控制层承接宽带接入网和城域骨干网，负责实现集中的业务提供和控制，BRAS 和SR 作为业务接入控制层组成部分，是IP 城域网实现“用户可识别、业务可区分、质量可控制、网络可管理”的转型目标的重要环节。
骨干网ChinaNet骨干网核心层城域骨干网业务接入控制层CN2骨干网骨干路由器（可级连）IP城域网汇聚层宽带接入网BRASMAN SRCN2 SR汇聚交换机/MSTP /RPR(可级连)DSLAM园区交换机楼道交换机铜缆CPE终端五类线接入层 中盈优创资讯科技有限公司 第3页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
第2章 IP城域网网络设备命名及链路描述规范
2.1 设备命名规范
2.1.1 适用范围
本部分规定的IP城域网设备命名规范，适用于IP城域网内以下设备： ? 出口核心路由器 ? 普通核心路由器 ? BRAS ? SR ? 汇聚交换机 ? 园区交换机 ? 楼道交换机 ? DSLAM
2.1.2 设备命名规范格式
城市缩写 字符 <8 必选 节点缩写 字符 <8 必选 设备属性 字符 固定 必选 设备编号 数字 1 必选 网络(业务)类型 字母 1 必选 自定义字段 字母 ≤5 可选 符号 字符数 选项 - 字符 1 必选 - 字符 1 必选 - 字符 1 必选 . 字符 1 必选 . 字母 1 可选 ? 字母大小各市需要采用统一标准，全部大写。 ? 两端、中间不带任何空格。
? 城市标识，取城市名称拼音的首字母大写，郊市区节点标识前统一增加
郊市区名称拼音的首字母：如 九江：JJ 南昌：NC 吉安：JA 赣州：GZ 抚州：FZ
中盈优创资讯科技有限公司
第4页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
? 设备属性标识，规定如下 出口路由器：D 核心路由器：GSR BRAS：BAS 业务路由器：SR
? 设备序号，取阿拉伯数字，从1开始。同节点的相同属性的设备间以设
备序号区别。
? 网络类型：Mnet(城域网) I（IDC ） N(NGN)
? 自定义字段，可以加入网络子类型及设备型号等内容。 例子：
示例1：城域网出口路由器，南昌孺子路，第一台核心路由器，命名为 r1-c-ncrzl-1.Mnet
注：设备名称后的字段可以根据实际需要，允许地市增加设备型号，但是要求尽量简洁。增加设备型号后，完整的设备命名格式为“设备名称”+“.”+“设备类型简写”，如GZ_NM_S6506R_01。
地市设备命名务必在国信朗讯等相关资源系统中一一对应，方便查询和识别。
2.2 端口描述规范
2.2.1 环回接口描述
符号 字符数 选项 To 字符 3 必选 空格 字符 1 必选 功能描述 字符串 ≤30 必选 说明：
To：固定字符串。
功能描述：描述该loopback端口特殊功能，为有意义的英文字符串。如：Management、Multicast、VPN、Global Routing、BGP Load balance等。
中盈优创资讯科技有限公司
第5页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
interface Loopback0 DesDiption To LOOPBACK
ip address 202.97.36.86 255.255.255.255
2.2.2 网络端口描述规范
2.2.2.1 适用范围
本部分适用于城域网设备的互连接口描述 2.2.2.2 端口描述包含下面几部分
对端设 符号 字符数 选项 备名称 字符 ≤20 必选 设备类型描述 字符 ≤10 可选 空格 字符 1 必选 链路带宽 字符 ≤5 必选 :: 字符 2 必选 对端端口名称 字符 ≤20 必选 上表中“::”后“对端端口名称”要根据对端不同设备类型进行区分规范，具体区别如下表：
POS(10G/40G) 以太(GE/10GE) Juniper-TX so-*/*/* ge-*/*/* 阿朗 so-*/*/* ge-*/*/* Redback so-*/*/* ge-*/*/* Juniper-ERX POS*/*/* GI*/*/* 华为 Cisco POS*/*/* POS*/*/* GI*/*/* GI*/*/* 示例： description To JX-NC-ECL-D-3.163 10G(S-64N0001IP) 2.2.3 用户端口 对于连接用户的接口或子接口，最前面为添加本地专线号，如果是长途VPN电路，需要添加本地接入电路号（比如赣州CTVPN52127A）。另外，建议添加用户名称等如下信息。
格式： 专线号 To用户标识
本地专线号或者接入电路号 字符 根据实际情况 必选 空格 字符 1 必选 To 字符 2 必选 空格 字符 1 必选 用户标识 字符 ≤20 必选 空格 字符 1 必选 分配带宽 字符 ≤5 必选 符号 字符数 选项 中盈优创资讯科技有限公司
第6页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
2.2.4 关于华为BRAS 上连端口的描述
? 将二层接口的描述按照网络端口描述规范执行 ? 将三层接口名称描述,后面添加子接口号
ge2/0/0.300
? 将三层子接口描述和相应的二层接口描述一致。 例子：上行GE二层描述：
Inter Gigebitethernet 1/1 desDiption TO:GZ-SN-GSR-1.M.GSR12816 1G::GI1/1/4\三层子接口描述：与三层子接口对应的ip地址端口配置： interface ge-1/1.190 desDiption TO:GZ-SN-GSR-1.M.GSR12816 1G::GI1/1/4 ip address 202.104.165.30/30 2.2.5 空闲端口描述
规范要求设备上的所有端口均需要配置描述，对于设备上空闲未用的端口统一描述内容为no-use，便于网管监控。
示例：
某城域网XX节点SE800空闲GE端口2/8描述：
port ethernet 2/8 desDiption no-use 中盈优创资讯科技有限公司 第7页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
第3章 华为ME60配置规范
3.1 系统基本配置规范
3.1.1 设备名称配置
配置说明：
规范设备命名，唯一性标识城域网中的每台设备，用于对城域网的每台设备进行区分，方便设备管理，提高可读性和可管理性。
规范要求：
设备名称要求符合第二章中“IP城域网网络设备命名及链路描述规范”中规定。
配置规范：
Sysname GZ-SN-BRAS-ME60-01 配置验证： 配置后立即生效，设备名称显示在配置命令行的左边。
3.1.2 系统高可靠性配置
配置说明：
配置系统引擎冗余模式。 规范要求：
打开自动切换，要求采用最优切换方式 配置规范：
华为ME60两块引擎之间的备份机制是系统自动的，在Master引擎故障的情况下，Slave会立刻自动将自己切换为Master引擎，无需命令配置。
配置验证：
display device #显示2块MPU为1个为Master状态，一个为Slave状态 display switchover state #显示备份状态，当状态为“Info:HA FSM State, Realtime and routine backup.”时即表示可以进行主备切换，当状态为主备引擎正在同步时，切换可能会有问题 中盈优创资讯科技有限公司
第8页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
配置注意细节： 无。
3.1.3 设备自身时间及NTP
NTP实现网络设备时间同步功能，与时间有关的应用，例如Log信息，基于时间限制带宽等，都需要基于正确的时间。
3.1.3.1 时区配置 配置说明：
统一设备的时区配置。 规范要求：
配置系统时区为GMT+8，北京时区。 配置规范：
对于Version 5.30 版本配置如下： clock timezone Beijing add 08:00:00 #在用户模式下配置 对于Version 5.50 版本配置如下： clock timezone Beijing minus 08:00:00 #在用户模式下配置 配置验证： display clock 配置注意细节： 无。
3.1.3.2 NTP配置 配置说明：
使用NTP同步网络上所有设备的时间，保证网络设备得到正确的时间。 规范要求：
配置主和备两组NTP服务器。
城域网NTP配置为两级结构，出口路由器配置与省网NTP SERVER 202.97.32.156/157同步时钟，出口以下设备则配置向出口路由器进行时钟同步。
配置现网设备NTP协议版本为V3。 指定本地发出NTP消息的接口。
中盈优创资讯科技有限公司
第9页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
配置规范：
ntp-service source-interface LoopBack0 ntp-service unicast-server 202.97.32.156 preference #优选其中一台出口为NTP SERVER ntp-service unicast-server 202.97.32.157 #另一台出口为备用NTP SERVER 配置验证：
display clock display ntp-service status display ntp-service session 配置注意细节：
地市出口直接用202.97.32.156/157,出口以下设备以出口为服务器为NTP server。
ME60默认NTP协议版本号为V3，不需特别配置版本信息。 3.1.3.3 NTP协议加密 配置说明：
配置NTP协议加密，防止伪造NTP源引起设备时间错误。 规范要求：
现阶段NTP协议均不使用使用加密。 配置规范（参考）：
ntp-service authentication enable ntp-service authentication-keyid 11 authentication-mode md5 “xxx” #key ntp-service reliable authentication-keyid 11 配置验证： display clock display ntp-service status display ntp-service session 配置注意细节： 无。
3.1.3.4 SNTP进程关闭 配置说明：
SNTP是NTP协议的的一个改写本，相比NTP协议实现更简单，但精确度要低，不能同时与多个Server同步时间。关闭SNTP协议，可防止基于SNTP漏洞的攻击。
中盈优创资讯科技有限公司
