目  录

第1章 网络地址转换配置

1.1 网络地址转换介绍

1.1.1 网络地址转换概述

1.2 NAT实现的功能

1.2.1 地址转换及其控制

1.2.2 网络地址端口转换（NAPT）

1.2.3 Easy IP

1.2.4 内部服务器

1.2.5 NAT支持的特殊协议

1.3 NAT的配置

1.3.1 NAT配置任务简介

1.3.2 配置地址池

1.3.3 配置网络地址转换

1.3.4 配置内部服务器

1.3.5 配置非标准的内部FTP服务器

1.3.6 配置NAT黑名单功能

1.3.7 配置地址转换连接的老化时间

1.3.8 配置NAT安全日志

1.4 NAT配置的显示

1.5 典型NAT配置举例

第2章 NetStream配置

2.1 NetStream简介

2.1.1 NetStream概述

2.1.2 NetStream的实现

2.2 NetStream的配置

2.2.1 启动NetStream统计功能

2.2.2 进入NetStream聚合视图

2.2.3 使能当前聚合视图对应的聚合方式

2.2.4 配置统计输出报文的地址信息

2.2.5 配置统计输出报文的版本号和自治系统选项

2.2.6 配置统计输出报文的DSCP值

2.2.7 配置NetStream老化时间

2.2.8 配置版本9报文模板的更新方式

2.3 NetStream配置的显示

2.4 典型NetStream配置举例

第3章 策略路由配置

3.1 策略路由配置

3.1.1 策略路由配置

3.2 策略路由的显示

3.2.1 策略路由的显示

3.3 策略路由配置实例

3.3.1 策略路由配置实例

第1章  网络地址转换配置

1.1  网络地址转换介绍

1.1.1  网络地址转换概述

如RFC1631所描述，NAT（Network Address Translation网络地址转换）是将IP数据包（Packet）报头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT通过使用少量的公有IP地址来替换大量的私有IP地址，实现了私有网络访问公有网络的功能，减缓了可用IP地址空间枯竭的速度。

下面的图1-1描述了一个基本的NAT应用。

图1-1 网络地址转换的基本过程

如图1-1所示，作为NAT服务器的交换机处于企业内部网络和外部网络的连接处。

当内部PC（IP地址为192.168.1.3）向外部服务器（IP地址为202.120.10.2）发送的数据包（Packet）1通过NAT服务器时，NAT进程查看报头内容，发现该数据包是发往外网的，且符合NAT转换规则，那么它将数据包1的源地址（Source IP address）字段的私有IP地址192.168.1.3转换成可以在Internet上被识别的公有IP地址202.169.10.1，然后将数据包1按要求转发出去，同时在网络地址转换表中记录这一映射；当外部服务器（IP地址为202.120.10.2）给内部PC（初始的目的IP地址为202.169.10.1）发送的应答报文2到达NAT服务器后，NAT进程再次查看报头内容，并查找当前网络地址转换表的记录，用原来的内部PC私有IP地址192.168.1.3替换初始的目的IP地址。

上述的NAT过程对终端（如图1-1中的内部PC和外部服务器）来说是透明的。对外部服务器而言，它认为内部PC的IP地址就是202.169.10.1，并不知道有192.168.1.3这个地址。因此，NAT“隐藏”了企业的内部网络。

NAT的优点在于：在“隐私”（Privacy）保护的前提下，为内部主机提供了访问外部网络资源的功能。但它也有一个缺点：如果报文里有IP地址或端口需要进行转换，则报文不能被加密。例如，不能使用加密的FTP连接，否则FTP的port不能被正确转换。

1.2  NAT实现的功能

1.2.1  地址转换及其控制

从图1-1的网络地址转换过程中可以发现，当内部网络访问外部网络时，NAT将会选择一个合适的公有地址来替换内部网络数据包的源地址。在图1-1中选择的是NAT服务器出接口上定义的IP地址。这样所有的内部网络主机访问外部网络时，只拥有这一个公有IP地址。在这种情况下，某一时刻只允许最多一台内部主机访问外部网络，这种情况称为“一对一网络地址转换”。在内部网络的多台主机并发地请求访问外部网络时，“一对一网络地址转换”仅能够实现其中一台主机的访问请求。

