目  录

1 策略路由

1.1 策略路由简介

1.1.1 策略简介

1.1.2 策略路由与Track联动

1.2 策略路由配置任务简介

1.3 配置策略

1.3.1 创建策略节点

1.3.2 配置策略节点的匹配规则

1.3.3 配置策略节点的动作

1.4 应用策略

1.4.1 对本地报文应用策略

1.4.2 对接口转发的报文应用策略

1.5 策略路由显示和维护

1.6 策略路由典型配置举例

1.6.1 基于报文协议类型的本地策略路由配置举例

1.6.2 基于报文协议类型的转发策略路由配置举例

1.6.3 基于EVPN的服务链策略路由配置举例

1 策略路由

1.1  策略路由简介

与单纯依照IP报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对于满足一定条件（ACL规则等）的报文，执行指定的操作（设置报文的下一跳、缺省下一跳等）。

报文到达后，其后续的转发流程如下：

·     首先根据配置的策略路由转发。

·     若找不到匹配的节点或虽然找到了匹配的节点，但指导报文转发失败时，再根据路由表中除缺省路由之外的路由来转发报文。

·     若转发失败，则根据策略路由中配置的缺省下一跳指导报文转发。

·     若转发失败，则再根据缺省路由来转发报文。

根据作用对象的不同，策略路由可分为本地策略路由和转发策略路由：

·     本地策略路由：对设备本身产生的报文（比如本地发出的ping报文）起作用，指导其发送。

·     转发策略路由：对接口接收的报文起作用，指导其转发。

1.1.1  策略简介

策略用来定义报文的匹配规则，以及对报文执行的操作。策略由节点组成。

一个策略可以包含一个或者多个节点。节点的构成如下：

·     每个节点由节点编号来标识。节点编号越小节点的优先级越高，优先级高的节点优先被执行。

·     每个节点的具体内容由if-match子句和apply子句来指定。if-match子句定义该节点的匹配规则，apply子句定义该节点的动作。

·     每个节点对报文的处理方式由匹配模式决定。匹配模式分为permit（允许）和deny（拒绝）两种。

应用策略后，系统将根据策略中定义的匹配规则和操作，对报文进行处理：系统按照优先级从高到低的顺序依次匹配各节点，如果报文满足这个节点的匹配规则，就执行该节点的动作；如果报文不满足这个节点的匹配规则，就继续匹配下一个节点；如果报文不能满足策略中任何一个节点的匹配规则，则根据路由表来转发报文。

1. if-match子句

目前，策略路由提供了2种if-match子句，作用如下：

·     if-match acl：设置ACL匹配规则。

·     if-match service-chain：设置服务链匹配规则。

在一个节点中可以配置多条if-match子句，同一类型的if-match子句只能配置一条。

同一个节点中的不同类型if-match子句之间是“与”的关系，即报文必须满足该节点的所有if-match子句才算满足这个节点的匹配规则。同一类型的if-match子句之间是“或”的关系，即报文只需满足一条该类型的if-match子句就算满足此类型if-match子句的匹配规则。

2. apply子句

策略路由提供了5种apply子句，同一个节点中可以配置多条apply子句，但配置的多条apply子句不一定都会执行。影响报文转发路径的apply子句有3条，优先级顺序是：apply next-hop、apply output-interface和apply default-next-hop。apply子句的含义以及执行优先情况等说明如表1-1所示。

表1-1 apply子句的含义以及执行优先情况等说明

子句	含义	执行优先情况/详细说明
apply precedence	设置IP报文的IP优先级	只要配置了该子句，该子句就一定会执行
apply next-hop和apply output-interface	设置报文的下一跳、出接口	当两条子句同时配置并且都有效时，系统只会执行apply next-hop子句
apply service-chain	设置报文的服务链规则	本子句必须在应用可达的VXLAN隧道的下一跳才生效
apply default-next-hop	设置报文的缺省下一跳	执行缺省下一跳的前提是：在策略中没有配置下一跳，或者配置的下一跳无效，并且在路由表中没有找到与报文目的IP地址匹配的路由表项