第10页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
规范要求：
出口路由器配置使用NTP协议同步时间，而不是使用SNTP协议。已配置了使用SNTP协议同步时间的，应更改SNTP协议为NTP协议。
配置规范：
ME60不支持SNTP协议，不需要关闭SNTP协议。 3.1.3.5 配置范例
clock timezone Beijing add 08:00:00 #时区设置（用户视图） ntp-service unicast-server *.*.*.* preference #优选其中一台出口为NTP SERVER ntp-service unicast-server *.*.*.* #另一台出口为备用NTP SERVER ntp-service source-interface loopback 0 #NTP消息源地址 3.1.4 VTY接口配置
3.1.4.1 连接数限制 配置说明：
对同时远程登陆到设备上的session数进行限制，可以防止大量的session连接占用过多系统资源，同时便于集中运维，保证故障期间的正常处理。
规范要求：
配置GSR路由器并发连接数限制为10 配置规范：
user-interface maximum-vty 10 配置验证： display user-interface maximum-vty 配置注意细节： 无
3.1.4.2 空闲时间 配置说明：
设置了Telnet超时功能，当空闲时间超过设定值后，Telnet线程断开，防止未被授权的人员在操作员离开后进行非法操作。
中盈优创资讯科技有限公司
第11页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
规范要求：
对VTY, Console登录超时设置进行配置，设置空闲时间为10分钟。 配置规范：
user-interface console 0 idle-timeout 10 0 user-interface vty 0 4 idle-timeout 10 0 配置验证： disp curr | b user-interface 配置注意细节： 华为设备默认超时时间即为10分钟，配置后也不会显示配置。 3.1.4.3 访问控制列表 配置说明：
限制Telnet/SSH登录网络的源地址，从而增强设备的安全性，最大限度防止非法登陆尝试。
规范要求：
配置Telnet/SSH源地址限制，包含省公司3个地址段(202.109.128.0 /24，202.97.32.0/19，202.97.30.0 /24)和IP综合网管及前置机网段：117.21.127.0/24。
Telnet/SSH访问控制列表条目从10，条目的间隔步长为10，在访问控制列表的最后显示配置一条deny any any语句。
配置规范：
acl number 2001 rule 10 permit source 202.109.128.0 0.0.0.255 rule 20 permit source 202.97.32.0 0.0.31.255 rule 30 permit source 202.97.30.0 0.0.0.255 rule 40 permit source 117.21.127.0 0.0.0.255 rule 50 permit source X.X.X.X X.X.X.X #地市网管地址段 rule 99 deny source any # user-interface vty 0 9 authentication-mode aaa #设置VTY口登录用户的验证方式为AAA protocol inbound all #允许SSH协议登陆 acl 2001 inbound stelnet server enable #打开SSH功能 ssh authentication-type default password #通过AAA认证 中盈优创资讯科技有限公司
第12页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
rsa local-key-pair Deate #生成RSA密钥 配置验证： disp acl 2001 disp curr | beg user-interface 配置注意细节： 华为设备Telnet ACL统一使用编号2001。 3.1.4.4 Console认证配置 配置说明：
设置console认证密码，从而增强设备的安全性，防止非法登陆，同时关闭AUX端口。
规范要求：
配置console采用本地密码认证方式，密码采用NOC专用密码，关闭AUX端口。
配置规范：
user-interface con 0 authentication-mode password #设置Console口登录用户的验证方式为password set authentication password cipher ********* int aux0/0/1 #关闭AUX口 shutdown 配置验证： disp curr | b user-interface 配置注意细节： 无
3.1.4.5 配置范例
acl number 2001 rule 10 permit source 202.109.128.0 0.0.0.255 rule 20 permit source 202.97.32.0 0.0.31.255 rule 30 permit source 202.97.30.0 0.0.0.255 rule 40 permit source 117.21.127.0 0.0.0.255 rule 50 permit source X.X.X.X X.X.X.X #地市网管地址段 rule 99 deny source any # user-interface maximum-vty 10 #连接数限制 user-interface con 0 中盈优创资讯科技有限公司
第13页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
authentication-mode password #设置Console口登录用户的验证方式为password set authentication password cipher ******** user-interface vty 0 9 authentication-mode aaa #设置VTY口登录用户的验证方式为AAA acl 2001 inbound int aux0/0/1 #关闭AUX口 shutdown 3.1.5 AAA配置
3.1.5.1 概述
BRAS统一验证配置分成管理AAA配置和用户AAA配置，二种配置使用不同的统一验证方法。
管理AAA使用Tacacs+统一验证，
用户AAA使用Radius统一验证，全省统一大后台。 3.1.5.2 管理AAA配置 配置说明：
配置管理AAA的认证方式 配置管理AAA的授权方式 配置管理AAA的计费方式
配置管理AAA认证服务器地址及参数 配置管理AAA授权服务器地址及参数 配置管理AAA计费服务器地址及参数 配置Tacacs+协议加密key。 配置Tacacs+ update 源地址 规范要求：
管理AAA采用tacacs+统一验证方式
设置统一的tacacs+服务器地址为：主用117.21.127.10，备用(待定)。 设置tacacs+密钥为：cisco12416
配置认证方式为先本地对用户信息进行认证，后通过Tacacs+服务器。 配置授权方式为先TAC授权，后本地授权，配置后设备本地帐号将不可用。 配置计费方式为不计费。
中盈优创资讯科技有限公司
第14页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
Tacacs+ update 源地址设置建议采用路由器的loopback0地址。 配置规范：
#配置HWTACACS服务器模板tacacs，源地址为设备LOOPBACK0地址，密钥为cisco12416，用户名格式中不包括域名。
hwtacacs-server template tacacs
hwtacacs-server authentication 117.21.127.10 hwtacacs-server authentication X.X.X.X secondary hwtacacs-server authorization 117.21.127.10 hwtacacs-server authorization X.X.X.X secondary hwtacacs-server accounting 117.21.127.10 hwtacacs-server accounting X.X.X.X secondary hwtacacs-server source-ip X.X.X.X
hwtacacs-server shared-key cisco12416
undo hwtacacs-server user-name domain-included
aaa #进入AAA视图
#配置认证方案tacacs，认证模式为先本地认证，后HWTACACS认证。 authentication-scheme tacacs
authentication-mode local-hwtacacs
#配置计费方案tacacs，计费模式为不计费。 accounting-scheme tacacs accounting-mode none
#配置授权方案tacacs，由于采用先hwtacacs后local的方式只有hwtacacs失效的情况下本地账号才能登陆，所以暂时考虑用none模式，避免3A异常本地账号也无法登陆。 authorization-scheme tacacs authorization-mode none
#配置缺省的管理员域default_admin，域的认证方案、计费方案、授权方案名称都为tacacs，域的用户可以作为管理员登录BRAS，管理员级别为3。 domain default_admin
authentication-scheme tacacs accounting-scheme tacacs adminuser-priority 3 hwtacacs-servertacacs
authorization-scheme tacacs
配置验证：
display authentication-scheme tacacs display accounting-scheme tacacsc display authorization-scheme tacacs display hwtacacs-server template tacacsc display domain name default_admin dis current-configuration | inc tacacs 配置注意细节： 华为BRAS备选授权方式为authorization-mode none，即用户认证后直接授权通过。
