目  录

1 策略路由

1.1 策略路由简介

1.1.1 策略简介

1.1.2 策略路由与Track联动

1.2 策略路由配置任务简介

1.3 配置策略

1.3.1 创建策略节点

1.3.2 配置策略节点的匹配规则

1.3.3 配置策略节点的动作

1.4 应用策略

1.4.1 对本地报文应用策略

1.4.2 对接口转发的报文应用策略

1.5 策略路由显示和维护

1.6 策略路由典型配置举例

1.6.1 基于报文协议类型的本地策略路由配置举例

1.6.2 基于报文协议类型的转发策略路由配置举例

1.6.3 基于报文长度的转发策略路由配置举例

1.6.4 基于反向入接口的转发策略路由配置举例

1.6.5 SR6600/SR6600-X工作在网关模式时VLAN接口策略路由配置举例

1 策略路由

1.1  策略路由简介

与单纯依照IP报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以基于报文的源地址、长度等信息灵活地控制报文的发送：对于满足一定条件（报文长度、ACL规则等）的报文，将执行指定的操作（设置报文的的出接口和下一跳、设置报文的缺省出接口和下一跳等）。

报文到达后，系统首先根据策略路由转发，若没有配置策略路由或配置了策略路由但找不到匹配的表项时，再根据路由表来转发报文。

根据作用对象的不同，策略路由可分为本地策略路由和转发策略路由：

·     本地策略路由：对设备本身产生的报文（比如本地发出的ping报文）起作用，指导其发送。

·     转发策略路由：对接口接收的报文起作用，指导其转发。

1.1.1  策略简介

策略用来定义报文的匹配规则，以及对报文执行的操作。策略由节点组成。

一个策略可以包含一个或者多个节点。节点的构成如下：

·     每个节点由节点编号来标识。节点编号越小节点的优先级越高，优先级高的节点优先被执行。

·     每个节点的具体内容由if-match子句和apply子句来指定。if-match子句定义该节点的匹配规则，apply子句定义该节点的动作。

·     每个节点对报文的处理方式由匹配模式决定。匹配模式分为permit（允许）和deny（拒绝）两种。

应用策略后，系统将根据策略中定义的匹配规则和操作，对报文进行处理：系统按照优先级从高到低的顺序依次匹配各节点，如果报文满足这个节点的匹配规则，就执行该节点的动作；如果报文不满足这个节点的匹配规则，就继续匹配下一个节点；如果报文不能满足策略中任何一个节点的匹配规则，则根据路由表来转发报文。

1. if-match子句

策略路由提供了三种if-match子句，作用如下：

·     if-match acl：设置ACL匹配规则。

·     if-match packet-length：设置IP报文长度匹配规则。

·     if-match reverse-input-interface ：设置反向入接口匹配规则。如果进入接口的响应报文所对应的请求报文的入接口与用户配置的接口一致，则认为报文满足该if-match子句。

在一个节点中可以配置多条if-match子句，同一类型的if-match子句最多只能有一条。同一个节点中的各if-match子句之间是“与”的关系，即报文必须满足该节点的所有if-match子句才算满足这个节点的匹配规则。

2. apply子句

策略路由提供了九种apply子句，同一个节点中可以配置多条apply子句，但配置的多条apply子句不一定都会执行。apply子句的含义以及执行优先情况等说明如表1-1所示。

