华为公司使用路由策略44337

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,补充：使用路由策略,2,课程内容,路由策略综述,使用路由策略控制路由引入,基于策略的路由选择,3,路由策略综述, 2004 richedu TECH,4,什么是路由策略,路由策略和访问控制列表非常相似，它们都运行“,ifthen”,的程序语句：声明标准，用来判断某个特定的数据包是否被允许或者禁止。,它们的区别是：路由策略可以改变实体,假如一个数据包匹配了路由策略中给定的标准，就会执行一些操作改变数据包。,在一个访问控制列表中，由,test condition,来匹配数据包，并根据匹配结果决定,permit,或者,deny,。,在一个路由策略中，由,if-match,语句后的,test condition,匹配数据包，并根据匹配结果决定是否执行,apply,语句后的动作。,5,路由策略的特点,路由策略具有一系列标准，用,if-match,语句声明。,路由策略可以用,apply,语句改变匹配的数据包或者路由。,有着相同路由策略名称的路由策略语句集被认为是同一个路由策略。,在同一个路由策略中，每一个路由映射语句都用数字顺序地标注，所以可以进行单独编辑。,路由策略中的一个语句对应着访问列表中的一行，在一个路由策略中指明匹配条件就像在一个访问列表中指明源地址、目标地址和掩码一样。,在路由策略中的语句用来和路由进行比较，以判断是否存在一个匹配。检验语句的顺序就像在访问控制列表中一样，从顶端开始，依次向下。,6,路由策略的特点（,cont,）,应用第一个被发现的匹配路由，并且路由策略不会进一步检验。,If-match,语句用来定义检验的条件。,Apply,语句用来定义假如存在一个匹配，将采取何种行动。,单一的,if-match,语句可以包含多个条件，在,if-match,语句中至少存在一个为“真”的条件，这是一个逻辑“或”。,一个路由策略语句可以包含多个,if-match,语句，路由策略中的所有,if-mtach,语句，对于认为是匹配的路由策略语句，必须认为是“真”，这是一个逻辑“与”。,序列号用于指明检验条件的顺序。,在路由策略末尾有一个隐含的“,deny any”,声明，这个,deny,的后继操作取决于这个路由策略是如何使用的。,7,使用路由策略,控制路由引入, 2004 richedu TECH,8,路由策略配置任务,定义路由策略（,routing policy,）,定义路由策略的,if-match,子句,定义路由策略的,apply,子句,9,定义路由策略,policy-name,：这是路由策略的名称，在使用,import-route,命令时，该名称用于调用路由策略。,seq-number,：节点号，指明一个具有相同名称的新路由策略在路由策略语句系列中的位置。不同,seq-number,各个部分之间的关系是“或”的关系。,每个节点下可以有多个,if-match,和,apply,子句，,if-match,子句之间是“与”的关系。,10,定义路由策略（,cont,）,permit | deny,：,假如满足了匹配条件，并指定了,permit,参数，那么路由就将按照集合行为所定义的那样重分布。,假如匹配标准没有满足，并且指定了,permit,参数，那么接着检验下一个节点。,如果路由没有通过任何一个节点的匹配标准，那么这个路由不会被重分布，因为它遇上了隐含的,deny any,。,如果一个路由策略的匹配标准满足了，并且指定了,deny,参数，那么路由将不会重分布，也不会进入下一个节点进行检验。,11,定义路由策略的,if-match,子句,12,定义路由策略的,apply,子句,13,实例,1,：配置路由策略,192.1.0.0/24,128.2.0.0/16,128.1.0.1,128.1.0.0/16,校园网,地区性网络,路由器连接了一所大学的校园网和一个地区性网络。校园网使用,RIP,作为其内部路由协议，地区性网络使用,OSPF,路由协议，路由器需要将校园网中的某些路由信息在地区性网络中发布。,为实现这一功能，路由器上的,OSPF,协议在引入,RIP,协议路由信息时通过对一个路由策略的引用实现路由过滤的功能。,该路由策略由两个节点组成，实现,192.1.0.0/24,和,128.2.0.0/16,的路由信息以不同的路由权值被,OSPF,协议发布。