目  录

1 策略路由配置

1.1 策略路由简介

1.1.1 PBR方式

1.1.2 QoS策略方式

1.2 配置PBR方式的策略路由

1.2.1 配置PBR策略

1.2.2 应用本地策略路由

1.2.3 应用接口策略路由

1.2.4 与Track联动

1.3 配置QoS策略方式的策略路由

1.3.1 配置QoS策略

1.3.2 应用QoS策略

1.4 策略路由显示和维护

1.4.1 PBR方式策略路由显示和维护

1.4.2 QoS策略方式策略路由显示和维护

1.5 策略路由典型配置举例

1.5.1 PBR方式本地策略路由典型配置举例

1.5.2 PBR方式接口策略路由典型配置举例

1.5.3 QoS策略方式IPv4策略路由配置举例

1.5.4 QoS策略方式IPv6策略路由配置举例

1 策略路由配置

1.1  策略路由简介

策略路由是一种依据用户制定的策略进行路由选择的机制。与单纯依照IP报文的目的地址查找路由表进行转发不同，策略路由基于到达报文的源地址等信息灵活地进行路由选择。

一般来讲，策略路由的优先级要高于普通路由，即设备在转发报文时，首先将报文与策略路由的匹配规则进行比较，如果符合匹配条件，则按照策略路由进行转发。如果报文无法匹配策略路由的条件，再按照普通路由进行转发。

本系列交换机支持两种策略路由配置方式：

(1)     PBR方式（policy-based-route）

PBR方式通过ACL制定匹配规则，支持对报文的下一跳，优先级及缺省下一跳进行设置，目前只支持IPv4单播策略路由。

PBR方式支持动态修改ACL规则，以动态更新匹配规则，实现业务的灵活控制。

(2)     QoS策略方式

QoS策略方式是通过QoS策略的流分类功能来制定细致的匹配规则，并使用流行为中的重定向动作将报文按指定的目的进行转发。QoS策略方式能够实现IPv4、IPv6单播策略路由。

本系列交换机的策略路由是通过QoS策略方式实现，即通过流分类功能来制定细致的匹配规则，并使用流行为中的重定向到下一跳动作将报文按指定的目的进行转发。QoS策略方式能够实现IPv4、IPv6单播策略路由。

下面分别对两种方式的实现规则进行介绍。

1.1.1  PBR方式

1. 简介

PBR方式策略路由对于满足一定条件（ACL规则）的报文，将执行指定的操作（设置报文的优先级、设置报文的下一跳、设置报文的缺省下一跳等），以指导报文的转发。

根据作用对象的不同，分为本地策略路由和接口策略路由：

·     本地策略路由：对设备本身产生的报文（比如本地发出的ping报文）进行策略路由，它只对设备本身产生的报文起作用，对转发的报文不起作用。

·     接口策略路由：对到达该接口的报文进行策略路由，它只对转发的报文起作用，对本地产生的报文不起作用。

对于一般转发和安全等方面的使用需求，大多数情况下只需使用接口策略路由。

2. 相关概念

一个策略用来引入一条路由，对IP报文转发进行路由选择。一个策略可以包含一个或多个节点。

(1)     节点

·     每个节点由node-number来指定。node-number的值越小优先级越高，优先级高的节点优先被执行。

·     每个节点的具体内容由if-match和apply子句来指定。if-match子句定义该节点的匹配规则，apply子句定义该节点的动作。

·     每个节点对报文的处理方式由匹配模式决定。匹配模式分为permit和deny两种。

(2)     if-match子句

本系列交换机支持的if-match子句为if-match acl。

在一个节点中，同一类型的if-match子句最多只能有一条。

(3)     apply子句

本系列交换机支持三种apply子句，分别为：apply ip-precedence、apply ip-address next-hop、apply ip-address default next-hop。

3. 节点的匹配模式与节点的if-match子句、apply子句的关系

一个节点的匹配模式与这个节点的if-match子句、apply子句的关系如表1-1所示。

表1-1 节点的匹配模式、if-match子句、apply子句三者之间的关系

同一个策略中的各节点之间是“或”的关系，即只要报文通过一个节点的过滤，就意味着通过该策略的过滤；如果报文不能通过一个策略中任何一个节点的过滤，则认为没有通过该策略的过滤，报文将按正常转发流程处理。

