目  录

1 策略路由

1.1 策略路由简介

1.1.1 报文的转发流程

1.1.2 策略路由类型

1.1.3 策略简介

1.1.4 策略路由与Track联动

1.1.5 策略路由配置限制和指导

1.2 策略路由配置任务简介

1.3 配置策略

1.3.1 创建策略节点

1.3.2 配置策略节点的匹配规则

1.3.3 配置策略节点的动作

1.4 应用策略

1.4.1 对本地报文应用策略

1.4.2 对接口转发的报文应用策略

1.5 策略路由显示和维护

1.6 策略路由典型配置举例

1.6.1 基于报文协议类型的本地策略路由配置举例

1.6.2 基于报文协议类型的转发策略路由配置举例

1.6.3 基于报文长度的转发策略路由配置举例

1.6.4 基于报文源地址的转发策略路由配置举例

1.6.5 基于报文应用类型的转发策略路由配置举例

1.6.6 基于报文服务类型的转发策略路由配置举例

 

1 策略路由

1.1  策略路由简介

与单纯依照IP报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对于满足一定条件（ACL规则、报文长度等）的报文，执行指定的操作（设置报文的下一跳、出接口、缺省下一跳和缺省出接口等）。

1.1.1  报文的转发流程

报文到达后，其后续的转发流程如下：

·     首先根据配置的策略路由转发。

·     若找不到匹配的节点，或虽然找到了匹配的节点但指导报文转发失败时，根据路由表中除缺省路由之外的路由来转发报文。

·     若转发失败，则根据策略路由中配置的缺省下一跳和缺省出接口指导报文转发。

·     若转发失败，则再根据缺省路由来转发报文。

1.1.2  策略路由类型

根据作用对象的不同，策略路由可分为以下二种类型：

·     本地策略路由：对设备本身产生的报文（比如本地发出的ping报文）起作用，指导其发送。

·     转发策略路由：对接口接收的报文起作用，指导其转发。

1.1.3  策略简介

策略用来定义报文的匹配规则，以及对报文执行的操作。策略由节点组成。

一个策略可以包含一个或者多个节点。节点的构成如下：

·     每个节点由节点编号来标识。节点编号越小节点的优先级越高，优先级高的节点优先被执行。

·     每个节点的具体内容由if-match子句和apply子句来指定。if-match子句定义该节点的匹配规则，apply子句定义该节点的动作。

·     每个节点对报文的处理方式由匹配模式决定。匹配模式分为permit（允许）和deny（拒绝）两种。

应用策略后，系统将根据策略中定义的匹配规则和操作，对报文进行处理：系统按照优先级从高到低的顺序依次匹配各节点，如果报文满足这个节点的匹配规则，就执行该节点的动作；如果报文不满足这个节点的匹配规则，就继续匹配下一个节点；如果报文不能满足策略中任何一个节点的匹配规则，则根据路由表来转发报文。

1. if-match子句关系

在一个节点中可以配置多条if-match子句，同一类型的if-match子句只能配置一条。

同一个节点中的不同类型if-match子句之间是“与”的关系，即报文必须满足该节点的所有if-match子句才算满足这个节点的匹配规则。同一类型的if-match子句之间是“或”的关系，即报文只需满足一条该类型的if-match子句就算满足此类型if-match子句的匹配规则。

2. apply子句关系

同一个节点中可以配置多条apply子句，但配置的多条apply子句不一定都会执行。多条apply子句之间的关系请参见“1.3.3  配置策略节点的动作”。

3. 节点的匹配模式与节点的if-match子句、apply子句的关系

一个节点的匹配模式与这个节点的if-match子句、apply子句的关系如表1-1所示。

表1-1 节点的匹配模式、if-match子句、apply子句三者之间的关系

是否满足所有if-match子句	节点匹配模式
	permit（允许模式）	deny（拒绝模式）
是	·     如果节点配置了apply子句，则执行此节点apply子句 ¡     如果节点指导报文转发成功，则不再匹配下一节点 ¡     如果节点指导报文转发失败且未配置apply continue子句，则不再匹配下一节点 ¡     如果节点指导报文转发失败且配置了apply continue子句，则支持继续匹配下一节点 ·     如果节点未配置apply子句，则不会执行任何动作，且不再匹配下一节点，报文将根据路由表来进行转发	不执行此节点apply子句，不再匹配下一节点，报文将根据路由表来进行转发
否	不执行此节点apply子句，继续匹配下一节点	不执行此节点apply子句，继续匹配下一节点