此时AAA和本地帐号同时生效，但无法通过AAA为用户授权，用户认证通过后即具备最高管理员权限。
中盈优创资讯科技有限公司
第15页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
3.1.5.3 用户AAA配置 配置说明： 配置用户的认证方式 配置用户的计费方式
配置用户认证服务器地址及参数 配置用户计费服务器地址及参数 配置预付费用户COS认证 配置radius update 源地址 规范要求：
用户的认证方式采用radius 方式 用户计费方式采用radius 方式
认证及计费服务器的地址根据各地的实际情况设置 设置Radius 密钥时要与省后台相关人员协商确定
认证端口号根据各个地方的实际情况设置（一般为1645 或1812） 计费端口号根据各个地方的实际情况设置（一般为1646 或1813） radius update 源地址设置建议采用路由器的loopback 0 地址 要求配置Radius 服务器为负载分担算法
所有定义的Radius-server组中不允许配置命令undo radius-server user-name domain-included，即将用户帐号上送radius-server认证时不允许去掉用户域名后缀。
对于domain nc.jx，要求使用单独定义的radius-server group nc.jx，其它domain可以根据业务类型，同一类业务使用相同的一个radius-server group。如可以将l2tp的业务单独定义一个radius-server组，所有l2tp的domain都调用这一个radius-server组。
对于预付费用户，配置对COA服务器202.101.224.217 和61.180.1.21的信任。预付费用户domain使用的radius-server group nc.jx，COA使用的默认端口为3799，建议全省BRAS与COA服务器通信KEY统一为123456。
配置规范：
中盈优创资讯科技有限公司 第16页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
system-view interface Virtual-Template1 #建立ppp虚模版
ppp authentication-mode pap chap #定义ppp认证的模式，先pap再chap
ppp keepalive interval 30 retransmit 5 #定义二层检测时间间隔以及超时检测次数
radius-server source interface LoopBack0 #radius报文的源IP为loopback0地址 radius-server dead-count 40 dead-time 3 #radius报文重传和中断时延
aaa #进入AAA视图
#配置RADIUS服务器组nc.jx，配置radius-server ip，缺省情况下，若配置多个ip，ME60工作在主备模式，若配置server的权重weight，可以实现负载分担，认证/计费服务器的端口号，缺省值为1812和1813。
radius-server group nc.jx #该radius-server组只能被domain nc.jx调用
radius-server authentication 61.180.1.21 1812 weight 50 #两台server使用相同权重，负载均衡
radius-server authentication 61.180.1.21 1812 weight 50 radius-server accounting 61.180.1.21 1813 weight 50 radius-server accounting 61.180.1.21 1813 weight 50 radius-server shared-key *******
radius-server retransmit 2 timeout 3 #指定远程radius服务器报文重传时间 radius-server class-as-car #配置报文中携带CAR值
radius-server traffic-unit byte #设置RADIUS服务器使用字节作为流量单位 radius-server algorithm loading-share #radius-server使用负载均衡算法
undo radius-server user-name domain-included #用户名格式中不包括域名。该命令不再使用，如现网有该配置，须删除，因为在每个子接口已经使用默认域可以让用户不带域名拨号认证。
分类radius-server组，建立多个radius-server组,实现不同业务类型domain调用不同的radius-server组.避免修改radius-server组属性时出现错误修改。
radius-server authorization 202.101.224.233 shared-key jxcoa123 server-group nc.jx
注：针对预付费用户配置对COA服务器和202.101.224.217的信任，预付费用户domain使用的radius-server group nc.jx，COA使用的默认端口为3799，建议全省BRAS与COA服务器通信KEY统一为123456。
#配置认证方案radius，缺省情况下，认证方案的认证模式为RADIUS认证。 authentication-scheme radius
#配置计费方案radius，缺省情况下，计费方法为RADIUS计费，设置实施计费间隔为120分钟。
accounting-scheme radius
accounting interim interval 120
accounting start-fail online #用户计费中断后依然在线
#配置nc.jx域，域的认证方案、计费方案名称都为radius，域使用的RADIUS服务器组为nc.jx。 domain nc.jx
authentication-scheme radius accounting-scheme radius
中盈优创资讯科技有限公司
第17页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
radius-server group nc.jx #其它domain一定不能调用该radius-server group l2tp-group 6 #设置域使用的L2TP组的组名
l2tp-user radius-force #设置L2TP用户由RADIUS通道类型属性决定
ip-pool internet -01 #设置域的IP地址池，每个域最多可以设置128个地址池 ip-pool ******
IP-Warning-Threshold 90 #设置域的IP地址使用告警阈值 return
system-view
l2tp enable #启用L2TP功能，缺省情况下，L2TP功能被禁止。 l2tp-group 6 #配置上面domain调用的l2tp-group 6 undo tunnel authentication #取消L2TP隧道验证功能
tunnel name ZQ-GN-BAS-1 #指定隧道本端的名称，缺省情况下，系统的本端名称为设备名称。 start l2tp ip 1.1.1.1
tunnel source LoopBack0 #配置LAC端向LNS发起隧道建立请求时使用的隧道源接口，只能是LoopBack接口。 quit
配置验证：
display authentication-scheme radius display authentication-scheme radius display radius-server configuration group nc.jx display domain name nc.jx 配置注意细节： 对于华为BRAS，domain nc.jx调用的radius-server group需要单独定义，其它domain可以根据业务类型，每一类业务定义一个radius-server group。注意添加预付费平台授权配置。
3.1.5.4 本地用户帐号 配置说明：
配置本地用户帐号，作为AAA服务器连接失败时的应急登陆用。 规范要求：
全省BRAS配置相同本地用户帐号noc189，设置最高权限，使用省公司统一指定的密码，根据实际情况可保留地市本地管理帐号。
配置规范：
local-aaa-server #进入本地AAA服务器视图 user noc189 password cipher ******** level 3 idle-cut authentication-type A 配置验证： display user name noc189 dis current-configuration configuration local-aaa-server 中盈优创资讯科技有限公司
第18页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
配置注意细节： 保留地市本地帐号。 3.1.5.5 配置范例
1、管理AAA：
#配置HWTACACS服务器模板tacacs，源地址为设备LOOPBACK0地址，密钥为cisco12416，用户名格式中不包括域名。
hwtacacs-server template tacacs
hwtacacs-server authentication 117.21.127.10 hwtacacs-server authentication X.X.X.X secondary hwtacacs-server authorization 117.21.127.10 hwtacacs-server authorization X.X.X.X secondary hwtacacs-server accounting 117.21.127.10 hwtacacs-server accounting X.X.X.X secondary hwtacacs-server source-ip X.X.X.X
hwtacacs-server shared-key cisco12416
undo hwtacacs-server user-name domain-included
aaa #进入AAA视图
#配置认证方案tacacs，认证模式为先本地认证，后HWTACACS认证。 authentication-scheme tacacs
authentication-mode local-hwtacacs