NAT也可实现对并发请求的响应。允许NAT服务器拥有多个公有IP地址，当第一台内部主机访问外部网络时，NAT进程选择一个公有地址，并在网络地址转换表中添加记录；当另一台内部主机访问网络时，NAT进程选择另一个公有地址。以此类推，从而满足了多台内部主机并发访问外部网络的请求。这称为“多对多网络地址转换”。

这两种地址转换方式的特点可以参见下面的表1-1。

表1-1 NAT转换形式

交换机可以通过定义地址池来实现“多对多网络地址转换”，同时可以利用ACL（访问控制列表）来对网络地址转换进行控制。

(1)        地址池：用于网络地址转换的一些公有IP地址的集合。用户应根据自己拥有的合法IP地址数目、内部网络主机数目以及实际的应用情况，来配置恰当的地址池。在网络地址转换的过程中，NAT进程将会从地址池中挑选出一个地址作为转换后的源地址。

(2)        在实际应用中，我们可能希望只有某些特定的内部主机才具有访问Internet的权利，也即是当NAT进程查看数据包的报头内容时，如果发现源IP地址不在允许访问Internet的地址范围内，它将不会进行网络地址转换。利用与端口的ACL功能相关联的NAT访问规则，就可以对NAT进程进行有效控制，使某些特定的主机才有权利访问Internet。

1.2.2  网络地址端口转换（NAPT）

按照普通的NAT方式，把一个内部主机的地址和一个外部地址一一映射后，在这条映射表项被清除之前，其它内部主机就不能映射到这个外部地址上。

NAPT（Network Address Port Translation，网络地址端口转换）是NAT的一种变形，它允许将多个内部地址映射到同一个公有地址上，达到多台内部主机同时访问外部网络的目的，从而有效节省了公有地址。

NAPT在映射IP地址的同时还对传输层协议端口进行映射，不同的内部地址可以映射到同一个公有地址上，而它们的端口号被映射为该公有地址的不同端口号，也即是说NAPT完成了<私有地址+端口>与<公有地址+端口>之间的转换。

NAPT有时也被称为PAT或Address overloading。

下面的图1-2描述了NAPT的基本原理。

图1-2 NAPT地址复用示意图

如图1-2所示，四个带有内部地址的数据包到达了作为NAT服务器的交换机：

l              数据包1和数据包2来自同一个内部地址但具有不同的源端口号；

l              数据包3和数据包4来自不同的内部地址但具有相同的源端口号。

通过NAPT映射，四个数据包都被转换成同一个公有地址，但每个数据包被赋予了不同的源端口号，因而仍保留了各报文之间的区别。当回应报文到达NAT服务器时，NAT进程仍然能够根据回应报文的目的地址和端口号来区分该报文应转发到的内部主机。

1.2.3  Easy IP

配置nat outbound规则时，允许直接使用与外部网络相连接的VLAN虚接口地址作为NAT转换后的源地址，这种特性称之为Easy IP。在ISP只提供一个公网接口地址或内部主机地址数量不多等情况下，可以使用Easy IP特性来方便的配置NAT。

1.2.4  内部服务器

NAT隐藏了内部网络的结构，具有“屏蔽”内部主机的作用。但是在实际应用中，可能需要给外部主机提供一些访问内部设备的机会，比如让外部主机能够访问内部网络中的WWW服务器或者FTP服务器。使用NAT可以灵活地添加内部服务器。

