目  录

1 策略路由

1.1 策略路由简介

1.1.1 策略简介

1.1.2 策略路由与Track联动

1.2 策略路由配置任务简介

1.3 配置策略

1.3.1 创建策略节点

1.3.2 配置策略节点的匹配规则

1.3.3 配置策略节点的动作

1.4 应用策略

1.4.1 对本地报文应用策略

1.4.2 对接口转发的报文应用策略

1.5 策略路由显示和维护

1.6 策略路由典型配置举例

1.6.1 基于报文协议类型的本地策略路由配置举例

1.6.2 基于报文协议类型的转发策略路由配置举例

1.6.3 基于报文长度的转发策略路由配置举例

1.6.4 指定出接口和下一跳的本地策略路由配置举例

1 策略路由

1.1  策略路由简介

与单纯依照IP报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以基于报文的源地址、长度等信息灵活地控制报文的发送：对于满足一定条件（报文长度、ACL规则等）的报文，将执行指定的操作（设置报文的出接口和下一跳、设置报文的缺省出接口和下一跳等）。

报文到达后，系统首先根据策略路由转发，若没有配置策略路由或配置了策略路由但找不到匹配的表项时，再根据路由表来转发报文。

根据作用对象的不同，策略路由可分为本地策略路由和转发策略路由：

·     本地策略路由：对设备本身产生的报文（比如本地发出的ping报文）起作用，指导其发送。

·     转发策略路由：对接口接收的报文起作用，指导其转发。

1.1.1  策略简介

策略用来定义报文的匹配规则，以及对报文执行的操作。策略由节点组成。

一个策略可以包含一个或者多个节点。节点的构成如下：

·     每个节点由节点编号来标识。节点编号越小节点的优先级越高，优先级高的节点优先被执行。

·     每个节点的具体内容由if-match子句和apply子句来指定。if-match子句定义该节点的匹配规则，apply子句定义该节点的动作。

·     每个节点对报文的处理方式由匹配模式决定。匹配模式分为permit（允许）和deny（拒绝）两种。

应用策略后，系统将根据策略中定义的匹配规则和操作，对报文进行处理：系统按照优先级从高到低的顺序依次匹配各节点，如果报文满足这个节点的匹配规则，就执行该节点的动作；如果报文不满足这个节点的匹配规则，就继续匹配下一个节点；如果报文不能满足策略中任何一个节点的匹配规则，则根据路由表来转发报文。

1. if-match子句

策略路由提供了两种if-match子句，作用如下：

·     if-match acl：设置ACL匹配规则。

·     if-match packet-length：设置IP报文长度匹配规则。

在一个节点中可以配置多条if-match子句，同一类型的if-match子句最多只能有一条。

同一个节点中的各if-match子句之间是“与”的关系，即报文必须满足该节点的所有if-match子句才算满足这个节点的匹配规则。

2. apply子句

策略路由提供了七种apply子句，同一个节点中可以配置多条apply子句，但配置的多条apply子句不一定都会执行。apply子句的含义以及执行优先情况等说明如表1-1所示。

表1-1 apply子句的含义以及执行优先情况等说明

子句	含义	执行优先情况/详细说明
apply ip-df zero	将IP报文头中的DF（Don’t Fragment，不分片）标志置为0，表示允许对该报文进行分片	只要配置了该子句，该子句就一定会执行
apply ip-precedence	设置IP报文优先级	只要配置了该子句，该子句就一定会执行
apply output-interface和apply ip-address next-hop	设置报文的出接口、下一跳	apply output-interface的优先级高于apply ip-address next-hop。当两条子句同时配置并且都有效时，系统只会执行apply output-interface子句
apply output-interface ip-address next-hop dhcpc	设置报文的出接口和下一跳，下一跳为通过DHCP方式学到的网关地址	在点对点的情况下，报文的下一跳即是对端地址，此时可以采用apply output-interface仅指定报文的出接口 在非点对点的情况下，如果指定出接口，还需要知道下一跳。如果指定的出接口是通过DHCP方式获取地址的，由于下一跳未知，此时就可以通过命令apply output-interface ip-address next-hop dhcpc，在指定出接口的同时，将报文的下一跳指定为通过DHCP方式学到的网关地址
apply default output-interface和apply ip-address default next-hop	设置报文的缺省出接口、缺省下一跳	apply default output-interface的优先级高于apply ip-address default next-hop。当两条子句同时配置并且都有效时，系统只会执行apply default output-interface子句 执行缺省出接口和下一跳的前提是：在策略中没有配置出接口或者下一跳，或者配置的出接口和下一跳无效，并且在路由表中没有找到与报文目的IP地址匹配的路由表项