 

 

1.1.4  策略路由与Track联动

策略路由通过与Track联动，增强了应用的灵活性和对网络环境变化的动态感知能力。

策略路由可以在配置报文的下一跳、出接口、缺省下一跳、缺省出接口时与Track项关联，根据Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或NotReady时生效。关于策略路由与Track联动的详细介绍和相关配置，请参见“可靠性配置指导”中的“Track”。

1.1.5  策略路由配置限制和指导

收到某些目的为本设备的IP报文后，如果策略路由匹配该报文，会在报文上送CPU处理前先按策略节点动作处理。

1.2  策略路由配置任务简介

策略路由配置任务如下：

(1)     配置策略

a.     创建策略节点

b.     配置策略节点的匹配规则

c.     配置策略节点的动作

(2)     应用策略

请选择以下至少一项任务进行配置：

¡     对本地报文应用策略

¡     对接口转发的报文应用策略

1.3  配置策略

1.3.1  创建策略节点

(1)     进入系统视图。

system-view

(2)     创建策略节点，并进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

1.3.2  配置策略节点的匹配规则

(1)     进入系统视图。

system-view

(2)     进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置匹配规则。

¡     设置ACL匹配规则。

if-match acl { acl-number | name acl-name }

缺省情况下，未设置ACL匹配规则。

策略路由不支持匹配二层信息的ACL匹配规则。

¡     设置IP报文长度匹配规则。

if-match packet-length min-len max-len

缺省情况下，未设置IP报文长度匹配规则。

¡     设置应用组匹配规则。

if-match app-group app-group-name&<1-n>

缺省情况下，未设置应用组匹配规则。

应用组匹配规则只对转发策略路由生效，对本地策略路由不生效。

应用组的详细介绍，请参见“安全配置指导”中的“APR”。

¡     设置服务对象组匹配规则。

if-match object-group service object-group-name&<1-n>

缺省情况下，未设置服务对象组匹配规则。

服务对象组的详细介绍，请参见“安全配置指导”中的“对象组”。

1.3.3  配置策略节点的动作

1. 功能简介

用户通过配置apply子句指导策略节点的动作。

影响报文转发路径的apply子句有五条，优先级从高到低依次为：

(1)     apply access-vpn

(2)     apply next-hop

(3)     apply output-interface

(4)     apply default-next-hop

(5)     apply default-output-interface

apply子句的含义、执行优先情况和详细说明如表1-2所示。

表1-2 apply子句的含义以及执行优先情况等说明

子句	含义	执行优先情况/详细说明
apply precedence	设置IP报文的IP优先级	只要配置了该子句，该子句就一定会执行
apply ip-df df-value	设置IP报文的DF（Don’t Fragment，不分片）标志	只要配置了该子句，该子句就一定会执行
apply loadshare { next-hop | output-interface | default-next-hop | default-output-interface }	设置指导报文转发的下一跳、出接口、缺省下一跳和缺省出接口的工作模式为负载分担模式	下一跳、出接口、缺省下一跳和缺省出接口的工作模式有两种：主备模式、负载分担模式 ·     主备模式：按照配置顺序，以第一个配置（下一跳、出接口、缺省下一跳或缺省出接口）作为主用，指导报文转发。当主用失效时，按配置顺序选择后续的第一个有效配置指导报文转发 ·     负载分担模式：出接口的负载分担方式，如果不匹配快速转发表，则按照配置顺序逐包轮流选择有效的出接口转发；如果匹配快速转发表，则按照配置顺序逐流轮流选择有效的出接口指导报文转发。下一跳的负载分担模式会按照下一跳的权重指导报文转发。缺省情况下，多个下一跳会按照缺省的权重值平均分配带宽，多个下一跳的转发流量的比例是相同的 缺省情况下，工作模式为主备模式 负载分担模式只对策略路由配置的多个下一跳、出接口、缺省下一跳、缺省出接口生效
apply access-vpn	设置报文在公网或指定VPN实例中进行转发	报文如果匹配了其中一个VPN实例下的转发表，报文将在该VPN实例中进行转发
apply remark-vpn	重标记报文中的VPN实例	本命令必须和apply access-vpn命令同时使用
apply next-hop和apply output-interface	设置报文的下一跳、出接口	当两条子句同时配置并且都有效时，系统只会执行apply next-hop子句
apply default-next-hop和apply default-output-interface	设置报文的缺省下一跳、缺省出接口	当两条子句同时配置并且都有效时，系统只会执行apply default-next-hop子句 执行缺省下一跳和出接口的前提是：在策略中未配置下一跳或者出接口，或者配置的下一跳和出接口无效，并且在路由表中未找到与报文目的IP地址匹配的路由表项
apply continue	设置匹配成功的当前节点转发失败后继续进行后续节点的处理	如果当前节点中未配置影响报文转发路径的五个apply子句，或者配置了这五个子句中的一个或多个，但配置的子句都失效（下一跳不可达、出接口down或者报文在指定VPN内转发失败）且查找普通路由表也转发失败时，会进行下一节点的处理