表1-1 apply子句的含义以及执行优先情况等说明

子句	含义	执行优先情况
apply ip-df zero	将IP报文头中的DF（Don’t Fragment，不分片）标志置为0，表示允许对该报文进行分片	只要配置了该子句，该子句就一定会执行
apply access-vpn vpn-instance	设置报文在指定VPN实例中进行转发	只要配置了该子句，就不会执行除apply ip-df zero之外的其他apply子句 报文如果匹配了其中一个VPN实例下的转发表，报文将在该VPN实例中进行转发，如果对于所有配置的VPN实例，报文都未能匹配其下的转发表，该报文将被丢弃
apply ip-precedence	设置IP报文优先级	在未配置apply access-vpn vpn-instance的情况下，只要配置了该子句，该子句就一定会执行
apply output-interface和apply ip-address next-hop	设置报文的出接口、下一跳	apply ip-address next-hop命令的优先级高于apply output-interface。当两条命令同时配置并且都有效时，系统只会执行apply ip-address next-hop命令
apply default output-interface和apply ip-address default next-hop	设置报文的缺省出接口、缺省下一跳	apply ip-address default next-hop命令的优先级高于apply default output-interface。当两条命令同时配置并且都有效时，系统只会执行apply ip-address default next-hop命令。 执行缺省出接口和下一跳的前提是，在策略中没有配置出接口或者下一跳，或者配置的出接口和下一跳无效，并且在路由表中没有找到与报文目的IP地址匹配的非缺省路由表项
apply fail-action continue	设置当前节点处理失败后继续进行下一节点的处理	如果当前节点中没有配置报文的出接口、下一跳、缺省出接口、缺省下一跳这四个子句，或者配置了这四个子句中的一个或多个，但配置的子句都失效（出接口down或者下一跳不可达）时，会进行下一节点的处理

 

3. 节点的匹配模式与节点的if-match子句、apply子句的关系

一个节点的匹配模式与这个节点的if-match子句、apply子句的关系如表1-2所示。

表1-2 节点的匹配模式、if-match子句、apply子句三者之间的关系

是否满足所有if-match子句	节点匹配模式
	permit（允许模式）	deny（拒绝模式）
是	执行此节点apply子句	不执行此节点apply子句，不再匹配下一节点，报文将根据路由表来进行转发
否	不执行此节点apply子句，继续匹配下一节点	不执行此节点apply子句，继续匹配下一节点

 

 

1.1.2  策略路由与Track联动

策略路由通过与Track联动，增强了应用的灵活性和对网络环境变化的动态感知能力。策略路由可以在配置报文的出接口、缺省出接口、下一跳、缺省下一跳时与Track项关联，根据Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或Invalid时生效。

 

1.2  策略路由配置任务简介

表1-3 策略路由配置任务简介

配置任务		说明	详细配置
配置策略	创建策略节点	必选	1.3.1
	配置策略节点的匹配规则		1.3.2
	配置策略节点的动作		1.3.3
应用策略	对本地报文应用策略	必选 用户可根据实际情况进行选择	1.4.1
	对接口转发的报文应用策略		1.4.2

 

1.3  配置策略

1.3.1  创建策略节点

表1-4 创建策略节点

操作	命令	说明
进入系统视图	system-view	-
创建策略节点，并进入策略节点视图	policy-based-route policy-name [ deny | permit ] node node-number	必选

 

1.3.2  配置策略节点的匹配规则

表1-5 配置策略节点的匹配规则

操作	命令	说明
进入系统视图	system-view	-
进入策略节点视图	policy-based-route policy-name [ deny | permit ] node node-number	-
设置ACL匹配规则	if-match acl acl-number	可选
设置IP报文长度匹配规则	if-match packet-length min-len max-len	可选
设置反向入接口匹配规则	if-match reverse-input-interface interface-type interface-number	可选

 

 