 

3. 节点的匹配模式与节点的if-match子句、apply子句的关系

一个节点的匹配模式与这个节点的if-match子句、apply子句的关系如表1-2所示。

表1-2 节点的匹配模式、if-match子句、apply子句三者之间的关系

是否满足所有if-match子句	节点匹配模式
	permit（允许模式）	deny（拒绝模式）
是	执行此节点apply子句，不再匹配下一节点	不执行此节点apply子句，不再匹配下一节点，报文将根据路由表来进行转发
否	不执行此节点apply子句，继续匹配下一节点	不执行此节点apply子句，继续匹配下一节点

 

 

1.1.2  策略路由与Track联动

策略路由通过与Track联动，增强了应用的灵活性和对网络环境变化的动态感知能力。策略路由可以在配置报文的出接口、缺省出接口、下一跳、缺省下一跳时与Track项关联，根据Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或Invalid时生效。

 

1.2  策略路由配置任务简介

表1-3 策略路由配置任务简介

配置任务		说明	详细配置
配置策略	创建策略节点	必选	1.3.1
	配置策略节点的匹配规则		1.3.2
	配置策略节点的动作		1.3.3
应用策略	对本地报文应用策略	必选 用户可根据实际情况进行选择	1.4.1
	对接口转发的报文应用策略		1.4.2

 

1.3  配置策略

1.3.1  创建策略节点

表1-4 创建策略节点

操作	命令	说明
进入系统视图	system-view	-
创建策略节点，并进入策略节点视图	policy-based-route policy-name [ deny | permit ] node node-number	必选

 

1.3.2  配置策略节点的匹配规则

表1-5 配置策略节点的匹配规则

操作	命令	说明
进入系统视图	system-view	-
进入策略节点视图	policy-based-route policy-name [ deny | permit ] node node-number	-
设置ACL匹配规则	if-match acl acl-number	可选
设置IP报文长度匹配规则	if-match packet-length min-len max-len	可选

 

 

1.3.3  配置策略节点的动作

表1-6 配置策略节点的动作

操作	命令	说明
进入系统视图	system-view	-
进入策略节点视图	policy-based-route policy-name [ deny | permit ] node node-number	-
将IP报文头中的DF标志置为0，表示允许对该报文进行分片	apply ip-df zero	可选
设置报文的优先级	apply ip-precedence value	可选
设置报文的出接口	apply output-interface interface-type interface-number [ track track-entry-number ] [ interface-type interface-number [ track track-entry-number ] ]	可选 用户可以同时配置两个出接口，这两个出接口同时有效，可以起到负载分担的作用
设置报文的出接口和下一跳，下一跳为通过DHCP方式学到的网关地址	apply output-interface interface-type interface-number ip-address next-hop dhcpc	可选
设置报文的下一跳	apply ip-address next-hop ip-address [ direct ] [ track track-entry-number ] [ ip-address [ direct ] [ track track-entry-number ] ]	可选 用户可以同时配置两个下一跳，这两个下一跳同时有效，可以起到负载分担的作用
设置报文缺省出接口	apply default output-interface interface-type interface-number [ track track-entry-number ] [ interface-type interface-number [ track track-entry-number ] ]	可选 用户可以同时配置两个缺省出接口，这两个出接口同时有效，可以起到负载分担的作用
设置报文缺省下一跳	apply ip-address default next-hop ip-address [ track track-entry-number ] [ ip-address [ track track-entry-number ] ]	可选 用户可以同时配置两个缺省下一跳，这两个下一跳同时有效，可以起到负载分担的作用

