HM-042 路由策略与引入(V5.1)

,38,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,杭州华三通信技术有限公司,HM-042,路由策略与引入,ISSUE 5.1,日期：,杭州华三通信技术有限公司 版权所有，未经授权不得使用与传播,叙述,IP,路由策略的原理,配置路由策略和引入,路由策略的监控和维护,路由策略应用,课程目标,学习完本课程，您应该能够：,IP,路由策略概述,路由策略和引入配置方法,路由策略应用示例,目录,路由策略的作用,过滤路由信息,发布路由信息时只发送部分信息,接收路由信息时只接收部分信息,进行路由引入时引入满足特定条件的路由信息,设置路由协议引入的路由属性,策略相关的五种过滤器,路由策略（,route-policy,）,设定匹配条件，属性匹配后进行设置，由,if-match,和,apply,字句组成,访问列表（,acl,）,用于匹配路由信息的目的网段地址或下一跳地址，过滤不符合条件的路由信息,前缀列表（,ip,-prefix,）,匹配对象为路由信息的目的地址或直接作用于路由器对象（,gateway,）,自治系统路径信息访问列表（,as-path-,acl,）,仅用于,BGP,协议，匹配,BGP,路由信息的自治系统路径域,团体属性列表（,community-list,）,仅用于,BGP,协议，匹配,BGP,路由信息的自治系统团体域,（,1,）路由策略（,Routing policy,）,用于匹配给定路由信息的某些属性，并在这些条件匹配后对该路由信息的某些属性进行设置。一个,routing policy,由一组,if-match,和,apply,子句组成，,if-match,子句定义匹配准则， 也就是通过当前,routing policy,所需满足的过滤条件，匹配对象是所给路由信息的一些属性；,apply,子句指定动作，也就是在满足由,if-match,子句指定的过滤条件后执行的操作,（,2,）访问控制列表（,Access list,）,访问控制列表分为标准型的访问列表（,Standard Access list,）,和扩展型的访问列表（,Extended Access list,）,两种。,用于路由信息过滤时，一般使用扩展访问控制列表，用户在定义访问列表时指定一个,IP,地址的网段范围，用于匹配路由信息的目的网段地址或下一跳地址，过滤不符合条件的路由信息。若使用标准访问控制列表，则只用其源地址匹配域匹配路由信息的目的网段地址域而忽略扩展访问控制列表中指定的用于匹配数据包目的地址的,IP,地址范围,(3),前缀列表（,Prefix-list,）,前缀列表的作用类似于访问控制列表，当用于路由信息过滤时，访问控制列表的命令行会让用户难以理解，因为它用的是包过滤的格式，而前缀列表比它更为灵活和易于为用户理解。在应用于路由信息的过滤时，其匹配对象为路由信息的目的地址信息域；,它的另一种应用直接作用于路由器对象，使本地路由协议只能接收某些特定路由器发布的路由信息，这些路由器的地址必须通过前缀列表的过滤，在这种情况下，前缀列表的匹配对象为路由信息包,IP,报头的源地址。,(4),自治系统访问控制列表（,As-path,）,自治系统路径信息访问列表仅用于,BGP,协议。,BGP,协议的路由信息包中，包含一自治系统路径域，在,BGP,协议交换路由信息的过程中，路由信息经过的自治系统路径会记录在这个域中。自治系统访问控制列表由,aspath-list-snumber,标识，用户在定义自治系统访问控制列表时指定一个用于匹配路由信息自治系统的,aspath,的正则表达式。,可以使用,aspath,-list,匹配,BGP,路由信息的自治系统路径域，过滤掉不符合条件的路由信息。,(5),团体属性列表（,Community-list,）,团体属性列表也仅用于,BGP,协议中。,BGP,协议的路由信息包中，包含一个团体（,Community,）,属性域，用来标识一个团体，实际上是一种根据路由信息包发往的目的地址将其分组的方法，分组之后就可以对整组路由信息进行发布、接收或重分配等操作。团体属性列表是一种基于团体信息的访问列表，用于,BGP,协议，其匹配对象是,BGP,路由信息的团体属性域。,路由策略与过滤器的关系,在路由引入（,import-route,）时使用rout,e-,policy,route-policy,由一系列的,if-match,子句和,apply,子句组成,匹配,as-path,时使用,as-path-,acl,匹配,community,时使用,community-list,匹配,IP address,时使用,ip,-prefix,和,acl,在路由发布（,export,）和路由接收（,import,）时使用地址前缀列表（,ip,-prefix,）和,acl,接收时：,ip,-prefix,、,acl,和,gateway,（特定路由器）,发布时：,ip,-prefix,和,acl,IP,路由策略概述,路由策略和引入配置方法,路由策略应用示例,目录,路由策略配置任务列表,定义路由策略（,route-policy,）,定义路由策略的,if-match,子句,定义路由策略的,apply,子句,引入其他协议的路由信息,定义地址前缀列表,ip,-prefix,配置路由过滤,路由策略配置任务列表,一个,route-policy,下,可以有多个节点，不同的,节点号用,node-number,标识,，不同,node-number,各个部分之间的关系是“或”,的关系,每个节点下可以有多个,if-match,和,apply,子句，,if-match,子句之间是“与”的关系,允许模式：当路由项满足该节点的所有,if-match,子句时被允许通过该节点的过滤并执行该节点的,apply,子句，如路由项不满足该节点的,if-match,子句，该路由策略的下一个节点将被测试,拒绝模式：当路由项满足该节点的所有,if-match,子句时被拒绝通过该节点的过滤，并且不会进行下一个节点的测试,操作,命令,进入路由策略视图,route-policy,route-policy-name,permit,|,deny,node,node-number,删除指定的,Route-policy,undo