1.3.3  配置策略节点的动作

表1-6 配置策略节点的动作

操作	命令	说明
进入系统视图	system-view	-
进入策略节点视图	policy-based-route policy-name [ deny | permit ] node node-number	-
将IP报文头中的DF标志置为0，表示允许对该报文进行分片	apply ip-df zero	可选
设置报文在指定VPN实例进行转发	apply access-vpn vpn-instance vpn-instance-name&<1-6>	可选
设置报文的优先级	apply ip-precedence value	可选
设置报文的出接口	apply output-interface interface-type interface-number [ track track-entry-number ] [ interface-type interface-number [ track track-entry-number ] ]	可选 用户可以同时配置两个出接口，这两个出接口同时有效，可以起到负载分担的作用 对于非P2P接口（广播类型的接口和NBMA类型的接口），比如以太网接口，由于有多个可能的下一跳，可能会造成报文转发不成功的现象
设置报文的下一跳IP地址	apply ip-address next-hop  ip-address [ direct ] [ track track-entry-number ] [ ip-address [ direct ] [ track track-entry-number ] ]	可选 用户可以同时配置两个下一跳，这两个下一跳同时有效，可以起到负载分担的作用
设置两个下一跳地址通过主备方式转发报文	apply ip-address next-hop standby	可选 缺省情况下两个下一跳同时有效，可以起到负载分担的作用
设置报文缺省出接口	apply default output-interface interface-type interface-number [ track track-entry-number ] [ interface-type interface-number [ track track-entry-number ] ]	可选 用户可以同时配置两个缺省出接口，这两个出接口同时有效，可以起到负载分担的作用
设置报文缺省下一跳	apply ip-address default next-hop ip-address [ direct ]  [ track track-entry-number ] [ ip-address [ direct ] [ track track-entry-number ] ]	可选 用户可以同时配置两个缺省下一跳，这两个下一跳同时有效，可以起到负载分担的作用
设置两个缺省下一跳地址通过主备方式转发报文	apply ip-address default next-hop standby	可选 缺省情况下两个缺省下一跳同时有效，可以起到负载分担的作用
设置当前节点处理失败后继续进行下一节点的处理	apply fail-action continue	可选 本命令仅在策略节点的匹配模式为permit时生效

 

1.4  应用策略

1.4.1  对本地报文应用策略

通过本配置，可以将已经配置的策略应用到本地，指导设备本身产生报文的发送。

对本地报文只能应用一个策略。多次配置命令，生效的是最新的配置。

若无特殊需求，建议用户不要对本地报文应用策略。

表1-7 对本地报文应用策略

操作	命令	说明
进入系统视图	system-view	-
对本地报文应用策略	ip local policy-based-route policy-name	必选 缺省情况下，对本地报文没有应用策略

 

 

1.4.2  对接口转发的报文应用策略

通过本配置，可以将已经配置的策略应用到接口，指导接口接收的所有报文的转发。

对接口转发的报文应用策略时，一个接口只能应用一个策略。多次配置命令，生效的是最新的配置。

一个策略可以同时被多个接口应用。。

表1-8 配置接口策略路由

操作	命令	说明
进入系统视图	system-view	-
进入接口视图	interface interface-type interface-number	-
对接口转发的报文应用策略	ip policy-based-route policy-name	必选 缺省情况下，对接口转发的报文没有应用策略

 

 

1.5  策略路由显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置策略路由后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令清除策略路由的统计信息。

表1-9 策略路由显示和维护

操作	命令
显示已经配置的策略	display policy-based-route [ policy-name ] [ | { begin | exclude | include } regular-expression ]
显示本地策略路由和转发策略路由的应用情况	display ip policy-based-route [ | { begin | exclude | include } regular-expression ]
显示已经应用的策略路由的设置情况（非IRF模式）	display ip policy-based-route setup { policy-name | interface interface-type interface-number [ slot slot-number ] | local [ slot slot-number ] } [ | { begin | exclude | include } regular-expression ]
显示已经应用的策略路由的设置情况（IRF模式）	display ip policy-based-route setup { policy-name | interface interface-type interface-number [ chassis chassis-number slot slot-number ] | local [ chassis chassis-number slot slot-number ] } [ | { begin | exclude | include } regular-expression ]
显示策略路由的统计信息（非IRF模式）	display ip policy-based-route statistics { interface interface-type interface-number | local } [ slot slot-number ] [ | { begin | exclude | include } regular-expression ]
显示策略路由的统计信息（IRF模式）	display ip policy-based-route statistics { interface interface-type interface-number | local } [ chassis chassis-number slot slot-number ] [ | { begin | exclude | include } regular-expression ]
清除策略路由的统计信息	reset policy-based-route statistics [ policy-name ]

 

