香港cn2沙田BGB 迁移到沙田节点的步骤与注意事项

1. 迁移前的准备与信息收集

- 确认现有拓扑：记录当前对端IP、子网、自治系统号（ASN）、路由前缀、物理链路接口与MPLS/VPN信息。 - 与上游/新节点（沙田）运营方确认：对端IP、AS、MTU、是否支持CN2、是否需要BFD/MD5、VLAN ID、链路类型（L2/L3）。 - 准备凭证与变更窗口：获取对端联络人、维护窗口、故障回滚时间点与应急联系方式。

2. 备份与环境验证

- 备份路由器/防火墙当前配置并保存到版本控制（例如：TFTP/SFTP）。 - 在测试环境或非生产时段验证配置模板（BGP、ACL、Prefix-list、route-map）是否在模拟环境能通过语法校验。 - 检查链路健康：ping/mtu-check、接口错误计数、链路利用率。

3. 与沙田节点协调并申请资源

- 提交工单给沙田运营方，申请BGP对等、告知你的ASN与需要发布的前缀；确认是否需要任何特殊过滤。 - 索要对端测试IP与可用的VLAN/子接口编号；确认是否需要在对端做具体的route-map或prefix-limit。

4. 本端路由器配置模板（示例：Cisco IOS）

- 基本BGP配置示例： router bgp 65001 neighbor 203.0.113.1 remote-as 65000 neighbor 203.0.113.1 description ShaTin-CN2 neighbor 203.0.113.1 password 7 <密钥> (如需MD5) neighbor 203.0.113.1 ebgp-multihop 2 (如跨多跳) neighbor 203.0.113.1 route-map OUT-TO-SHATIN out neighbor 203.0.113.1 route-map IN-FROM-SHATIN in - 配置前缀过滤：prefix-list MY-PREFIX seq 5 permit 203.0.113.0/24，配合route-map拒绝非授权前缀。

5. 切换前的预演（Dry Run）与验证命令

- 在维护窗口前做预演：在本地lab或在非生产接口上模拟对端，执行neighbor建立，观察BGP state。 - 常用验证命令：show ip bgp summary、show ip bgp neighbors 203.0.113.1、show route-map、show ip prefix-list、traceroute -m，确认AS PATH/next-hop。 - 使用线上/第三方监测（BGPlay、BGPView、RIPE/Routeviews）查看路由可见性。

6. 实际切换步骤（推荐顺序）

- 1) 在维护窗口开始前再次通知对端并确认。 - 2) 在本端暂时降低BGP出口路由优先或使用preference/weight调整，使流量逐步引导到新链路（可先做流量分流）。 - 3) 在路由器上新增对等并激活对端配置（按模板添加neighbor）。 - 4) 观察BGP state转为ESTABLISHED，确认接收的路由（show ip bgp neighbor）。 - 5) 下发你的前缀（soft-reconfig出站或clear ip bgp soft out），确认对端是否学到并向外发布。 - 6) 逐步切换流量：更新本地LSR/策略路由或BGP weight，将主流量切换至沙田。

7. 切换后的验证与监控

- 立刻执行：ping/traceroute到关键目的地、mtr查看丢包与延迟。 - 检查全球可见性：使用BGP Looking Glass或routeviews确认你的前缀从多个位置可达。 - 监控24-72小时：流量曲线、丢包率、延迟、BGP会话稳定性（up/down事件）、BFD状态（如启用）。

8. 回滚方案与常见问题处理

- 回滚准备：保留旧链路配置，记录回滚命令（例如：撤销新neighbor并恢复旧weight/route-policy）。 - 常见问题处理：若BGP无法建立，检查MD5/AS/对端IP/ACL与MTU；若前缀未广播，检查prefix-list/route-map是否误拦截；若流量异常，检查next-hop和NAT策略。

9. 完成迁移后的后续工作与优化

- 在确认稳定后与对端确认并正式关闭旧链路（如需）。 - 优化：启用BFD缩短故障检测、调整route-map做流量工程、设置社区标签以便上游更好地传播。 - 文档化：更新网络文档、IP/ASN记录、维护手册与变更单。

问：迁移需要停机多长时间？

答：通常在做好预演与BGP预先配置的条件下，实际可达切换时间可控制在几分钟到半小时内（主要取决于路由收敛与上游传播）。建议预留1-2小时作为维护窗口以应对意外并执行回滚。

问：如果对端要求MD5校验或BFD，如何配置？

答：MD5在Cisco上使用neighbor password ，在Huawei上使用peer password cipher 。BFD需双方同时开启并在接口或BGP neighbor下绑定，确认双方timers一致（如50ms/3次）。实施前与对端协商参数并在测试环境验证。

问：如何确认我的前缀在互联网上已经可达？

答：使用多点验证：本地traceroute/mtr确认路径；访问RIPE/Routeviews/BGP Looking Glass查询你的前缀是否被各大路由器学习；使用第三方监测（如bgp.he.net、bgpview.io）查看全球可见性并记录AS PATH。