 

1.4  应用策略

1.4.1  对本地报文应用策略

通过本配置，可以将已经配置的策略应用到本地，指导设备本身产生报文的发送。

对本地报文只能应用一个策略。多次配置命令，生效的是最新的配置。

若无特殊需求，建议用户不要对本地报文应用策略。

表1-7 对本地报文应用策略

操作	命令	说明
进入系统视图	system-view	-
对本地报文应用策略	ip local policy-based-route policy-name	必选 缺省情况下，对本地报文没有应用策略

 

 

1.4.2  对接口转发的报文应用策略

通过本配置，可以将已经配置的策略应用到接口，指导接口接收的所有报文的转发。

对接口转发的报文应用策略时，一个接口只能应用一个策略。多次配置命令，生效的是最新的配置。

一个策略可以同时被多个接口应用。

表1-8 对接口转发的报文应用策略

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
对接口转发的报文应用策略	ip policy-based-route policy-name	必选 缺省情况下，对接口转发的报文没有应用策略

 

 

1.5  策略路由显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置策略路由后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令清除策略路由的统计信息。

表1-9 策略路由显示和维护

操作	命令
显示已经配置的策略	display policy-based-route [ policy-name ] [ | { begin | exclude | include } regular-expression ]
显示本地策略路由和转发策略路由的应用情况	display ip policy-based-route [ | { begin | exclude | include } regular-expression ]
显示已经应用的策略路由的设置情况	display ip policy-based-route setup { interface interface-type interface-number | local | policy-name } [ | { begin | exclude | include } regular-expression ]
显示策略路由的统计信息	display ip policy-based-route statistics { interface interface-type interface-number | local } [ | { begin | exclude | include } regular-expression ]
清除策略路由的统计信息	reset policy-based-route statistics [ policy-name ]

 

1.6  策略路由典型配置举例

1.6.1  基于报文协议类型的本地策略路由配置举例

1. 组网需求

通过策略路由控制AC产生的报文：

·     所有TCP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

其中，AC分别与Switch A和Switch B直连。

2. 组网图

图1-1 基于报文协议类型的本地策略路由的配置举例组网图

 

