- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
13-路由策略配置
本章节下载： 13-路由策略配置 (245.45 KB)
目 录
本章所介绍的路由策略包括IPv4路由策略和IPv6路由策略，二者的配置基本一致，不同的部分在各节中另行说明。
路由策略是为了改变网络流量所经过的途径而修改路由信息的技术，主要通过改变路由属性（包括可达性）来实现。
路由协议在发布路由信息时，通过路由策略对路由信息进行过滤，只发布满足条件的路由信息。
路由协议在接收路由信息时，通过路由策略对路由信息进行过滤，只接收满足条件的路由信息，可以控制路由表项的数量，提高网络的安全性。
路由协议在引入其它路由协议发现的路由时，通过路由策略只引入满足条件的路由信息，并控制所引入的路由信息的某些属性，以使其满足本协议的要求。
(1) 首先要定义将要实施路由策略的路由信息的特征，即定义一组匹配规则。可以用路由信息中的不同属性作为匹配依据进行设置，如目的地址、发布路由信息的路由器地址等。
(2) 然后再将匹配规则应用于路由的发布、接收和引入等过程的路由策略中。
可以灵活使用过滤器来定义各种匹配规则，过滤器的相关内容见下一节介绍。
过滤器可以看作是路由策略过滤路由的工具，单独配置的过滤器没有任何过滤效果，只有在路由协议的相关命令中应用这些过滤器，才能够达到预期的过滤效果。
路由协议可以引用访问控制列表、地址前缀列表、AS路径访问列表、团体属性列表、扩展团体属性列表、路由策略几种过滤器。下面对各种过滤器逐一进行介绍。
访问控制列表包括针对IPv4报文的ACL和针对IPv6报文的ACL。用户在定义ACL时可以指定IP(v6)地址和子网范围，用于匹配路由信息的目的网段地址或下一跳地址。
ACL的相关内容请参见“ACL和QoS配置指导”中的“ACL”。
地址前缀列表包括IPv4地址前缀列表和IPv6地址前缀列表。
地址前缀列表的作用类似于ACL，但比它更为灵活，且更易于用户理解。使用地址前缀列表过滤路由信息时，其匹配对象为路由信息的目的地址信息域；另外，用户可以指定gateway选项，指明只接收某些路由器发布的路由信息。关于gateway选项的设置请参见“三层技术-IP路由命令参考”中的“RIP”和“OSPF”。
一个地址前缀列表由前缀列表名标识。每个前缀列表可以包含多个表项，每个表项可以独立指定一个网络前缀形式的匹配范围，并用一个索引号来标识，索引号指明了在地址前缀列表中进行匹配检查的顺序。
每个表项之间是“或”的关系，在匹配的过程中，路由器按升序依次检查由索引号标识的各个表项，只要有某一表项满足条件，就意味着通过该地址前缀列表的过滤（不再对下一个表项进行匹配）。
as-path仅用于BGP路由的过滤。BGP的路由信息中，包含有自治系统路径域。as-path就是针对自治系统路径域指定匹配条件。
as-path的相关内容请参见“三层技术-IP路由配置指导”中的“BGP”。
community-list仅用于BGP路由的过滤。BGP的路由信息包中，包含一个community属性域，用来标识一个团体。community-list就是针对团体属性域指定匹配条件。
团体属性列表的相关内容请参见“三层技术-IP路由配置指导”中的“BGP”。
extcommunity-list仅用于BGP路由的过滤。目前，设备支持用于VPN的Route-Target（路由目标）BGP扩展团体属性。
扩展团体属性列表的相关内容请参见“MPLS配置指导”中的“MPLS L3VPN”。
路由策略是一种比较复杂的过滤器，它不仅可以匹配路由信息的某些属性，还可以在条件满足时改变路由信息的属性。路由策略可以使用前面几种过滤器定义自己的匹配规则。
每个节点对路由信息的处理方式由匹配模式决定。匹配模式分为permit和deny两种。
· permit：指定节点的匹配模式为允许模式。当路由信息通过该节点的过滤后，将执行该节点的apply子句，不进入下一个节点的匹配（配置了continue子句的情况除外）；如果路由信息没有通过该节点过滤，将进入下一个节点继续匹配。
· deny：指定节点的匹配模式为拒绝模式（此模式下apply子句和continue子句不会被执行）。当路由信息通过该节点的过滤后，将被拒绝通过该节点，不进入下一个节点的匹配；如果路由信息没有通过该节点的过滤，将进入下一个节点继续匹配。
每个节点可以由一组if-match、apply和continue子句组成。
· if-match子句：定义匹配规则，匹配对象是路由信息的一些属性。同一节点中的不同if-match子句是“与”的关系，只有满足节点内所有if-match子句指定的匹配条件，才能通过该节点的匹配。
· apply子句：指定动作，也就是在通过节点的匹配后，对路由信息的一些属性进行设置。