‌

2. 配置限制和指导

在设置报文转发的下一跳时，对于配置接口出方向策略路由，仅支持直连下一跳，且仅支持一个下一跳。

策略路由通过查询FIB表中是否存在下一跳或缺省下一跳地址对应的条目，判断设置的报文转发下一跳或缺省下一跳地址是否可用。策略路由周期性检查FIB表，设备到下一跳的路径发生变化时，策略路由无法及时感知，可能会导致通信发生短暂中断。

3. 配置修改报文字段类动作

(1)     进入系统视图。

system-view

(2)     进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     配置动作。

¡     设置IP报文的IP优先级。

apply precedence { type | value }

缺省情况下，未设置IP报文的优先级。

¡     设置IP报文头中的DF标志。

apply ip-df df-value

缺省情况下，未设置IP报文头中的DF标志。

4. 配置指导报文转发类动作

(1)     进入系统视图。

system-view

(2)     进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     配置动作。

¡     设置报文在公网或指定VPN实例中进行转发。

apply access-vpn { public | vpn-instance vpn-instance-name&<1-n> }

缺省情况下，设备根据路由表在公网或VPN内转发报文。

每个节点最多可以配置公网和n个VPN实例。当满足匹配规则后，将根据配置顺序在公网或第一个可用的VPN实例转发表进行转发。

¡     重标记报文所属的VPN。

apply remark-vpn

缺省情况下，未重标记报文所属的VPN。

¡     设置报文转发的下一跳。

apply next-hop [ vpn-instance vpn-instance-name | inbound-vpn ] { ip-address [ direct ] [ track track-entry-number ] [ weight weight-value ] }&<1-n>

缺省情况下，未设置报文转发的下一跳。

用户通过一次或多次配置本命令可以同时配置多个下一跳，每个节点最多可以配置4个下一跳，这些下一跳起到主备或负载分担的作用。

当配置了多个下一跳做主备，且多个下一跳地址属于同一个网段时，当主下一跳匹配失败后，设备会先匹配主下一跳对应的网段路由转发报文，当网段路由匹配失败后，再匹配配置的备下一跳。

¡     设置指导报文转发的多个下一跳工作在负载分担模式。

apply loadshare next-hop

缺省情况下，多个下一跳工作在主备模式。

¡     设置指导报文转发的出接口。

apply output-interface { interface-type interface-number [ track track-entry-number ] }&<1-n>

缺省情况下，未设置指导报文转发的出接口。

用户通过一次或多次配置本命令可以同时配置多个出接口，每个节点最多可以配置4个出接口，这些出接口起到主备或负载分担的作用。

¡     设置指导报文转发的多个出接口工作在负载分担模式。

apply loadshare output-interface

缺省情况下，多个出接口工作在主备模式。

¡     设置指导报文转发的缺省下一跳。

apply default-next-hop [ vpn-instance vpn-instance-name | inbound-vpn ] { ip-address [ direct ] [ track track-entry-number ] }&<1-n>