例如：

l              用户可以使用202.169.10.10这个公有地址作为内部WWW服务器的地址；

l              用户可以使用202.110.10.11这个公有地址作为内部FTP服务器的地址；

l              用户可以使用甚至可以使用202.110.10.12:8080这个带上端口号的公有地址作为内部WWW服务器的地址。

1.2.5  NAT支持的特殊协议

Comware NAT平台模块不仅实现了一般的网络地址转换功能，同时提供了完善的网络地址转换应用级网关机制，使其在流程上可以支持各种特殊的应用协议，而不需要对NAT平台进行任何的修改，具有良好的可扩充性。

NAT可支持的特殊协议包括：ICMP（Internet Control Message Protocol，Internet控制报文协议）、DNS（Domain Name System，域名系统）、ILS（Internet Locator Service，Internet定位服务）、H.323、FTP、NetMeeting 3.01。

1.3  NAT的配置

1.3.1  NAT配置任务简介

如表1-2所示，NAT的配置包括：

表1-2 NAT的配置

1.3.2  配置地址池

地址池是一些连续的公有IP地址集合。在网络地址转换的过程中，NAT服务器会从地址池当中选择某个IP地址作为转换后的源地址。

表1-3 配置地址池

1.3.3  配置网络地址转换

通过配置ACL和NAT地址池（或接口地址）的关联，可以将匹配ACL规则的数据包进行网络地址转换，否则只对该报文进行三层转发。当内部网络有数据包要发往外部网络时，首先根据ACL判定是否为允许的数据包，然后再根据转换关联找到与之对应的地址池（或接口地址）进行转换。

将ACL和地址池（或接口地址）进行关联是由nat outbound命令配置的。不同形式的网络地址转换，配置方法稍有不同。

1. 配置网络地址转换

使用下面的命令将ACL和地址池进行关联，同时指定处理NAT业务的业务处理板，实现网络地址转换。

表1-4 配置网络地址转换

关键字no-pat表示只转换数据包的IP地址而不使用TCP/UDP协议中的端口信息，即只实现内部IP地址和外部IP地址一一对应的NAT转换。

2. 配置NAPT转换

使用下面的命令将ACL和地址池进行关联，可实现NAPT转换。

表1-5 配置NAPT转换

对比表1-4和表1-5中的命令可以看出：

l              选择no-pat：只转换数据包的IP地址而不转换端口，即只实现一一对应的网络地址转换。

l              不选择no-pat：启用了NAPT功能，对数据包的IP地址和端口进行转换，实现多对一的网络地址转换。

3. 配置Easy IP特性

如果网络地址转换命令中不带address-group关键字，则实现了Easy IP的特性，即进行网络地址转换时，直接使用VLAN接口上的IP地址作为转换后的源地址。利用ACL可以控制进行NAT转换的内部网络地址。

表1-6 配置Easy IP特性

1.3.4  配置内部服务器

通过配置内部服务器，可以将相应的外部地址、端口等映射到内部服务器上，实现外部网络的主机访问内部服务器的功能。内部服务器与外部网络主机的映射表是由nat server命令配置的。用户需要输入的信息包括：外部地址、外部端口、内部服务器地址、内部服务器端口以及服务协议类型。

表1-7 配置内部服务器

在以上的命令当中，参数global-addr和global-port分别表示提供给外部访问的IP地址和服务端口号，参数host-addr和host-port分别表示服务器在内部网络中的IP地址和提供的服务端口号。对于不使用端口号的非TCP/UDP协议，参数global-port和host-port不出现。

参数host-port的取值范围为0～65535，常用的端口号可以用关键字代替。

例如：WWW服务的端口号为80，可以使用www代替；ftp服务的端口号为21，可以使用ftp代替。如果端口号取值为0，可使用关键字any代替，表明内部服务器可以提供任意服务，目前暂不支持。

1.3.5  配置非标准的内部FTP服务器

与标准的内部FTP服务器不同，非标准的内部FTP服务器可以使用的私网端口有所扩展。

l              在标准的内部FTP服务器的中，公网端口的取值范围为0～12287，私网端口必须使用端口21；

l              在非标准的内部FTP服务器的中，公网端口的取值范围仍然为0～12287，私网端口的取值范围扩展为0～65535。

表1-8 配置非标准的内部FTP服务器

1.3.6  配置NAT黑名单功能

通过配置NAT的黑名单相关功能，可以控制用户的连接数量和建链速率，设置连接数量和建链速率的控制阈值。NAT的黑名单相关属性是由nat blacklist系列命令配置的。

