13-策略路由典型配置举例
本章节下载: 13-策略路由典型配置举例 (332.49 KB)
本章包含如下内容:
· 简介
· 配置前提
· 配置举例
本文档介绍策略路由功能的典型配置举例。
策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对满足一定条件(如ACL规则)的报文执行指定的操作,如设置报文的下一跳和出接口等。与静态路由、动态路由(如BGP)这些根据路由表指导报文转发的路由功能相比,策略路由的转发优先级更高。
本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解策略路由特性。
如图-1所示,公司在网络出口部署了一台安全网关Device A,内网侧包含网络A(192.168.1.0/24)和网络B(192.168.2.0/24),外网侧租用了由不同运营商提供的线路A和线路B:其中线路A的接入设备为Device C,接入点IP地址为1.1.1.2/30;线路B的接入设备为Device D,接入点IP地址为2.2.2.2/30。需要实现如下需求:
· 网络A的用户访问外网时,优先使用线路A;网络B的用户访问外网时,优先使用线路B。
· 当线路A和B中的任何一条线路出现故障时,内网用户访问外网的流量还可以通过另外一条正常的线路进行转发。
本举例是在F1000-AI-55的R8860版本上进行配置和验证的。
1. 配置接口的IP地址和安全域
# 选择“网络 > 接口 > 接口”,进入接口配置页面。
# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。
· 安全域:Trust
· 选择“IPv4地址”页签,配置IP地址/掩码:192.168.3.2/24
· 其他配置项使用缺省值
# 按照同样的步骤配置接口GE1/0/2,配置如下。
· 安全域:Untrust
· 选择“IPv4地址”页签,配置IP地址/掩码:1.1.1.1/30
· 其他配置项使用缺省值
# 按照同样的步骤配置接口GE1/0/3,配置如下。
· 安全域:Untrust
· 选择“IPv4地址”页签,配置IP地址/掩码:2.2.2.1/30
· 其他配置项使用缺省值
# 单击<确定>按钮,完成接口IP地址和安全域的配置。
2. 配置路由
本举例仅以静态路由为例,若实际组网中需采用动态路由,请配置对应的动态路由协议。
# 选择“网络 > 路由 > 静态路由 > IPv4静态路由”,单击<新建>按钮,进入新建IPv4静态路由页面。
# 新建访问网络A的IPv4静态路由,并进行如下配置:
· 目的IP地址:192.168.1.0
· 掩码长度:24
· 下一跳IP地址:192.168.3.1
· 其他配置项使用缺省值
# 单击<确定>按钮,完成静态路由的配置。
# 新建访问网络B的IPv4静态路由,并进行如下配置:
· 目的IP地址:192.168.2.0
· 掩码长度:24
· 下一跳IP地址:192.168.3.1
· 其他配置项使用缺省值
# 单击<确定>按钮,完成静态路由的配置。
3. 配置安全策略
# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。
# 新建安全策略secpolicy,并进行如下配置:
· 名称:secpolicy
· 源安全域:Trust
· 目的安全域:Untrust
· 类型:IPv4
· 动作:允许
· 源IPv4地址:192.168.1.0/24、192.168.2.0/24
· 其他配置项使用缺省值
# 单击<确定>按钮,完成安全策略secpolicy的配置。
4. 配置ACL
# 选择“对象 > ACL > IPv4”,进入IPv4 ACL配置页面。
# 单击<新建>按钮,创建用于匹配网络A内用户访问外网流量的ACL,配置如下图所示。
图-2 新建编号为3000的ACL
# 单击<确定>按钮,继续添加规则,配置如下图所示。
图-3 为编号为3000的ACL添加规则
# 单击<确定>按钮,完成ACL 3000的配置。
# 再次单击<新建>按钮,创建用于匹配网络B内用户访问外网流量的ACL,配置如下图所示。
图-4 新建编号为3001的ACL
# 单击<确定>按钮,继续添加规则,配置如下图所示。
图-5 为编号为3001的ACL添加规则
# 单击<确定>按钮,完成ACL配置。
5. 配置策略路由
# 选择“网络 > 路由 > 策略路由 > IPv4策略路由”,进入IPv4策略路由配置页面。
# 单击<新建>按钮,新建IPv4策略路由,配置如下图所示。
图-6 新建IPV4策略路由
# 单击<新建>按钮,新建编号为5的策略节点,用于指导网络A内用户访问外网流量的转发,配置如下图所示。
图-7 新建编号为5的策略节点
# 单击“设置报文转发的下一跳地址”下方的<新建>按钮,配置报文转发的下一跳地址,配置如下图所示。
图-8 设置报文转发的下一跳地址
# 单击<确定>按钮,完成下一跳地址配置。
# 单击<确定>按钮,完成策略节点配置。
# 再次单击<新建>按钮,新建编号为10的策略节点,用于指导网络B内用户访问外网流量的转发,配置如下图所示。
图-9 新建编号为10的策略节点
# 单击“设置报文转发的下一跳地址”下方的<确定>按钮,配置报文转发的下一跳地址,配置如下图所示。
图-10 设置报文转发的下一跳地址
# 单击<确定>按钮,完成下一跳地址配置。
# 单击<确定>按钮,完成策略节点配置。
# 单击<确定>按钮,完成IPv4策略路由配置。
# 配置静态路由,确保内网用户访问外网的报文能被转发到Device A的接口GE1/0/1上,配置步骤略。
1. 跟踪网络A内的主机访问外网IP地址3.3.3.3的路由,发现3号跃点为线路A的接入点IP地址1.1.1.2
C:\Users\abc>tracert 3.3.3.3
最多通过30个跃点跟踪到3.3.3.3的路由
1 1 ms 1 ms 1 ms 192.168.1.1
2 2 ms 2 ms 2 ms 192.168.3.2
3 4 ms 7 ms 6 ms 1.1.1.2
4 5 ms 5 ms 4 ms 3.3.3.3
跟踪完成。
2. 跟踪网络B内的主机访问外网IP地址3.3.3.3的路由,发现3号跃点为线路B的接入点IP地址2.2.2.2
C:\Users\xyz>tracert 3.3.3.3
最多通过30个跃点跟踪到3.3.3.3的路由
1 1 ms 1 ms 1 ms 192.168.2.1
2 2 ms 2 ms 2 ms 192.168.3.2
3 5 ms 6 ms 5 ms 2.2.2.2
4 6 ms 4 ms 5 ms 3.3.3.3
跟踪完成。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!