缺省情况下，未设置指导报文转发的缺省下一跳。

用户通过一次或多次配置本命令可以同时配置多个缺省下一跳，每个节点最多可以配置4个缺省下一跳，这些缺省下一跳起到主备或负载分担的作用。

¡     设置指导报文转发的多个缺省下一跳工作在负载分担模式。

apply loadshare default-next-hop

缺省情况下，多个缺省下一跳工作在主备模式。

¡     设置指导报文转发的缺省出接口。

apply default-output-interface { interface-type interface-number [ track track-entry-number ] }&<1-n>

缺省情况下，未设置指导报文转发的缺省出接口。

用户通过一次或多次配置本命令可以同时配置多个缺省出接口，每个节点最多可以配置4个缺省出接口，这些缺省出接口起到主备或负载分担的作用。

¡     设置指导报文转发的多个缺省出接口工作在负载分担模式。

apply loadshare default-output-interface

缺省情况下，多个缺省出接口工作在主备模式。

5. 设置当前节点指定转发路径失败后继续进行后续节点处理

(1)     进入系统视图。

system-view

(2)     进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置匹配成功的当前节点指定转发路径失败后继续进行后续节点的处理。

apply continue

缺省情况下，匹配成功的当前节点指定转发路径失败后不再进行下一节点的匹配。

本命令仅在策略节点的匹配模式为permit时生效。

1.4  应用策略

1.4.1  对本地报文应用策略

1. 功能简介

通过本配置，可以将已经配置的策略应用到本地，指导设备本身产生报文的发送。应用策略时，该策略必须已经存在，否则配置将失败。

2. 配置限制和指导

·     对本地报文只能应用一个策略。应用新的策略前必须删除本地原来已经应用的策略。

·     若无特殊需求，建议用户不要对本地报文应用策略。否则，有可能会对本地报文的发送造成不必要的影响（如ping、telnet服务的失效）。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     对本地报文应用策略。

ip local policy-based-route policy-name

缺省情况下，未对本地报文应用策略。

1.4.2  对接口转发的报文应用策略

1. 功能简介

通过本配置，可以将已经配置的策略应用到接口，指导接口接收的所有报文的转发。应用策略时，该策略必须已经存在，否则配置将失败。

2. 配置限制和指导

·     对接口转发的报文应用策略时，一个接口只能应用一个策略。应用新的策略前必须删除接口上原来已经应用的策略。

·     一个策略可以同时被多个接口应用。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     对接口转发的报文应用策略。

ip policy-based-route policy-name

缺省情况下，未对接口转发的报文应用策略。

1.5  策略路由显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置策略路由后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除策略路由的统计信息。

表1-3 策略路由显示和维护

操作	命令
显示已经配置的策略	display ip policy-based-route [ policy policy-name ]
显示接口下转发策略路由的配置信息和统计信息	（独立运行模式） display ip policy-based-route interface interface-type interface-number （IRF模式） display ip policy-based-route interface interface-type interface-number [ slot slot-number ]
显示本地策略路由的配置信息和统计信息	（独立运行模式） display ip policy-based-route local （IRF模式） display ip policy-based-route local [ slot slot-number ]
显示已经应用的策略路由信息	display ip policy-based-route setup
清除策略路由的统计信息	reset ip policy-based-route statistics [ policy policy-name ]

 

1.6  策略路由典型配置举例

1.6.1  基于报文协议类型的本地策略路由配置举例

1. 组网需求

Router A分别与Router B和Router C直连（保证Router B和Router C之间路由完全不可达）。通过策略路由控制Router A产生的报文：

·     指定所有TCP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-1 基于报文协议类型的本地策略路由的配置举例组网图

 

