目  录

1 策略路由

1.1 策略路由简介

1.1.1 策略简介

1.1.2 策略路由与Track联动

1.1.3 策略路由配置限制和指导

1.2 策略路由配置限制和指导

1.3 策略路由配置任务简介

1.4 配置策略

1.4.1 创建策略节点

1.4.2 配置策略节点的匹配规则

1.4.3 配置策略节点的动作

1.5 应用策略

1.5.1 对本地报文应用策略

1.5.2 对接口转发的报文应用策略

1.5.3 对VXLAN隧道接口出方向的报文应用策略

1.6 策略路由显示和维护

1.7 策略路由典型配置举例

1.7.1 基于报文协议类型的本地策略路由配置举例

1.7.2 基于报文协议类型的转发策略路由配置举例

1.7.3 基于VXLAN ID的接口出方向策略路由配置举例

1 策略路由

1.1  策略路由简介

与单纯依照IP报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对于满足一定条件（ACL规则等）的报文，执行指定的操作（设置报文的下一跳等）。

报文到达后，其后续的转发流程如下：

·     首先根据配置的策略路由转发。

·     若找不到匹配的节点或虽然找到了匹配的节点，但指导报文转发失败时，再根据路由表中除缺省路由之外的路由来转发报文。

·     若转发失败，则再根据缺省路由来转发报文。

根据作用对象的不同，策略路由可分为以下类型：

·     本地策略路由：对设备本身产生的报文（比如本地发出的ping报文）起作用，指导其发送。

·     转发策略路由：对接口接收的报文起作用，指导其转发。

·     VXLAN隧道接口出方向策略路由：对接口发送的报文起作用，指导报文通过某一条特定路径到达目的设备，本功能一般应用在到目的设备有多条路由的组网。

1.1.1  策略简介

策略用来定义报文的匹配规则，以及对报文执行的操作。策略由节点组成。

一个策略可以包含一个或者多个节点。节点的构成如下：

·     每个节点由节点编号来标识。节点编号越小节点的优先级越高，优先级高的节点优先被执行。

·     每个节点的具体内容由if-match子句和apply子句来指定。if-match子句定义该节点的匹配规则，apply子句定义该节点的动作。

·     每个节点对报文的处理方式由匹配模式决定。匹配模式分为permit（允许）和deny（拒绝）两种。

应用策略后，系统将根据策略中定义的匹配规则和操作，对报文进行处理：系统按照优先级从高到低的顺序依次匹配各节点，如果报文满足这个节点的匹配规则，就执行该节点的动作；如果报文不满足这个节点的匹配规则，就继续匹配下一个节点；如果报文不能满足策略中任何一个节点的匹配规则，则根据路由表来转发报文。

1. if-match子句

目前，策略路由提供了三种if-match子句，作用如下：

·     if-match acl：设置ACL匹配规则。

·     if-match vxlan-id：设置VXLAN匹配规则。关于VXLAN的详细描述，请参考“VXLAN配置指导”中的“VXLAN”。

·     if-match service-chain：设置服务链匹配规则。关于服务链的详细描述，请参考“服务链配置指导”中的“服务链”。（ S6800系列交换机中，产品代码为LS-6800-32Q、LS-6800-2C、LS-6800-4C、LS-6800-54QF或LS-6800-54QT的机型，不支持此特性）

在一个节点中可以配置多条if-match子句，同一类型的if-match子句只能配置一条。

同一个节点中的不同类型if-match子句之间是“与”的关系，即报文必须满足该节点的所有if-match子句才算满足这个节点的匹配规则。同一类型的if-match子句之间是“或”的关系，即报文只需满足一条该类型的if-match子句就算满足此类型if-match子句的匹配规则。

2. apply子句

策略路由仅提供了四种apply子句，同一个节点中可以配置多条apply子句，但配置的多条apply子句不一定都会执行。

apply子句的含义以及执行优先情况等说明如表1-1所示。

表1-1 apply子句的含义以及执行优先情况等说明

3. 节点的匹配模式与节点的if-match子句、apply子句的关系

一个节点的匹配模式与这个节点的if-match子句、apply子句的关系如表1-2所示。

表1-2 节点的匹配模式、if-match子句、apply子句三者之间的关系

1.1.2  策略路由与Track联动

策略路由通过与Track联动，增强了应用的灵活性和对网络环境变化的动态感知能力。

策略路由可以在配置报文的下一跳时与Track项关联，根据Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或NotReady时生效。关于策略路由与Track联动的详细介绍和相关配置，请参见“可靠性配置指导”中的“Track”。