 

3. 节点的匹配模式与节点的if-match子句、apply子句的关系

一个节点的匹配模式与这个节点的if-match子句、apply子句的关系如表1-2所示。

表1-2 节点的匹配模式、if-match子句、apply子句三者之间的关系

是否满足所有if-match子句	节点匹配模式
	permit（允许模式）	deny（拒绝模式）
是	·     如果节点配置了apply子句，则执行此节点apply子句 ¡     如果节点指导报文转发成功，则不再匹配下一节点 ¡     如果节点指导报文转发失败，则不再匹配下一节点 ·     如果节点没有配置apply子句，则不会执行任何动作，且不再匹配下一节点，报文将根据路由表来进行转发	不执行此节点apply子句，不再匹配下一节点，报文将根据路由表来进行转发
否	不执行此节点apply子句，继续匹配下一节点	不执行此节点apply子句，继续匹配下一节点

 

 

1.1.2  策略路由与Track联动

策略路由通过与Track联动，增强了应用的灵活性和对网络环境变化的动态感知能力。

策略路由可以在配置报文的下一跳、缺省下一跳时与Track项关联，根据Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或NotReady时生效。关于策略路由与Track联动的详细介绍和相关配置，请参见“可靠性配置指导”中的“Track”。

1.2  策略路由配置任务简介

表1-3 策略路由配置任务简介

配置任务		说明	详细配置
配置策略	创建策略节点	必选	1.3.1
	配置策略节点的匹配规则		1.3.2
	配置策略节点的动作		1.3.3
应用策略	对本地报文应用策略	必选 用户可根据实际情况进行选择	1.4.1
	对接口转发的报文应用策略		1.4.2

 

1.3  配置策略

1.3.1  创建策略节点

表1-4 创建策略节点

操作	命令	说明
进入系统视图	system-view	-
创建策略节点，并进入策略节点视图	policy-based-route policy-name [ deny | permit ] node node-number	缺省情况下，没有创建策略节点
（可选）设置当前策略节点的描述信息	description text	缺省情况下，未设置当前策略节点的描述信息

 

1.3.2  配置策略节点的匹配规则

表1-5 配置策略节点的匹配规则

操作	命令	说明
进入系统视图	system-view	-
进入策略节点视图	policy-based-route policy-name [ deny | permit ] node node-number	-
设置ACL匹配规则	if-match acl { acl-number | name acl-name }	缺省情况下，未设置ACL匹配规则
设置服务链匹配规则	if-match service-chain { path-id service-path-id [ path-index service-patch-index ] }	缺省情况下，未设置服务链匹配规则 包含本命令的策略，不支持应用到三层以太网子接口

 

 

1.3.3  配置策略节点的动作

表1-6 配置策略节点的动作

操作	命令	说明
进入系统视图	system-view	-
进入策略节点视图	policy-based-route policy-name [ deny | permit ] node node-number	-
设置IP报文的IP优先级	apply precedence { type | value }	缺省情况下，未设置IP报文的优先级
设置报文转发的下一跳	apply next-hop [ vpn-instance vpn-instance-name ] { ip-address [ direct ] [ track track-entry-number ] }&<1-2 >	缺省情况下，未设置报文转发的下一跳 用户可以同时配置多个下一跳（通过一次或多次配置本命令实现），起到主备的作用 每个节点最多可以配置2个下一跳
设置指导报文转发的出接口	apply output-interface { interface-type interface-number [ track track-entry-number ] }	缺省情况下，未设置指导报文转发的出接口
设置指导报文转发的缺省下一跳	apply default-next-hop [ vpn-instance vpn-instance-name ] { ip-address [ direct ] [ track track-entry-number ] }&<1-2>	缺省情况下，未设置指导报文转发的缺省下一跳 用户可以同时配置多个缺省下一跳（通过一次或多次配置本命令实现），起到主备的作用 每个节点最多可以配置2个缺省下一跳 vpn-instance vpn-instance-name 参数配置后不生效 需要注意的是，本命令在以下接口板上暂不支持： ·     EA和EB系列接口板 ·     下列SE系列接口板：LSU1GP24TXSE0、LSU1GT48SE0、LSU1GP48SE0、LSU1TGX4SE0、LSU1TGS8SE0、LSU1GP24TSE0 ·     下列SC系列接口板：LSU1TGS16SC0
设置报文的服务链规则	apply service-chain path-id service-path-id [ path-index service-patch-index ]	缺省情况下，未设置报文的服务链规则 包含本命令的策略，不支持应用到三层以太网子接口 本配置对软件转发的报文不生效