‌

3. 配置步骤

(1)     配置Router A

# 配置GigabitEthernet接口的IP地址。

<RouterA> system-view

[RouterA] interface gigabitethernet 1/0/1

[RouterA-GigabitEthernet1/0/1] ip address 1.1.2.1 24

[RouterA-GigabitEthernet1/0/1] quit

[RouterA] interface gigabitethernet 1/0/2

[RouterA-GigabitEthernet1/0/2] ip address 1.1.3.1 24

[RouterA-GigabitEthernet1/0/2] quit

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

[RouterA] acl advanced 3101

[RouterA-acl-ipv4-adv-3101] rule permit tcp

[RouterA-acl-ipv4-adv-3101] quit

# 定义5号节点，指定所有TCP报文的下一跳为1.1.2.2。

[RouterA] policy-based-route aaa permit node 5

[RouterA-pbr-aaa-5] if-match acl 3101

[RouterA-pbr-aaa-5] apply next-hop 1.1.2.2

[RouterA-pbr-aaa-5] quit

# 在Router A上应用本地策略路由。

[RouterA] ip local policy-based-route aaa

(2)     配置Router B

# 配置GigabitEthernet接口的IP地址。

<RouterB> system-view

[RouterB] interface gigabitethernet 1/0/1

[RouterB-GigabitEthernet1/0/1] ip address 1.1.2.2 24

(3)     配置Router C

# 配置GigabitEthernet接口的IP地址。

<RouterC> system-view

[RouterC] interface gigabitethernet 1/0/2

[RouterC-GigabitEthernet1/0/2] ip address 1.1.3.2 24

4. 验证配置

从Router A上通过Telnet方式登录Router B（1.1.2.2/24），结果成功。

从Router A上通过Telnet方式登录Router C（1.1.3.2/24），结果失败。

从Router A上ping Router C（1.1.3.2/24），结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：Router A产生的TCP报文的下一跳为1.1.2.2，接口GigabitEthernet1/0/2不发送TCP报文，但可以发送非TCP报文，策略路由设置成功。

1.6.2  基于报文协议类型的转发策略路由配置举例

1. 组网需求

Router A分别与Router B和Router C直连（保证Router B和Router C之间路由完全不可达）。通过策略路由控制从Router A的以太网接口GigabitEthernet1/0/1接收的报文：

·     指定所有TCP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-2 基于报文协议类型的转发策略路由的配置举例组网图

 

‌

3. 配置步骤

配置前请确保Router B和Host A，Router C和Host A之间路由可达。

(1)     配置Router A

# 配置接口GigabitEthernet1/0/2和GigabitEthernet1/0/3的IP地址。

<RouterA> system-view

[RouterA] interface gigabitethernet 1/0/2

[RouterA-GigabitEthernet1/0/2] ip address 1.1.2.1 24

[RouterA-GigabitEthernet1/0/2] quit

[RouterA] interface gigabitethernet 1/0/3

[RouterA-GigabitEthernet1/0/3] ip address 1.1.3.1 24

[RouterA-GigabitEthernet1/0/3] quit

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

[RouterA] acl advanced 3101

[RouterA-acl-ipv4-adv-3101] rule permit tcp

[RouterA-acl-ipv4-adv-3101] quit

# 定义5号节点，指定所有TCP报文的下一跳为1.1.2.2。

[RouterA] policy-based-route aaa permit node 5

[RouterA-pbr-aaa-5] if-match acl 3101

[RouterA-pbr-aaa-5] apply next-hop 1.1.2.2

[RouterA-pbr-aaa-5] quit

# 在以太网接口GigabitEthernet1/0/1上应用转发策略路由，处理此接口接收的报文。

[RouterA] interface gigabitethernet 1/0/1

[RouterA-GigabitEthernet1/0/1] ip address 10.110.0.10 24

[RouterA-GigabitEthernet1/0/1] ip policy-based-route aaa

[RouterA-GigabitEthernet1/0/1] quit

4. 验证配置

从Host A上通过Telnet方式登录Router B，结果成功。

从Host A上通过Telnet方式登录Router C，结果失败。

从Host A上ping Router C，结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：从Router A的以太网接口GigabitEthernet1/0/1接收的TCP报文的下一跳为1.1.2.2，接口GigabitEthernet1/0/3不转发TCP报文，但可以转发非TCP报文，策略路由设置成功。