#配置计费方案tacacs，计费模式为不计费。 accounting-scheme tacacs accounting-mode none
#配置授权方案tacacs，由于采用先hwtacacs后local的方式只有hwtacacs失效的情况下本地账号才能登陆，所以暂时考虑用none模式，避免3A异常本地账号也无法登陆。 authorization-scheme tacacs authorization-mode none
#配置缺省的管理员域default_admin，域的认证方案、计费方案、授权方案名称都为tacacs，域的用户可以作为管理员登录BRAS，管理员级别为3。 domain default_admin
authentication-scheme tacacs accounting-scheme tacacs adminuser-priority 3 hwtacacs-server tacacs
authorization-scheme tacacs
2、用户AAA：
system-view
interface Virtual-Template1 #建立ppp虚模版
ppp authentication-mode pap chap #定义ppp论证的模式，先pap再chap
ppp keepalive interval 30 retransmit 5 #定义二层检测时间间隔以及超时检测次数
radius-server source interface LoopBack0 #radius报文的源IP为loopback0地址
中盈优创资讯科技有限公司
第19页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
radius-server dead-count 40 dead-time 3 #radius报文重传和中断时延
aaa #进入AAA视图
#配置RADIUS服务器组nc.jx，配置radius-server ip，缺省情况下，若配置多个ip，ME60工作在主备模式，若配置server的权重weight，可以实现负载分担，认证/计费服务器的端口号，缺省值为1812和1813。
radius-server group nc.jx #该radius-server组只能被domain nc.jx调用
radius-server authentication 61.180.1.21 1812 weight 50 #两台server使用相同权重，负载均衡
radius-server authentication 61.180.1.21 1812 weight 50 radius-server accounting 61.180.1.21 1813 weight 50 radius-server accounting 61.180.1.21 1813 weight 50 radius-server shared-key *********
radius-server retransmit 2 timeout 3 #指定远程radius服务器报文重传时间 radius-server class-as-car #配置报文中携带CAR值
radius-server traffic-unit byte #设置RADIUS服务器使用千字节做为流量单位 radius-server algorithm loading-share #radius-server使用负载均衡算法
undo radius-server user-name domain-included #用户名格式中不包括域名。该命令不再使用，如现网有该配置，须删除，因为在每个子接口已经使用默认域可以让用户不带域名拨号认证。
分类radius-server组，建立多个radius-server组,实现不同业务类型domain调用不同的radius-server组.避免修改radius-server组属性时出现错误修改。
#配置认证方案radius，缺省情况下，认证方案的认证模式为RADIUS认证。 authentication-scheme radius
#配置计费方案radius，缺省情况下，计费方法为RADIUS计费，设置实施计费间隔为120分钟。
accounting-scheme radius
accounting interim interval 120
accounting start-fail online #用户计费中断后依然在线
#配置nc.jx域，域的认证方案、计费方案名称都为radius，域使用的RADIUS服务器组为nc.jx。 domain nc.jx
authentication-scheme radius accounting-scheme radius radius-server group nc.jx
l2tp-group 6 #设置域使用的L2TP组的组名
l2tp-user radius-force #设置L2TP用户由RADIUS通道类型属性决定
ip-pool ip-pool1 #设置域的IP地址池，每个域最多可以设置128个地址池 ip-pool ******
IP-Warning-Threshold 90 #设置域的IP地址使用告警阈值 return
system-view
l2tp enable #启用L2TP功能，缺省情况下，L2TP功能被禁止。 l2tp-group 6 #配置上面domain调用的l2tp-group 6 undo tunnel authentication #取消L2TP隧道验证功能
tunnel name ZQ-GN-BAS-1 #指定隧道本端的名称，缺省情况下，系统的本端名称为设备名称。 start l2tp ip 1.1.1.1
tunnel source LoopBack0 #配置LAC端向LNS发起隧道建立请求时使用的隧道
中盈优创资讯科技有限公司
第20页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
源接口，只能是LoopBack接口。 quit 3、本地用户帐号： local-aaa-server #进入本地AAA服务器视图 user noc189 password cipher ******** level 3 idle-cut authentication-type A 3.1.6 典型垃圾流量过滤策略
配置说明：
在全局下配置inbound方向的控制策略，过滤用户发起的病毒端口流量。 规范要求：
定义ACL 6300作为病毒端口过滤列表，过滤的端口包括如下： udp 1434 //sql worm 病毒端口 udp 1433 //sql worm 病毒端口 udp 1027-1028 //灰鸽子木马端口 udp 135-139 //禁止netbios 端口 udp netbios-ss //禁止netbios 端口 udp 445 //禁止netbios 端口 tcp 4444 //冲击波病毒端口 tcp 445 //传送冲击波病毒端口
tcp 5554 //冲击波病毒端口，在感染“震荡波”病毒后会通过5554 端口向其他感染的计算机传送蠕虫病毒
配置规范：
acl number 6300 desDiption acl for Virus Protection from Internet rule 100 permit udp destination-port eq 1434 rule 110 permit udp destination-port eq 1433 rule 120 permit udp destination-port eq 1027 rule 130 permit udp destination-port eq 1028 rule 140 permit udp destination-port eq 135 rule 150 permit udp destination-port eq 136 rule 160 permit udp destination-port eq 137 rule 170 permit udp destination-port eq 138 rule 180 permit udp destination-port eq 139 rule 190 permit udp destination-port eq 445 中盈优创资讯科技有限公司
第21页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
rule 200 permit tcp destination-port eq 4444 rule 210 permit tcp destination-port eq 445 rule 220 permit tcp destination-port eq 5554 quit traffic classifier deny-virus operator or #定义流 if-match acl 6300 quit traffic policy deny-tcp #定义封堵策略 classifier deny-virus behavior op_deny quit traffic-policy deny-tcp outbound #全局应用 配置验证： display acl 6300 配置注意细节： 无。
3.2 端口配置规范
3.2.1 Loopback地址配置
配置说明：
配置两个Loopback地址，各提供一个永远up的IP地址，其中一个用于各种路由协议邻居的建立、远程登录、设备管理等。同时，BGP和MP-BGP路由器上的loopback地址，用作该路由器发布的BGP或MP-BGP路由的下一跳地址。另一个loopback地址用于标记BGP community属性。
规范要求：
城域骨干网SR路由器配置一个loopback 0地址及loopback 23地址，掩码必须为32位。
Loopback接口需添加端口描述，端口描述要求符合第二章中IP城域网网络设备命名及链路描述规范中规定。
配置规范：
[Quidway]Int loopback0 [Quidway-LoopBack0]Ip address *.*.*.* 255.255.255.255 [Quidway-LoopBack0]desDiption For Management [Quidway]Int loopback23 [Quidway-LoopBack0]Ip address *.*.*.* 255.255.255.255 中盈优创资讯科技有限公司
第22页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