 

1.4  应用策略

1.4.1  对本地报文应用策略

通过本配置，可以将已经配置的策略应用到本地，指导设备本身产生报文的发送。应用策略时，该策略必须已经存在，否则配置将失败。

对本地报文只能应用一个策略。应用新的策略前必须删除本地原来已经应用的策略。

若无特殊需求，建议用户不要对本地报文应用策略。否则，有可能会对本地报文的发送造成不必要的影响（如ping、telnet服务的失效）。

表1-7 对本地报文应用策略

操作	命令	说明
进入系统视图	system-view	-
对本地报文应用策略	ip local policy-based-route policy-name	缺省情况下，对本地报文没有应用策略

 

1.4.2  对接口转发的报文应用策略

通过本配置，可以将已经配置的策略应用到接口，指导接口接收的所有报文的转发。应用策略时，该策略必须已经存在，否则配置将失败。

对接口转发的报文应用策略时，一个接口只能应用一个策略。应用新的策略前必须删除接口上原来已经应用的策略。

一个策略可以同时被多个接口应用。

表1-8 对接口转发的报文应用策略

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
对接口转发的报文应用策略	ip policy-based-route policy-name	缺省情况下，对接口转发的报文没有应用策略

 

1.5  策略路由显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置策略路由后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除策略路由的统计信息。

表1-9 策略路由显示和维护

操作	命令
显示已经配置的策略	display ip policy-based-route [ policy policy-name ]
显示已经应用的策略路由信息	display ip policy-based-route setup
显示本地策略路由的配置信息和统计信息（独立运行模式）	display ip policy-based-route local [ slot slot-number ]
显示本地策略路由的配置信息和统计信息（IRF模式）	display ip policy-based-route local [ chassis chassis-number slot slot-number ]
显示接口下转发策略路由的配置信息和统计信息（独立运行模式）	display ip policy-based-route interface interface-type interface-number [ slot slot-number ]
显示接口下转发策略路由的配置信息和统计信息（IRF模式）	display ip policy-based-route interface interface-type interface-number [ chassis chassis-number slot slot-number ]
清除策略路由的统计信息	reset ip policy-based-route statistics [ policy policy-name ]

 

1.6  策略路由典型配置举例

1.6.1  基于报文协议类型的本地策略路由配置举例

1. 组网需求

通过策略路由控制Switch A产生的报文：

·     指定所有TCP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

其中，Switch A分别与Switch B和Switch C直连。

2. 组网图

图1-1 基于报文协议类型的本地策略路由的配置举例组网图

 

3. 配置步骤

(1)     配置Switch A

# 创建VLAN 10和VLAN 20。

<SwitchA> system-view

[SwitchA] vlan 10

[SwitchA-vlan10] quit

[SwitchA] vlan 20

[SwitchA-vlan20] quit

# 配置接口Vlan-interface10和Vlan-interface20的IP地址。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] ip address 1.1.2.1 24