1.1.2  QoS策略方式

QoS策略方式通过流分类来制定匹配规则，并使用“重定向到下一跳”的流行为动作，将满足流分类规则的报文向指定的路径进行转发，从而实现灵活的路由选择。

通过QoS策略方式实现的策略路由的优先级要高于普通路由，即报文先匹配流分类规则，如果匹配则按照策略路由进行转发，如果无法匹配所有流分类规则，再按照普通路由进行转发。

1.2  配置PBR方式的策略路由

1.2.1  配置PBR策略

表1-2 配置策略

1.2.2  应用本地策略路由

在应用本地策略路由时，只能引用一个策略。

表1-3 配置本地策略路由

1.2.3  应用接口策略路由

在应用接口策略路由时，一个接口只能引用一个策略。

表1-4 配置接口策略路由

1.2.4  与Track联动

策略路由通过与Track联动，增强了应用的灵活性和策略路由对网络环境的动态感知能力。策略路由可以在配置报文的下一跳、缺省下一跳时与Track项关联，通过Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或Invalid时生效。

1.3  配置QoS策略方式的策略路由

配置策略路由功能需要完成以下两个配置步骤：

·     配置QoS策略：定义策略路由中匹配的报文规则以及重定向的路径

·     应用QoS策略：定义策略路由生效的范围

1.3.1  配置QoS策略

表1-5 配置QoS策略

1.3.2  应用QoS策略

在配置策略路由功能时，用户可以通过下列方式应用QoS策略：

·     基于全局应用QoS策略：简称为全局策略，QoS策略对设备上的所有流量生效。

·     基于端口应用QoS策略：简称为端口策略，QoS策略对端口接收的流量生效。

·     基于VLAN应用QoS策略：简称为VLAN策略，QoS策略对VLAN内所有端口接收的流量生效。

表1-6 基于全局应用策略

表1-7 基于端口应用策略

表1-8 基于VLAN应用策略

1.4  策略路由显示和维护

1.4.1  PBR方式策略路由显示和维护

在完成PBR方式策略路由的配置后，在任意视图下执行display命令可以显示配置策略路由后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令重置策略路由的统计信息。

表1-9 PBR方式策略路由显示和维护

1.4.2  QoS策略方式策略路由显示和维护

在完成QoS策略方式策略路由的配置后，在任意视图下执行display命令可以显示策略路由的运行情况，通过查看显示信息验证配置的效果。

表1-10 QoS策略方式策略路由显示和维护

1.5  策略路由典型配置举例

1.5.1  PBR方式本地策略路由典型配置举例

1. 组网需求

通过策略路由控制从Switch A发出的报文：

·     指定所有TCP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

其中，Switch A分别与Switch B和Switch C直连。Switch B与Switch C路由不可达。

2. 组网图

图1-1 基于报文协议类型的本地策略路由的配置举例组网图

3. 配置步骤

(1)     配置Switch A

# 定义访问控制列表，ACL 3101匹配TCP报文。

<SwitchA> system-view

[SwitchA] acl number 3101

[SwitchA-acl-adv-3101] rule permit tcp

[SwitchA-acl-adv-3101] quit

# 定义5号节点，指定所有TCP报文的下一跳为1.1.2.2。

[SwitchA] policy-based-route aaa permit node 5

[SwitchA-pbr-aaa-5] if-match acl 3101

[SwitchA-pbr-aaa-5] apply ip-address next-hop 1.1.2.2

[SwitchA-pbr-aaa-5] quit

# 在Switch A上应用本地策略路由。

[SwitchA] ip local policy-based-route aaa

# 配置接口Vlan-interface10和Vlan-interface20的IP地址。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] ip address 1.1.2.1 255.255.255.0