1.6.3  基于报文长度的转发策略路由配置举例

1. 组网需求

通过策略路由控制从Router A的以太网接口GigabitEthernet1/0/1接收的报文：

·     IP报文长度为64～300字节的报文以150.1.1.2/24作为下一跳IP地址；

·     长度为301～1000字节的报文以151.1.1.2/24作为下一跳IP地址；

·     所有其它长度的报文都按照查找路由表的方式转发。

2. 组网图

图1-3 基于报文长度的转发策略路由的配置举例组网图

‌

3. 配置步骤

(1)     配置Router A

# 配置接口GigabitEthernet1/0/2和GigabitEthernet1/0/3的IP地址。

<RouterA> system-view

[RouterA] interface gigabitethernet 1/0/2

[RouterA-GigabitEthernet1/0/2] ip address 150.1.1.1 24

[RouterA-GigabitEthernet1/0/2] quit

[RouterA] interface gigabitethernet 1/0/3

[RouterA-GigabitEthernet1/0/3] ip address 151.1.1.1 24

[RouterA-GigabitEthernet1/0/3] quit

# 配置动态路由协议RIP。

[RouterA] rip

[RouterA-rip-1] network 192.1.1.0

[RouterA-rip-1] network 150.1.0.0

[RouterA-rip-1] network 151.1.0.0

[RouterA-rip-1] quit

# 配置策略lab1，将长度为64～300字节的报文转发到下一跳150.1.1.2，而将长度为301～1000字节的报文转发到下一跳151.1.1.2。

[RouterA] policy-based-route lab1 permit node 10

[RouterA-pbr-lab1-10] if-match packet-length 64 300

[RouterA-pbr-lab1-10] apply next-hop 150.1.1.2

[RouterA-pbr-lab1-10] quit

[RouterA] policy-based-route lab1 permit node 20

[RouterA-pbr-lab1-20] if-match packet-length 301 1000

[RouterA-pbr-lab1-20] apply next-hop 151.1.1.2

[RouterA-pbr-lab1-20] quit

# 在以太网接口GigabitEthernet1/0/1上应用定义的策略lab1，处理此接口接收的报文。

[RouterA] interface gigabitethernet 1/0/1

[RouterA-GigabitEthernet1/0/1] ip address 192.1.1.1 24

[RouterA-GigabitEthernet1/0/1] ip policy-based-route lab1

[RouterA-GigabitEthernet1/0/1] quit

(2)     配置Router B

# 配置GigabitEthernet接口的IP地址。

<RouterB> system-view

[RouterB] interface gigabitethernet 1/0/2

[RouterB-GigabitEthernet1/0/2] ip address 150.1.1.2 24

[RouterB-GigabitEthernet1/0/2] quit

[RouterB] interface gigabitethernet 1/0/3

[RouterB-GigabitEthernet1/0/3] ip address 151.1.1.2 24

[RouterB-GigabitEthernet1/0/3] quit

# 配置Loopback接口的IP地址。

[RouterB] interface loopback 0

[RouterB-LoopBack0] ip address 10.1.1.1 32

[RouterB-LoopBack0] quit

# 配置动态路由协议RIP。

[RouterB] rip

[RouterB-rip-1] network 10.0.0.0

[RouterB-rip-1] network 150.1.0.0

[RouterB-rip-1] network 151.1.0.0

[RouterB-rip-1] quit

4. 验证配置

# 在Router A上使用debugging ip policy-based-route命令监视策略路由。

<RouterA> debugging ip policy-based-route

<RouterA> terminal logging level 7

<RouterA> terminal monitor

# 从Host A上Ping Router B的Loopback0，并将报文数据字段长度设为64字节，这样，从IP头到报文末尾的总长度在64～300字节之间。

C:\>ping –n 1 -l 64 10.1.1.1

 

Pinging 10.1.1.1 with 64 bytes of data:

 

Reply from 10.1.1.1: bytes=64 time=1ms TTL=64

 

Ping statistics for 10.1.1.1:

    Packets: Sent = 1, Received = 1, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 1ms, Maximum = 1ms, Average = 1ms

从Router A上显示的策略路由调试信息如下：

<RouterA>

*Jun  26 12:04:33:519 2012 RouterA PBR4/7/PBR Forward Info: -MDC=1; Policy:lab1, Node:

 10,match succeeded.

*Jun  26 12:04:33:519 2012 RouterA PBR4/7/PBR Forward Info: -MDC=1; apply next-hop 150

.1.1.2.

以上策略路由信息显示，Router A在接收到报文后，根据策略路由确定的下一跳为150.1.1.2，也就是说将报文从接口GigabitEthernet1/0/2转发出去。

# 从Host A上Ping Router B的Loopback0，并将报文数据字段长度设为300字节，这样，从IP头到报文末尾的总长度在301～1000字节之间。

C:\> ping –n 1 -l 300 10.1.1.1

 

Pinging 10.1.1.1 with 300 bytes of data:

 

Reply from 10.1.1.1: bytes=300 time=1ms TTL=64

 

Ping statistics for 10.1.1.1:

    Packets: Sent = 1, Received = 1, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 1ms, Maximum = 1ms, Average = 1ms

从Router A上显示的策略路由调试信息如下：

<RouterA>

*Jun  26 12:20:33:610 2012 RouterA PBR4/7/PBR Forward Info: -MDC=1; Policy:lab1, Node:

 20,match succeeded.