[SwitchA-Vlan-interface10] quit

[SwitchA] interface vlan-interface 20

[SwitchA-Vlan-interface20] ip address 1.1.3.1 24

[SwitchA-Vlan-interface20] quit

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

[SwitchA] acl advanced 3101

[SwitchA-acl-adv-3101] rule permit tcp

[SwitchA-acl-adv-3101] quit

# 定义5号节点，指定所有TCP报文的下一跳为1.1.2.2。

[SwitchA] policy-based-route aaa permit node 5

[SwitchA-pbr-aaa-5] if-match acl 3101

[SwitchA-pbr-aaa-5] apply next-hop 1.1.2.2

[SwitchA-pbr-aaa-5] quit

# 在Switch A上应用本地策略路由。

[SwitchA] ip local policy-based-route aaa

(2)     配置Switch B

# 创建VLAN 10

<SwitchB> system-view

[SwitchB] vlan 10

[SwitchB-vlan10] quit

# 配置接口Vlan-interface10的IP地址。

[SwitchB] interface vlan-interface 10

[SwitchB-Vlan-interface10] ip address 1.1.2.2 24

(3)     配置Switch C

#创建VLAN 20

<SwitchC> system-view

[SwitchC] vlan 20

[SwitchC-vlan20] quit

# 配置接口Vlan-interface20的IP地址。

[SwitchC] interface vlan-interface 20

[SwitchC-Vlan-interface20] ip address 1.1.3.2 24

4. 验证配置

从Switch A上通过Telnet方式登录Switch B（1.1.2.2/24），结果成功。

从Switch A上通过Telnet方式登录Switch C（1.1.3.2/24），结果失败。

从Switch A上ping Switch C（1.1.3.2/24），结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：Switch A发出的TCP报文的下一跳为1.1.2.2，接口Vlan-interface20不发送TCP报文，但可以发送非TCP报文，策略路由设置成功。

1.6.2  基于报文协议类型的转发策略路由配置举例

1. 组网需求

通过策略路由控制从Switch A的接口Vlan-interface11接收的报文：

·     指定所有TCP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-2 基于报文协议类型的转发策略路由的配置举例组网图

 

3. 配置步骤

(1)     配置Switch A

# 创建VLAN 10和VLAN 20。

<SwitchA> system-view

[SwitchA] vlan 10

[SwitchA-vlan10] quit

[SwitchA] vlan 20

[SwitchA-vlan20] quit

# 配置接口Vlan-interface10和Vlan-interface20的IP地址。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] ip address 1.1.2.1 24