3. 配置步骤

(1)     配置AC

# 创建VLAN 10及其对应的VLAN接口，并为该接口配置IP地址1.1.2.1/24。

<AC> system-view

[AC] vlan 10

[AC-vlan10] quit

[AC] interface vlan-interface 10

[AC-Vlan-interface10] ip address 1.1.2.1 24

[AC-Vlan-interface10] quit

# 创建VLAN 20及其对应的VLAN接口，并为该接口配置IP地址1.1.3.1/24。

[AC] vlan 20

[AC-vlan20] quit

[AC] interface vlan-interface 20

[AC-Vlan-interface20] ip address 1.1.3.1 24

[AC-Vlan-interface20] quit

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

[AC] acl number 3101

[AC-acl-adv-3101] rule permit tcp

[AC-acl-adv-3101] quit

# 定义5号节点，指定所有TCP报文的下一跳为1.1.2.2。

[AC] policy-based-route aaa permit node 5

[AC-pbr-aaa-5] if-match acl 3101

[AC-pbr-aaa-5] apply ip-address next-hop 1.1.2.2

[AC-pbr-aaa-5] quit

# 在AC上应用本地策略路由。

[AC] ip local policy-based-route aaa

(2)     配置Switch A

# 创建VLAN 10及其对应的VLAN接口，并为该接口配置IP地址1.1.2.2/24。

<SwitchA> system-view

[SwitchA] vlan 10

[SwitchA-vlan10] quit

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] ip address 1.1.2.2 24

[SwitchA-Vlan-interface10] quit

(3)     配置Switch B

# 创建VLAN 20及其对应的VLAN接口，并为该接口配置IP地址1.1.3.2/24。

<SwitchB> system-view

[SwitchB] vlan 20

[SwitchB-vlan20] quit

[SwitchB] interface vlan-interface 20

[SwitchB-Vlan-interface20] ip address 1.1.3.2 24

[SwitchB-Vlan-interface20] quit

4. 验证配置

从AC上通过Telnet方式登录Switch A（1.1.2.2/24），结果成功。

从AC上通过Telnet方式登录Switch B（1.1.3.2/24），结果失败。

从AC上ping Switch B（1.1.3.2/24），结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：AC产生的TCP报文的下一跳为1.1.2.2，VLAN接口Vlan-int20不发送TCP报文，但可以发送非TCP报文，策略路由设置成功。

1.6.2  基于报文协议类型的转发策略路由配置举例

1. 组网需求

通过策略路由控制从AC的接口Vlan-interface10接收的报文：

·     所有TCP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-2 基于报文协议类型的转发策略路由的配置举例组网图

 

3. 配置步骤

(1)     配置AC

# 创建VLAN 10及其对应的VLAN接口，并为该接口配置IP地址10.110.0.10/24。

<AC> system-view

[AC] vlan 10

[AC-vlan10] quit

[AC] interface vlan-interface 10

[AC-Vlan-interface10] ip address 10.110.0.10 24

[AC-Vlan-interface10] quit

# 创建VLAN 20及其对应的VLAN接口，并为该接口配置IP地址1.1.2.1/24。

<AC> system-view

[AC] vlan 20

[AC-vlan20] quit

[AC] interface vlan-interface 20

[AC-Vlan-interface20] ip address 1.1.2.1 24

[AC-Vlan-interface20] quit

# 创建VLAN 30及其对应的VLAN接口，并为该接口配置IP地址1.1.3.1/24。

<AC> system-view

[AC] vlan 30

[AC-vlan30] quit

[AC] interface vlan-interface 30

[AC-Vlan-interface30] ip address 1.1.3.1 24

[AC-Vlan-interface30] quit

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

[AC] acl number 3101

[AC-acl-adv-3101] rule permit tcp

[AC-acl-adv-3101] quit

# 定义5号节点，指定所有TCP报文的下一跳为1.1.2.2。

[AC] policy-based-route aaa permit node 5

[AC-pbr-aaa-5] if-match acl 3101

[AC-pbr-aaa-5] apply ip-address next-hop 1.1.2.2

[AC-pbr-aaa-5] quit

# 在接口Vlan-interface10上应用转发策略路由，处理此接口接收的报文。

[AC] interface vlan-interface10

[AC-Vlan-interface10] ip policy-based-route aaa

[AC-Vlan-interface10] quit

(2)     配置Switch A

# 创建VLAN 20及其对应的VLAN接口，并为该接口配置IP地址1.1.2.2/24。

<SwitchA> system-view

[SwitchA] vlan 20

[SwitchA-vlan20] quit

[SwitchA] interface vlan-interface 20

[SwitchA-Vlan-interface20] ip address 1.1.2.2 24

[SwitchA-Vlan-interface20] quit

# 配置到网段10.110.0.0/24的静态路由。

[SwitchA] ip route-static 10.110.0.0 24 1.1.2.1

(3)     配置Switch B

# 创建VLAN30及其对应的VLAN接口，并为该接口配置IP地址1.1.3.2/24。

<SwitchB> system-view

[SwitchB] vlan 30

[SwitchB-vlan30] quit

[SwitchB] interface vlan-interface 30

[SwitchB-Vlan-interface30] ip address 1.1.3.2 24

[SwitchB-Vlan-interface30] quit

# 配置到网段10.110.0.0/24的静态路由。

[Switch B] ip route-static 10.110.0.0 24 1.1.3.1

4. 验证配置

将Host A的IP地址配置为10.110.0.20/24，网关地址配置为10.110.0.10。

从Host A上通过Telnet方式登录Switch A，结果成功。

从Host A上通过Telnet方式登录Switch B，结果失败。

从Host A上ping Switch B，结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：从AC的接口Vlan-interface10接收的TCP报文的下一跳为1.1.2.2，VLAN接口Vlan-int30不转发TCP报文，但可以转发非TCP报文，策略路由设置成功。