route-policy,route-policy-name,permit,|,deny,|,node,node-number,定义路由策略的if-match子句,操作,命令,匹配,BGP,路由信息的,AS,路径域,if-match as-path,acl,-number,匹配,BGP,路由信息的团体属性,if-match community,standard-community-number,whole-match, |,extended-community-number,匹配路由信息的目的地址,if-match,acl,acl,-number,|,ip,-prefix,ip,-prefix-name,匹配路由信息下一跳接口,if-match interface,interface-type number,匹配路由信息的下一跳,if-match,ip,next-hop,acl,acl,-number,|,ip,-prefix,ip,-prefix-name,匹配路由信息的路由权值,if-match cost,value,匹配,OSPF,路由信息的标记域,if-match tag,value,定义路由策略的,apply,子句,操作,命令,在,BGP,路由信息的,as-path,系列前加入指定的,AS,号,apply as-path,as-number-1,as-number-2,as-number-3,. ,在,BGP,路由信息中设置团体属性,apply community, ,aa:nn,|,no-export-,subconfed,|,no-advertise,|,no-export, ,additive, |,additive,|,none,设置路由信息的下一跳地址,apply,ip,-address,default, ,next-hop,ip,-address,ip,-address, |,acl,acl,-number,设置引入路由到,IS-IS,的级别：,level-1,、,level-2,还是,level-1-2,apply,isis,level-1,|,level-2,|,level-1-2,设置,BGP,路由信息的本地优先级,apply local-preference,localpref,设置路由信息的路由权值,apply cost,value,设置路由信息的路由权类型,apply cost-type,internal,|,external,设置,BGP,路由信息的路由源,apply origin,igp,|,egp,as-number,|,incomplete,设置,OSPF,路由信息的标记域,apply tag,value,路由策略的执行规则,Route-,policy,aaa,seq1,seq2,seq3,match att1,match att2,match att3,match att4,match att5,match att6,根据,seq1,的,apply,子句进,行属性设置,通过,seq1,的所有,If-match,子句,Y,N,通过,seq2,的所有,If-match,子句,根据,seq2,的,apply,子句进,行属性设置,通过该,Route-policy,Y,通过该,Route-policy,通过,seq3,的所有,If-match,子句,根据,seq3,的,apply,子句进,行属性设置,通过该,Route-policy,Y,通不过该,Route-policy,N,N,AS,正则表达式,字符,符号 （特殊意义）,句号,.,（匹配任意单字符）,星号,*,（匹配模式中,0,或更多的序列）,加号,+,（匹配模式中,1,或更多的序列）,问号,？（匹配模式,0,或,1,次出现）,加字符,（匹配输入字符串的开始）,美元符,$,（匹配输入字符串的结束）,下划线,_,（匹配逗号，括号，字符串的开始和结束，空格）,方括号, ,（表示一个单字符模式的范围）,连字符,-,（把一个范围的结束点分开）,举例,例如：,(1):AS300,始发的路径,- _300$,(2):AS300,相邻的,AS,自治系统,- 300_,(3):,所有,AS - .*,(4):,经过,AS100,的路径,- _100_,路由引入,引入其它协议路由,路由协议可以通过引入其它协议路由信息的方式来共享对方的路由信息，在引入其它协议路由信息时，可以通过对一个路由策略的引用过滤掉不期望的路由信息，实现有选择的引入。,进行引入操作的目的路由协议的路由权值与被引入的源路由协议的路由权值一般不能相互转换，这时就需要为引入的路由指定一个路由权值。