[SwitchA-Vlan-interface10] quit

[SwitchA] interface vlan-interface 20

[SwitchA-Vlan-interface20] ip address 1.1.3.1 24

[SwitchA-Vlan-interface20] quit

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

[SwitchA] acl advanced 3101

[SwitchA-acl-adv-3101] rule permit tcp

[SwitchA-acl-adv-3101] quit

# 定义5号节点，指定所有TCP报文的下一跳为1.1.2.2。

[SwitchA] policy-based-route aaa permit node 5

[SwitchA-pbr-aaa-5] if-match acl 3101

[SwitchA-pbr-aaa-5] apply next-hop 1.1.2.2

[SwitchA-pbr-aaa-5] quit

# 在接口Vlan-interface11上应用转发策略路由，处理此接口接收的报文。

[SwitchA] interface vlan-interface 11

[SwitchA-Vlan-interface11] ip address 10.110.0.10 24

[SwitchA-Vlan-interface11] ip policy-based-route aaa

[SwitchA-Vlan-interface11] quit

(2)     配置Switch B

# 创建VLAN 10

<SwitchB> system-view

[SwitchB] vlan 10

[SwitchB-vlan10] quit

# 配置接口Vlan-interface10的IP地址。

[SwitchB] interface vlan-interface 10

[SwitchB-Vlan-interface10] ip address 1.1.2.2 24

[SwitchB-Vlan-interface10] quit

# 配置到网段10.110.0.0/24的静态路由。

[SwitchB] ip route-static 10.110.0.0 24 1.1.2.1

(3)     配置Switch C

#创建VLAN 20

<SwitchC> system-view

[SwitchC] vlan 20

[SwitchC-vlan20] quit

# 配置接口Vlan-interface20的IP地址。

[SwitchC] interface vlan-interface 20

[SwitchC-Vlan-interface20] ip address 1.1.3.2 24

[SwitchC-Vlan-interface20] quit

# 配置到网段10.110.0.0/24的静态路由。

[SwitchC] ip route-static 10.110.0.0 24 1.1.3.1

4. 验证配置

将Host A的IP地址配置为10.110.0.20/24，网关地址配置为10.110.0.10。

从Host A上通过Telnet方式登录Switch B，结果成功。

从Host A上通过Telnet方式登录Switch C，结果失败。

从Host A上ping Switch C，结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：从Switch A的接口Vlan-interface11接收的TCP报文的下一跳为1.1.2.2，接口Vlan-interface20不转发TCP报文，但可以转发非TCP报文，策略路由设置成功。

1.6.3  基于EVPN的服务链策略路由配置举例

1. 组网需求

Switch A、Switch B、Switch C为分布式EVPN网关设备，Switch D为RR，负责在交换机之间反射BGP路由。通过匹配以太网服务实例的策略路由，使Server 1发往Server 2的报文先经过以太网服务实例1中的服务器处理，再发送到Server2。

2. 组网图

图1-3 基于EVPN的服务链策略路由配置组网图

 

 