1.6  策略路由典型配置举例

1.6.1  基于报文协议类型的本地策略路由配置举例

1. 组网需求

通过策略路由控制Router A产生的报文：

·     所有TCP报文均通过串口Serial2/2/0发送；

·     其它报文仍然按照查找路由表的方式进行转发。

其中，Router A分别与Router B和Router C直连。

2. 组网图

图1-1 基于报文协议类型的策略路由的配置举例组网图

 

3. 配置步骤

(1)     配置Router A

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

<RouterA> system-view

[RouterA] acl number 3101

[RouterA-acl-adv-3101] rule permit tcp

[RouterA-acl-adv-3101] quit

# 定义5号节点，使TCP报文被发往串口Serial2/2/0。

[RouterA] policy-based-route aaa permit node 5

[RouterA-pbr-aaa-5] if-match acl 3101

[RouterA-pbr-aaa-5] apply output-interface serial 2/2/0

[RouterA-pbr-aaa-5] quit

# 在Router A上应用本地策略路由。

[RouterA] ip local policy-based-route aaa

# 配置Serial接口的IP地址。

[RouterA] interface serial 2/2/0

[RouterA-Serial2/2/0] ip address 1.1.2.1 255.255.255.0

[RouterA-Serial2/2/0] quit

[RouterA] interface serial 2/2/1

[RouterA-Serial2/2/1] ip address 1.1.3.1 255.255.255.0

(2)     配置Router B

# 配置Serial接口的IP地址。

<RouterB> system-view

[RouterB] interface serial 2/2/0

[RouterB-Serial2/2/0] ip address 1.1.2.2 255.255.255.0

[RouterB-Serial2/2/0] quit

(3)     配置Router C

# 配置Serial接口的IP地址。

<RouterC> system-view

[RouterC] interface serial 2/2/1

[RouterC-Serial2/2/1] ip address 1.1.3.2 255.255.255.0

[RouterC-Serial2/2/1] quit

(4)     验证配置结果

从Router A上Telnet Router B（1.1.2.2/24），结果成功。

从Router A上Telnet Router C（1.1.3.2/24），结果失败。

从Router A上ping Router C（1.1.3.2/24），结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：Router A产生的TCP报文均从串口Serial2/2/0发送，串口Serial2/2/1不发送TCP报文，但可以发送非TCP报文，策略路由设置成功。

1.6.2  基于报文协议类型的转发策略路由配置举例

1. 组网需求

通过策略路由控制从Router A的以太网接口GigabitEthernet2/1/1接收的报文：

·     所有TCP报文均通过串口Serial2/2/0发送；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-2 基于报文协议类型的转发策略路由的配置举例组网图

 

