基于策略的路由选择

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,补充：使用路由策略,课程内容,路由策略综述,使用路由策略控制路由引入,基于策略的路由选择,2,路由策略综述,2004 richedu TECH,3,什么是路由策略,路由策略和访问控制列表非常相似，它们都运行“ifthen”的程序语句：声明标准，用来判断某个特定的数据包是否被允许或者禁止。,它们的区别是：路由策略可以改变实体假如一个数据包匹配了路由策略中给定的标准，就会执行一些操作改变数据包。,在一个访问控制列表中，由test condition来匹配数据包，并根据匹配结果决定permit或者deny。,在一个路由策略中，由if-match语句后的test condition匹配数据包，并根据匹配结果决定是否执行apply语句后的动作。,4,路由策略的特点,路由策略具有一系列标准，用if-match语句声明。,路由策略可以用apply语句改变匹配的数据包或者路由。,有着相同路由策略名称的路由策略语句集被认为是同一个路由策略。,在同一个路由策略中，每一个路由映射语句都用数字顺序地标注，所以可以进行单独编辑。,路由策略中的一个语句对应着访问列表中的一行，在一个路由策略中指明匹配条件就像在一个访问列表中指明源地址、目标地址和掩码一样。,在路由策略中的语句用来和路由进行比较，以判断是否存在一个匹配。检验语句的顺序就像在访问控制列表中一样，从顶端开始，依次向下。,5,路由策略的特点（cont）,应用第一个被发现的匹配路由，并且路由策略不会进一步检验。,If-match语句用来定义检验的条件。,Apply语句用来定义假如存在一个匹配，将采取何种行动。,单一的if-match语句可以包含多个条件，在if-match语句中至少存在一个为“真”的条件，这是一个逻辑“或”。,一个路由策略语句可以包含多个if-match语句，路由策略中的所有if-mtach语句，对于认为是匹配的路由策略语句，必须认为是“真”，这是一个逻辑“与”。,序列号用于指明检验条件的顺序。,在路由策略末尾有一个隐含的“deny any”声明，这个deny的后继操作取决于这个路由策略是如何使用的。,6,使用路由策略,控制路由引入,2004 richedu TECH,7,路由策略配置任务,定义路由策略（routing policy）,定义路由策略的if-match子句,定义路由策略的apply子句,8,定义路由策略,policy-name：这是路由策略的名称，在使用import-route命令时，该名称用于调用路由策略。,seq-number：节点号，指明一个具有相同名称的新路由策略在路由策略语句系列中的位置。不同seq-number各个部分之间的关系是“或”的关系。,每个节点下可以有多个if-match和apply子句，if-match子句之间是“与”的关系。,9,定义路由策略（cont）,permit|deny：,假如满足了匹配条件，并指定了permit参数，那么路由就将按照集合行为所定义的那样重分布。,假如匹配标准没有满足，并且指定了permit参数，那么接着检验下一个节点。,如果路由没有通过任何一个节点的匹配标准，那么这个路由不会被重分布，因为它遇上了隐含的deny any。,如果一个路由策略的匹配标准满足了，并且指定了deny参数，那么路由将不会重分布，也不会进入下一个节点进行检验。,10,定义路由策略的if-match子句,11,定义路由策略的apply子句,12,实例1：配置路由策略,192.1.0.0/24,128.2.0.0/16,128.1.0.1,128.1.0.0/16,校园网,地区性网络,路由器连接了一所大学的校园网和一个地区性网络。校园网使用RIP 作为其内部路由协议，地区性网络使用OSPF 路由协议，路由器需要将校园网中的某些路由信息在地区性网络中发布。,为实现这一功能，路由器上的OSPF 协议在引入RIP 协议路由信息时通过对一个路由策略的引用实现路由过滤的功能。,该路由策略由两个节点组成，实现192.1.0.0/24 和128.2.0.0/16 的路由信息以不同的路由权值被OSPF 协议发布。,13,实例1：配置路由策略,#定义地址前缀列表,Quidway,ip ip-prefix p1 permit 192.1.1.0/24,Quidway,ip ip-prefix p2 permit 128.2.0.0/16,#配置路由策略,Quidway,route-policy r1 permit 10,Quidway-route-policy,if-match ip address ip-prefix p1,Quidway-route-policy,route-policy r1 permit 20,Quidway-route-policy,if-match ip address ip-prefix p2,Quidway-route-policy,quit,#配置OSPF 协议,Quidway,ospf enable,Quidway-ospf,import-route rip route-policy r1,Quidway-ospf,interface ethernet 0,Quidway-Ethernet0,ip address 128.1.0.1 255.255.255.0,Quidway-Ethernet0,ospf enable area 0,14,CASE,路由策略各个节点中至少应该有一个节点定义了permit语句。,当一个路由策略用于路由信息过滤时，若某路由信息没有通过任一节点的过滤，则认为该路由信息没有通过该路由策略的过滤。,当路由策略的所有节点都是deny语句时，所有路由信息都将不会通过该路由策略的过滤。