· continue子句：用来配置下一个执行节点。当路由成功匹配当前路由策略节点（必须是permit节点）时，可以指定路由继续匹配同一路由策略内的下一个节点，这样可以组合路由策略各个节点的if-match子句和apply子句，增强路由策略的灵活性。
if-match、apply和continue子句可以根据应用进行设置，都是可选的。
· 如果只过滤路由，不设置路由的属性，则不需要使用apply子句。
· 如果某个permit节点没有配置任何if-match子句，则该节点匹配所有的路由。
· 通常在多个deny节点后设置一个不含if-match子句和apply子句的permit节点，用于允许其它的路由通过。
如果所有表项都是deny模式，则任何路由都不能通过该过滤列表。这种情况下，需要在多条deny模式的表项后定义一条permit 0.0.0.0 0 less-equal 32表项，允许其它所有IPv4路由信息通过。
IPv4地址前缀列表由列表名标识，每个前缀列表可以包含多个表项。各表项以网络前缀的形式，独立指定一个匹配范围，并使用索引号标识。
在匹配过程中，系统按索引号升序依次检查各个表项，只要路由信息满足一个表项，就认为通过该过滤列表，不再去匹配其他表项。
表1-1 配置IPv4地址前缀列表
|
配置IPv4地址前缀列表 |
缺省情况下，没有配置IPv4地址前缀列表 |
如果所有表项都是deny模式，则任何路由都不能通过该过滤列表。这种情况下，需要在多条deny模式的表项后定义一条permit :: 0 less-equal 128表项，允许其它所有IPv6路由信息通过。
IPv6地址前缀列表由列表名标识，每个前缀列表可以包含多个表项。各表项可以独立指定一个网络前缀形式的匹配范围，并使用索引号标识。
在匹配的过程中，系统按索引号升序依次检查各个表项，只要路由信息满足一个表项，就认为通过该过滤列表，不再去匹配其他表项。
表1-2 配置IPv6地址前缀列表
|
配置IPv6地址前缀列表 |
缺省情况下，没有配置IPv6地址前缀列表 当指定inverse参数时，从IPv6地址的末位开始匹配 |
|
一个AS路径过滤列表可以包含多个表项。在匹配过程中，各表项之间是“或”的关系，即只要路由信息通过该列表中的一条表项，就认为通过该AS路径过滤列表。
表1-3 配置AS路径过滤列表
|
配置AS路径过滤列表 |
ip as-path as-path-number { deny | permit } regular-expression |
缺省情况下，没有配置AS路径过滤列表 |
一个团体属性列表可以定义多个表项。在匹配过程中，各表项之间是“或”的关系，即只要路由信息通过该列表中的一条表项，就认为通过该团体属性列表。
一个扩展团体属性列表可以定义多个表项。在匹配过程中，各表项之间是“或”的关系，即只要路由信息通过该列表中的一条表项，就认为通过该扩展团体属性列表。
|
ip extcommunity-list ext-comm-list-number { deny | permit } { rt route-target }&<1-32> |
路由策略用来根据路由信息的某些属性过滤路由信息，并改变与路由策略规则匹配的路由信息的属性。匹配条件可以使用前面几种过滤列表。
· if-match子句：定义匹配规则，即路由信息通过当前路由策略所需满足的条件，匹配对象是路由信息的某些属性。
· apply子句：指定动作，也就是在满足由if-match子句指定的过滤条件后所执行的一些配置命令，对路由的某些属性进行修改。
· continue子句：用来配置下一个执行节点，当路由成功匹配当前路由策略节点时，可以指定路由继续匹配同一路由策略内的下一个节点。
如果路由策略中定义了一个以上的节点，则各节点中至少应该有一个节点的匹配模式是permit。如果路由策略的所有节点都是deny模式，则没有路由信息能通过该路由策略。
当路由策略用于路由信息过滤时，如果某路由信息没有通过任一节点，则认为该路由信息没有通过该路由策略。
|
route-policy route-policy-name { deny | permit } node node-number |
在一个节点中，可以没有if-match子句，也可以有多个if-match子句。当不指定if-match子句时，如果该节点的匹配模式为允许模式，则所有路由信息都会通过该节点的过滤；如果该节点的匹配模式为拒绝模式，则所有路由信息都会被拒绝。
|
route-policy route-policy-name { deny | permit } node node-number |
|||
|
配置IPv4的路由信息的匹配条件 |