[SwitchA-Vlan-interface10] quit

[SwitchA] interface vlan-interface 20

[SwitchA-Vlan-interface20] ip address 1.1.3.1 255.255.255.0

(2)     配置Switch B

# 配置接口Vlan-interface10的IP地址。

<SwitchB> system-view

[SwitchB] interface vlan-interface 10

[SwitchB-Vlan-interface10] ip address 1.1.2.2 255.255.255.0

[SwitchB-Vlan-interface10] quit

(3)     配置Switch C

# 配置接口Vlan-interface20的IP地址。

<SwitchC> system-view

[SwitchC] interface vlan-interface 20

[SwitchC-Vlan-interface20] ip address 1.1.3.2 255.255.255.0

[SwitchC-Vlan-interface20] quit

(4)     验证配置结果

# 从Switch A上Telnet Switch B（1.1.2.2/24），结果成功。

# 从Switch A上Telnet Switch C（1.1.3.2/24），结果失败。

<SwitchA> telnet 1.1.3.2

Trying 1.1.3.2 ...

Press CTRL+K to abort

Can't connect to the remote host!

# 从Switch A上ping Switch C（1.1.3.2/24），结果成功。

<SwitchA> ping 1.1.3.2

  PING 1.1.3.2: 56  data bytes, press CTRL_C to break

    Reply from 1.1.3.2: bytes=56 Sequence=1 ttl=255 time=2 ms

    Reply from 1.1.3.2: bytes=56 Sequence=2 ttl=255 time=1 ms

    Reply from 1.1.3.2: bytes=56 Sequence=3 ttl=255 time=1 ms

    Reply from 1.1.3.2: bytes=56 Sequence=4 ttl=255 time=1 ms

    Reply from 1.1.3.2: bytes=56 Sequence=5 ttl=255 time=1 ms

  --- 1.1.3.2 ping statistics ---

    5 packet(s) transmitted

    5 packet(s) received

    0.00% packet loss

    round-trip min/avg/max = 1/1/2 ms

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：Switch A发出的TCP报文的下一跳为1.1.2.2，接口Vlan-interface20不发送TCP报文，但可以发送非TCP报文，策略路由设置成功。

1.5.2  PBR方式接口策略路由典型配置举例

1. 组网需求

通过策略路由控制从Switch A的接口Vlan-interface11接收的报文：

·     指定所有TCP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-2 基于报文协议类型的接口策略路由的配置举例组网图

3. 配置步骤

(1)     配置Switch A

# 定义访问控制列表，ACL 3101匹配TCP报文。

<SwitchA> system-view

[SwitchA] acl number 3101

[SwitchA-acl-adv-3101] rule permit tcp

[SwitchA-acl-adv-3101] quit

# 定义5号节点，指定所有TCP报文的下一跳为1.1.2.2。

[SwitchA] policy-based-route aaa permit node 5

[SwitchA-pbr-aaa-5] if-match acl 3101

[SwitchA-pbr-aaa-5] apply ip-address next-hop 1.1.2.2

[SwitchA-pbr-aaa-5] quit

# 在接口Vlan-interface11上应用接口策略路由，处理此接口接收的报文。

[SwitchA] interface vlan-interface 11

[SwitchA-Vlan-interface11] ip address 10.110.0.10 255.255.255.0

[SwitchA-Vlan-interface11] ip policy-based-route aaa

[SwitchA-Vlan-interface11] quit

# 配置接口Vlan-interface10和Vlan-interface20的IP地址。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] ip address 1.1.2.1 255.255.255.0