1.6.3  基于报文长度的转发策略路由配置举例

1. 组网需求

通过策略路由控制从AC的接口Vlan-interface10接收的报文：

·     长度为64～100字节的报文以150.1.1.2/24作为下一跳IP地址；

·     长度为101～1000字节的报文以151.1.1.2/24作为下一跳IP地址；

·     所有其它长度的报文都按照查找路由表的方式转发。

2. 组网图

图1-3 基于报文长度的转发策略路由的配置举例组网图

 

3. 配置步骤

(1)     配置AC

# 创建VLAN 10及其对应的VLAN接口，并为该接口配置IP地址150.1.1.1/24。

<AC> system-view

[AC] vlan 10

[AC-vlan10] quit

[AC] interface vlan-interface 10

[AC-Vlan-interface10] ip address 150.1.1.1 24

[AC-Vlan-interface10] quit

# 创建VLAN 20及其对应的VLAN接口，并为该接口配置IP地址15.1.1.1/24。

<AC> system-view

[AC] vlan 20

[AC-vlan20] quit

[AC] interface vlan-interface 20

[AC-Vlan-interface20] ip address 151.1.1.1 24

[AC-Vlan-interface20] quit

# 创建VLAN 30及其对应的VLAN接口，并为该接口配置IP地址192.1.1.1/24。

<AC> system-view

[AC] vlan 30

[AC-vlan30] quit

[AC] interface vlan-interface 30

[AC-Vlan-interface30] ip address 192.1.1.1 24

[AC-Vlan-interface30] quit

# 配置动态路由协议RIP。

[AC] rip

[AC-rip-1] network 192.1.1.0

[AC-rip-1] network 150.1.0.0

[AC-rip-1] network 151.1.0.0

[AC-rip-1] quit

# 配置策略lab1，将长度为64～100字节的报文转发到下一跳150.1.1.2，而将长度为101～1000字节的报文转发到下一跳151.1.1.2。

[AC] policy-based-route lab1 permit node 10

[AC-pbr-lab1-10] if-match packet-length 64 100

[AC-pbr-lab1-10] apply ip-address next-hop 150.1.1.2

[AC-pbr-lab1-10] quit

[AC] policy-based-route lab1 permit node 20

[AC-pbr-lab1-20] if-match packet-length 101 1000

[AC-pbr-lab1-20] apply ip-address next-hop 151.1.1.2

[AC-pbr-lab1-20] quit

# 在接口Vlan-interface10上应用定义的策略lab1，处理此接口接收的报文。

[AC] interface vlan-interface 10

[AC-Vlan-interface 10] ip policy-based-route lab1

[AC-Vlan-interface 10] quit

(2)     配置Router A

# 创建VLAN 10及其对应的VLAN接口，并为该接口配置IP地址150.1.1.2/24。

<RouterA> system-view

[RouterA] vlan 10

[RouterA-vlan10] quit

[RouterA] interface vlan-interface 10

[RouterA-Vlan-interface10] ip address 150.1.1.2 24

[RouterA-Vlan-interface10] quit

# 创建VLAN 20及其对应的VLAN接口，并为该接口配置IP地址15.1.1.2/24。

<RouterA> system-view

[RouterA] vlan 20

[RouterA-vlan20] quit

[RouterA] interface vlan-interface 20

[RouterA-Vlan-interface20] ip address 151.1.1.2 24

[RouterA-Vlan-interface20] quit

# 配置Loopback接口的IP地址。

[RouterB] interface loopback 0

[RouterB-LoopBack0] ip address 10.1.1.1 32

[RouterB-LoopBack0] quit

# 配置动态路由协议RIP。

[RouterB] rip

[RouterB-rip-1] network 10.0.0.0

[RouterB-rip-1] network 150.1.0.0

[RouterB-rip-1] network 151.1.0.0

[RouterB-rip-1] quit

4. 验证配置

# 在AC上使用debugging ip policy-based-route命令监视策略路由。

<AC> debugging ip policy-based-route

<AC> terminal debugging

<AC> terminal monitor

# 从Host A上Ping Router A的Loopback0，并将报文数据字段长度设为64字节。

C:\>ping –n 1 -l 64 10.1.1.1

 