3. 配置步骤

(1)     配置Router A

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

<RouterA> system-view

[RouterA] acl number 3101

[RouterA-acl-adv-3101] rule permit tcp

[RouterA-acl-adv-3101] quit

# 定义5号节点，使TCP报文被发往串口Serial2/2/0。

[RouterA] policy-based-route aaa permit node 5

[RouterA-pbr-aaa-5] if-match acl 3101

[RouterA-pbr-aaa-5] apply output-interface serial 2/2/0

[RouterA-pbr-aaa-5] quit

# 在以太网接口GigabitEthernet2/1/1上应用转发策略路由，处理此接口接收的报文。

[RouterA] interface GigabitEthernet 2/1/1

[RouterA-GigabitEthernet2/1/1] ip address 10.110.0.10 255.255.255.0

[RouterA-GigabitEthernet2/1/1] ip policy-based-route aaa

[RouterA-GigabitEthernet2/1/1] quit

# 配置Serial接口的IP地址。

[RouterA] interface serial 2/2/0

[RouterA-Serial2/2/0] ip address 1.1.2.1 255.255.255.0

[RouterA-Serial2/2/0] quit

[RouterA] interface serial 2/2/1

[RouterA-Serial2/2/1] ip address 1.1.3.1 255.255.255.0

(2)     配置Router B

# 配置到网段10.110.0.0/24的静态路由。

<RouterB> system-view

[RouterB] ip route-static 10.110.0.0 24 1.1.2.1

# 配置Serial接口的IP地址。

[RouterB] interface serial 2/2/0

[RouterB-Serial2/2/0] ip address 1.1.2.2 255.255.255.0

(3)     配置Router C

# 配置到网段10.110.0.0/24的静态路由。

<RouterC> system-view

[RouterC] ip route-static 10.110.0.0 24 1.1.3.1

# 配置Serial接口的IP地址。

[RouterC] interface serial 2/2/1

[RouterC-Serial2/2/1] ip address 1.1.3.2 255.255.255.0

(4)     验证配置结果

将Host A的IP地址配置为10.110.0.20/24，网关地址配置为10.110.0.10。

从Host A上Telnet Router B，结果成功。

从Host A上Telnet Router C，结果失败。

从Host A上ping Router C，结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：从Router A的以太网接口GigabitEthernet2/1/1接收的TCP报文均从串口Serial2/2/0转发，串口Serial2/2/1不转发TCP报文，但可以转发非TCP报文，策略路由设置成功。

1.6.3  基于报文长度的转发策略路由配置举例

1. 组网需求

通过策略路由控制从Router A的以太网接口GigabitEthernet2/1/1接收的报文：

·     长度为64～100字节的报文以150.1.1.2/24作为下一跳IP地址；

·     长度为101～1000字节的报文以151.1.1.2/24作为下一跳IP地址；

·     所有其它长度的报文都按照查找路由表的方式转发。

2. 组网图

图1-3 基于报文长度的转发策略路由的配置举例组网图

 

3. 配置步骤

(1)     配置Router A

# 配置动态路由协议RIP。

<RouterA> system-view

[RouterA] rip

[RouterA-rip-1] network 192.1.1.0

[RouterA-rip-1] network 150.1.0.0

[RouterA-rip-1] network 151.1.0.0

[RouterA-rip-1] quit

# 配置策略lab1，将长度为64～100字节的报文转发到下一跳150.1.1.2，而将长度为101～1000字节的报文转发到下一跳151.1.1.2。

[RouterA] policy-based-route lab1 permit node 10

[RouterA-pbr-lab1-10] if-match packet-length 64 100

[RouterA-pbr-lab1-10] apply ip-address next-hop 150.1.1.2

[RouterA-pbr-lab1-10] quit

[RouterA] policy-based-route lab1 permit node 20

[RouterA-pbr-lab1-20] if-match packet-length 101 1000

[RouterA-pbr-lab1-20] apply ip-address next-hop 151.1.1.2

[RouterA-pbr-lab1-20] quit

# 在以太网接口GigabitEthernet2/1/1上应用定义的策略lab1，处理此接口接收的报文。

[RouterA] interface GigabitEthernet 2/1/1

[RouterA-GigabitEthernet2/1/1] ip address 192.1.1.1 255.255.255.0

[RouterA-GigabitEthernet2/1/1] ip policy-based-route lab1

[RouterA-GigabitEthernet2/1/1] quit

# 配置Serial接口的IP地址。

[RouterA] interface serial 2/2/0

[RouterA-Serial2/2/0] ip address 150.1.1.1 255.255.255.0

[RouterA-Serial2/2/0] quit

[RouterA] interface serial 2/2/1

[RouterA-Serial2/2/1] ip address 151.1.1.1 255.255.255.0

[RouterA-Serial2/2/1] return

(2)     配置Router B

# 配置动态路由协议RIP。

<RouterB> system-view

[RouterB] rip

[RouterB-rip-1] network 10.0.0.0

[RouterB-rip-1] network 150.1.0.0

[RouterB-rip-1] network 151.1.0.0

# 配置Serial接口的IP地址。

[RouterB] interface serial 2/2/0

[RouterB-Serial2/2/0] ip address 150.1.1.2 255.255.255.0

[RouterB-Serial2/2/0] quit

[RouterB] interface serial 2/2/1

[RouterB-Serial2/2/1] ip address 151.1.1.2 255.255.255.0

[RouterB-Serial2/2/1] quit

# 配置Loopback接口的IP地址。

[RouterB] interface loopback 0

[RouterB-LoopBack0] ip address 10.1.1.1 32

(3)     验证配置结果

# 在Router A上用debugging ip policy-based-route命令监视策略路由。

<RouterA> debugging ip policy-based-route

<RouterA> terminal debugging

<RouterA> terminal monitor

# 从Host A上Ping Router B的Loopback0，并将报文数据字段长度设为80字节。

C:\>ping -l 80 10.1.1.1

 