,路由引入配置,protocol,指定可引入的源路由协议，根据在不同视图下配置,目前包括,direct,、,static,、,rip,、,isis,、,bgp,、,ospf,、,ospf-ase,、,ospf-nssa,等,操作,命令,RIP,引入其它协议的路由,import-route,protocol,allow-,ibgp, ,cost,value, ,route-policy,route-policy-name,OSPF,引入其它协议的路由,import-route,protocol,allow-,ibgp,cost,value, ,type,1,|,2, ,tag,value, ,route-policy,route-policy-name,ISIS,引入其它协议的路由,import-route,protocol, allow-,ibgp,cost,value,type,external,|,internal,level-1,level-1-2, ,level-2, ,route-policy,route-policy-name,BGP,引入其它协议的路由,import-route,protocol,process-id, ,med,med, ,route-policy,route-policy-name,定义地址前缀列表,一个地址前缀列表（,IP Prefix list,）,由列表名标识，可以分为几个部分，由,sequence-number,指定这几个部分的匹配顺序，在每个部分中，用户可以独立指定一个网络前缀形式的匹配范围。,在匹配的过程中，不同,sequence-number,的各个部分之间的关系是“或”的关系，即路由信息依次匹配各个部分，通过地址前缀列表的某一部分，就意味着通过整个地址前缀列表的过滤。,定义地址前缀列表,不同,sequence-number,的各个部分之间的关系是“或”的,关系，通过,ip,-prefix,的某一部分，就意味着通过整个,ip,-prefix,的过滤,操作,命令,定义地址前缀列表,ip,ip,-prefix,ip,-prefix-name,index,index-number, ,permit,|,deny,network,len,greater-equal,greater-equal,|,less-equal,less-equal,取消地址前缀列表,undo,ip,ip,-prefix,ip,-prefix-name,index,index-number,|,permit,|,deny,前缀列表（,ip,-prefix,）配置举例,#,定义一条名称为,p1,的地址前缀列表，只允许,10.0.192.0/8,网段的，掩码长度为,17,或,18,的路由通过。,Quidway,ip,ip,-prefix p1 permit 10.0.192.0 8 greater-equal 17 less-equal 18,上面的掩码长度,8,可以看做一个大的范围，即,10.0.0.0/8,；后面的掩码长度大于,17,小于,18,则表示一个较小的范围，因此实际匹配的网段为：,10.0.128.0/17,或,10.0.192.0/18,配置路由过滤,在某些情况下，可能要求只发布或引入某些满足条件的路由信息以阻止邻居路由器得知某些路由，可利用路由策略中对地址前缀列表或访问列表的引用来实现对路由信息的过滤。,请在,RIP,视图、,OSPF,视图或,BGP,视图下进行下列配置,配置路由过滤,操作,命令,配置对接收的指定地址发布的路由信息进行过滤,filter-policy gateway,ip,-prefix-name,import,取消对接收的指定地址发布的路由信息进行过滤,undo filter-policy gateway,ip,-prefix-name,import,配置对接收的全局路由信息进行过滤,filter-policy,acl,-number,|,ip,-prefix,ip,-prefix-name, gateway import,取消对接收的全局路由信息进行过滤,undo filter-policy,acl,-number,|,ip,-prefix,ip,-prefix-name, gateway import,路由策略的监控与维护,操作,命令,查看,Route-policy,display route-policy,route-policy-name,查看,BGP,中,AS,过滤的路径信息,display,ip,as-path-,acl,aspath-acl-number,查看地址前缀列表信息,display,ip,ip,-prefix,ip,-prefix-name,查看指定,BGP,团体的路由信息,display,bgp,multicast,| ,vpnv4,all,|,route-distinguisher,route-distinguisher,|,vpn,-instance,vpn,-instance-name, ,routing-table community,aa:nn,|,internet,|,no-export-,subconfed,|,no-advertise,|,no-export,whole-match,显示配置的访问控制列表规则,display,acl,all,|,acl,-number,IP,路由策略概述,路由策略和引入配置方法,路由策略应用示例,目录,路由策略应用示例（一,）,10.1.0.0/16 S1/1,10.2.0.0/16 S1/0,11.1.0.0/16 E0/0,192.0.1.2/24,192.0.1.1/24,RTA,RIP,RTB,Route-policy,10.1.0.0/16,要求把三条静态路由中的,10.1.0.0,下一跳为,V0,口的路由信息,引入,RIP,并以,cost,为,4,通告,RB,配置,RA,Quidway,ip,ip,-prefix p1 permit 10.0.0.0/8,Quidway, rip,Quidway, Route-policy r1 permit 10,Quidway, if-match,ip,address,ip,-prefix p1,Quidway, if-match interface v0,Quidway, apply cost 4,Quidway,-rip import-route static route-policy r1,路由策略应用示例（二）,1.,组网需求,本例说明了,RIP,协议有选择地发布路由信息的情况。