if-match ip { address | next-hop | route-source } { acl acl-number | prefix-list prefix-list-name } |
缺省情况下，没有配置IPv4的路由信息的匹配条件 如果if-match子句对应的ACL不存在，则默认满足该匹配条件；如果if-match子句对应的ACL中没有匹配的ACL规则或者ACL规则处于非激活状态，则默认不满足该匹配条件 路由策略使用非VPN的ACL进行路由过滤 |
|
|
配置IPv6的路由信息的匹配条件 |
缺省情况下，没有配置IPv6的路由信息的匹配条件 如果if-match子句对应的ACL不存在，则默认满足该匹配条件；如果if-match子句对应的ACL中没有匹配的ACL规则或者ACL规则处于非激活状态，则默认不满足该匹配条件 路由策略使用非VPN的ACL进行路由过滤 |
||
|
配置BGP路由信息的AS路径域的匹配条件 |
缺省情况下，没有配置BGP路由信息的AS路径域的匹配条件 |
||
|
匹配BGP路由信息的团体属性的匹配条件 |
缺省情况下，没有配置BGP路由信息的团体属性的匹配条件 |
||
|
配置BGP扩展团体属性的匹配条件 |
缺省情况下，没有配置BGP路由信息的扩展团体属性的匹配条件 |
||
|
if-match interface { interface-type interface-number }&<1-16> |
将路由策略应用到BGP时，BGP协议不支持配置路由信息的出接口的匹配条件 |
||
|
配置BGP路由信息的本地优先级的匹配条件 |
if-match local-preference preference |
缺省情况下，没有配置BGP路由信息的本地优先级的匹配条件 |
|
|
配置路由信息的MPLS标签的匹配条件 |
缺省情况下，没有配置路由信息的MPLS标签的匹配条件 |
||
|
配置IGP路由信息标记的匹配条件 |
缺省情况下，没有配置IGP路由信息标记的匹配条件 |
||
如果有if-match子句因超过命令行最大长度而出现多条相同类型的if-match子句时，这几条子句之间是“或”的关系，即满足一个匹配条件，就认为匹配该if-match语句，例如出现多条if-match community子句时，各个子句的团体属性之间是“或”的关系，即满足其中一个团体属性，就认为匹配if-match community子句。
IPv4路由策略和IPv6路由策略在配置apply子句时，不同之处在于设置路由信息的下一跳地址的命令不同。
|
route-policy route-policy-name { deny | permit } node node-number |
|||
|
配置BGP路由信息的AS_PATH属性 |
apply as-path as-number&<1-32> [ replace ] |
缺省情况下，没有配置BGP路由信息的AS_PATH属性 |
|
|
删除BGP路由信息的团体属性 |
apply comm-list { comm-list-number | comm-list-name } delete |
缺省情况下，没有删除BGP路由信息的团体属性 |
|
|
配置BGP路由信息的团体属性 |
缺省情况下，没有配置BGP路由信息的团体属性 |
||
|
配置BGP路由信息的扩展团体属性 |
缺省情况下，没有配置BGP路由信息的扩展团体属性 |
||
|
配置IPv4路由信息的下一跳地址 |
apply ip-address next-hop ip-address [ public | vpn-instance vpn-instance-name ] |
缺省情况下，没有配置IPv4路由信息的下一跳地址 对于引入的IPv4路由，使用本命令设置下一跳地址无效 |
|
|
配置IPv6路由信息的下一跳地址 |
apply ipv6 next-hop ipv6-address |
缺省情况下，没有配置IPv6路由信息的下一跳地址 对于引入的IPv6路由，使用本命令设置下一跳地址无效 |
|
|
配置引入路由到IS-IS某个级别的区域 |
缺省情况下，没有配置引入路由到IS-IS某个级别的区域 |
||
|
配置BGP路由信息的本地优先级 |
缺省情况下，没有配置BGP路由信息的本地优先级 |
||
|
配置MPLS标签 |
|||
|
配置BGP路由信息的ORIGIN属性 |
缺省情况下，没有配置BGP路由信息的ORIGIN属性 |
||
|
配置BGP路由信息的首选值 |
缺省情况下，没有配置BGP路由信息的首选值 |
||
|
配置IGP路由信息的标记 |
缺省情况下，没有配置IGP路由信息的标记 |
||
|
进入系统视图 |
||