表1-9 配置NAT的黑名单功能

1.3.7  配置地址转换连接的老化时间

可以使用nat aging-time命令，对通过CPU处理的ALG（Application Layer Gateway，应用层网关）NAT映射表项和通过NP（Network Processor，网络处理器）处理的NAT映射表项分别设定NAT连接的老化时间。当NAT映射表项的老化定时器到时后，该条映射表项就会被从NAT映射表中删除。

表1-10 配置地址转换连接的老化时间

1.3.8  配置NAT安全日志

安全日志用于记录NAT进程中详细的过程信息。

安全日志记录下的内容包括：

l              地址转换前的源IP地址、源端口号

l              地址转换前的目的IP地址、目的端口号

l              地址转换后的源IP地址、源端口号

l              NAT进程的起止时间

1. 启动NAT日志功能

启动NAT日志功能的命令是ip userlog nat。

表1-11 启动NAT日志功能

2. 设置开始记录NAT连接的时长

如果某个连接活跃的时间超过了设定的时长，NAT进程将对该连接进行日志记录。设置开始记录NAT连接的时长的命令是ip userlog nat active-time。

表1-12 设置记录NAT连接的时长

3. 设置日志输出报文的目的服务器地址和端口号

设置日志输出报文的目的服务器地址和端口号的命令是ip userlog nat export。

表1-13 设置日志输出报文的目的服务器地址和端口号

如果指定了单板号slot-number，则此设置仅对指定的单板有效，否则对所有的单板有效。

4. 设置日志输出报文的源IP地址

设置日志输出报文的源IP地址的命令是ip userlog nat export source-ip。

表1-14 设置日志输出报文的源IP地址

5. 设置输出的日志报文的版本

命令ip userlog nat export version用来设置输出的日志报文的版本。

表1-15 设置输出的日志报文的版本

6. 设置记录NAT日志的方式

用户可以选择的进行日志记录的方式有两种：

l              仅在NAT连接删除时进行日志记录；

l              在NAT连接建立和删除时都进行日志记录。

命令ip userlog nat mode flow-begin用来设置在创建连接时就开始记录NAT日志。

表1-16 设置记录NAT日志的方式

1.4  NAT配置的显示

在完成上述配置后，在任意视图下执行display命令可以显示网络地址转换配置后的运行情况，通过查看显示信息可以验证配置的效果。

在用户视图下执行reset nat session命令可以清除地址转换的映射表。

表1-17 NAT配置的显示

1.5  典型NAT配置举例

1. 组网需求

如图1-3所示：

l              某公司的一个内部网络在H3C S3600的连接下，要求通过H3C S7506的地址转换功能连接到广域网，访问Internet；

l              内部网络VLAN2中两台PC的私有地址为192.168.1.2和192.168.1.3；

l              在S7506中，实现NAT功能的业务处理板插在第三槽位；

l              NAT地址池里有200.18.2.3～200.18.2.5三个合法的公网IP地址；

l              VLAN10接口的IP地址为200.18.2.2，子网掩码为255.255.255.252；

l              各个网段之间已配置了静态路由，保证路由可达。

2. 组网图

图1-3 NAT配置组网图

3. 配置步骤

(1)        进行H3C S3600的配置。

# 在连接内部网络用户的一端，创建VLAN2和接口，配置IP地址。

<H3C> system-view

[H3C] vlan 2

[H3C-vlan2] port ethernet1/0/1 to ethernet1/0/2

[H3C-vlan2] quit

[H3C] interface vlan-interface 2

