Cisco 300-410: 多點傳播路由與分發 — 學習指南

By Laurynas Brazys · 18 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

屬於 Cisco CCNP Enterprise 300-410 ENARSI — 學習指南. 使用經過驗證的解答練習： Cisco 考試中心, 或參加限時模擬考試： ExamRoll.io.

總覽

多點傳播路由 (Multicast routing) 將單一資料流從一個或多個來源傳遞至多個接收者，並在網路中的分支點進行有效率的複製。正確的運作取決於群組定址與接收者成員資格信令 (IGMP)、用於建立分發樹 (distribution trees) 的多點傳播路由協定 (PIM)，以及對邊界、RP 和策略的謹慎控制。設計時必須在收斂速度、狀態規模、彈性與簡易性之間取得平衡，同時避免常見的故障模式，例如反向路徑轉送 (Reverse Path Forwarding, RPF) 違規、RP 黑洞，或因窺探 (snooping) 問題引起的 L2 泛洪。

定址、IGMP 與 Layer-2 互動

• 定址與範圍：

  • 224.0.0.0/4 是 IPv4 多點傳播範圍。
  • 224.0.0.x 是鏈路本機 (link-local) (永不路由)，用於控制協定。
  • 239.0.0.0/8 是管理範圍 (administratively scoped)；通常在網域邊界受到限制。
  • MAC 映射使用 01:00:5e:0/25 加上群組位址的低 23 位元；別名 (aliasing) 可能導致多個群組共用一個 MAC 位址，因此 L2 過濾依賴 IGMP snooping，而不僅僅是 MAC 位址。

• IGMP 接收者成員資格：

  • IGMPv1：基本的加入請求，沒有明確的離開訊息；修剪 (prune) 速度慢。
  • IGMPv2：新增了離開 (Leave) 與特定群組/最後成員查詢 (Group-Specific/Last-Member queries)；查詢器 (querier) 選舉 (IP 位址最低者)。
  • IGMPv3：支援來源過濾的包含/排除 (Include/Exclude) 清單；是 Source-Specific Multicast (SSM) 的必要條件。
  • 查詢器行為：在一個 VLAN 中，必須有且僅有一個查詢器定期傳送查詢以維持成員資格狀態。如果沒有路由器的 L3 介面，應在交換器上啟用 IGMP snooping 查詢器，以防止群組老化和流量泛洪。

• IGMP snooping (L2)：

  • 交換器檢查 IGMP 訊息，將多點傳播流量限制在接收者埠，並識別路由器 (mrouter) 埠。偵測方式使用 PIM Hellos、IGMP 查詢或 mrouter 埠的靜態設定。
  • 故障模式：
    • 不存在查詢器：snooping 表老化，流量泛洪或被丟棄。
    • 啟用 Snooping 但沒有 mrouter 埠：接收者可以加入群組，但資料在 L2 被阻擋；需在 SVI 上設定 PIM 或靜態定義一個 mrouter 埠。
    • IGMPv3 與 SSM：確保 snooping 支援 v3 和 SSM；版本不一致可能導致非預期的泛洪或丟包。

簡短實用範例：

• 在路由器介面上啟用 PIM 和 IGMP v3：
  • interface vlan 10 ip pim sparse-mode ip igmp version 3
• 當不存在 L3 閘道時，在交換器端設定 L2 查詢器：
  • ip igmp snooping querier
  • ip igmp snooping vlan 10 querier address 10.10.10.2

PIM 模式、樹與 RPF 行為

• PIM Dense Mode (PIM-DM)：

  • 泛洪與修剪 (Flood-and-prune)：初始時泛洪流量；若下游沒有接收者則進行修剪；定期刷新狀態。
  • 優點：簡單，無需 RP。
  • 缺點：通訊頻繁 (chatty)，在整個網域內擴展性不佳；僅適用於小規模、接收者密集的區段。

• PIM Sparse Mode (PIM-SM)：

  • 使用一個會合點 (Rendezvous Point, RP) 來建立共享樹 (*,G)。來源向 RP 註冊；接收者向 RP 傳送加入請求。
  • 註冊訊息：第一跳路由器 (First-Hop Router, FHR) 將資料封裝後傳送給 RP (Register)。一旦原生轉送建立，RP 可能會回覆 Register-Stop 訊息。
  • 最短路徑樹 (SPT) 切換：接收者的 DR (指定路由器) 可以直接加入來源 (S,G) 以優化路徑。可透過 ip pim spt-threshold {kbps | infinity} 指令控制。infinity 會強制流量保留在共享樹上。