3. 配置步骤

(1)     配置IP地址和单播路由协议。

请按照图1-3配置各接口的IP地址和子网掩码，具体配置过程略。

(2)     配置Switch A

# 开启L2VPN能力。

<SwitchA> system-view

[SwitchA] l2vpn enable

# 关闭远端MAC地址和远端ARP自动学习功能。

[SwitchA] vxlan tunnel mac-learning disable

[SwitchA] vxlan tunnel arp-learning disable

# 在VSI实例vpna下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。

[SwitchA] vsi vpna

[SwitchA-vsi-vpna] evpn encapsulation vxlan

[SwitchA-vsi-vpna-evpn-vxlan] route-distinguisher auto

[SwitchA-vsi-vpna-evpn-vxlan] vpn-target auto

[SwitchA-vsi-vpna-evpn-vxlan] quit

# 创建VXLAN 10。

[SwitchA-vsi-vpna] vxlan 10

[SwitchA-vsi-vpna-vxlan-10] quit

[SwitchA-vsi-vpna] quit

# 配置BGP发布EVPN路由。

[SwitchA] bgp 200

[SwitchA-bgp-default] peer 4.4.4.4 as-number 200

[SwitchA-bgp-default] peer 4.4.4.4 connect-interface loopback 0

[SwitchA-bgp-default] address-family l2vpn evpn

[SwitchA-bgp-default-evpn] peer 4.4.4.4 enable

[SwitchA-bgp-default-evpn] quit

[SwitchA-bgp-default] quit

# 创建VPN实例vpna。

[SwitchA] ip vpn-instance vpna

[SwitchA-vpn-instance-vpna] route-distinguisher 1:1

[SwitchA-vpn-instance-vpna] address-family ipv4

[SwitchA-vpn-ipv4-vpna] vpn-target 2:2

[SwitchA-vpn-ipv4-vpna] quit

[SwitchA-vpn-instance-vpna] address-family evpn

[SwitchA-vpn-evpn-vpna] vpn-target 1:1

[SwitchA-vpn-evpn-vpna] quit

[SwitchA-vpn-instance-vpna] quit

# 配置VSI虚接口VSI-interface1。

[SwitchA] interface vsi-interface 1

[SwitchA-Vsi-interface1] ip binding vpn-instance vpna

[SwitchA-Vsi-interface1] ip address 10.1.1.1 255.255.255.0

[SwitchA-Vsi-interface1] mac-address 0001-0001-0001

[SwitchA-Vsi-interface1] local-proxy-arp enable

[SwitchA-Vsi-interface1] distributed-gateway local

[SwitchA-Vsi-interface1] quit

# 创建VSI虚接口VSI-interface3，在该接口上配置VPN实例vpna对应的L3VNI为1000。

[SwitchA] interface vsi-interface 3

[SwitchA-Vsi-interface3] ip binding vpn-instance vpna

[SwitchA-Vsi-interface3] l3-vni 1000

[SwitchA-Vsi-interface3] quit

# 配置VXLAN 10所在的VSI实例和接口VSI-interface1关联。

[SwitchA] vsi vpna

[SwitchA-vsi-vpna] gateway vsi-interface 1

[SwitchA-vsi-vpna] quit

# 配置VLAN接口11。

[SwitchA] interface vlan-interface 11

[SwitchA-Vlan-interface11] ip address 11.1.1.1 255.255.255.0

[SwitchA-Vlan-interface11] ospf 1 area 0.0.0.0

[SwitchA-Vlan-interface11] quit

# 配置以太网服务实例1000与VSI实例vpna关联。

[SwitchA] interface gigabitethernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] port link-mode bridge

[SwitchA-GigabitEthernet1/0/1] service-instance 1000

[SwitchA-GigabitEthernet1/0/1-srv1000] encapsulation s-vid 2

[SwitchA-GigabitEthernet1/0/1-srv1000] xconnect vsi vpna

# 定义访问控制列表ACL 3000，用来匹配源地址为10.1.1.10，目的地址为10.1.1.20的报文。

<SwitchA> system-view

[SwitchA] acl advanced 3000

[SwitchA-acl-ipv4-adv-3000] rule 0 permit ip source 10.1.1.10 0 destination 10.1.1.20 0