[H3C-vlan-interface2] ip address 192.168.1.1 255.255.255.0

# 在连接H3C S7506的一端，创建VLAN3和接口，配置IP地址。

[H3C] vlan 3

[H3C-vlan3] port ethernet1/0/24

[H3C-vlan3] quit

[H3C] interface vlan-interface 3

[H3C-vlan-interface3] ip address 192.168.2.1 255.255.255.252

(2)        进行H3C S7506的配置。

# 在连接H3C S3600的一端，创建VLAN3和接口，配置IP地址。

[H3C] vlan 3

[H3C-vlan3] port ethernet2/0/1

[H3C-vlan3] quit

[H3C] interface vlan-interface 3

[H3C-vlan-interface3] ip address 192.168.2.2 255.255.255.252

# 在连接到Internet的一端，创建VLAN10和接口，配置IP地址。

[H3C] vlan 10

[H3C-vlan10] port ethernet3/0/1

[H3C-vlan10] quit

[H3C] interface vlan-interface 10

[H3C-vlan-interface10] ip address 200.18.2.2 255.255.255.252

# 配置ACL规则。

[H3C] acl number 2000

[H3C-acl-basic-2000] rule 0 permit source any

# 配置标识为0的NAT地址池。

[H3C] nat address-group 0 200.18.2.3 200.18.2.5

# 将ACL和地址池关联起来。

[H3C] interface vlan-interface 10

[H3C-vlan-interface10] nat outbound 2000 address-group 0 slot 3

第2章  NetStream配置

2.1  NetStream简介

2.1.1  NetStream概述

NetStream提供报文统计功能，它根据报文的目的IP地址、目的端口号、源IP地址、源端口号、协议号和ToS来区分流信息，并针对不同的流信息进行独立的数据统计。

下面的图2-1描述了一个基本的NetStream数据采集和分析过程。

图2-1 NetStream数据采集和分析过程

NetStream数据采集和分析过程如下：

(1)        交换机把采集到的流的详细信息定期发送给NSC（NetStream Collector，网络流数据收集器）；

(2)        信息由NSC初步处理后，发送给NDA（NetStream Data Analyzer，网络流数据分析器）；

(3)        NDA对数据进行分析，分析结果用于计费和网络规划等。

2.1.2  NetStream的实现

启用NetStream功能后，流信息首先被存储在NetStream缓冲区中进行统计，当到达设定的老化（aging）时间后，系统就将流统计信息通过NetStream统计输出报文（即，流信息经过UDP封装以后产生的报文）发送给NSC，并将该流信息删除。

(1)        进行老化的方式有两种：

l              按活跃时间老化：当一条流的活跃时间（从流创建起到当前时间）超过所配置的时限时，流信息将被老化。

l              按不活跃时间老化：当一条流的不活跃时间（从最后一个报文流过到当前时间）超过所配置的时限时，流信息将被老化。

(2)        NetStream使用三种版本（版本5、版本8和版本9）的NetStream统计输出报文来发送老化后的流信息。

目前系统只支持配置为版本5或版本9：

l              如果配置为版本5：系统将通过版本5的NetStream统计输出报文发送老化后的普通流信息，使用版本8的NetStream统计输出报文发送聚合后的流信息（为简化描述，下文中不再单独出现版本8的报文描述，对于提到的版本5的报文，都请按照此原则为准）；