1.1.3  策略路由配置限制和指导

如果目的为本机的报文匹配PBR策略，那么设备会执行策略中的apply动作，包括转发动作。在配置PBR策略时，请注意规避这种情况的发生。

1.2  策略路由配置限制和指导

如果目的为本机的报文匹配PBR策略，那么设备会执行策略中的apply动作，包括转发动作。在配置PBR策略时，请注意规避这种情况的发生。

1.3  策略路由配置任务简介

表1-3 策略路由配置任务简介

1.4  配置策略

1.4.1  创建策略节点

表1-4 创建策略节点

1.4.2  配置策略节点的匹配规则

表1-5 配置策略节点的匹配规则

1.4.3  配置策略节点的动作

表1-6 配置策略节点的动作

1.5  应用策略

1.5.1  对本地报文应用策略

通过本配置，可以将已经配置的策略应用到本地，指导设备本身产生报文的发送。应用策略时，该策略必须已经存在，否则配置将失败。

对本地报文只能应用一个策略。应用新的策略前必须删除本地原来已经应用的策略。

若无特殊需求，建议用户不要对本地报文应用策略。否则，有可能会对本地报文的发送造成不必要的影响（如ping、telnet服务的失效）。

表1-7 对本地报文应用策略

1.5.2  对接口转发的报文应用策略

通过本配置，可以将已经配置的策略应用到接口，指导接口接收的所有报文的转发。应用策略时，该策略必须已经存在，否则配置将失败。

对接口转发的报文应用策略时，一个接口只能应用一个策略。应用新的策略前必须删除接口上原来已经应用的策略。

一个策略可以同时被多个接口应用。

在配置VXLAN IP网关、EVPN网关组网中的Border设备时，如果在三层以太网接口、三层聚合接口上应用策略路由，则该策略路由会同时应用于该接口及其子接口。VXLAN IP网关、EVPN网关组网的详细介绍，请分别参见“VXLAN配置指导”中的“VXLAN”、“EVPN配置指导”中的“EVPN”。

表1-8 对接口转发的报文应用策略

1.5.3  对VXLAN隧道接口出方向的报文应用策略

在VXLAN组网中，由于本端VXLAN设备与对端VXLAN设备建立的Tunnel隧道可能会存在多条等价路由，设备转发VXLAN报文的选路不能精确到实际下一跳。为解决这个问题，需要在VXLAN模式的Tunnel口上配置指导VXLAN报文转发的出方向策略路由。

只有在VXLAN VTEP设备上执行本配置，设备的VXLAN隧道接口出方向策略路由才生效。

应用策略时，该策略必须已经存在，否则配置将失败。对接口转发的报文应用策略时，一个接口只能应用一个策略，应用新的策略前必须删除接口上原来已经应用的策略。

VXLAN IP网关组网中，在VTEP和VXLAN IP网关的三层接口（除VSI虚接口外）上无法通过策略路由匹配VXLAN报文的外层源和目的IP地址。如需匹配VXLAN报文的外层源和目的IP地址，请在VSI虚接口上应用策略路由。（S6800系列交换机中仅产品代码为LS-6800-32Q、LS-6800-2C、LS-6800-4C、LS-6800-54QF或LS-6800-54QT的机型不适用）

执行VXLAN隧道接口出方向的报文应用策略时，支持的匹配规则为if-match acl和if-match vxlan-id，支持配置的策略节点的动作为apply next-hop。

表1-9 对VXLAN隧道接口出方向的报文应用策略

1.6  策略路由显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置策略路由后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除策略路由的统计信息。

表1-10 策略路由显示和维护

1.7  策略路由典型配置举例

1.7.1  基于报文协议类型的本地策略路由配置举例

1. 组网需求

Switch A分别与Switch B和Switch C直连（保证Switch B和Switch C之间路由完全不可达）。

通过策略路由控制Switch A产生的报文：

·     指定所有TCP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-1 基于报文协议类型的本地策略路由的配置举例组网图

3. 配置步骤

(1)     配置Switch A

# 创建VLAN 10和VLAN 20。

<SwitchA> system-view

[SwitchA] vlan 10

[SwitchA-vlan10] quit

[SwitchA] vlan 20

[SwitchA-vlan20] quit

# 配置接口Vlan-interface10和Vlan-interface20的IP地址。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] ip address 1.1.2.1 24