,地址前缀列表的各个表项中至少应该有一条permit语句。,可先定义deny 语句，以便过先过滤掉那些不符合条件的路由信息。,但若所有语句都是deny，则任何路由都不会通过该地址前缀列表的过滤。,15,基于策略的路由选择,policy-based routing,PBR,2004 richedu TECH,16,策略路由综述,策略路由是一种不经过路由表，根据策略发送、转发报文的机制，它是比根据数据包的目的地址进行路由更为灵活。路由器通过策略路由转发一个数据包时，先通过一个routing policy 进行过滤，由该routing policy 决定哪些包将被转发和转发的下一跳路由器。,有两种策略路由：接口策略路由和本地策略路由。前者在接口视图下配置，对来自该接口的报文进行策略路由；后者在系统视图下配置，对本机产生的报文进行策略路由。,17,IP策略路由配置任务,策略IP 策略路由配置包括：,创建策略,定义策略路由的if-match 子句,定义策略路由的apply 子句,使能/禁止本地策略路由,使能/禁用接口策略路由,18,IP策略路由配置,策略路由是由用户配置的，由一组if-match 子句和一组apply 子句组成，只有IP 报文满足策略路由器中的全部if-match 子句时，才按一定顺序执行策略中的apply 子句，以达到影响报文转发的效果。,目前提供两种的if-match 子句为,if-match length,和,if-match ip address,。,apply 子句定义策略的动作。目前有5 种apply 子句：,apply ip precedence,，,apply interface，apply ip next-hop,，,apply default interface，apply ip default next-hop；,五个子句按优先顺序执行，直到不能继续为止。,19,IP策略路由决策进程,基于策略的路由选择应用于到来的数据包，当启用基于策略的路由选择的接口上接收到一个数据包的时候，这个数据包就要使用这个进程。,假如存在一个匹配，并且其允许这个路由，那么这个路由按照apply命令进行策略路由。,假如存在一个匹配，并且禁止这个路由，那么这个路由就不基于路由策略，而是送回动态路由选择的转发引擎。,假如没有匹配，并且没有为这个时间配置相应的行动，那么默认行为就是禁止该数据包，数据包将退回到路由选择进程中。,如果想把不符合匹配原则的包丢弃而非按正常情况处理的话,就要在route policy 的最后加上1 行apply 语句:把那些包路由到黑洞接口。,20,实例1：配置基于源地址的策略路由,E0,S1,S0,Internet,10.110.0.0/16,定义策略aaa，该策略包括两个节点，使所有TCP 报文通过串口1 转发，其它报文通过串口0 转发。,10 号节点，表示匹配access list 102 的报文将被发往串口serial 0。,20 号节点，表示所有其它报文将被发往串口serial 1。,来自Ethernet 0 的报文将依次试图匹配10、20 号节点的if-match子句。若匹配permit 定义的节点，就执行相应的apply 子句；若匹配deny 定义的节点，就退出策略路由处理。,21,定义访问控制列表,Quidway,acl 101,Quidway-acl-101,rule deny tcp source any destination any,Quidway-acl-101,acl 102,Quidway-acl-102,rule permit tcp source any destination any,定义10 号节点，表示匹配access ist 102 的报文将被发往串口serial 1。,Quidway-acl-101,route-policy aaa permit 10,Quidway-route-policy,if-match ip address 102,Quidway-route-policy,apply interface serial 1,定义20 号节点，表示所有其它报文将被发往串口serial 0。,Quidway-route-policy,route-policy aaa permit 20,Quidway-route-policy,if-match ip address 101,Quidway-route-policy,apply interface serial 0,在以太网口上应用策略aaa,Quidway-route-policy,interface ethernet 0,Quidway-Ethernet0,ip policy route-policy aaa,实例1：配置基于源地址的策略路由,22,实例2：配置基于报文大小的策略路由,192.1.1.1 E0,Router A,Router B,S0 150.1.1.1,150.1.1.2 S0,S1 151.1.1.1,151.1.1.2 S1,在E0上应用策略,101-1000bytes,64-100bytes,路由器A 将大小为64100 字节的报文从serial 0 发送；而将大小为1011000 字节的报文从serial 1 发送；所有其它长度的报文均按正常方式路由。,在路由器A 的E0 接口上应用IP 策略路由lab1。这个策略将大小为64100 字节的报文设置150.1.1.2 作为下一转发IP 地址；而将大小为1011000 字节的报文设置151.1.1.2 作为下一转发IP 地址。所有其它报文都按基于目的地址的路由方法路由。,23,实例2：配置基于报文大小的策略路由,配置路由器Router A,RouterA,interface ethernet 0,Rout