HCIE 实验TAC总结

考点拓扑

题目一

要求

AR29的loopback0口无法访问AR28的loopback0口
直连不通,广播域的问题

解答

一、故障根因
LSW6上连接AR29与AR28的接口VLAN划分错误,导致AR29与AR28用于建立OSPF邻居关系的接口不在同一个广播域中。
二、故障分析
2.1 故障重现
2.2 检查路由表
2.3 检查OSPF邻居情况
2.4 检查AR27的邻居和路由
2.5 对比检查AR27/AR29的OSPF配置
2.6 检查邻居建立过程的错误报文
2.7 测试三层地址连通性
2.8 检查ARP映射表
2.9 检查互联接口状态
三、故障处理
3.1 LSW6上vlan划分错误的故障处理,需在LSW6上执行以下命令:
3.2 如果执行以上命令未解决故障,则有可能存在以下几种高可能性故障:
3.2.1 LSW6上配置了MuxVlan
3.2.2 LSW6和AR28上配置了过滤策略

题目二

要求

AR29的loopback0口无法访问AR33的loopback0口
直连能通,OSPF配置问题

解答1

一、故障根因
1. AR29与AR33的OSPF区域类型不匹配,AR29配置为普通区域类型,而AR33配置为NSSA类型;
2. AR29和AR33的Hello间隔不一致,AR29配置为10秒,AR33配置为15秒。
二、故障分析
2.1 故障重现
2.2 检查路由表
2.3 检查OSPF邻居情况
2.4 检查接口宣告情况
2.5 测试三层地址连通性
2.6 检查邻居建立过程的错误报文
2.7 查看调试信息
3.1 AR33上OSPF区域类型和hello时间配置错误,需要在AR33上执行以下命令:
3.2 如果执行以上命令未能解决故障,则有可能存在以下几种高可能性故障:
3.2.1 AR33上loopback0接口没有加入到ospf进程
3.2.2 AR29或AR33在OSPF进程下配置了过滤策略
3.2.3 AR33与AR29的互联接口存在过滤策略

解答2

AR29和AR33的Hello间隔不一致,AR29配置为10秒,AR33配置为15秒
# 排障步骤和变种3相同,都是通过最后的调试信息找到错点

解答3

AR29与AR33的OSPF区域类型不匹配,AR29配置为普通区域类型,而AR33配置为NSSA类型
# 排障步骤和变种3相同,都是通过最后的调试信息找到错点

题目三

要求

AR32的loopback0与AR28的loopback0口无法访问
OSPF区域间路由传递使用3类LSA

解答1

一、故障根因
1.1 AR28上OSPF进程中配置filter-policy import命令,针对loopback0接口的路由进行过滤;
1.2 AR28在区域0中配置了区域间路由汇总,并加上了not-advertise,过滤掉了3类LSA;
1.3 AR28上使用filter命令调用ACL或者piefix-list,针对loopback0接口的3类LSA进行过滤(可以配置在区域0的export方向或者区域1的import方向);
1.4 AR28的g2/0/0接口上配置了ospf filter-lsa-out summary acl xxx,过滤3类LSA泛洪。
二、故障分析
2.1 故障重现
2.2 检查路由表
2.3 检查OSPF邻居情况
2.4 查看OSPF的LSDB
2.5 查看1类LSA
2.6 在AR27上查看1类LSA
三、故障处理
3.1 AR28上配置了路由过滤策略
3.2 如果执行以上命令未能解决故障,则有可能存在以下几种高可能性故障:
3.2.1 能收到路由,但无法ping通,则可能是AR28或AR32上做了流量过滤策略

解答2

# 排障方法见变种1

解答3

# 排障方法见变种1

题目四

要求

AR32的loopback0无法访问ISIS区域内的任何设备
OSPF的外部路由传递是使用5类LSA

解答1

一、故障根因
AR28在与AR32直连的g2/0/0接口上配置了ospf filter-lsa-out ase,在出方向上过滤掉5类LSA。
二、故障分析
2.1 故障重现
2.2 检查路由表
2.3 查看OSPF的LSDB
2.4 在AR27上查看OSPF的LSDB
2.5 在AR27检查路由表
三、解决方案
3.1 AR32在g2/0/0接口的出方向上过滤掉5类LSA
3.2 如果执行以上命令未能解决故障,则有可能存在以下几种高可能性:
3.2.1 AR32的OSPF进程下配置了路由过滤策略
3.2.2 在AR32/AR28/AR30/AR31/AR34的接口上配置了流量过滤策略