l              如果配置为版本9：系统将通过版本9的NetStream统计输出报文发送老化后的所有流信息。

2.2  NetStream的配置

NetStream的配置包括以下内容：

表2-1 NetStream的配置

2.2.1  启动NetStream统计功能

命令ip netstream inbound/outbound用来把源接口板上的入/出报文镜像到业务处理板上，并启动NetStream统计功能。

表2-2 启动NetStream统计功能

2.2.2  进入NetStream聚合视图

命令ip netstream aggregation用来进入NetStream的聚合视图。

目前，交换机共支持五种聚合方式：

表2-3 NetStream的五种聚合方式

系统以所选择的聚合方式作为分类依据，将符合对应聚合方式的多条流信息合并为一条聚合流，对应一条聚合记录。五种聚合方式相互独立，可以同时配置。

表2-4 进入NetStream聚合视图

2.2.3  使能当前聚合视图对应的聚合方式

命令enable用来使能当前聚合视图对应的聚合方式。

表2-5 使能当前聚合视图对应的聚合方式

2.2.4  配置统计输出报文的地址信息

流信息在超出设定的老化时间后被强制老化，老化后的信息通过NetStream统计输出报文发送给NSC。ip netstream export host命令用来配置NetStream统计输出报文的目的主机NSC的地址和UDP端口号；ip netstream export source命令用来配置NetStream统计输出报文的源IP，该IP地址将作为NetStream统计输出报文的源地址。

表2-6 配置统计输出报文的地址信息

2.2.5  配置统计输出报文的版本号和自治系统选项

命令ip netstream export version用来配置统计输出报文的版本号和自治系统选项。目前交换机能支持进行配置的报文版本号为版本5和版本9。

版本5和版本9的NetStream统计输出报文支持BGP的自治系统选项。用户可以选择是以起始自治系统号（origin-as）还是以相邻最近的自治系统号（peer-as）作为给定IP地址所在的自治系统号。

表2-7 配置统计输出报文的版本号和自治系统选项

2.2.6  配置统计输出报文的DSCP值

命令ip netstream export dscp用来配置NetStream统计输出报文的DSCP（Differentiated Services Code Point，差别服务类型编码点）值，系统将按照该值对统计输出报文进行分类。

表2-8 配置统计输出报文的DSCP值

2.2.7  配置NetStream老化时间

流信息被缓存在NetStream cache中进行统计，当到达设定的老化时间后，系统就将统计信息用NetStream统计输出报文发送给NSC，并将该流信息删除。

进行老化的方式有两种：

l              按活跃时间老化：当一条流的活跃时间（从流创建起到当前时间）超过所配置的时限时，流信息将被老化。

l              按不活跃时间老化：当一条流的不活跃时间（从最后一个报文流过到当前时间）超过所配置的时限时，流信息将被老化。

表2-9 配置NetStream老化时间

2.2.8  配置版本9报文模板的更新方式

当系统发送版本9的NetStream统计输出报文后，NSC根据报文中附带的模板（template）来识别报文中的各个信息字段，但模板在一段时间之后可能会发生变化，系统需要根据一定的规则对模板进行更新。

系统进行模板更新的方式有两种：

l              按报文数量更新（配置ip netstream template refresh命令）：当发送的报文数量超过所配置的阈值时，系统会向NSC再发送一个最新的模板；

l              按老化时间更新（配置ip netstream template timeout命令）：当发送报文的时间超过所配置的老化时间后，系统会向NSC再发送一个最新的模板，并重新开始计时。

