目  录

1 IPv6策略路由

1.1 IPv6策略路由简介

1.1.1 IPv6报文的转发流程

1.1.2 IPv6策略路由类型

1.1.3 IPv6策略简介

1.1.4 策略路由与Track联动

1.2 IPv6策略路由配置限制和指导

1.3 IPv6策略路由配置任务简介

1.4 配置IPv6策略

1.4.1 创建IPv6策略节点

1.4.2 配置IPv6策略节点的匹配规则

1.4.3 配置IPv6策略节点的动作

1.5 应用IPv6策略

1.5.1 对本地报文应用IPv6策略

1.5.2 在指定接口应用IPv6转发策略

1.6 IPv6策略路由显示和维护

1.7 IPv6策略路由典型配置举例

1.7.1 基于报文协议类型的IPv6本地策略路由配置举例

1.7.2 基于报文协议类型的IPv6转发策略路由配置举例

 

1 IPv6策略路由

1.1  IPv6策略路由简介

与单纯依照IPv6报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对于满足一定条件（ACL规则、服务链等）的报文，执行指定的操作（设置报文的下一跳、缺省下一跳和缺省出接口等）。

1.1.1  IPv6报文的转发流程

设备上，IPv6报文的基本转发流程为：

(1)     首先根据配置的IPv6策略路由，查找满足匹配条件的节点。

(2)     若找到了匹配的节点，并且该节点是permit（允许）模式：

a.     根据策略路由中配置的下一跳和出接口指导报文转发。

b.     若节点未配置下一跳和出接口，或根据下一跳和出接口指导报文转发失败，则根据路由表中除缺省路由之外的路由来转发报文。

c.     若未找到除缺省路由之外的路由，或路由转发失败，则根据策略路由中配置的缺省下一跳指导报文转发。

d.     若节点未配置缺省下一跳，或根据缺省下一跳指导报文转发失败，则根据缺省路由来转发报文。

(3)     若找不到匹配的节点，或找到了匹配的节点，但该节点是deny（拒绝）模式，则根据路由表指导报文转发。

1.1.2  IPv6策略路由类型

根据作用对象的不同，策略路由可分为本地策略路由和转发策略路由：

·     本地策略路由：对设备本身产生的报文（比如本地发出的ping报文）起作用，指导其发送。

·     转发策略路由：对接口接收的报文起作用，指导其转发。

1.1.3  IPv6策略简介

IPv6策略用来定义报文的匹配规则，以及对报文执行的操作。IPv6策略由节点组成。

一个IPv6策略可以包含一个或者多个节点。节点的构成如下：

·     每个节点由节点编号来标识。编号越小的节点优先被执行。

·     每个节点的具体内容由if-match子句和apply子句来指定。if-match子句定义该节点的匹配规则，apply子句定义该节点的动作。

·     每个节点对报文的处理方式由匹配模式决定。匹配模式分为permit（允许）和deny（拒绝）两种。

应用IPv6策略后，系统将根据IPv6策略中定义的匹配规则和操作，对报文进行处理：系统按照优先级从高到低的顺序依次匹配各节点，如果报文满足这个节点的匹配规则，就执行该节点的动作；如果报文不满足这个节点的匹配规则，就继续匹配下一个节点；如果报文不能满足IPv6策略中任何一个节点的匹配规则，则根据路由表来转发报文。

1. if-match子句关系

在一个节点中可以配置多条if-match子句，同一类型的if-match子句最多只能有一条，最新的配置生效。

同一个节点中的各if-match子句之间是“与”的关系，即报文必须满足该节点的所有if-match子句才算满足这个节点的匹配规则。

2. apply子句关系

同一个节点中可以配置多条apply子句，但不一定都会执行。多条apply子句之间的关系请参见“1.4.3  配置IPv6策略节点的动作”。

3. 节点的匹配模式与节点的if-match子句、apply子句的关系

一个节点的匹配模式与这个节点的if-match子句、apply子句的关系如表1-1所示。

表1-1 节点的匹配模式、if-match子句、apply子句三者之间的关系

是否满足所有if-match子句	节点匹配模式
	permit（允许模式）	deny（拒绝模式）
是	·     如果节点配置了apply子句，则执行此节点apply子句，不再匹配下一节点 ¡     如果节点指导报文转发成功，则不再匹配下一节点 ¡     如果节点指导报文转发失败，则继续匹配下一节点 ·     如果节点未配置apply子句，则不会执行任何动作，且不再匹配下一节点，报文将根据路由表来进行转发	不执行此节点apply子句，不再匹配下一节点，报文将根据路由表来进行转发
否	不执行此节点apply子句，继续匹配下一节点	不执行此节点apply子句，继续匹配下一节点

 

 