|
route-policy route-policy-name { deny | permit } node node-number |
||
· 当配置continue子句的多个节点配置相同的apply子句（没有叠加属性）只是子句的值不相同时，以最后一个节点的apply子句为准；如果配置的是有叠加属性的apply子句（命令apply as-path不指定参数replace/命令apply cost指定参数+或-/命令apply community指定参数additive/命令apply extcommunity指定参数additive），属性会全部叠加到路由上。
· 当配置continue子句的多个节点配置apply community子句时，使用命令行apply comm-list delete不能删除前面节点中配置的团体属性。
在完成上述配置后，在任意视图下执行display命令可以显示配置后路由策略的运行情况，通过查看显示信息验证配置的效果。
在用户视图下执行reset命令可以清除路由策略的统计信息。
|
显示BGP AS路径过滤列表信息 |
|
|
显示BGP团体属性列表信息 |
|
|
显示BGP扩展团体属性列表信息 |
|
|
显示IPv4地址前缀列表的统计信息 |
|
|
显示IPv6地址前缀列表的统计信息 |
|
|
清除IPv4地址前缀列表的统计信息 |
reset ip prefix-list [ prefix-list-name ] |
|
清除IPv6地址前缀列表的统计信息 |
reset ipv6 prefix-list [ prefix-list-name ] |
· Switch B与Switch A之间通过OSPF协议交换路由信息，与Switch C之间通过IS-IS协议交换路由信息。
· 要求在Switch B上配置路由引入，将IS-IS路由引入到OSPF中去，并同时使用路由策略设置路由的属性。其中，设置172.17.1.0/24的路由的开销为100，设置172.17.2.0/24的路由的Tag属性为20。
图1-1 在IPv4路由引入中应用路由策略配置组网图
(1) 配置各接口的IP地址（略）
(2) 配置IS-IS路由协议
# 配置Switch C。
[SwitchC] isis
[SwitchC-isis-1] is-level level-2
[SwitchC-isis-1] network-entity 10.0000.0000.0001.00
[SwitchC-isis-1] quit
[SwitchC] interface vlan-interface 200
[SwitchC-Vlan-interface200] isis enable
[SwitchC-Vlan-interface200] quit
[SwitchC] interface vlan-interface 201
[SwitchC-Vlan-interface201] isis enable
[SwitchC-Vlan-interface201] quit
[SwitchC] interface vlan-interface 202
[SwitchC-Vlan-interface202] isis enable
[SwitchC-Vlan-interface202] quit
[SwitchC] interface vlan-interface 203
[SwitchC-Vlan-interface203] isis enable
[SwitchC-Vlan-interface203] quit
# 配置Switch B。
[SwitchB] isis
[SwitchB-isis-1] is-level level-2
[SwitchB-isis-1] network-entity 10.0000.0000.0002.00
[SwitchB-isis-1] quit
[SwitchB] interface vlan-interface 200
[SwitchB-Vlan-interface200] isis enable
[SwitchB-Vlan-interface200] quit
(3) 配置OSPF路由协议及路由引入
# 配置Switch A，启动OSPF。
[SwitchA] ospf
[SwitchA-ospf-1] area 0
[SwitchA-ospf-1-area-0.0.0.0] network 192.168.1.0 0.0.0.255
[SwitchA-ospf-1-area-0.0.0.0] quit
[SwitchA-ospf-1] quit
# 配置Switch B，启动OSPF，并引入IS-IS路由。
[SwitchB-ospf-1] area 0