• Sparse-Dense Mode：

  • 按群組模式：如果存在 RP 映射，則以 sparse-mode 運作；否則以 dense-mode 運作。歷史上用於在 RP 未知前引導 Auto-RP。現代設計偏好使用 BSR 或靜態 RP 的純 sparse-mode。

• Source-Specific Multicast (SSM)：

  • 取消了 RP 和共享樹；接收者使用 IGMPv3 Include 直接發出 (S,G) 加入信號。建議用於大規模的一對多串流應用。
  • 定義 SSM 範圍 (通常為 232.0.0.0/8)：ip pim ssm range 232.0.0.0/8
  • 對於舊版的 IGMPv2 主機，可透過存取清單 (access lists) 使用 SSM 映射將 (G) 請求轉換為 (S,G)。

• RPF 檢查：

  • 每個 (S,G) 或 (*,G) 狀態都會根據 MRIB (通常是 unicast RIB/CEF) 來驗證上游介面。不匹配會導致流量被丟棄 (傳入 RPF 失敗)。
  • 常見原因：
    • 非對稱的單點傳播路由，或 ECMP 的選擇與 PIM 鄰居不符。
    • 缺少到來源或 RP 的路由，或存在遞迴至 Null0 的路由。
    • VRF 洩漏錯誤或錯誤的 VRF 查詢。
  • 工具：show ip rpf <source>, show ip mroute, show ip cef <source>
  • 緩解措施：修正單點傳播路由，在 LAN 環境中使用 ip pim dr-priority 偏好特定鄰居，為控制平面設定靜態 mroute，或在需要時使用 ip pim neighbor-filtering。

操作細節：

• DR 選舉：在每個多重存取網路上進行 (PIM DR 優先級最高者勝出，其次是 IP 位址最高者)。
• PIM Assert：在多重存取網路上用來為一個 (S,G) 流量選擇單一的轉送器轉送到 LAN (到來源的度量值最低者勝出；決勝標準為 IP 位址最高者)。不正確的度量值可能導致重複抑制或黑洞。

會合點 (Rendezvous Points)：靜態 RP、Auto-RP、BSR、Anycast RP 搭配 MSDP

• RP 的角色：

  • 在 PIM-SM 中，作為群組探索與共享樹形成的控制平面根節點。
  • 對於來源 (透過 FHR 註冊) 和接收者 (透過 joins) 都必須是可達且 RPF 正確的。

• RP 選項：

  • 靜態 RP (Static RP)：

undefined

。具確定性、簡單，但除非與 Anycast RP 結合，否則會是單點故障。

• Auto-RP：候選 RP (Candidate-RPs) 向 224.0.1.39 發布通告；RP 映射代理 (RP-mapping agent) 向 224.0.1.40 進行宣告。在啟動 (bring-up) 期間需要 sparse-dense 模式或獨立的引導 (bootstrap) 程序。容易在跨網域時被過濾；需確保邊界允許通過或使用 filter-autorp。

• Bootstrap Router (BSR)：PIMv2 的整合機制；候選 RP (Candidate-RPs) 和一個 BSR 建立 RP 集合 (RP-set) 與映射。比 Auto-RP 更穩健；建議用於新的部署環境。

• Anycast RP 搭配 MSDP：

  • 多個 RP 共享相同的 loopback IP；IGP 會通告最近的 RP。RP 之間的 MSDP 對等體 (peering) 會交換來源活動 (Source-Active, SA) 訊息，以便所有 RP 都能學習到活動中的來源。
  • 設計實務：
    • 使用 MSDP 網狀群組 (mesh-groups) 來減少 SA 訊息的泛洪。
    • 將 Anycast RP 的 loopback 保留在 IGP 中，並維持一致的策略與 RPF 正確性。
    • 使用 ip pim accept-register list <acl> 保護 RP，以限制哪些來源可以進行註冊。
  • 故障模式：
    • MSDP 中斷：所有 RP 都無法學習到遠端的來源；靠近被隔離 RP 的接收者會遭遇流量黑洞 (blackhole)，直到故障轉移 (failover) 完成。
    • 到達 Anycast loopback 的 IGP 路徑非對稱：接收者加入的 RP 與 FHR 註冊的 RP 不同，這會造成延遲，直到 SA 訊息傳播完成為止。