1.1.4  策略路由与Track联动

策略路由通过与Track联动，增强了应用的灵活性和对网络环境变化的动态感知能力。

策略路由可以在配置报文的下一跳、缺省下一跳时与Track项关联，根据Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或NotReady时生效。关于策略路由与Track联动的详细介绍和相关配置，请参见“可靠性配置指导”中的“Track”。

1.2  IPv6策略路由配置限制和指导

设备收到某些目的为本设备的IPv6报文后，如果IPv6策略路由匹配该报文，会在报文上送CPU处理前先按IPv6策略节点动作处理。

1.3  IPv6策略路由配置任务简介

IPv6策略路由配置任务如下：

(1)     配置IPv6策略

a.     创建IPv6策略节点

b.     配置IPv6策略节点的匹配规则

c.     配置IPv6策略节点的动作

(2)     应用IPv6策略

请选择以下至少一项任务进行配置：

¡     对本地报文应用IPv6策略

¡     对接口转发的报文应用IPv6策略

-     在指定接口应用IPv6转发策略

1.4  配置IPv6策略

1.4.1  创建IPv6策略节点

(1)     进入系统视图。

system-view

(2)     创建IPv6策略节点，并进入IPv6策略节点视图。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     （可选）设置当前IPv6策略节点的描述信息。

description text

缺省情况下，未设置当前IPv6策略节点的描述信息。

1.4.2  配置IPv6策略节点的匹配规则

(1)     进入系统视图。

system-view

(2)     进入IPv6策略节点视图。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置匹配规则。

¡     设置ACL匹配规则。

if-match acl { ipv6-acl-number | name ipv6-acl-name }

缺省情况下，未设置ACL匹配规则。

IPv6策略路由不支持匹配二层信息的ACL匹配规则。

设置ACL匹配规则时，对于ACL规则的permit/deny动作以及time-range指定的规则生效时间段等的处理机制不再生效。

¡     设置IP报文QoS本地ID值匹配规则。

if-match qos-local-id local-id-value [ qppb-manipulation ]

缺省情况下，未设置IP报文QoS本地ID值匹配规则。

配置qppb-manipulation参数后，在QPPB组网中，只有路由接收者从路由表中为接收到报文获取的QoS本地ID值与本规则指定的QoS本地ID值相同时，该报文才会匹配本规则。QPPB的详细介绍，请参见“ACL和QoS配置指导”中的“QPPB”。

¡     设置服务链匹配规则。

if-match service-chain path-id service-path-id [ path-index service-patch-index ]

缺省情况下，未设置服务链匹配规则。

1.4.3  配置IPv6策略节点的动作

1. 功能简介

用户通过配置apply子句指导IPv6策略节点的动作。

影响报文转发路径的apply子句有三条，优先级从高到低依次为：

(1)     apply next-hop

(2)     apply output-interface

(3)     apply default-next-hop

apply子句的含义、执行优先情况和详细说明如表1-2所示。

表1-2 apply子句的含义以及执行优先情况等说明

子句	含义	执行优先情况/详细说明
apply precedence	设置IPv6报文的IP优先级	只要配置了该子句，该子句就一定会执行
apply next-hop和apply output-interface	设置报文的下一跳、出接口	apply next-hop的优先级高于apply output-interface。当两条子句同时配置并且都有效时，系统只会执行apply next-hop子句
apply service-chain	设置IPv6报文的服务链规则	本子句必须在应用可达的VXLAN隧道的下一跳才生效
apply default-next-hop	设置报文的缺省下一跳	执行缺省下一跳的前提是：在策略中未配置下一跳或者出接口，或者配置的下一跳和出接口无效，并且在路由表中未找到与报文目的IPv6地址匹配的路由表项
apply fail-action-drop next-hop	设置IPv6策略路由配置的下一跳失效时，设备直接丢弃该报文	IPv6策略路由配置的下一跳都失效时只要配置了本子句，本功能就一定会执行 用户在IPv6策略路由中指定的下一跳可能因为链路中断、接口shutdown等事件变成失效下一跳。未执行本命令时IPv6策略路由指定的下一跳失效后，设备会继续查找路由表进行报文转发。在某些组网环境中，报文需要严格按照IPv6策略路由指定的下一跳地址转发。配置本功能后，IPv6策略路由配置的下一跳失效时，设备就会直接丢弃报文，便于管理员快速发现问题并处理问题

‌

2. 配置限制和指导

IPv6策略路由通过查询FIB表中是否存在下一跳地址对应的条目，判断设置的报文转发下一跳地址是否可用。IPv6策略路由周期性检查FIB表，设备到下一跳的路径发生变化时，IPv6策略路由无法及时感知，可能会导致通信发生短暂中断。

在同一IPv6策略节点下：若通过apply next-hop命令配置的下一跳地址为Overlay网络的IPv6地址，且使用apply service-chain命令设置报文的服务链规则时，不支持到达该IPv6地址的等价路由。