路由器连接了校园网,A,和校园网,B,，,都它们都使用,RIP,作为内部路由协议，路由器仅将校园网,A,中的,192.1.1.0/24,和,192.1.2.0/24,两个网段的路由发布到校园网,B,中去。为实现这一功能，路由器上的,RIP,协议使用一条,filter-policy,命令过滤发布的路由信息，通过对一个地址前缀列表的引用来实现对由路发布路由进行过滤的功能。,校园网,A,校园网,B,192.1.10.0 e0/0,2,02.1.1.0,e0/1,路由策略应用示例（二,）,校园网,A,校园网,B,192.1.10.0 e0/0,2,02.1.1.0,e0/1,#,配置地址前缀列表,Quidway,ip,ip,-prefix p1 permit 192.1.1.0/24,Quidway,ip,ip,-prefix p1 permit 192.1.2.0/24,#,配置,RIP,协议,Quidway,rip,Quidway-rip,network,192.1.0.0,Quidway-rip,network,202.1.1.0,Quidway-rip,filter-policy,ip,-prefix p1 export,路由策略应用示例（三）,S1/0:192.0.1.1/24,RTB,RTC,RTA,S1/1:192.0.2.1/24,S1/0:192.0.2.2/24,S1/0:192.0.1.2/24,E0/0:192.0.3.1/24,E0/0:192.0.4.1/24,希望,RTB,只,接收,RTC,传来的路由,而不接收,RTA,传来的路由,配制步骤,RouterB,ip,ip,-prefix p1 permit 192.0.2.0/24,RouterB, rip,RouterB,-rip,network 192.0.1.0,RouterB,-rip,network 192.0.2.0,RouterB-rip,filter-policy,gateway p1 import,路由策略应用示例（四）,组网需求,Router A,与,Router B,通信，链路层封装,PPP,协议，都运行,OSPF,协议。,Router A,从以太网引入三条静态路由。,通过在,Router B,上配置路由过滤规则，使接收到的三条静态路由部分可见，部分被屏蔽掉；,20.0.0.0,和,40.0.0.0,网段的路由是可见的，,30.0.0.0,网段的路由则被过滤掉了。,路由策略应用示例（四,）,area0,ID:1.1.1.1,ID:2.2.2.2,S0/0,S0/0,static,20.0.0.1,30.0.0.1,40.0.0.1,static,20.0.0.1,40.0.0.1,Filter-policy,OSPF,RTA,RTB,配置步骤,(1),配置路由器,Router A,#,配置静态路由,RouterA,ip,route-static 20.0.0.1 32,ethernet,0,RouterA,ip,route-static 30.0.0.1 32,ethernet,0,RouterA,ip,route-static 40.0.0.1 32,ethernet,0,#,启动,OSPF,协议。,RouterA,router,id 1.1.1.1,RouterA,ospf,enable,#,引入静态路由,RouterA-ospf,import-route,static,#,配置接口,Serial0,的,IP,地址，封装,PPP,协议，指定该接口所属区域号。,RouterA-ospf,interface,serial 0,RouterA-Serial0,link-protocol,ppp,RouterA-Serial0,ip address 10.0.0.1 255.0.0.0,RouterA-Serial0,ospf enable area 0,配置步骤,配置路由器,Router B,#,配置访问控制列表,RouterB,acl,1,RouterB-acl-1,rule deny source 30.0.0.0 255.255.255.0,RouterB-acl-1,permit any,RouterB-acl-1,quit,#,启动,OSPF,协议，指定该接口所属区域号。,RouterB,router,id 2.2.2.2,RouterB,ospf,enable,#,配置,OSPF,对接收的外部路由进行过滤,RouterB-ospf,filter-policy,1 import,#,配置接口,Serial0,的,IP,地址，封装,PPP,协议，指定该接口所属区域号。,RouterB-ospf,interface,serial 0,RouterB-Serial0,link-protocol,ppp,RouterB-Serial0,ip address 10.0.0.2 255.0.0.0,RouterB-Serial0,ospf enable area 0,本章介绍了,IP,路由策略的作用、配置方法，并给出了几个应用示例,通过路由策略控制路由的接收、发布、引入的方法，实现对路由的优化,本章总结,