• SSM 與 RP 的比較：

  • SSM 完全避免了 RP 的複雜性，從而減少了控制平面的狀態 (state) 和故障域 (failure domains)。對於能夠進行來源信令 (source signaling) 的新應用程式，應優先採用 SSM。

策略、邊界、VRF、通道與廣域網路考量

• 邊界控制與群組策略：

  • 使用介面群播邊界來限制管理範圍與不想要的群組：
    • interface ip multicast boundary 10
    • ip access-list standard 10 deny 239.0.0.0 0.255.255.255 permit any
  • 在需要的地方過濾 Auto-RP 訊息：ip multicast boundary 20 filter-autorp
  • 限制哪些來源可以向 RP 註冊：
    • ip pim accept-register list RP-SOURCES
  • 對 232/8 強制執行僅限 SSM 的策略，以避免對 RP 的依賴。

• 跨 VRF 的群播：

  • 啟用每個 VRF 的群播功能：ip multicast-routing vrf ，並在 VRF 介面上設定 PIM。
  • 每個 VRF 都有自己的 PIM 鄰居關係、RPF 查詢，以及可能不同的 RP/SSM 範圍。
  • VRF 間的群播需要一個承載機制（例如，MPLS 上的 mVPN、VRF 之間的專用 GRE，或融合路由防火牆）。簡單的路由洩漏不足以進行資料平面的複製。

• 通道與廣域網路傳輸：

  • 原生的 IPsec 無法承載群播；使用 GRE over IPsec（或 DMVPN mGRE）來傳輸 PIM 與群播資料。
  • 在通道介面上設定 PIM，以便在覆蓋網路上形成樹狀結構。範例：
    • interface Tunnel10 ip address 10.0.10.1 255.255.255.0 tunnel source Gig0/0 tunnel destination 198.51.100.1 ip pim sparse-mode
  • 在 DMVPN 上，於 mGRE 通道啟用 PIM。考慮使用 ip nhrp shortcuts 來優化單點傳播路徑；群播會遵循 PIM 樹，與 NHRP 無關，但能從 spoke-to-spoke 通道中獲益。
  • 在供應商的 MPLS 網路上，使用 mVPN 進行可擴展的複製；或者如果供應商缺乏群播功能，則在客戶站點之間使用 GRE-over-WAN。

• 廣域網路與 NBMA 的權衡取捨：

  • 在 NBMA 上使用 Dense-mode 會導致不必要的複製；應使用 Sparse-mode 或 SSM。
  • 在低頻寬鏈路上透過 spt-threshold 控制 SPT 切換，以最小化次佳但對頻寬友善的共享樹。
  • 驗證通道沿線的 MTU，以避免 PIM register 封裝被丟棄。

• 驗證與故障排除工作流程：

  • 接收端邊緣：show ip igmp groups、show ip igmp interface；確認查詢器與版本。若有需要，可在測試介面上使用 ip igmp join-group 。
  • PIM 鄰居關係：show ip pim neighbor；模式不匹配或 ACL 過濾器可能會阻擋 Hello 封包。
  • RP 狀態：show ip pim rp mapping；驗證群組到 RP 的選擇；使用 show ip msdp sa-cache 檢查 MSDP。
  • 樹狀結構與轉送：show ip mroute [G | S G] 查看傳入介面 (RPF) 與傳出介面 (OIL)。尋找旗標 (S, J, T, R) 以指示 SPT/共享/註冊狀態。
  • RPF：show ip rpf <S 或 RP>；修正單點傳播路由或靜態群播路由。
  • 資料路徑：使用 mtrace 或應用程式層級的測試；擷取 IGMP 報告、PIM Join/Prune、Register 封包。
  • 常見的修正方法：在 L2 恢復查詢器、修正 RP 的可達性、對齊 SSM 範圍與 IGMPv3 支援，以及調整 spt-threshold 以符合鏈路使用率。