3. 修改报文IP优先级

(1)     进入系统视图。

system-view

(2)     进入IPv6策略节点视图。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置IPv6报文的IP优先级。

apply precedence { type | value }

缺省情况下，未设置IPv6报文的优先级。

4. 配置指导报文转发类动作

(1)     进入系统视图。

system-view

(2)     进入IPv6策略节点视图。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     配置动作。

¡     设置报文转发的下一跳。

apply next-hop [ vpn-instance vpn-instance-name ] { ipv6-address [ direct ] [ track track-entry-number ] [ service-chain path-id service-path-id [ path-index service-path-index ] ] } &<1-2>

缺省情况下，未设置报文转发的下一跳。

用户通过一次或多次配置本命令可以同时配置多个下一跳，每个节点最多可以配置2个下一跳，这些下一跳起到主备的作用。

当配置了多个下一跳做主备，且多个下一跳地址属于同一个网段时，当主下一跳匹配失败后，设备会先匹配主下一跳对应的网段路由转发报文，当网段路由匹配失败后，再匹配配置的备下一跳。

¡     设置指导报文转发的出接口。

apply output-interface null 0

缺省情况下，未设置指导报文转发的出接口。

¡     设置指导报文转发的缺省下一跳。

apply default-next-hop [ vpn-instance vpn-instance-name ] { ipv6-address [ direct ] [ track track-entry-number ] [ service-chain path-id service-path-id [ path-index service-path-index ] ] }&<1-2>

缺省情况下，未设置指导报文转发的缺省下一跳。

用户通过一次或多次配置本命令可以同时配置多个缺省下一跳，每个节点最多可以配置2个缺省下一跳，这些缺省下一跳起到主备的作用。

¡     设置报文的服务链规则。

apply service-chain path-id service-path-id [ path-index service-path-index ]

缺省情况下，未设置报文的服务链规则。

¡     设置IPv6策略路由配置的下一跳失效时，设备直接丢弃该报文。

apply fail-action-drop next-hop

缺省情况下，IPv6策略路由配置的下一跳失效时，设备继续查找路由表进行报文转发。

IPv6策略路由支持配置多个下一跳地址，当配置的所有下一跳地址都失效后，本功能才生效。这时，需要转发到任意一个下一跳地址的报文都会被直接丢弃。

本配置对软件转发的报文不生效。

1.5  应用IPv6策略

1.5.1  对本地报文应用IPv6策略

1. 功能简介

通过本配置，可以将已经配置的IPv6策略应用到本地，指导设备本身产生IPv6报文的发送。应用IPv6策略时，该IPv6策略必须已经存在，否则配置将失败。

2. 配置限制和指导

对本地报文只能应用一个IPv6策略。应用新的IPv6策略前必须删除本地原来已经应用的IPv6策略。

若无特殊需求，建议用户不要对本地报文应用IPv6策略。否则，有可能会对本地报文的发送造成不必要的影响（如ping、telnet服务的失效）。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     对本地报文应用IPv6策略。

ipv6 local policy-based-route policy-name

缺省情况下，未对本地报文应用IPv6策略。

1.5.2  在指定接口应用IPv6转发策略

1. 功能简介

通过本配置，可以将已经配置的IPv6策略应用到接口，指导接口接收的所有IPv6报文的转发。应用IPv6策略时，该IPv6策略必须已经存在，否则配置将失败。

当设备上存在很多VLAN接口且需要下发同样的IPv6策略路由时，使用传统配置方法，用户只能逐个VLAN接口进行配置，操作比较繁琐。且使用此种方式下发IPv6策略路由会占用设备较多资源，导致设备资源耗尽。为解决上述问题，可使用对指定范围的VLAN接口上应用IPv6策略的方法。

2. 配置限制和指导

对接口转发的报文应用IPv6策略时，一个接口只能应用一个IPv6策略。应用新的IPv6策略前必须删除接口上原来已经应用的IPv6策略。

一个IPv6策略可以同时被多个接口应用。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     对接口转发的报文应用IPv6策略。

ipv6 policy-based-route policy-name

缺省情况下，未对接口转发的报文应用IPv6策略。

1.6  IPv6策略路由显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示IPv6策略路由配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令可以清除IPv6策略路由的统计信息。

表1-3 IPv6策略路由显示和维护

操作	命令
显示已经配置的IPv6策略	display ipv6 policy-based-route [ policy policy-name ]
显示接口下IPv6转发策略路由的配置信息和统计信息	display ipv6 policy-based-route interface interface-type interface-number [ slot slot-number ]
显示IPv6本地策略路由的配置信息和统计信息	display ipv6 policy-based-route local [ slot slot-number ]
显示已经应用的IPv6策略路由信息	display ipv6 policy-based-route setup
清除IPv6策略路由的统计信息	reset ipv6 policy-based-route statistics [ policy policy-name ]