[Quidway-LoopBack0]desDiption For BGP-Community 配置验证： disp inter loopback 0 //查看运行情况 disp inter loopback 23 dis current-configuration interface LoopBack 0 //查看配置情况 dis current-configuration interface LoopBack23 //查看配置情况 配置注意细节： 无
3.2.2 GE端口配置
3.2.2.1 GE用做上连接口 配置说明：
配置GE端口用做上连接口。 规范要求：
配置GE端口MTU 设置为1548，关闭GE端口自行协商。
配置接口描述符合第二章中IP城域网网络设备命名及链路描述规范中规定。并注意端口描述中的对端端口应区别不同设备。
配置规范：
interface GigabitEthernet1/0/0 undo negotiation auto mtu 1548 desDiption NC_RZL_S6503R_01 1G::GI3/0/7 ip address 202.104.209.226 255.255.255.252 配置验证： disp inter gi1/0/0 //查看运行情况 disp cu inter gi1/0/0 //查看配置情况 配置注意细节： 无。
3.2.2.2 GE用做下联接口 配置说明：
配置GE端口用做下联接口，即纯二层封装接口。 规范要求：
配置关闭GE端口自行协商。
配置接口描述符合第二章中IP城域网网络设备命名及链路描述规范中规定。
中盈优创资讯科技有限公司
第23页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
并注意端口描述中的对端端口应区别不同设备。
配置规范：
interface GigabitEthernet1/0/1 undo negotiation auto desDiption NC_RZL_S6503R_01 1G::GI3/0/1 配置验证： disp inter gi1/0/0 //查看运行情况 disp cu inter gi1/0/0 //查看配置情况 配置注意细节： 无。
3.2.2.3 GE拨号下联子接口(dot1Q) 配置说明：
配置GE拨号下联子接口，封装为dot1Q。 规范要求：
配置子端口封装为pppoe 配置规范：
interface GigabitEthernet1/0/2.734 pppoe-server bind Virtual-Template 1 desDiption NC_RZL_S6503R_01 1G::GI3/0/7 user-vlan 734 #用户接入VLAN号 bas access-type layer2-subsDiber default-domain authentication nc.jx #配置二层拨号缺省论证域为nc.jx 配置验证： display interface GigabitEthernet1/0/2.734 //查看运行情况 disp cu inter gi1/0/2.734 //查看配置情况 配置注意细节： 注：SE800每个VLAN的缺省拨入数量为1，ME60缺省情况下不作限制。 3.2.2.4 GE拨号下联子接口(QinQ) 配置说明：
配置GE拨号下联子接口，封装为QinQ。 规范要求：
配置子端口封装为QiniQ 配置规范：
中盈优创资讯科技有限公司
第24页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
interface GigabitEthernet1/0/2.762 pppoe-server bind Virtual-Template 1 desDiption gz_nm_s6506_01_1G::GI1/0 user-vlan 1001 1096 QinQ 762 #配置内外层VLAN bas access-type layer2-subsDiber default-domain authentication nc.jx #配置二层拨号缺省论证域为nc.jx authentication-method ppp #配置BAS接口的认证方法 配置验证： display interface GigabitEthernet1/0/2.762 //查看运行情况 disp cu inter GigabitEthernet1/0/2.762 //查看配置情况 配置注意细节： 无。
3.2.2.5 GE专线下联子接口 配置说明：
配置GE下联子接口为专线接入。 规范要求：
子端口号建议与vlan id 对应一致；
引用的速率策略预先在全局配置模式下配置好； 配置子端口的描述，格式要求符合配置有关命名规范； 配置该专线用户的IP 路由；
配置接口描述符合第二章中“IP城域网网络设备命名及链路描述规范”中规定。
配置规范：
1、配置普通VLAN专线用户： interface GigabitEthernet2/0/1.2001 user-vlan 2001 desDiption ******** undo shutdown bas access-type layer2-subsDiber default-domain authentication nc.jx authentication-method bind # static-user 125.90.173.165 125.90.173.165 interface GigabitEthernet2/0/1.2001 vlan 2001 detect domain-name leased_line 2、配置QinQ专线用户： interface GigabitEthernet2/0/1.1216 qinq-vlan 1216 user-vlan 3001 3999 desDiption ******** 中盈优创资讯科技有限公司
第25页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
undo shutdown bas access-type layer2-subsDiber default-domain authentication nc.jx authentication-method bind # static-user 126.90.173.165 126.90.173.165 interface GigabitEthernet2/0/1.3001 vlan 3001 qinq 1216 detect domain-name leased_line #对于80端口黑名单用户 static-user 126.90.173.165 126.90.173.165 interface GigabitEthernet2/0/1.3001 vlan 3001 qinq 1216 detect domain-name leased_permit_tcp80 #对于80端口白名单用户 配置验证： display interface GigabitEthernet2/0/1.2001 //查看运行情况 display interface GigabitEthernet2/0/1.1216 disp cu inter GigabitEthernet2/0/1.1216 //查看配置情况 配置注意细节： 注意80端口黑名单用户绑定domain leased_line，白名单用户绑定domain leased_permit_tcp80。
3.2.2.6 接口uRPF 配置说明：
配置GE下联用户接口的uRPF功能。 规范要求：
ME60的uRPF在主接口下开启，在该主接口下的所有子接口生效。
如果有etrunk三层接口的话，需要在用户网关的子接口下面使能，但目前BAS版本不支持子接口配置URPF。
配置规范：
#在下联主接口上开启uRPF严格模式： interface GigabitEthernet2/0/1 ip urpf strict 配置验证： dis current-configuration interface GigabitEthernet2/0/1 配置注意细节： 无。
3.2.2.7 hold-time配置 配置说明：
中盈优创资讯科技有限公司
第26页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
缺省情况下，设备检测到端口UP/DOWN信息便立刻反映给系统，可以通过配置端口UP/DOWN的hold-time来控制系统感知端口状态的时间，避免个别端口反复UP/DOWN造成系统路由震荡。
规范要求：
建议GE端口up-hold-time和down-hold-time时间配置为2s和1s。 3.2.2.8 配置范例
1、GE用作上联接口：
interface GigabitEthernet1/0/0 undo negotiation auto
carrier down-hold-time 1000 carrier up-hold-time 2000 mtu 3000
desDiption To GZ_SD_S9306_01::GI2/1
ip address 202.104.209.226 255.255.255.252
2、GE用作下联接口：
interface GigabitEthernet1/0/1 undo negotiation auto
desDiption dT:ZQ-HT-DSW-1.M 1G::GI1/0/0
ip urpf strict #开启下联主接口uRPF功能
3、GE拨号下联子接口（dot1Q）： interface GigabitEthernet1/0/2.734 pppoe-server bind Virtual-Template 1 desDiption dT:ZQ-HJ-DSL-1.M 1G::GI1/0 user-vlan 734 #用户接入VLAN号 bas
access-type layer2-subsDiber default-domain authentication nc.jx #配置二层拨号缺省论证域为nc.jx
4、GE拨号下联子接口（QinQ）： interface GigabitEthernet1/0/2.762 pppoe-server bind Virtual-Template 1 desDiption dT:ZQ-HJ-DSL-1.M 1G::GI1/0
user-vlan 1001 1096 QinQ 762 #配置内外层VLAN bas
access-type layer2-subsDiber default-domain authentication nc.jx #配置二层拨号缺省论证域为nc.jx
authentication-method ppp web #配置BAS接口的认证方法
5、GE专线下联子接口（普通VLAN）： interface GigabitEthernet2/0/1.2001 user-vlan 2001