Pinging 10.1.1.1 with 80 bytes of data:

 

Reply from 10.1.1.1: bytes=80 time<1ms TTL=255

Reply from 10.1.1.1: bytes=80 time<1ms TTL=255

Reply from 10.1.1.1: bytes=80 time<1ms TTL=255

Reply from 10.1.1.1: bytes=80 time<1ms TTL=255

 

Ping statistics for 10.1.1.1:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 0ms, Average = 0ms

从Router A上显示的策略路由调试信息如下：

<RouterA>

*Jun  7 12:04:33:519 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 10, next-hop : 150.1.1.2

*Jun  7 12:04:34:518 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 10, next-hop : 150.1.1.2

*Jun  7 12:04:35:518 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 10, next-hop : 150.1.1.2

*Jun  7 12:04:36:518 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 10, next-hop : 150.1.1.2

以上策略路由信息显示，Router A在接收到报文后，根据策略路由确定的下一跳为150.1.1.2，也就是说将报文从接口Serial2/2/0转发出去。

# 从Host A上Ping Router B的Loopback0，并将报文数据字段长度设为200字节。

C:\>ping -l 200 10.1.1.1

 

Pinging 10.1.1.1 with 200 bytes of data:

 

Reply from 10.1.1.1: bytes=200 time<1ms TTL=255

Reply from 10.1.1.1: bytes=200 time<1ms TTL=255

Reply from 10.1.1.1: bytes=200 time<1ms TTL=255

Reply from 10.1.1.1: bytes=200 time<1ms TTL=255

 

Ping statistics for 10.1.1.1:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 0ms, Average = 0ms

从Router A上显示的策略路由调试信息如下：

<RouterA>

*Jun  7 12:06:47:631 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 20, next-hop : 151.1.1.2

*Jun  7 12:06:48:630 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 20, next-hop : 151.1.1.2

*Jun  7 12:06:49:627 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 20, next-hop : 151.1.1.2

*Jun  7 12:06:50:627 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 20, next-hop : 151.1.1.2

以上策略路由信息显示，Router A在接收到报文后，根据策略路由确定的下一跳为151.1.1.2，也就是说将报文从接口Serial2/2/1转发出去。

1.6.4  基于反向入接口的转发策略路由配置举例

1. 组网需求

网关设备Router A通过两个接口（Serail2/2/0和Serial2/2/1）和公网连接。用户PC从公网访问内网的HTTP服务器，假设PC请求报文从Router A接口Serial2/2/0进入，通过网关设备转发，从Router A的私网接口GigabitEthernet2/1/1进入内网访问HTTP服务器。

要求：从私网返回的响应报文从Router A的接口GigabitEthernet2/1/1进入，经Router A转发时，能够从原来请求报文的入接口Serial2/2/0进入公网，返回用户PC。

2. 组网图

图1-4 基于反向入接口的转发策略路由配置举例组网图

 

3. 配置步骤

# 配置Router A各接口IP地址，并保证Router A与公网连通（略）。

# 在接口Serial2/2/0上配置NAT的内部服务器功能，将HTTP服务器的IP地址192.168.1.2/24映射为2.1.1.100/16（和Router A的接口Serial2/2/0的IP地址在同一网段）。

<RouterA> system-view

[RouterA] interface serial 2/2/0

[RouterA-Serial2/2/0] nat server protocol tcp global 2.1.1.100 www inside 192.168.1.2 www