,14,实例,1,：配置路由策略,#,定义地址前缀列表,Quidway,ip ip-prefix p1 permit 192.1.1.0/24,Quidway,ip ip-prefix p2 permit 128.2.0.0/16,#,配置路由策略,Quidway,route-policy r1 permit 10,Quidway-route-policy,if-match ip address ip-prefix p1,Quidway-route-policy,route-policy r1 permit 20,Quidway-route-policy,if-match ip address ip-prefix p2,Quidway-route-policy,quit,#,配置,OSPF,协议,Quidway,ospf enable,Quidway-ospf,import-route rip route-policy r1,Quidway-ospf,interface ethernet 0,Quidway-Ethernet0,ip address 128.1.0.1 255.255.255.0,Quidway-Ethernet0,ospf enable area 0,15,CASE,路由策略各个节点中至少应该有一个节点定义了,permit,语句。,当一个路由策略用于路由信息过滤时，若某路由信息没有通过任一节点的过滤，则认为该路由信息没有通过该路由策略的过滤。,当路由策略的所有节点都是,deny,语句时，所有路由信息都将不会通过该路由策略的过滤。,地址前缀列表的各个表项中至少应该有一条,permit,语句。,可先定义,deny,语句，以便过先过滤掉那些不符合条件的路由信息。,但若所有语句都是,deny,，则任何路由都不会通过该地址前缀列表的过滤。,16,基于策略的路由选择,policy-based routing,PBR, 2004 richedu TECH,17,策略路由综述,策略路由是一种不经过路由表，根据策略发送、转发报文的机制，它是比根据数据包的目的地址进行路由更为灵活。路由器通过策略路由转发一个数据包时，先通过一个,routing policy,进行过滤，由该,routing policy,决定哪些包将被转发和转发的下一跳路由器。,有两种策略路由：接口策略路由和本地策略路由。前者在接口视图下配置，对来自该接口的报文进行策略路由；后者在系统视图下配置，对本机产生的报文进行策略路由。,18,IP,策略路由配置任务,策略,IP,策略路由配置包括：,创建策略,定义策略路由的,if-match,子句,定义策略路由的,apply,子句,使能,/,禁止本地策略路由,使能,/,禁用接口策略路由,19,IP,策略路由配置,策略路由是由用户配置的，由一组,if-match,子句和一组,apply,子句组成，只有,IP,报文满足策略路由器中的全部,if-match,子句时，才按一定顺序执行策略中的,apply,子句，以达到影响报文转发的效果。,目前提供两种的,if-match,子句为,if-match length,和,if-match ip address,。,apply,子句定义策略的动作。目前有,5,种,apply,子句：,apply ip precedence,，,apply interface,，,apply ip next-hop,，,apply default interface,，,apply ip default next-hop,；,五个子句按优先顺序执行，直到不能继续为止。,20,IP,策略路由决策进程,基于策略的路由选择应用于到来的数据包，当启用基于策略的路由选择的接口上接收到一个数据包的时候，这个数据包就要使用这个进程。,假如存在一个匹配，并且其允许这个路由，那么这个路由按照,apply,命令进行策略路由。,假如存在一个匹配，并且禁止这个路由，那么这个路由就不基于路由策略，而是送回动态路由选择的转发引擎。,假如没有匹配，并且没有为这个时间配置相应的行动，那么默认行为就是禁止该数据包，数据包将退回到路由选择进程中。,如果想把不符合匹配原则的包丢弃而非按正常情况处理的话,就要在,route policy,的最后加上,1,行,apply,语句,:,把那些包路由到黑洞接口。,21,实例,1,：配置基于源地址的策略路由,E0,S1,S0,Internet,10.110.0.0/16,定义策略,aaa,，该策略包括两个节点，使所有,TCP,报文通过串口,1,转发，其它报文通过串口,0,转发。,10,号节点，表示匹配,access list 102,的报文将被发往串口,serial 0,。,20,号节点，表示所有其它报文将被发往串口,serial 1,。,来自,Ethernet 0,的报文将依次试图匹配,10,、,20,号节点的,if-match,子句。若匹配,permit,定义的节点，就执行相应的,apply,子句；若匹配,deny,定义的节点，就退出策略路由处理。