[SwitchA-Vlan-interface10] quit

[SwitchA] interface vlan-interface 20

[SwitchA-Vlan-interface20] ip address 1.1.3.1 255.255.255.0

(2)     配置Switch B

# 配置到网段10.110.0.0/24的静态路由。

<SwitchB> system-view

[SwitchB] ip route-static 10.110.0.0 24 1.1.2.1

# 配置接口Vlan-interface10的IP地址。

[SwitchB] interface vlan-interface 10

[SwitchB-Vlan-interface10] ip address 1.1.2.2 255.255.255.0

[SwitchB-Vlan-interface10] quit

(3)     配置Switch C

# 配置到网段10.110.0.0/24的静态路由。

<SwitchC> system-view

[SwitchC] ip route-static 10.110.0.0 24 1.1.3.1

# 配置接口Vlan-interface20的IP地址。

[SwitchC] interface vlan-interface 20

[SwitchC-Vlan-interface20] ip address 1.1.3.2 255.255.255.0

[SwitchC-Vlan-interface20] quit

(4)     验证配置结果

将Host A的IP地址配置为10.110.0.20/24，网关地址配置为10.110.0.10。

从Host A上Telnet与Switch A直连的Switch B（telnet 1.1.2.2），结果成功。

从Host A上Telnet与Switch A直连的Switch C（telnet 1.1.3.2），结果失败。

从Host A上ping与Switch A直连的Switch C（ping 1.1.3.2），结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：从Switch A的接口Vlan-interface11接收的TCP报文的下一跳为1.1.2.2，接口Vlan-interface20不转发TCP报文，但可以转发非TCP报文，策略路由设置成功。

1.5.3  QoS策略方式IPv4策略路由配置举例

1. 组网需求

控制从设备Switch A的GigabitEthernet1/0/1端口接收的所有报文，都转发到下一跳202.1.1.2。

2. 组网图

图1-3 配置通过QoS策略实现IPv4策略路由组网图

3. 配置步骤

# 创建IPv4 ACL，匹配规则为所有报文。

<SwitchA> system-view

[SwitchA] acl number 2000

[SwitchA-acl-basic-2000] rule 0 permit source any

[SwitchA-acl-basic-2000] quit

# 创建流分类，并配置流分类规则为匹配IPv4 ACL 2000的报文。

[SwitchA] traffic classifier a

[SwitchA-classifier-a] if-match acl 2000

[SwitchA-classifier-a] quit

# 创建流行为，并配置动作为将报文重定向到下一跳202.1.1.2。

[SwitchA] traffic behavior a

[SwitchA-behavior-a] redirect next-hop 202.1.1.2

[SwitchA-behavior-a] quit

# 创建QoS策略，并将流分类与流行为进行关联。

[SwitchA] qos policy a

[SwitchA-qospolicy-a] classifier a behavior a

[SwitchA-qospolicy-a] quit

# 将QoS策略应用到端口GigabitEthernet1/0/1。

[SwitchA] interface gigabitethernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] qos apply policy a inbound

4. 验证结果

完成上面的配置后，当设备Switch A从GigabitEthernet1/0/1端口收到目的IP地址为201.1.1.2的报文时，此报文会被发送到Switch C，而不会发送到Switch B，说明策略路由应用成功。

1.5.4  QoS策略方式IPv6策略路由配置举例

1. 组网需求

控制从设备Switch A的GigabitEthernet1/0/1端口接收的所有报文，都转发到下一跳202::2。

2. 组网图

图1-4 配置通过QoS策略实现IPv6策略路由组网图

3. 配置步骤

# 创建IPv6 ACL，匹配规则为所有报文。

<SwitchA> system-view

[SwitchA] acl ipv6 number 2000

[SwitchA-acl6-basic-2000] rule 0 permit source any

[SwitchA-acl6-basic-2000] quit

#创建流分类，并配置流分类规则为匹配IPv6 ACL 2000的报文。

[SwitchA] traffic classifier a

[SwitchA-classifier-a] if-match acl ipv6 2000

[SwitchA-classifier-a] quit

# 创建流分类，并配置动作为将流量重定向到下一跳202::2。

[SwitchA] traffic behavior a

[SwitchA-behavior-a] redirect next-hop 202::2

[SwitchA-behavior-a] quit

# 创建QoS策略，并将流分类与流行为进行关联。

[SwitchA] qos policy a

[SwitchA-qospolicy-a] classifier a behavior a

[SwitchA-qospolicy-a] quit

# 将QoS策略应用到端口GigabitEthernet1/0/1。

[SwitchA] interface gigabitethernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] qos apply policy a inbound

·     验证结果

完成上面的配置后，当设备Switch A从GigabitEthernet1/0/1端口收到目的IP地址为201::2的报文时，此报文会被发送到Switch C，而不会发送到Switch B，说明策略路由应用成功。