[SwitchA-Vlan-interface10] quit

[SwitchA] interface vlan-interface 20

[SwitchA-Vlan-interface20] ip address 1.1.3.1 24

[SwitchA-Vlan-interface20] quit

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

[SwitchA] acl advanced 3101

[SwitchA-acl-ipv4-adv-3101] rule permit tcp

[SwitchA-acl-ipv4-adv-3101] quit

# 定义5号节点，指定所有TCP报文的下一跳为1.1.2.2。

[SwitchA] policy-based-route aaa permit node 5

[SwitchA-pbr-aaa-5] if-match acl 3101

[SwitchA-pbr-aaa-5] apply next-hop 1.1.2.2

[SwitchA-pbr-aaa-5] quit

# 在Switch A上应用本地策略路由。

[SwitchA] ip local policy-based-route aaa

(2)     配置Switch B

# 创建VLAN 10

<SwitchB> system-view

[SwitchB] vlan 10

[SwitchB-vlan10] quit

# 配置接口Vlan-interface10的IP地址。

[SwitchB] interface vlan-interface 10

[SwitchB-Vlan-interface10] ip address 1.1.2.2 24

(3)     配置Switch C

#创建VLAN 20

<SwitchC> system-view

[SwitchC] vlan 20

[SwitchC-vlan20] quit

# 配置接口Vlan-interface20的IP地址。

[SwitchC] interface vlan-interface 20

[SwitchC-Vlan-interface20] ip address 1.1.3.2 24

4. 验证配置

从Switch A上通过Telnet方式登录Switch B（1.1.2.2/24），结果成功。

从Switch A上通过Telnet方式登录Switch C（1.1.3.2/24），结果失败。

从Switch A上ping Switch C（1.1.3.2/24），结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：Switch A发出的TCP报文的下一跳为1.1.2.2，接口Vlan-interface20不发送TCP报文，但可以发送非TCP报文，策略路由设置成功。

1.7.2  基于报文协议类型的转发策略路由配置举例

1. 组网需求

Switch A分别与Switch B和Switch C直连（保证Switch B和Switch C之间路由完全不可达）。

通过策略路由控制从Switch A的接口Vlan-interface11接收的报文：

·     指定所有TCP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-2 基于报文协议类型的转发策略路由的配置举例组网图

3. 配置步骤

配置前请确保Switch B和Host A，Switch C和Host A之间路由可达。

(1)     配置Switch A

# 创建VLAN 10和VLAN 20。

<SwitchA> system-view

[SwitchA] vlan 10

[SwitchA-vlan10] quit

[SwitchA] vlan 20

[SwitchA-vlan20] quit

# 配置接口Vlan-interface10和Vlan-interface20的IP地址。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] ip address 1.1.2.1 24

[SwitchA-Vlan-interface10] quit

[SwitchA] interface vlan-interface 20

[SwitchA-Vlan-interface20] ip address 1.1.3.1 24

[SwitchA-Vlan-interface20] quit

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

[SwitchA] acl advanced 3101

[SwitchA-acl-ipv4-adv-3101] rule permit tcp

[SwitchA-acl-ipv4-adv-3101] quit

# 定义5号节点，指定所有TCP报文的下一跳为1.1.2.2。

[SwitchA] policy-based-route aaa permit node 5

[SwitchA-pbr-aaa-5] if-match acl 3101

[SwitchA-pbr-aaa-5] apply next-hop 1.1.2.2

[SwitchA-pbr-aaa-5] quit

# 在接口Vlan-interface11上应用转发策略路由，处理此接口接收的报文。

[SwitchA] interface vlan-interface 11

[SwitchA-Vlan-interface11] ip address 10.110.0.10 24

[SwitchA-Vlan-interface11] ip policy-based-route aaa

[SwitchA-Vlan-interface11] quit

4. 验证配置

从Host A上通过Telnet方式登录Switch B，结果成功。

从Host A上通过Telnet方式登录Switch C，结果失败。

从Host A上ping Switch C，结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：从Switch A的接口Vlan-interface11接收的TCP报文的下一跳为1.1.2.2，接口Vlan-interface20不转发TCP报文，但可以转发非TCP报文，策略路由设置成功。

1.7.3  基于VXLAN ID的接口出方向策略路由配置举例

1. 组网需求

Switch A、Switch B为与服务器连接的VTEP设备，Switch C和Switch D为广域网内的三层交换机。虚拟机VM 1、VM 2同属于VXLAN 10，通过VXLAN实现不同站点间的二层互联。