解答2

一、故障根因
1.1 AR28在OSPF区域下没有引入ISIS路由(或者引入错误的ISIS进行号);
1.2 AR28正确引入了ISIS路由,但是配置了过滤5类LSA策略
二、故障分析
2.1 故障重现
2.2 检查路由表
2.3 查看OSPF的LSDB
2.4 在AR27上查看OSPF的LSDB
2.5 查看AR31的路由表
三、解决方案
3.1 AR28在OSPF区域下没有引入ISIS路由(或者引入错误的ISIS进行号)或者在引入ISIS路由情况下配置过滤5类LSA策略
3.2 如果执行以上命令未能解决故障,则有可能存在以下几种高可能性:
3.2.1 在AR28/AR32/AR27互联接口下配置了过滤策略

题目五

要求

AR34没有学习到两条等价默认路由,只从AS30学习到一条

解答1

一、故障根因
1.1 AR31配置了错误的区域ID;
1.2 AR31配置了错误的ISIS类型。
二、故障分析
2.1 故障重现
2.2 查看ISIS邻居关系
2.3 查看邻居建立过程中的错包情况
2.4 查看ISIS协议的路由级别
2.5 在AR34/AR31上查看自身LSP
2.6 查看AR31的ISIS配置
三、故障处理
3.1 AR31区域ID配置错误和ISIS类型配置错误
3.2 如果执行以上命令未能解决故障,则有可能存在以下几种高可能性:
3.2.1 AR28的g0/0/2接口没有使能ISIS
3.2.2 AR28的g0/0/2接口配置了ISIS认证
3.2.3 AR31的ISIS进程下配置了禁止ATT置1的命令
3.2.4 AR34在ISIS进程下,针对下一跳设置不同的weight

解答2

一、故障根因判断
AR31配置了错误的ISIS路由器级别(Level-1),应该配置为级别Level-1-2。
二、故障分析
2.1 故障重现
2.2 检查邻居关系
2.3 查看ISIS数据库
2.4 查看AR31的邻居情况
2.5 检查AR31和AR28的连通性
2.6 查看AR31的ISIS配置
2.7 查看AR31的g0/0/2上ISIS的信息
三、故障处理
3.1 AR31的路由器类型配置错误,可以在AR31上执行以下命令:
3.2 如果执行以上命令未能成功排除故障,存在以下几种高可能性:
3.2.1 AR28与AR31直连的接口没有使能ISIS
3.2.2 AR28与AR31直连的接口配置了isis认证
3.2.3 AR31的ISIS进程下配置了不产生ATT置1的LSP的命令
3.2.4 在AR34的进程下,针对下一跳配置了不同的weight值

解答3

一、故障根因
AR31配置了错误的区域ID,导致AR31与AR34无法建立ISIS邻居关系。
二、故障分析
2.1 确认故障存在
2.2 检查ISIS邻居
2.3 查看ISIS配置参数
2.4 检查三层是否互通
2.5 检查AR31的邻居
2.6 查看AR31的ISIS参数
2.7 查看AR31上ISIS接口信息
2.8 查看邻居建立过程中的错包情况
2.9 对比查区域配置信息
三、故障处理
3.1 AR31区域ID配置错误,需要在AR31上执行以下命令:
3.2 如果执行以上命令未能解决故障,则有可能存在以下几种高可能性:
3.2.1 AR31的ISIS进程下配置了不产生ATT置1的LSP的命令
3.2.2 在AR34的进程下,针对下一跳配置了不同的weight值

题目六

要求

AR32的loopback0无法访问ISIS区域的部分设备

解答1

一、故障根因
AR28的g0/0/2接口在出方向上配置了针对AR32的loopback0接口流量过滤策略
二、故障分析
2.1 故障重现
2.2 查看路由表
2.3 查看AR31和AR34的路由表
2.4 不带源追踪路由
2.5 带源追踪路由
2.6 查看AR31的g0/0/2是否收到ping包
2.7 查看AR31和AR34上是否调用ACL
2.8 在AR34上测试与AR32的连通性
三、故障处理
3.1 AR28的g0/0/2接口在出方向上配置了针对AR32的loopback0接口流量过滤策略
3.2 如果执行以上命令未能解决故障,则有可能存在以下几种高可能性:
3.2.1 如果在ping测试后,某些地址还是无法访问,则存在使用高级ACL过滤报文的可能,需要删除这些高级ACL

解答2

一、故障根因
AR30在g0/0/0口出方向,做了基于源地址为AR32的loopback0的流量过滤策略
二、故障分析
2.1 故障重现
2.2 查看路由表
2.3 查看AR34的路由表
2.4 查看AR31路由表
2.5 不带源和带源进行路由追踪10.5.1.34
2.6 查看AR34的g0/0/0是否收到ping包
2.7 查看AR34是否配置策略
2.8 测试针对反向访问数据包是否有过滤行为
三、故障处理
3.1 登陆R30路由器,删除流量过滤策略
经过上述操作后,若R32可以正常访问R31所有接口和R34 G0/0/1口,说明故障排除,其他高可能性。
高可能性一:如果在ping测试后,某些地址还是无法访问,则存在使用高级ACL过滤报文的可能,需要删除这些高级ACL。