*Jun  26 12:20:33:610 2012 RouterA PBR4/7/PBR Forward Info: -MDC=1; apply next-hop 151

.1.1.2.

以上策略路由信息显示，Router A在接收到报文后，根据策略路由确定的下一跳为151.1.1.2，也就是说将报文从接口GigabitEthernet1/0/3转发出去。

1.6.4  基于报文源地址的转发策略路由配置举例

1. 组网需求

Router A分别与Router B和Router C直连（保证Router B和Router C之间路由完全不可达）。通过策略路由控制从Router A的以太网接口GigabitEthernet1/0/1接收的报文：

·     源地址为192.168.10.2的报文以4.1.1.2/24作为下一跳IP地址；

·     其它源地址的报文以5.1.1.2/24作为下一跳IP地址。

2. 组网图

图1-4 基于报文源地址的转发策略路由的配置举例组网图

 

‌

3. 配置步骤

配置前请确保Router B和Host A/Host B，Router C和Host A/Host B之间路由可达。

(1)     配置Router A

# 配置接口GigabitEthernet1/0/2和GigabitEthernet1/0/3的IP地址。

<RouterA> system-view

[RouterA] interface gigabitethernet 1/0/2

[RouterA-GigabitEthernet1/0/2] ip address 4.1.1.1 24

[RouterA-GigabitEthernet1/0/2] quit

[RouterA] interface gigabitethernet 1/0/3

[RouterA-GigabitEthernet1/0/3] ip address 5.1.1.1 24

[RouterA-GigabitEthernet1/0/3] quit

# 定义访问控制列表ACL 2000，用来匹配源地址为192.168.10.2的报文。

[RouterA] acl basic 2000

[RouterA-acl-ipv4-basic-2000] rule 10 permit source 192.168.10.2 0

[RouterA-acl-ipv4-basic-2000] quit

# 定义0号节点，指定所有源地址为192.168.10.2的报文的下一跳为4.1.1.2。

[RouterA] policy-based-route aaa permit node 0

[RouterA-pbr-aaa-0] if-match acl 2000

[RouterA-pbr-aaa-0] apply next-hop 4.1.1.2

[RouterA-pbr-aaa-0] quit

[RouterA] policy-based-route aaa permit node 1

[RouterA-pbr-aaa-1] apply next-hop 5.1.1.2

[RouterA-pbr-aaa-1] quit

# 在以太网接口GigabitEthernet1/0/1上应用转发策略路由，处理此接口接收的报文。

[RouterA] interface gigabitethernet 1/0/1

[RouterA-GigabitEthernet1/0/1] ip address 192.168.10.1 24

[RouterA-GigabitEthernet1/0/1] ip policy-based-route aaa

[RouterA-GigabitEthernet1/0/1] quit

4. 验证配置

从Host A上ping Router B，结果成功。

从Host B上ping Router B，结果失败。

从Host A上ping Router C，结果失败。

从Host B上ping Router C，结果成功。

以上结果可证明：从Router A的以太网接口GigabitEthernet1/0/1接收的源地址为192.168.10.2的报文的下一跳为4.1.1.2，所以Host A能ping通Router B，源地址为192.168.10.3的下一跳5.1.1.2，所以Host B能ping通Router C，由此表明策略路由设置成功。

1.6.5  基于报文应用类型的转发策略路由配置举例

1. 组网需求

Router A分别与Router B和Router C直连（保证Router B和Router C之间路由完全不可达）。通过策略路由控制从Router A的以太网接口GigabitEthernet1/0/1接收的报文：

·     指定所有HTTP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-5 基于报文应用类型的转发策略路由的配置举例组网图

