路由故障：ACL未指定VPN实例导致网管失效

VPN是通过因特网建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。使用这条隧道可以对数据进行几倍加密达到安全使用互联网的目的。

下面让我们看看ACL未指定VPN导致网管失效是怎样解决的。

网络环境

如图所示，在网络中配置网管业务，通过DMS对NE20E进行管理。

网管组网图

配置完成后，原来DMS对NE20E可以进行网络管理，但是配置SNMP读写团体名ACL控制后，在DMS上添加该NE20E失败，导致DMS无法对该设备进行网络管理。

故障分析

步骤 1     在NE20E上执行display this，查看读写团体名ACL。

显示信息如下：

snmp-agent  
 
snmp-agent local-engineid 3534583904852908502938409203  
 
snmp-agent community read  pub acl 2000  
 
snmp-agent community read  public  
 
snmp-agent community write  >evf;rf acl 2000  
 
snmp-agent sys-info contact R &D Beijing,Huawei Technologies co.,Ltd.  
 
snmp-agent sys-info version v3 

步骤 2     在NE20E上执行ping 10.52.135.40，确认返回信息正常。

步骤 3     在NE20E上执行undo acl number 2000，DMS又可以对NE20E进行网络管理。

步骤 4     在NE20E上执行debugging snmp-agent header，开启数据包头信息调试。

步骤 5     在NE20E上执行debugging snmp-agent packet，开启数据包信息调试。

步骤 6     在NE20E上执行debugging snmp-agent process，开启SNMP数据包处理过程调试。

步骤 7     在NE20E上执行debugging snmp-agent trap，开启告警调试。

输出调试信息如下：

Apr  9 2008 21:26:22 NE20-NN %%01SNMP/4/SNMP_FAIL(l): Login through SNMP failed(ip=10.52.135.40 times=1).  
 
*0.447064816 NE20-NN SNMP/7/V12HEADERS:  
 
Incoming SNMPv2c packet  
 
community name:public  
 
*0.447064816 NE20-NN SNMP/7/PACKETS_SRC:Packet received from 10.52.135.40<nms> via UDP 

可以确定由于网管通过SNMP登陆NE20E失败，导致网管无法添加NE20E。

步骤 8     从DMS接口配置上看，DMS与NE20E进行通信的IP地址10.52.135.40接口配置为：

interface GigabitEthernet0/0/1.135  
 
vlan-type dot1q 135  
 
description ***MaintenanceVLAN  
 
ip binding vpn-instance nms  
 
ip address 10.52.135.61 255.255.255.224  
 
traffic-policy assign_mpls_exp_nms inbound 

依据ACL的rule规则，在不指定VPN-instance时，只对公共报文进行处理。在本案例的规则中，只允许公共报文中符合源为10.52.135.40的报文通过，而实际10.52.135.40的网管报文是从VPN实例NMS与NE20进行通信。问题确认。

----结束

处理步骤

在NE20E上执行以下操作：

步骤 1     执行命令system-view，进入系统视图。

步骤 2     执行命令acl number 2000，进入ACL视图。

步骤 3     执行命令rule 0 permit vpn-instance nms source 10.52.135.40 0，允许VPN实例通过。

步骤 4     执行命令rule 10 deny，禁止其他来源。

步骤 5     执行命令return退回到用户视图，执行命令save，保存对配置的修改。

----结束

指定相应的VPN实例名NMS进行报文过滤后，DMS可以对该NE20E正常管理，故障排除。

案例总结

在配置网管添加设备时，如果需要配置SNMP读写团体名ACL，应该注意DMS服务器是否从VPN实例访问设备。

服务器租用/服务器托管中国五强！虚拟主机域名注册顶级提供商！15年品质保障！--亿恩科技[ENKJ.COM]