[SwitchB-ospf-1-area-0.0.0.0] network 192.168.1.0 0.0.0.255
[SwitchB-ospf-1-area-0.0.0.0] quit
[SwitchB-ospf-1] import-route isis 1
[SwitchB-ospf-1] quit
# 查看SwitchA的OSPF路由表，可以看到引入的路由。
[SwitchA] display ospf routing
OSPF Process 1 with Router ID 192.168.1.1
Routing Tables
Routing for Network
Destination Cost Type NextHop AdvRouter Area
192.168.1.0/24 1 Stub 192.168.1.1 192.168.1.1 0.0.0.0
Routing for ASEs
Destination Cost Type Tag NextHop AdvRouter
172.17.1.0/24 1 Type2 1 192.168.1.2 192.168.2.2
172.17.2.0/24 1 Type2 1 192.168.1.2 192.168.2.2
172.17.3.0/24 1 Type2 1 192.168.1.2 192.168.2.2
Total Nets: 4
Intra Area: 1 Inter Area: 0 ASE: 3 NSSA: 0
# 配置编号为2002的ACL，允许172.17.2.0/24的路由通过。
[SwitchB-acl-basic-2002] rule permit source 172.17.2.0 0.0.0.255
[SwitchB-acl-basic-2002] quit
# 配置名为prefix-a的地址前缀列表，允许172.17.1.0/24的路由通过。
[SwitchB] ip prefix-list prefix-a index 10 permit 172.17.1.0 24
[SwitchB] route-policy isis2ospf permit node 10
[SwitchB-route-policy-isis2ospf-10] if-match ip address prefix-list prefix-a
[SwitchB-route-policy-isis2ospf-10] apply cost 100
[SwitchB-route-policy-isis2ospf-10] quit
[SwitchB] route-policy isis2ospf permit node 20
[SwitchB-route-policy-isis2ospf-20] if-match ip address acl 2002
[SwitchB-route-policy-isis2ospf-20] apply tag 20
[SwitchB-route-policy-isis2ospf-20] quit
[SwitchB] route-policy isis2ospf permit node 30
[SwitchB-route-policy-isis2ospf-30] quit
# 配置Switch B，设置在路由引入时应用路由策略。
[SwitchB-ospf-1] import-route isis 1 route-policy isis2ospf
[SwitchB-ospf-1] quit
# 查看Switch A的OSPF路由表，可以看到目的地址为172.17.1.0/24的路由的开销为100，目的地址为172.17.2.0/24的路由的标记域（Tag）为20，而其他外部路由没有变化。
[SwitchA] display ospf routing
OSPF Process 1 with Router ID 192.168.1.1
Routing Tables
Routing for Network
Destination Cost Type NextHop AdvRouter Area
192.168.1.0/24 1 Transit 192.168.1.1 192.168.1.1 0.0.0.0
Routing for ASEs
Destination Cost Type Tag NextHop AdvRouter
172.17.1.0/24 100 Type2 1 192.168.1.2 192.168.2.2
172.17.2.0/24 1 Type2 20 192.168.1.2 192.168.2.2
172.17.3.0/24 1 Type2 1 192.168.1.2 192.168.2.2