表2-10 配置版本9报文模板的更新方式

2.3  NetStream配置的显示

完成上述配置后，在任意视图下执行相应的display命令可以显示NetStream配置后的运行情况，通过查看显示信息可以验证配置的效果。

在用户视图下执行reset ip netstream statistics命令可以清除指定单板的NetStream统计信息。

表2-11 NetStream配置的显示和调试

2.4  典型NetStream配置举例

1. 组网需求

如图1-3所示，在交换机SwitchA上配置NetStream，对接收的报文进行统计。

实现Netstream功能的业务处理板插在交换机的5号槽位。

2. 组网图

图2-2 H3C S7506 NetStream配置组网图

3. 配置步骤

# 在5号槽的单板上启动NetStream，统计3号槽接口板上的入报文。

<H3C>system-view

[H3C] ip netstream inbound source 3 to 5

# 在5号槽的单板上启动NetStream，统计2号槽接口板上的入报文，并过滤源地址为192.168.0.5的报文。

[H3C] acl number 2003

[H3C-acl-basic-2003] rule permit source 192.168.0.5 0

[H3C] ip netstream inbound source 2 to 5 acl 2003

# 配置NetStream统计输出报文的源IP。

[H3C] vlan 20

[H3C-vlan20] port GigabitEthernet2/0/5

[H3C-vlan20] quit

[H3C] interface vlan-interface 20

[H3C-vlan-interface20] ip address 12.110.2.1 24

[H3C-vlan-interface20] quit

[H3C] ip netstream export source 12.110.2.1

# 配置NetStream统计输出报文的目的地址和目的端口号。

[H3C] ip netstream export host 12.110.2.2 9991

# 显示配置后NetStream的运行情况。

[H3C] display ip netstream cache slot 5

 IP netstream cache information in slot 5

  Stream active timeout(minute)  : 30

  Stream inactive timeout(second): 60

  Active stream entry              : 1

  Stream entry been counted   : 100

  Last statistics reset time  :  8/10/2004, 15:42:12

Protocol           Total  Packets   Stream   Packets

                  Streams     /Sec     /Sec   /stream

 UDP-other        93      713510      0      43984487

 UDP-NetBios      7       0           0             1

 Total            100     713510      0      40905573

# 显示配置后NetStream的统计报文输出情况。

[H3C] display ip netstream export slot 5

 IP netstream export information in slot 5

  IP netstream is enabled in slot : 2

  IP netstream is enabled in slot : 3

 Version 5 export information

  Stream source address                    : 12.110.2.1

  Stream destination IP(UDP)                 : 12.110.2.2 (9991)

  Exported stream number                     : 103

  Exported UDP datagram number(failed number): 102(0)

第3章  策略路由配置

3.1  策略路由配置

3.1.1  策略路由配置

普通的路由机制根据报文的目的IP地址来决定一个报文的下一跳信息。策略路由提供了一种更加灵活的确定报文下一跳的机制。根据用户配置，设备在转发报文时可以不仅根据目的IP地址，而且可以根据源IP地址，源、目的端口号，甚至报文的协议类型等信息来确定下一跳。

S7500系列交换机的策略路由通过报文重定向实现，用户可以通过traffic-redirect命令为匹配特定ACL的报文重新选择路由，将其转发到指定VLAN接口或者其他IP地址。

策略路由的配置包括：

表3-1 策略路由的配置

ACL的相关配置操作参见ACL模块。

表3-2 配置报文重定向

关于命令的详细描述，请参见本章对应的命令手册。

3.2  策略路由的显示

3.2.1  策略路由的显示

在完成上述配置后，在任意视图下执行display命令都可以显示配置后策略路由的运行情况。用户可以通过查看显示信息验证配置的效果。

表3-3 策略路由的显示和调试

相关命令显示信息及说明请参见命令手册。

3.3  策略路由配置实例

3.3.1  策略路由配置实例

1. 组网需求

如图3-1下所示：

l              业务处理板在槽位5

l              Host 1的IP地址为1.0.0.1，Host 2的IP地址为2.0.0.1

l              要求将Host 1发出的报文的下一跳都定义为2.0.0.1

2. 组网图

图3-1 策略路由配置举例

3. 配置步骤

(1)        定义PC报文的流规则。

# 进入基于数字标识的基本ACL视图，用2000标识。

<H3C S7500>system-view

[H3C S7500] acl number 2000

# 定义Host 1报文的流分类规则。

[H3C S7500-acl-basic-2000] rule 0 permit source 1.0.0.1 0

[H3C S7500-acl-basic-2000] quit

(2)        改变Host 1发出的报文的下一跳。

# 将Host 1发出的报文下一跳都定义为2.0.0.1。

[H3C S7500] vlan 2

[H3C S7500-vlan2] traffic-redirect inbound ip-group 2000 rule 0 next-hop 2.0.0.1 slot 5

[H3C S7500-vlan2] quit

# 显示VLAN2接口配置的策略路由项。

[H3C S7500] display qos-vlan 2 traffic-redirect

Vlan 2 traffic-redirect

 Inbound:

   Matches: Acl 2000 rule 0  running

     Redirected to: next-hop 2.0.0.1 slot 5