,22,定义访问控制列表,Quidway,acl 101,Quidway-acl-101,rule deny tcp source any destination any,Quidway-acl-101,acl 102,Quidway-acl-102,rule permit tcp source any destination any,定义,10,号节点，表示匹配,access ist 102,的报文将被发往串口,serial 1,。,Quidway-acl-101,route-policy aaa permit 10,Quidway-route-policy,if-match ip address 102,Quidway-route-policy,apply interface serial 1,定义,20,号节点，表示所有其它报文将被发往串口,serial 0,。,Quidway-route-policy,route-policy aaa permit 20,Quidway-route-policy,if-match ip address 101,Quidway-route-policy,apply interface serial 0,在以太网口上应用策略,aaa,Quidway-route-policy,interface ethernet 0,Quidway-Ethernet0,ip policy route-policy aaa,实例,1,：配置基于源地址的策略路由,23,实例,2,：配置基于报文大小的策略路由,192.1.1.1 E0,Router A,Router B,S0 150.1.1.1,150.1.1.2 S0,S1 151.1.1.1,151.1.1.2 S1,在,E0,上应用策略,101-1000bytes,64-100bytes,路由器,A,将大小为,64,100,字节的报文从,serial 0,发送；而将大小为,101,1000,字节的报文从,serial 1,发送；所有其它长度的报文均按正常方式路由。,在路由器,A,的,E0,接口上应用,IP,策略路由,lab1,。这个策略将大小为,64,100,字节的报文设置,150.1.1.2,作为下一转发,IP,地址；而将大小为,101,1000,字节的报文设置,151.1.1.2,作为下一转发,IP,地址。所有其它报文都按基于目的地址的路由方法路由。,24,实例,2,：配置基于报文大小的策略路由,配置路由器,Router A,RouterA,interface ethernet 0,RouterA-Ethernet0,ip address 192.1.1.1 255.255.255.0,RouterA-Ethernet0,ip policy route-policy lab1,RouterA-Ethernet0,interface serial 0,RouterA-Serial0,ip address 150.1.1.1 255.255.255.0,RouterA-Serial0,interface serial 1,RouterA-Serial1,ip address 151.1.1.1 255.255.255.0,RouterA-Serial1,quit,RouterA,rip,RouterA-rip,network 192.1.1.0,RouterA-rip,network 150.1.1.0,RouterA-rip,network 151.1.1.0,RouterA-rip,route-policy lab1 permit 10,RouterA-route-policy,if-match length 64 100,RouterA-route-policy,apply ip next-hop 150.1.1.2,RouterA-route-policy,route-policy lab1 permit 20,RouterA-route-policy,if-match length 101 1000,RouterA-route-policy,apply ip next-hop 151.1.1.2,25,实例,2,：配置基于报文大小的策略路由,配置路由器,Router B,RouterB,interface serial 0,RouterB-Serial0,ip address 150.1.1.2 255.255.255.0,RouterB-Serial0,interface serial 1,RouterB-Serial1,ip address 151.1.1.2 255.255.255.0,RouterB-Serial1,quit,RouterB,rip,RouterB-rip,network 150.1.1.0,RouterB-rip,network 151.1.1.0,华为,3Com,技术有限公司,华为,3Com,公司网址,:,.huawei-,华为,3Com,技术论坛网址,:,forum.huawei-,