實務問題情境

Contoso Media 營運三個園區，透過一個不原生支援群播的 IPsec WAN 連接。他們必須將一個 6 Mbps 的即時視訊串流從資料中心的編碼器 (10.10.10.50) 傳送到所有園區 VLAN 120 中的接收者，同時防止群播洩漏到其他 VLAN 並確保 RP 的彈性。

方法：

1. 在資料中心 hub 與每個園區之間，於 IPsec 之上透過 GRE 傳輸群播。

   • 理由：單獨的 IPsec 無法封裝群播；GRE 保留了群播與 PIM 控制封包。Hub-and-spoke 簡化了初始部署與 PIM 鄰居關係的形成。

2. 在所有 LAN 與 GRE 通道介面上執行 PIM sparse-mode；在接收者 VLAN 上啟用 IGMPv3。

   • 理由：Sparse-mode 對於接收者稀疏的群組具有良好的擴展性。IGMPv3 允許未來遷移至 SSM，並確保主機有正確的來源過濾行為。

3. 在 hub 的兩台核心路由器上使用 loopback 172.16.255.254 部署 Anycast RP；並在它們之間建立 MSDP。

   • 理由：Anycast RP 提供確定性的最近 RP 選擇及 RP 備援。MSDP 同步活躍來源的資訊，因此若其中一台 RP 故障，另一台仍可服務接收者。

4. 將部署限制在管理範圍內的群組，並僅允許該編碼器作為有效的註冊來源。

   • 理由：此策略減少了攻擊面與意外的洪水攻擊。使用 239.1.1.10 作為串流群組；應用 ip pim accept-register 將來源限制為 10.10.10.50。

5. 透過應用群播邊界，防止群播無意中離開接收者 VLAN 或跨越園區邊界。

   • 理由：在 SVI 上使用 ip multicast boundary ACLs 可以阻止不想要的群組以及不需要的 Auto-RP/BSR 控制流量，從而強制執行範圍限制並減少不必要的通訊。

6. 控制 SPT 切換以節省 WAN 頻寬，方法是讓流量在跨 GRE 通道的共享樹上傳輸。

   • 理由：在園區 DR 上設定 spt-threshold infinity，這樣 join 請求會一直指向 hub 的 RP；園區內的 LAN 仍可根據需要切換到 SPT，在效率與 WAN 頻寬節省之間取得平衡。

7. 在沒有 L3 SVI 作為查詢器的存取交換器上，透過 IGMP snooping 查詢器來驗證 L2 成員資格。

   • 理由：確保在 L2 維持持續的群組狀態，防止當 snooping 表格老化時，發生不必要的洪水攻擊或群播遺失。

8. 使用核心指令來實施監控與故障修復手冊。

   • 理由：使用 show ip pim neighbor 檢查鄰居關係，show ip pim rp mapping 驗證 Anycast RP，show ip msdp sa-cache 確認來源通告，show ip mroute 239.1.1.10 查看樹狀結構狀態，以及 show ip rpf 10.10.10.50 驗證上游路徑。這能加速對 RPF 故障、RP 可達性問題或 snooping 設定錯誤的故障隔離。

簡要設定重點：

• 定義 SSM 範圍以供未來成長：
  • ip pim ssm range 232.0.0.0/8
• 在每個核心路由器上設定 Anycast RP 與 MSDP：
  • interface loopback0 ip address 172.16.255.254 255.255.255.255
  • ip pim rp-address 172.16.255.254 239.0.0.0 0.255.255.255
  • ip msdp peer 172.16.255.254 connect-source loopback0 mesh-group RPs
  • ip pim accept-register list ENCODER-SRC
  • ip access-list standard ENCODER-SRC permit 10.10.10.50
• 園區 DR 保留跨 WAN 的共享樹：
  • ip pim spt-threshold infinity

此設計能可靠地跨越非群播的 WAN 傳送視訊串流，將群播限制在預期網域內，並對 RP 故障保持彈性，同時提供清晰的驗證與故障排除操作模型。

← MPLS、VRFs 與第三層 VPN 服務 · 所有領域 · 服務品質與控制層保護 →

練習這些題目 → · 在 ExamRoll.io 上限時練習 →