Total Nets: 4
Intra Area: 1 Inter Area: 0 ASE: 3 NSSA: 0
· 在Switch A和Switch B上使能RIPng。
· 在Switch A上配置三条静态路由，并设置在引入静态路由时应用路由策略，使三条静态路由部分引入、部分被屏蔽掉——20::/32和40::/32网段的路由是可见的，30::/32网段的路由则被屏蔽。
· 通过在Switch B上查看RIPng路由表，验证路由策略是否生效。
图1-2 在IPv6路由引入中应用路由策略配置组网图
# 配置接口Vlan-interface100和Vlan-interface200的IPv6地址。
[SwitchA] interface vlan-interface 100
[SwitchA-Vlan-interface100] ipv6 address 10::1 32
[SwitchA-Vlan-interface100] quit
[SwitchA] interface vlan-interface 200
[SwitchA-Vlan-interface200] ipv6 address 11::1 32
[SwitchA-Vlan-interface200] quit
# 在接口下使能RIPng。
[SwitchA] interface vlan-interface 100
[SwitchA-Vlan-interface100] ripng 1 enable
[SwitchA-Vlan-interface100] quit
# 配置三条静态路由，其下一跳为11::2，保证静态路由为active状态。
[SwitchA] ipv6 route-static 20:: 32 11::2
[SwitchA] ipv6 route-static 30:: 32 11::2
[SwitchA] ipv6 route-static 40:: 32 11::2
# 配置路由策略。
[SwitchA] ipv6 prefix-list a index 10 permit 30:: 32
[SwitchA] route-policy static2ripng deny node 0
[SwitchA-route-policy-static2ripng-0] if-match ipv6 address prefix-list a
[SwitchA-route-policy-static2ripng-0] quit
[SwitchA] route-policy static2ripng permit node 10
[SwitchA-route-policy-static2ripng-10] quit
# 启动RIPng协议并引入静态路由。
[SwitchA-ripng-1] import-route static route-policy static2ripng
# 配置接口Vlan-interface100的IPv6地址。
[SwitchB] interface vlan-interface 100
[SwitchB-Vlan-interface100] ipv6 address 10::2 32
# 启动RIPng协议。
[SwitchB-ripng-1] quit
# 在接口下使能RIPng。
[SwitchB] interface vlan-interface 100
[SwitchB-Vlan-interface100] ripng 1 enable
[SwitchB-Vlan-interface100] quit
# 查看Switch B的RIPng路由表。
[SwitchB] display ripng 1 route
Route Flags: A - Aging, S - Suppressed, G - Garbage-collect
----------------------------------------------------------------
Peer FE80::7D58:0:CA03:1 on Vlan-interface 100
Destination 10::/32,
via FE80::7D58:0:CA03:1, cost 1, tag 0, A, 18 secs
Destination 20::/32,
via FE80::7D58:0:CA03:1, cost 1, tag 0, A, 8 secs
Destination 40::/32,
via FE80::7D58:0:CA03:1, cost 1, tag 0, A, 3 secs
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