# 定义0号节点，指定所有源地址为10.1.1.1，目的地址为10.1.1.20的报文的下一跳为10.1.1.11。

[SwitchA] policy-based-route aa permit node 0

[SwitchA-pbr-aa-0] if-match acl 3000

[SwitchA-pbr-aa-0] apply service-chain path-id 1

[SwitchA-pbr-aa-0] apply next-hop vpn-instance vpna 10.1.1.11

# 在VSI虚接口1上应用转发策略路由，处理此接口接收的报文。

[SwitchA] interface vsi-interface 1

[SwitchA-Vsi-interface1] ip policy-based-route aa

[SwitchA-Vsi-interface1] quit

(3)     配置Switch B

# 开启L2VPN能力。

<SwitchB> system-view

[SwitchB] l2vpn enable

# 关闭远端MAC地址和远端ARP自动学习功能。

[SwitchB] vxlan tunnel mac-learning disable

[SwitchB] vxlan tunnel arp-learning disable

# 在VSI实例vpna下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。

[SwitchB] vsi vpna

[SwitchB-vsi-vpna] evpn encapsulation vxlan

[SwitchB-vsi-vpna-evpn-vxlan] route-distinguisher auto

[SwitchB-vsi-vpna-evpn-vxlan] vpn-target auto

[SwitchB-vsi-vpna-evpn-vxlan] quit

# 创建VXLAN 10。

[SwitchB-vsi-vpna] vxlan 10

[SwitchB-vsi-vpna-vxlan-10] quit

[SwitchB-vsi-vpna] quit

# 配置BGP发布EVPN路由。

[SwitchB] bgp 200

[SwitchB-bgp-default] peer 4.4.4.4 as-number 200

[SwitchB-bgp-default] peer 4.4.4.4 connect-interface loopback0

[SwitchB-bgp-default] address-family l2vpn evpn

[SwitchB-bgp-default-evpn] peer 4.4.4.4 enable

# 创建VPN实例vpna。

[SwitchB] ip vpn-instance vpna

[SwitchB-vpn-instance-vpna] route-distinguisher 1:1

[SwitchB-vpn-instance-vpna] address-family ipv4

[SwitchB-vpn-ipv4-vpna] vpn-target 2:2

[SwitchB-vpn-ipv4-vpna] quit

[SwitchB-vpn-instance-vpna] address-family evpn

[SwitchB-vpn-evpn-vpna] vpn-target 1:1

[SwitchB-vpn-evpn-vpna] quit

[SwitchB-vpn-instance-vpna] quit

# 配置VSI虚接口VSI-interface1。

[SwitchB] interface vsi-interface 1

[SwitchB-Vsi-interface1] ip binding vpn-instance vpna

[SwitchB-Vsi-interface1] ip address 10.1.1.1 255.255.255.0

[SwitchB-Vsi-interface1] mac-address 0001-0001-0001

[SwitchB-Vsi-interface1] local-proxy-arp enable 

[SwitchB-Vsi-interface1] distributed-gateway local

[SwitchB-Vsi-interface1] quit

# 配置VXLAN 10所在的VSI实例和接口VSI-interface1关联。

[SwitchB] vsi vpna

[SwitchB-vsi-vpna] gateway vsi-interface 1

[SwitchB-vsi-vpna] quit

# 配置VSI虚接口VSI-interface3。

[SwitchB] interface vsi-interface 3

[SwitchB-Vsi-interface3] ip binding vpn-instance vpna

[SwitchB-Vsi-interface3] l3-vni 1000

[SwitchB-Vsi-interface3] quit

# 配置接口GigabitEthernet1/0/1作为AC接口。

[SwitchB] interface gigabitethernet 1/0/1

[SwitchB-GigabitEthernet1/0/1] port link-mode bridge

[SwitchB-GigabitEthernet1/0/1] service-instance 1000

[SwitchB-GigabitEthernet1/0/1-srv1000] encapsulation s-vid 2

[SwitchB-GigabitEthernet1/0/1-srv1000] xconnect vsi vpna

[SwitchB-GigabitEthernet1/0/1-srv1000] quit

[SwitchB-GigabitEthernet1/0/1] quit

# 定义0号节点，指定所有service chain path id 为1的报文,下一跳为10.1.1.11。

[SwitchB] policy-based-route aa permit node 0

[SwitchB-pbr-aa-0] if-match service-chain path-id 1

[SwitchB-pbr-aa-0] apply next-hop vpn-instance vpna 10.1.1.11

[SwitchB-pbr-aa-0] quit

# 在VSI虚接口3上应用转发策略路由，处理此接口接收的报文。

[SwitchB] interface vsi-interface 3

[SwitchB-Vsi-interface3] ip policy-based-route aa

[SwitchB-Vsi-interface3] quit

(4)     配置Switch C

# 开启L2VPN能力。

<SwitchC> system-view

[SwitchC] l2vpn enable

# 关闭远端MAC地址和远端ARP自动学习功能。

[SwitchC] vxlan tunnel mac-learning disable

[SwitchC] vxlan tunnel arp-learning disable

# 在VSI实例vpna下创建EVPN实例，并配置自动生成EVPN实例的RD和RT。

[SwitchC] vsi vpna

[SwitchC-vsi-vpna] evpn encapsulation vxlan