Pinging 10.1.1.1 with 64 bytes of data:

 

Reply from 10.1.1.1: bytes=64 time=1ms TTL=64

 

Ping statistics for 10.1.1.1:

    Packets: Sent = 1, Received = 1, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 1ms, Maximum = 1ms, Average = 1ms

从AC上显示的策略路由调试信息如下：

<AC>

*Jun  26 12:04:33:519 2012 AC PBR4/7/PBR Forward Info: -MDC=1; Policy:lab1, Node:

 10,match succeeded.

*Jun  26 12:04:33:519 2012 AC PBR4/7/PBR Forward Info: -MDC=1; apply next-hop 150

.1.1.2.

以上策略路由信息显示，AC在接收到报文后，根据策略路由确定的下一跳为150.1.1.2，也就是说将报文从VLAN接口Vlan-in10转发出去。

# 从Host A上Ping Router A的Loopback0，并将报文数据字段长度设为200字节。

C:\> ping –n 1 -l 200 10.1.1.1

 

Pinging 10.1.1.1 with 200 bytes of data:

 

Reply from 10.1.1.1: bytes=200 time=1ms TTL=64

 

Ping statistics for 10.1.1.1:

    Packets: Sent = 1, Received = 1, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 1ms, Maximum = 1ms, Average = 1ms

从AC上显示的策略路由调试信息如下：

<AC>

*Jun  26 12:20:33:610 2012 AC PBR4/7/PBR Forward Info: -MDC=1; Policy:lab1, Node:

 20,match succeeded.

*Jun  26 12:20:33:610 2012 AC PBR4/7/PBR Forward Info: -MDC=1; apply next-hop 151

.1.1.2.

以上策略路由信息显示，AC在接收到报文后，根据策略路由确定的下一跳为151.1.1.2，也就是说将报文从VLAN接口Vlan-int20转发出去。

1.6.4  指定出接口和下一跳的本地策略路由配置举例

1. 组网需求

·     AC的下行口连接Switch A，上行口GigabitEthernet1/0/5连接到Internet。

·     AC的子接口GigabitEthernet1/0/5.1通过DHCP方式获取IP地址。

要求：Router上的管理报文SNMP和SNMP Trap通过子接口GigabitEthernet1/0/5.1进行转发。

2. 组网图

图1-4 指定出接口和下一跳的本地策略路由配置举例组网图

 

3. 配置步骤

# 配置子接口GigabitEthernet1/0/5.1的地址获取方式为DHCP。

<AC> system-view

[AC] interface gigabitethernet1/0/5.1

[AC-GigabitEthernet1/0/5.1] ip address dhcp-alloc

[AC-GigabitEthernet1/0/5.1] vlan-type dot1q vid 1

[AC-GigabitEthernet1/0/5.1] quit

# 定义ACL 3000匹配管理报文（SNMP和SNMP Trap报文）。

[AC] acl number 3000

[AC-acl-adv-3000] rule 0 permit udp source-port eq snmp

[AC-acl-adv-3000] rule 5 permit udp destination-port eq snmptrap

[AC-acl-adv-3000] quit

# 定义策略，使管理报文从GigabitEthernet1/0/5.1接口转发（由于该子接口使用DHCP方式获取地址，配置时不知道下一跳地址，因此需要将下一跳配置为通过DHCP学到的网关地址）。

[AC] policy-based-route management permit node 1

[AC-pbr-management-1] if-match acl 3000

[AC-pbr-management-1] apply output-interface gigabitethernet1/0/5.1 ip-address next-hop dhcpc

[AC-pbr-management-1] quit

# 在Router上应用本地策略路由。

[AC] ip local policy-based-route management