desDiption ******** undo shutdown bas
access-type layer2-subsDiber default-domain authentication nc.jx authentication-method bind #
static-user 125.90.173.165 125.90.173.165 interface GigabitEthernet2/0/1.2001
中盈优创资讯科技有限公司
第27页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
vlan 2001 detect domain-name leased_line 6、GE专线下联子接口（QinQ）： interface GigabitEthernet2/0/1.1216 qinq-vlan 1216 user-vlan 3001 3999 desDiption ******** undo shutdown bas access-type layer2-subsDiber default-domain authentication nc.jx authentication-method bind # static-user 126.90.173.165 126.90.173.165 interface GigabitEthernet2/0/1.3001 vlan 3001 qinq 1216 detect domain-name leased_line 3.3 Multi-VR(context)配置
3.3.1 VR(context)规划
配置虚拟路由器功能。
SE800支持多VR(context)配置，VR具有一个传统路由器应该具有的一切功能，例如路由表、路由协议、认证以及IP地址空间等。虚拟路由器支持一个传统路由器应该支持的一切网络业务，可根据不同的业务需要，将不同业务放到单独的VR中，如拨号上网、IPTV，都可以设置到不同的VR(context)虚拟路由器上。
华为ME60/MA5200G无VR(context)概念，无需配置。
3.3.2 VR(context)接口绑定
配置VR(context)与接口绑定关系。 VR(Context)接口绑定规范如下表所示：
为ERX1440的每一个VR绑定一个子接口，VR与子接口一一对应。 为SE800运行动态路由协议的local context、vrInternet context、vrLeasedLine context绑定一个外出子接口。
其中local context和vrInternet context绑定全部的上行子接口，实现流量在所有上行链路上负载均担。Iptv context需要绑定全部的上行子接口，而VPDN和vrLEASE context因流量较小，当上行链路多于2条以上时，可只选择对其中两条接口进行绑定，这样可达到了减少资源消耗，节约IP地址的目的，同时也
中盈优创资讯科技有限公司
第28页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
保证了链路的冗余。
其他context不绑定外出子接口，使用context间路由互通功能，由运行动态路由协议的local context携带流量。
MA5200G、ME60使用domain的概念区分业务，不支持vr(context)的概念。上行链路口不分割子接口，直连使用物理接口与出口路由器相连。
业务描述 默认 拨号 vpdn 专线 iptv wlan Eye 200 10000 E8Manage centrex 网管 网管 网管 临时 MPLS VPN vr(Context) default/local vrINTERNET(SE800) vrVPDN_LAC vrLEASEDLINE vriTV vrWLAN vrEYE vr200 vr10000 vrE8MANAGER vrCENTREX vrNMS vrDJ vrDJTV vrTEMP vrCTVPNXXXX ERX1440 SE800 MA5200G/ME60 .190 .192 .193 .194 .195 .196 .197 .198 .199 .200 .201 .202 .203 .204 .190 .191 .192 不分割子接口 3.3.3 VR(context)间路由处理
开启SE800 context间路由互通功能，简化出口路由器的路由维护量，减少IP地址的浪费情况。
华为ME60/MA5200G无VR(context)概念，无需配置。
3.3.4 Domain配置
配置说明：
设置域名匹配，目的是通过域名将不同的业务匹配不同的用户策略的应用以及区分不同的业务。
规范要求：
按照业务开展需要配置相关域名的匹配配置，如nc.jx 等。
中盈优创资讯科技有限公司
第29页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
对于不带域名的用户名要求作为默认域名（如nc.jx）处理。
鉴于domain涉及到大后台的相关规范，domain配置需参考大后台相关规范执行。
对于拨号（domain 163）和专线（黑名单domain leased_line和白名单domain leased_permit_tcp80）用户要增加80端口封堵策略。
配置规范：
user-group nc.jx
user-group leased_line
acl number 6200 #定义针对80端口封堵的ACL desDiption ACL_for_tcp_deny
rule 10 permit tcp destination user-group nc.jx destination-port eq www #拨号用户80端口封堵
rule 20 permit tcp destination user-group leased_line destination-port eq www #专线用户80端口封堵
traffic classifier deny-tcp operator or if-match acl 6200
traffic behavior op_deny deny
traffic policy deny-tcp
classifier deny-tcp behavior op_deny
traffic-policy deny-tcp outbound aaa
domain nc.jx
authentication-scheme radius #采用的论证模版 accounting-scheme radius #采用的计费模版 radius-server group nc.jx #采用的radius组
user-group nc.jx #绑定动态拨号用户的user-group策略 l2tp-group 6
l2tp-user radius-force
ip-pool internet-01 #指定该域下可用地址池，ME60默认自上向下分配 ip-pool ******** #上面的地址池分配完后接着分配下面的地址池 IP-Warning-Threshold 90 #设置域的IP地址使用告警阈值
domain leased_line //80端口黑名单专线用户domain
authentication-scheme none accounting-scheme none
user-group leased_line #绑定80端口黑名单用户的user-group策略 ip-pool leased_line-pool-01 IP-Warning-Threshold 90
domain leased_permit_tcp80 //80端口白名单专线用户domain
authentication-scheme none accounting-scheme none
中盈优创资讯科技有限公司
第30页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
ip-pool leased_line-pool-01 IP-Warning-Threshold 90 static-user 121.15.183.252 121.15.183.252 interface GigabitEthernet2/0/5.4 vlan 385 qinq 3172 detect domain-name leased_line #将不需要放通80端口的用户绑定到domain leased_line static-user 121.15.183.252 121.15.183.252 interface GigabitEthernet2/0/5.4 vlan 385 qinq 3172 detect domain-name leased_permit_tcp80 #将需要放通80端口的用户绑定到domain leased_permit_tcp80 配置验证： display current-configuration configuration aaa | begin nc.jx 配置注意细节： 注意增加针对80端口封堵的策略配置。
3.4 路由协议配置规范
3.4.1 路由优先级/管理距离
配置说明：
配置路由协议优先级。 规范要求：
SE800路由优先级别的设定按如下面规范执行，与出口路由器和SR的路由优先级不同，SE800对应ip pool的黑洞路由的优先级应小于ip pool接口的优先级，SE800配置黑洞路由优先级为1。
华为ME60与SE800在对IP POOL路由的处理机制上有所不同，华为将其作为UNR（User network routes）路由，默认优先级为61，不能更改，也不需更改。
ME60的UNR路由由分为粗路由和细路由两种：粗路由即为地址池路由，掩码反映地址池的范围，下一跳为NULL0；细路由则是地址池中已经分配给用户的路由，下一跳为具体的用户子接口。细路由还有一个特殊情况就是ME60会为地址池的第一个地址产生一个指向设备自身InLoopBack0的主机路由，目的就是为了使该地址池有一个始终up的主机路由，从而使得该地址池粗路由（UNR路
中盈优创资讯科技有限公司
第31页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
由）永远生效。
ME60可以通过将UNR路由引入动态路由协议，从而将用户路由动态分发出去，而且ME60在引入UNR路由的时候并不会引入用户主机路由，只是引入了地址池的粗路由，准确的满足了用户路由重分布的需要，无需再做路由过滤。
静态路由 1 用户路由 61 EBGP 20 OSPF 110 ISIS 115 External OSPF 150 IBGP 200 浮动静态 210 3.4.2 静态路由配置