[RouterA-Serial2/2/0] quit

# 在接口Serial2/2/1上配置NAT的内部服务器功能，将HTTP服务器的IP地址192.168.1.2/24映射为2.2.1.100/16（和Router A的接口Serial2/2/1的IP地址在同一网段）。

[RouterA] interface serial 2/2/1

[RouterA-Serial2/2/1] nat server protocol tcp global 2.2.1.100 www inside 192.168.1.2 www

[RouterA-Serial2/2/1] quit

# 定义10号节点，使匹配反向入接口Serial2/2/0的报文的下一跳地址为2.1.1.2/16。

[RouterA] policy-based-route test permit node 10

[RouterA-pbr-test-10] if-match reverse-input-interface serial 2/2/0

[RouterA-pbr-test-10] apply ip-address next-hop 2.1.1.2

[RouterA-pbr-test-10] quit

# 在以太网接口GigabitEthernet2/1/1上应用策略test。

[RouterA] interface GigabitEthernet 2/1/1

[RouterA-GigabitEthernet2/1/1] ip policy-based-route test

1.6.5  SR6600/SR6600-X工作在网关模式时VLAN接口策略路由配置举例

1. 组网需求

Router A工作在网关模式，并且配置了SAP板。Router A与Router B相连。在Router A上划分VLAN100和VLAN200，Host A属于VLAN100，Host B属于VLAN200。VLAN100和VLAN200路由可达，通过策略路由控制VLAN200到VLAN100的报文通过GigabitEthernet2/0/2转发。

2. 组网图

 

3. 配置步骤

# 配置RouterA工作在网关模式，并将RouterA上与VLAN100和VLAN200相连的以太网接口GigabitEthernet2/0/0和GigabitEthernet2/0/1切换为二层模式。

<RouterA> system-view

[RouterA] gateway-mode

[RouterA] interface gigabitethernet2/0/0

[RouterA-gigabitethernet2/0/0] port link-mode bridge

[RouterA-gigabitethernet2/0/0] quit

[RouterA] interface gigabitethernet2/0/1

[RouterA-gigabitethernet2/0/1] port link-mode bridge

[RouterA-gigabitethernet2/0/1] quit

 

# 在Router A上创建两个VLAN，分别为VLAN100和VLAN200，将GigabitEthernet 2/0/0加入到VLAN100，将GigabitEthernet2/0/1加入到VLAN200。

[RouterA] vlan 100

[RouterA-vlan100] quit

[RouterA] vlan 200

[RouterA-vlan200] quit

[RouterA] interface gigabitethernet2/0/0

[RouterA-gigabitethernet2/0/0] port access vlan 100

[RouterA-gigabitethernet2/0/0] quit

[RouterA] interface gigabitethernet2/0/1

[RouterA-gigabitethernet2/0/1] port access vlan 200

[RouterA-gigabitethernet2/0/1] quit

 

# 定义高级访问控制列表

[RouterA] acl number 3000

[Route A-acl-adv-3000]rule permit ip

[Route A-acl-adv-3000] quit

 

# 定义1号节点，使IP报文的下一跳地址为30.1.1.2

[Route A] policy-based-route aaa node 1

[Route A-pbr-aaa-1] if-match acl 3000

[Route A-pbr-aaa-1] apply ip-address next-hop 30.1.1.2

[Route A-pbr-aaa-1] quit

 

# 在VLAN200上应用接口策略路由

[Route A] interface Vlan-interface 200

[Route A-Vlan-interface200] ip policy-based-route aaa

[Route A-Vlan-interface200] quit

 

# 配置QoS重定向下一跳和策略路由下一跳保持一致

[Route A] traffic classifier aaa

[Route A-classifier-aaa] if-match acl 3000

[Route A-classifier-aaa] quit

[Route A] traffic behavior aaa

[Route A-behavior-aaa] redirect next-hop 30.1.1.2

[Route A-behavior-aaa] quit

[Route A] qos policy 1

[Route A-qospolicy-1] classifier aaa behavior aaa

[Route A-qospolicy-1] quit

[Route A ]qos vlan-policy 1 vlan 200 inbound