具体需求为：

·     不同VTEP之间手工建立VXLAN隧道。

·     手工关联VXLAN和VXLAN隧道。

·     通过源MAC地址动态学习远端MAC地址表项。

·     站点之间的泛洪流量采用头端复制的方式转发。

通过策略路由控制报文从Switch A的接口Tunnel1到Switch B的接口 Tunnel1的转发：

·     VM1到VM2的流量在Switch A未配置出方向策略路由时走下一跳2.1.1.2。

·     Switch A上指定接口Tunnel1发送报文的下一跳为1.1.1.2；1.1.1.2为Tunnel1出口ECMP下一跳中的一条链路。

2. 组网图

图1-3 基于VXLAN ID的接口出方向策略路由配置组网图

‌

3. 配置步骤

(1)     配置IP地址和单播路由协议。

请按照图1-3配置各接口的IP地址和子网掩码，并在IP核心网络内配置OSPF协议，具体配置过程略。

(2)     配置Switch A

# 开启L2VPN能力。

<SwitchA> system-view

[SwitchA] l2vpn enable

# 创建VSI实例vpna和VXLAN 10。

[SwitchA] vsi vpna

[SwitchA-vsi-vpna] vxlan 10

[SwitchA-vsi-vpna-vxlan-10] quit

[SwitchA-vsi-vpna] quit

# 配置接口Loopback0的IP地址，作为隧道的源端地址。

[SwitchA] interface loopback 0

[SwitchA-Loopback0] ip address 6.6.6.6 255.255.255.255

[SwitchA-Loopback0] quit

# 在Switch A和Switch B之间建立VXLAN隧道：创建模式为VXLAN的隧道接口Tunnel1，指定隧道的源端地址为本地接口Loopback0的地址6.6.6.6，指定隧道的目的端地址为Switch B上接口Loopback0的地址8.8.8.8。

[SwitchA] interface tunnel 1 mode vxlan

[SwitchA-Tunnel1] source 6.6.6.6

[SwitchA-Tunnel1] destination 8.8.8.8

[SwitchA-Tunnel1] quit

# 配置Tunnel1与VXLAN 10关联。

[SwitchA] vsi vpna

[SwitchA-vsi-vpna] vxlan 10

[SwitchA-vsi-vpna-vxlan-10] tunnel 1

[SwitchA-vsi-vpna-vxlan-10] quit

[SwitchA-vsi-vpna] quit

# 在接入服务器的接口Ten-GigabitEthernet1/0/1上创建以太网服务实例1000，该实例用来匹配VLAN 10的数据帧。

[SwitchA] interface ten-gigabitethernet 1/0/1

[SwitchA-Ten-GigabitEthernet1/0/1] service-instance 1000

[SwitchA-Ten-GigabitEthernet1/0/1-srv1000] encapsulation s-vid 10

# 配置以太网服务实例1000与VSI实例vpna关联。

[SwitchA-Ten-GigabitEthernet1/0/1-srv1000] xconnect vsi vpna

[SwitchA-Ten-GigabitEthernet1/0/1-srv1000] quit

[SwitchA-Ten-GigabitEthernet1/0/1] quit

[SwitchA] policy-based-route aaa permit node 5

[SwitchA-pbr-aaa-5] if-match vxlan 10

[SwitchA-pbr-aaa-5] apply next-hop 1.1.1.2

[SwitchA-pbr-aaa-5] quit

# 对接口Tunnel1出方向的报文应用转发策略路由。

[SwitchA] interface tunnel 1

[SwitchA-Tunnel1] ip policy-based-route aaa egress

[SwitchA-Tunnel1] quit

(3)     配置Switch B

# 开启L2VPN能力。

<SwitchB> system-view

[SwitchB] l2vpn enable

# 创建VSI实例vpna和VXLAN 10。

[SwitchB] vsi vpna

[SwitchB-vsi-vpna] vxlan 10

[SwitchB-vsi-vpna-vxlan-10] quit

[SwitchB-vsi-vpna] quit

# 配置接口Loopback0的IP地址，作为隧道的源端地址。

[SwitchB] interface loopback 0

[SwitchB-Loopback0] ip address 8.8.8.8 255.255.255.255

[SwitchB-Loopback0] quit

# 在Switch A和Switch B之间建立VXLAN隧道。

[SwitchB] interface tunnel 1 mode vxlan

[SwitchB-Tunnel1] source 8.8.8.8

[SwitchB-Tunnel1] destination 6.6.6.6

[SwitchB-Tunnel1] quit

# 配置Tunnel接口1与VXLAN10关联。

[SwitchB] vsi vpna

[SwitchB-vsi-vpna] vxlan 10

[SwitchB-vsi-vpna-vxlan-10] tunnel 1

[SwitchB-vsi-vpna-vxlan-10] quit

[SwitchB-vsi-vpna] quit

# 在接入服务器的接口Ten-GigabitEthernet1/0/1上创建以太网服务实例1000，该实例用来匹配VLAN 10的数据帧。

[SwitchB] interface ten-gigabitethernet 1/0/1

[SwitchB-Ten-GigabitEthernet1/0/1] service-instance 1000

[SwitchB-Ten-GigabitEthernet1/0/1-srv1000] encapsulation s-vid 10

# 配置以太网服务实例1000与VSI实例vpna关联。

[SwitchB-Ten-GigabitEthernet1/0/1-srv1000] xconnect vsi vpna

[SwitchB-Ten-GigabitEthernet1/0/1-srv1000] quit

[SwitchB-Ten-GigabitEthernet1/0/1] quit