3.4.2.1 静态路由配置方式 配置说明：
手工配置静态路由并设定相关参数。 规范要求：
在ME60上配置静态路由时，要求既绑定下一跳地址，也要绑定出接口。 全局修改静态路由的优先级为1。 配置规范：
ip route-static default-preference 1 #全局配置静态路由缺省优先级为1 ip route-static 1.1.1.1 255.255.255.255 GigabitEthernet1/0/0 2.2.2.2 #静态路由同时绑定下一跳地址和出接口 配置验证： display ip routing-table protocol static 配置注意细节： ME60静态路由缺省优先级为60。 3.4.2.2 黑洞路由配置方式 配置说明：
根据需要配置BRAS黑洞路由。
根据需要指定黑洞路由的distance metric值。 规范要求：
ME60自动生成每一个IP POOL地址段的黑洞路由，即UNR路由，默认优先级为61，无需配置。
中盈优创资讯科技有限公司
第32页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
3.4.2.3 浮动静态路由配置方式 配置说明：
浮动静态路由一般是作为主路由的备份存在，只有主路由失效时，浮动路由才会生效出现在路由表中。
规范要求：
配置指向出口的浮动默认路由，优先级为210，需绑定下一跳和接口。 配置规范：
ip route-static 0.0.0.0 0.0.0.0 g1/0/1 202.104.209.225 preference 210 ip route-static 0.0.0.0 0.0.0.0 g2/0/0 202.104.209.229 preference 210 配置验证： display ip routing-table protocol static 配置注意细节： 无
3.4.3 OSPF配置
3.4.3.1 概述
IGP运行在城域网核心层和业务接入控制层，在城域网三层设备之间承载和交换两类路由信息：a、城域网AS域内设备接口（包括loopback接口）地址路由；b、城域网内IPV4用户路由。
运行IGP的设备包括：核心路由器（包括出口核心路由器和普通核心路由器）和SR，BRAS中SE800、ME60、5200G运行IGP，其它BRAS（ERX1440、8850等）暂不参与IGP。所有的宽带接入网设备，包括二层交换机、DSLAM等不参与IGP，其路由可达通过在业务接入控制点上生成用户路由的方式实现（详见专门章节）。
江苏电信下属城域网原则上选择OSPF为IGP协议，部分规模较大的城域网可考虑选择ISIS为IGP。
3.4.3.2 OSPF进程名 配置说明：
中盈优创资讯科技有限公司
第33页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
配置OSPF进程标识，用于对不同的OSPF进程进行区别。 规范要求：
同一城域网OSPF process ID保持统一，配置OSPF进程号为163。 单机不运行多个OSPF进程。 配置规范：
ospf 163 route-id x.x.x.x 配置验证： disp ospf GSRief 配置注意细节： 无。
3.4.3.3 OSPF ROUTER-ID 配置说明：
配置OSPF router-id，唯一标识自治系统中的一台OSPF路由器。 规范要求：
配置OSPF router-id地址为loopback0接口的IP地址，不使用自动选举OSPF router-id方式。
配置规范：
ospf 163 route-id x.x.x.x 配置验证： disp ospf GSRief 配置注意细节： 无。
3.4.3.4 OSPF 时间参数 配置说明：
配置OSPF邻居的hello、dead时间参数一致，否则将不能建立OSPF邻居关系。
规范要求：
中盈优创资讯科技有限公司
第34页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
配置OSPF hello时间为10秒、dead时间为hello时间的4倍。 配置规范：
华为ME60设备 OSPF协议 hello时间默认为10秒，dead时间默认为40秒，默认设置无需更改。
配置验证：
disp ospf GSRief 配置注意细节： 无。
3.4.3.5 OSPF 接口宣告 配置说明：
配置需宣告到OSPF协议中的端口。并配置以太网电路的OSPF的网络类型为point-to-point，以避免DR和BDR的选举，精简OSPF database
规范要求：
配置设备loopback端口和城域网路由器内部互连链路端口为OSPF端口，端口地址路由自动发布到OSPF。用户接入端口一律不可配置为OSPF端口。
精确宣告OSPF端口，不能使用大段宣告。采用接口地址+反掩码0.0.0.0宣告，避免将其它端口误配置到OSPF中。
不需建立OSPF邻居的接口统一配置为OSPF接口宣告+被动端口模式。 使用以太网链路点到点连接两台路由器时，更改该链路的OSPF网络类型为Point to Point。
配置规范：
ospf 163 silent-interface loopback0 area 0.0.0.0 network 192.168.1.1 0.0.0.0 配置验证： disp ospf GSRief 配置注意细节： 无。
3.4.3.6 OSPF reference-bandwidth
中盈优创资讯科技有限公司
第35页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
配置说明：
为优化城域网内流量，修改OSPF链路COST参考值 规范要求：
将OSPF cost自动计算参数设置为100000 Mbits /s以使10G链路cost为10，2.5G为40，1G为100，100M为1000。
城域网所有运行OSPF的路由器链路COST参考值必须一致。 配置规范：
ospf 163 bandwidth-reference 100000 //考虑整网很难达到统一性，该命令暂时不加 配置验证： dis current-configuration configuration ospf 配置注意细节： 无。
3.4.3.7 OSPF负载均衡条目 配置说明：
配置OSPF负载均衡条目，实现流量的负载均衡。 规范要求：
换省公司统一规范要求，配置OSPF负载均衡数为为设备最大支持数，ME60最大支持16条。
BRAS上联链路建议不超过8条，因多数设备负载均衡条目不支持超过8条，在上联链路超过8条时设备会产生异常。ME60当上联链路多于8条时，即使多出的链路未使用也会产生故障，流量会非常不均衡。
配置规范：
ospf 163 maximum load-balancing 16 配置验证： disp curr | b ospf 163 配置注意细节： 无
中盈优创资讯科技有限公司
第36页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
3.4.3.8 OSPF重分布路由 配置说明：
配置将其他协议重分布到OSPF协议，并选择OSPF外部路由类型和COST值。
规范要求：
对于城域网BRAS设备，只允许将用户地址池路由路由引入到OSPF中。ME60地址池路由只需引入UNR路由即可（详细分析见3.4.1），引入UNR路由设置为类型1、COST 0；不引入静态路由。
配置规范：
ospf 163 import-route unr cost 0 type 1 配置验证：
disp curr | b ospf 163 配置注意细节： 无。
3.4.3.9 OSPF AREA规划 配置说明：
对OSPF区域进行划分，减少OSPF数据库大小。 规范要求：
? 对于具有汇接路由器的一类地市城域网（吉安、抚州、新余、萍乡），
分配如下：
? 城域网出口、汇接层路由器处于骨干区域0。
? 连接汇接层的SR 和BRAS根据双挂上联到汇接层路由器的情况划
分为到普通区域。
? 对于二、三类地市的城域网，分配如下：
? 城域网出口、SR设备和BRAS都处于骨干区域AREA0。 ? 对于以前配置的OSPF NSSA区域，应全部改成普通OSPF区域。 ? 一台BRAS/SR，路由设计应尽量避免运行多个OSPF区域。
中盈优创资讯科技有限公司
第37页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
配置规范：
ospf 163 area 0.0.0.1 network 192.168.1.1 0.0.0.0 配置验证： disp ospf GSRief 配置注意细节： 无。
3.4.3.10 OSPF路由协议优先级 配置说明：
更改OSPF协议路由协议优先级/管理距离 规范要求：
更改OSPF协议路由协议优先级/管理距离为：内部OSPF路由优先级/管理距离为110，外部 OSPF路由协议优先级/管理距离为150。
配置规范：
ospf 163 preference 110 #ospf内部路由优先级为110 preference ase 150 #ospf外部路由优先级为150 配置验证： disp curr | b ospf 163 配置注意细节： 无。
3.4.3.11 OSPF log邻居变化信息 配置说明：
配置OSPF log邻居变化信息，记录OSPF邻居变化。 规范要求：
根据省公司统一规范，配置OSPF log 邻居变化信息功能。 配置规范：
华为ME60默认记录OSPF log邻居变化信息，该特性不需要特别修改。 配置注意细节： 无。
中盈优创资讯科技有限公司
第38页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
3.4.3.12 OSPF邻居链路加密 配置说明：
配置OSPF邻居链路加密，对OSPF邻居之间的协议报文进行加密和校验。 规范要求：
在OSPF邻居之间开启OSPF链路MD5加密，key id为1，密码为NOC统一指定，不开启OSPF区域认证。
配置规范：
int gi 1/0/0 ospf authentication-mode md5 1 cipher ******** #设置ospf认证链路认证模式和密码 配置验证： disp ospf peer disp ospf int gi 1/0/0 配置注意细节： 无。
3.4.3.13 OSPF链路COST值调整 配置说明：
一般情况下，城域网的OSPF链路采用自动计算的COST值即可，只有在需精确控制路由时再基于端口手工配置OSPF链路COST值，覆盖该端口OSPF自动计算出的COST值。
规范要求：
根据实际情况使用手工配置OSFP链路COST值功能。
建议在割接清空流量时配置的OSPF链路COST值调整为：10000。 配置规范：