[SwitchC-vsi-vpna-evpn-vxlan] route-distinguisher auto

[SwitchC-vsi-vpna-evpn-vxlan] vpn-target auto

[SwitchC-vsi-vpna-evpn-vxlan] quit

# 创建VXLAN 10。

[SwitchC-vsi-vpna] vxlan 10

[SwitchC-vsi-vpna-vxlan-10] quit

[SwitchC-vsi-vpna] quit

# 配置BGP发布EVPN路由。

[SwitchC] bgp 200

[SwitchC-bgp-default] peer 4.4.4.4 as-number 200

[SwitchC-bgp-default] peer 4.4.4.4 connect-interface loopback 0

[SwitchC-bgp-default] address-family l2vpn evpn

[SwitchC-bgp-default-evpn] peer 4.4.4.4 enable

[SwitchC-bgp-default-evpn] quit

[SwitchC-bgp-default] quit

# 创建VPN实例vpna。

[SwitchC] ip vpn-instance vpna

[SwitchC-vpn-instance-vpna] route-distinguisher 1:1

[SwitchC-vpn-instance-vpna] address-family ipv4

[SwitchC-vpn-ipv4-vpna] vpn-target 2:2

[SwitchC-vpn-ipv4-vpna] quit

[SwitchC-vpn-instance-vpna] address-family evpn

[SwitchC-vpn-evpn-vpna] vpn-target 1:1

[SwitchC-vpn-evpn-vpna] quit

[SwitchC-vpn-instance-vpna] quit

# 创建VSI虚接口VSI-interface1，并为其配置IP地址，该IP地址作为VXLAN 10内虚拟机的网关地址。

[SwitchC] interface vsi-interface 1

[SwitchC-Vsi-interface1] ip binding vpn-instance vpna

[SwitchC-Vsi-interface1] ip address 10.1.1.1 255.255.255.0

[SwitchC-Vsi-interface1] mac-address 0001-0001-0001

[SwitchC-Vsi-interface1] local-proxy-arp enable 

[SwitchC-Vsi-interface1] distributed-gateway local

[SwitchC-Vsi-interface1] quit

# 创建VSI虚接口VSI-interface3，在该接口上配置VPN实例vpna对应的L3VNI为1000。

[SwitchC] interface vsi-interface 3

[SwitchC-Vsi-interface3] ip binding vpn-instance vpna

[SwitchC-Vsi-interface3] l3-vni 1000

[SwitchC-Vsi-interface3] quit

# 配置VXLAN 10所在的VSI实例和接口VSI-interface1关联。

[SwitchC] vsi vpna

[SwitchC-vsi-vpna] gateway vsi-interface 1

[SwitchC-vsi-vpna] quit

# 在接入服务器的接口GigabitEthernet1/0/1上绑定VSI。

[SwitchC] interface gigabitethernet 1/0/1

[SwitchC-GigabitEthernet1/0/1] port link-mode bridge

[SwitchC-GigabitEthernet1/0/1] service-instance 2000

[SwitchC-GigabitEthernet1/0/1-srv2000] encapsulation s-vid 2

[SwitchC-GigabitEthernet1/0/1] xconnect vsi vpna

[SwitchC-GigabitEthernet1/0/1] quit

(5)     配置Switch D

# 配置Switch D与其他交换机建立BGP连接。

<SwitchD> system-view

[SwitchD] bgp 200

[SwitchD-bgp-default] group evpn

[SwitchD-bgp-default] peer 1.1.1.1 group evpn

[SwitchD-bgp-default] peer 2.2.2.2 group evpn

[SwitchD-bgp-default] peer 3.3.3.3 group evpn

[SwitchD-bgp-default] peer evpn as-number 200

[SwitchD-bgp-default] peer evpn connect-interface loopback 0

# 配置BGP发布EVPN路由，并关闭BGP EVPN路由的VPN-Target过滤功能。

[SwitchD-bgp-default] address-family l2vpn evpn

[SwitchD-bgp-default-evpn] peer evpn enable

[SwitchD-bgp-default-evpn] undo policy vpn-target

# 配置Switch D为路由反射器。

[SwitchD-bgp-default-evpn] peer evpn reflect-client

[SwitchD-bgp-default-evpn] quit

[SwitchD-bgp-default] quit

# 配置VLAN接口11接口数据。

[SwitchD] interface vlan-interface 11

[SwitchD-Vlan-interface11] ip address 11.1.1.4 255.255.255.0

[SwitchD-Vlan-interface11] ospf 1 area 0.0.0.0

[SwitchD-Vlan-interface11] quit

# 配置VLAN接口12接口数据。

[SwitchD] interface vlan-interface 12

[SwitchD-Vlan-interface12] ip address 12.1.1.4 255.255.255.0

[SwitchD-Vlan-interface12] ospf 1 area 0.0.0.0

[SwitchD-Vlan-interface12] quit

# 配置VLAN接口13接口数据。

[SwitchD] interface Vlan-interface 13

[SwitchD-Vlan-interface13] ip address 13.1.1.4 255.255.255.0

[SwitchD-Vlan-interface13] ospf 1 area 0.0.0.0

[SwitchD-Vlan-interface13] quit

4. 验证配置

这时通过抓包可以看到Server 1发往Server 2的报文先经过以太网服务实例1中的服务器处理，再发送到Server2。