 

1.7  IPv6策略路由典型配置举例

1.7.1  基于报文协议类型的IPv6本地策略路由配置举例

1. 组网需求

Switch A分别与Switch B和Switch C直连（保证Switch B和Switch C之间路由完全不可达）。通过策略路由控制Switch A产生的报文：

·     指定所有TCP报文的下一跳为1::2；

·     其它IPv6报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-1 基于报文协议类型的本地策略路由的配置举例组网图

 

3. 配置步骤

(1)     配置Switch A

# 创建VLAN 10和VLAN 20。

<SwitchA> system-view

[SwitchA] vlan 10

[SwitchA-vlan10] quit

[SwitchA] vlan 20

[SwitchA-vlan20] quit

# 配置接口Vlan-interface10和Vlan-interface20的IPv6地址。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] ipv6 address 1::1 64

[SwitchA-Vlan-interface10] quit

[SwitchA] interface vlan-interface 20

[SwitchA-Vlan-interface20] ipv6 address 2::1 64

[SwitchA-Vlan-interface20] quit

# 定义访问控制列表ACL 3001，用来匹配TCP报文。

[SwitchA] acl ipv6 advanced 3001

[SwitchA-acl-ipv6-adv-3001] rule permit tcp

[SwitchA-acl-ipv6-adv-3001] quit

# 定义5号节点，指定所有TCP报文的下一跳为1::2。

[SwitchA] ipv6 policy-based-route aaa permit node 5

[SwitchA-pbr6-aaa-5] if-match acl 3001

[SwitchA-pbr6-aaa-5] apply next-hop 1::2

[SwitchA-pbr6-aaa-5] quit

# 在Switch A上应用本地策略路由。

[SwitchA] ipv6 local policy-based-route aaa

(2)     配置Switch B

# 创建VLAN 10

<SwitchB> system-view

[SwitchB] vlan 10

[SwitchB-vlan10] quit

# 配置接口Vlan-interface10的IP地址。

[SwitchB] interface vlan-interface 10

[SwitchB-Vlan-interface10] ipv6 address 1::2 64

(3)     配置Switch C

#创建VLAN 20

<SwitchC> system-view

[SwitchC] vlan 20

[SwitchC-vlan20] quit

# 配置接口Vlan-interface20的IP地址。

[SwitchC] interface vlan-interface 20

[SwitchC-Vlan-interface20] ipv6 address 2::2 64

4. 验证配置

从Switch A上通过Telnet方式登录Switch B（1::2/64），结果成功。

从Switch A上通过Telnet方式登录Switch C（2::2/64），结果失败。

从Switch A上ping Switch C（2::2/64），结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP6协议，所以由以上结果可证明：Switch A发出的TCP报文的下一跳为1::2，接口Vlan-interface20不发送TCP报文，但可以发送非TCP报文，策略路由设置成功。

1.7.2  基于报文协议类型的IPv6转发策略路由配置举例

1. 组网需求

Switch A分别与Switch B和Switch C直连（保证Switch B和Switch C之间路由完全不可达）。通过策略路由控制从Switch A的接口Vlan-interface11接收的报文：

·     指定所有TCP报文的下一跳为1::2；

·     其它IPv6报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-2 基于报文协议类型的IPv6转发策略路由配置举例组网图

 

3. 配置步骤

(1)     配置IPv6地址和单播路由协议，确保Switch B和Host A，Switch C和Host A之间路由可达，具体配置过程略。

(2)     配置Switch A

# 定义访问控制列表ACL 3001，用来匹配TCP报文。

[SwitchA] acl ipv6 advanced 3001

[SwitchA-acl-ipv6-adv-3001] rule permit tcp

[SwitchA-acl-ipv6-adv-3001] quit

# 定义5号节点，指定所有TCP报文的下一跳为1::2。

[SwitchA] ipv6 policy-based-route aaa permit node 5

[SwitchA-pbr6-aaa-5] if-match acl 3001

[SwitchA-pbr6-aaa-5] apply next-hop 1::2

[SwitchA-pbr6-aaa-5] quit

# 在接口Vlan-interface11上应用转发策略路由，处理此接口接收的报文。

[SwitchA] interface vlan-interface 11

[SwitchA-Vlan-interface11] ipv6 policy-based-route aaa

4. 验证配置

在Host A上安装IPv6协议栈，并将IPv6地址配置为10::3。

C:\>ipv6 install

Installing...

Succeeded.

C:\>ipv6 adu 4/10::3

从Host A上通过Telnet方式登录Router B，结果成功。

从Host A上通过Telnet方式登录Router C，结果失败。

从Host A上ping Router C，结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：从Switch A的接口Vlan-interface11接收的TCP报文的下一跳为1::2，接口Vlan-interface20不转发TCP报文，但可以转发非TCP报文，策略路由设置成功。