int gi 1/0/0 ospf cost 10000 配置验证： disp ospf int gi 1/0/0 配置注意细节： 无。
3.4.3.14 配置范例
中盈优创资讯科技有限公司
第39页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
ospf 163 route-id x.x.x.x #router-id配置为设备loopback0地址 silent-interface gi4/0/0 #不需建立OSPF邻居的接口 silent-interface Loopback0 bandwidth-reference 100000
maximum load-balancing 16 #配置ospf负载均衡条目为16 import-route unr cost 0 type 1 #引入IP POOL路由 preference 110 #ospf内部路由优先级为110 preference ase 150 #ospf外部路由优先级为150 area 0.0.0.0
network 192.168.1.1 0.0.0.0 #注意宣告方式反掩码为4个0 network 192.168.2.1 0.0.0.0 network 1.1.1.1 0.0.0.0
int gi 1/0/0
ospf network-type p2p #以太口ospf网络类型设置为p2p
ospf authentication-mode md5 1 cipher ******** #设置ospf认证链路认证模式和密码
ospf cost 10000 #割接期间cost临时调整为10000
检查命令：
display ospf GSRief display ospf peer display ospf interface display ospf peer display ospf routing display ospf lsdb
3.4.4 ISIS配置
3.4.4.1 概述
针对2009年赣州城域网路由优化项目，城域网业务控制层及核心、汇接层采用间选择ISIS做为IGP协议。isis路由协议只承载设备之间的互连链路和loopback地址的主机路由，不承载默认路由外的其他用户的路由。ISIS协议提供的是业务接入控制层及其以上设备之间的可达性，为IBGP提供IGP路由可达性。
3.4.4.2 ISIS进程名 配置说明：
配置ISIS进程标识，用于对不同的ISIS进程进行区别。 规范要求：
同一城域网ISIS process ID保持统一。单机不运行多个ISIS进程。 配置ISIS进程名字为地址名字全拼（juniper、alcatel设备不能配置ISIS进程名，华为设备采用163作为进程名）。
中盈优创资讯科技有限公司
第40页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
配置规范：
[GZ-JCX-BAS-9.M.ME60]isis 163 [GZ-JCX-BAS-9.M.ME60-isis-163]is-name GZ-JCX-BAS-9.M.ME60 配置验证：
dis current-configuration configuration isis 配置注意细节： 无。
3.4.4.3 ISIS NET ID 配置说明：
配置ISIS NET，唯一标识自治系统中的一台ISIS路由器。 规范要求：
配置ISIS NET的格式为“区域ID+系统ID+NSEL”，其中，区域ID采用国家区号+地市电话区号+4位区域号的形式实现，比如赣州城域网为
86.0020.0000、86.0020.1001等；系统ID采用每台设备本身的Loopback0地址，用十进制形式，每字节用3个十进制位表示，不足3位的在之前用0补足，比如2020.9702.8105。NSEL统一配置00。
配置规范：
[GZ-JCX-BAS-9.M.ME60]isis 163
[GZ-JCX-BAS-9.M.ME60-isis-163]network-entity 86.0020.1001.1191.4508.5108.00 #(loopback0接口ip为119.145.85.108)
配置验证：
dis current-configuration configuration isis
配置注意细节： 无。
3.4.4.4 ISIS路由类型及Metric类型 配置说明：
ISIS的路由器类型主要分为level-1、level-2、level-1/2三种，视设备具体情况而定，对于Metri类型，统一采用wide类型。
中盈优创资讯科技有限公司
第41页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
规范要求：
根据实际情况使用手工配置ISIS的IS类型。
对全网开启ISIS协议的设备统一配置Metric的类型为wide。 配置规范：
[GZ-JCX-BAS-9.M.ME60]isis 163 [GZ-JCX-BAS-9.M.ME60-isis-163]isis circuit-level level-1 [GZ-JCX-BAS-9.M.ME60-isis-163]isis circuit-type p2p [GZ-JCX-BAS-9.M.ME60-isis-163]cost-style wide 配置验证： dis current-configuration configuration isis 配置注意细节： 无。
3.4.4.5 路由协议优先级 配置说明：
更改isis协议路由协议优先级/管理距离。 规范要求：
更改isis协议路由协议优先级/管理距离为155。 配置规范：
[GZ-JCX-BAS-9.M.ME60]isis 163 [GZ-JCX-BAS-9.M.ME60-isis-163]preference 155 配置验证： dis current-configuration configuration isis 配置注意细节： 无。
3.4.4.6 ISIS log邻居变化信息 配置说明：
为记录ISIS邻居变化，打开ISIS邻居变化log信息功能。 规范要求：
根据省公司统一规范，配置ISIS log 邻居变化信息功能。 配置规范：
中盈优创资讯科技有限公司
第42页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
[GZ-JCX-BAS-9.M.ME60]is-name 163 [GZ-JCX-BAS-9.M.ME60-isis-163] log-peer-change 配置验证： dis current-configuration configuration isis 配置注意细节： 无。
3.4.4.7 ISIS 邻居链路加密 配置说明：
配置ISIS邻居链路加密，对ISIS邻居之间的协议报文进行加密和校验。 规范要求：
在ISIS邻居之间开启ISIS链路MD5加密，key id为1，密码为jxnoc2007。 配置规范：
[GZ-JCX-BAS-9.M.ME60] interface gi 1/0/1 [GZ-JCX-BAS-9.M.ME60-GigabitEthernet1/0/1]isis jxnoc2007 authentication-mode md5 配置验证： dis isis peer dis cu int g1/0/1 dis current-configuration configuration isis 配置注意细节： 无。
3.4.4.8 ISIS负载均衡条目及其他 配置说明：
配置ISIS负载均衡条目，实现流量的负载均衡。 禁止hello报文填充，节省网络带宽。 规范要求：
按省公司统一规范要求，华为路由器配置ISIS负载均衡数为16条。 配置规范：
[GZ-JCX-BAS-9.M.ME60] isis 163 [GZ-JCX-BAS-9.M.ME60-isis-163] maximum load-balancing 16 配置验证： dis current-configuration configuration isis 中盈优创资讯科技有限公司
第43页
江苏电信城域网BRAS(华为ME60/MA5200G) 配置规范
配置注意细节： 无。
3.4.4.9 ISIS接口宣告 配置说明：
配置需宣告到ISIS协议中的端口。 规范要求：
配置设备loopback端口和城域设备内部互连链路端口为ISIS端口，端口地址路由自动发布到ISIS，并设置其cost值为0（华为设备默认为1，无需设置）。端口类型、电路类型详见3.3.3.4，ISIS metric规划详见3.3.3.5
配置规范：
[GZ-JCX-BAS-9.M.ME60] interface gi 1/0/0 [GZ-JCX-BAS-9.M.ME60-GigabitEthernet1/0/0] isis enable [GZ-JCX-BAS-9.M.ME60-GigabitEthernet1/0/0] isis circuit-level level-1 [GZ-JCX-BAS-9.M.ME60-GigabitEthernet1/0/0] isis circuit-type p2p [GZ-JCX-BAS-9.M.ME60-GigabitEthernet1/0/0] isis cost 3000 level-1 [GZ-JCX-BAS-9.M.ME60] interface LoopBack0 [GZ-JCX-BAS-9.M.ME60-LoopBack0] isis enable 163 [GZ-JCX-BAS-9.M.ME60-LoopBack0] isis circuit-level level-1 配置验证： dis cu interface gigabitEthernet 1/0/0 dis cu interface loopback 0 配置注意细节： 3.4.4.10
配置范例
#ISIS接口配置范例：
interface GigabitEthernet1/0/1 isis enable 163
isis circuit-level level-1 isis circuit-type p2p isis cost 3000 level-1
isis authentication-mode md5 jxnoc2007 #
interface LoopBack0 #loopback地址添加到ISIS： desDiption For Management
ip address 119.145.85.108 255.255.255.255 isis enable 163
isis circuit-level level-1 isis cost 1 level-1 #
#ISIS路由配置范例： #
isis 163
中盈优创资讯科技有限公司
第44页