‌

3. 配置步骤

配置前请确保Router B和Host A，Router C和Host A之间路由可达。

(1)     配置Router A

# 配置接口GigabitEthernet1/0/2和GigabitEthernet1/0/3的IP地址。

<RouterA> system-view

[RouterA] interface gigabitethernet 1/0/2

[RouterA-GigabitEthernet1/0/2] ip address 1.1.2.1 24

[RouterA-GigabitEthernet1/0/2] quit

[RouterA] interface gigabitethernet 1/0/3

[RouterA-GigabitEthernet1/0/3] ip address 1.1.3.1 24

[RouterA-GigabitEthernet1/0/3] quit

# 定义应用组http，用来匹配HTTP报文。

[RouterA] app-group http

[RouterA-app-group-http] include application http

[RouterA-app-group-http] quit

# 定义5号节点，指定所有HTTP报文的下一跳地址为1.1.2.2。

[RouterA] policy-based-route aaa permit node 5

[RouterA-pbr-aaa-5] if-match app-group http

[RouterA-pbr-aaa-5] apply next-hop 1.1.2.2

[RouterA-pbr-aaa-5] quit

# 在以太网接口GigabitEthernet1/0/1上应用转发策略路由，处理此接口接收的报文。

[RouterA] interface gigabitethernet 1/0/1

[RouterA-GigabitEthernet1/0/1] ip address 10.110.0.10 24

[RouterA-GigabitEthernet1/0/1] ip policy-based-route aaa

[RouterA-GigabitEthernet1/0/1] quit

4. 验证配置

从Host A上通过Web方式登录Router B，结果成功。

从Host A上通过Web方式登录Router C，结果失败。

从Host A上ping Router C，结果成功。

由于Web应用使用的是HTTP协议，ping使用的是ICMP协议，所以由以上结果可证明：从Router A的以太网接口GigabitEthernet1/0/1接收的HTTP报文的下一跳都会被修改为1.1.2.2，所以HTTP报文都会从接口GigabitEthernet1/0/2转发出去；而接口GigabitEthernet1/0/3可以转发非HTTP报文，策略路由设置成功。

1.6.6  基于报文服务类型的转发策略路由配置举例

1. 组网需求

Router A分别与Router B和Router C直连（保证Router B和Router C之间路由完全不可达）。通过策略路由控制从Router A的以太网接口GigabitEthernet1/0/1接收的报文：

·     指定所有FTP报文的下一跳为1.1.2.2；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-6 基于报文服务类型的转发策略路由的配置举例组网图

‌

3. 配置步骤

配置前请确保Router B和Host A，Router C和Host A之间路由可达。

(1)     配置Router A

# 配置接口GigabitEthernet1/0/2和GigabitEthernet1/0/3的IP地址。

<RouterA> system-view

[RouterA] interface gigabitethernet 1/0/2

[RouterA-GigabitEthernet1/0/2] ip address 1.1.2.1 24

[RouterA-GigabitEthernet1/0/2] quit

[RouterA] interface gigabitethernet 1/0/3

[RouterA-GigabitEthernet1/0/3] ip address 1.1.3.1 24

[RouterA-GigabitEthernet1/0/3] quit

# 定义5号节点，关联系统预定义的ftp服务对象组，指定所有FTP报文的下一跳为1.1.2.2。

[RouterA] policy-based-route aaa permit node 5

[RouterA-pbr-aaa-5] if-match object-group service ftp

[RouterA-pbr-aaa-5] apply next-hop 1.1.2.2

[RouterA-pbr-aaa-5] quit

# 在以太网接口GigabitEthernet1/0/1上应用转发策略路由，处理此接口接收的报文。

[RouterA] interface gigabitethernet 1/0/1

[RouterA-GigabitEthernet1/0/1] ip address 10.110.0.10 24

[RouterA-GigabitEthernet1/0/1] ip policy-based-route aaa

[RouterA-GigabitEthernet1/0/1] quit

4. 验证配置

从Host A上通过FTP方式登录Router B，结果成功。

从Host A上通过FTP方式登录Router C，结果失败。

从Host A上ping Router C，结果成功。

由于ping使用的是ICMP协议，所以由以上结果可证明：从Router A的以太网接口GigabitEthernet1/0/1接收的FTP报文的下一跳都会被修改为1.1.2.2，所以FTP报文都会从接口GigabitEthernet1/0/2转发出去；而接口GigabitEthernet1/0/3可以转发非FTP报文，策略路由设置成功。