目  录

1 IPv6策略路由

1.1 IPv6策略路由简介

1.1.1 IPv6报文的转发流程

1.1.2 IPv6策略路由类型

1.1.3 IPv6策略简介

1.1.4 策略路由与Track联动

1.1.5 IPv6策略路由配置限制和指导

1.2 IPv6策略路由配置任务简介

1.3 配置IPv6策略

1.3.1 创建IPv6策略节点

1.3.2 配置IPv6策略节点的匹配规则

1.3.3 配置IPv6策略节点的动作

1.4 应用IPv6策略

1.4.1 对本地报文应用IPv6策略

1.4.2 对接口转发的报文应用IPv6策略

1.5 开启告警功能

1.6 IPv6策略路由显示和维护

1 IPv6策略路由

1.1  IPv6策略路由简介

与单纯依照IPv6报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对于满足一定条件（ACL规则、报文长度）的报文，执行指定的操作（设置报文的下一跳、出接口、缺省下一跳和缺省出接口等）。

1.1.1  IPv6报文的转发流程

设备上，IPv6报文的基本转发流程为：

(1)     首先根据配置的IPv6策略路由，查找满足匹配条件的节点。

(2)     若找到了匹配的节点，并且该节点是permit（允许）模式：

a.     根据策略路由中配置的下一跳和出接口指导报文转发。

b.     若节点未配置下一跳和出接口，或根据下一跳和出接口指导报文转发失败，则根据路由表中除缺省路由之外的路由来转发报文。

c.     若未找到除缺省路由之外的路由，或路由转发失败，则根据策略路由中配置的缺省下一跳和缺省出接口指导报文转发。

d.     若节点未配置缺省下一跳和缺省出接口，或根据缺省下一跳和缺省出接口指导报文转发失败，则根据缺省路由来转发报文。

(3)     若找不到匹配的节点，或找到了匹配的节点，但该节点是deny（拒绝）模式，则根据路由表指导报文转发。

1.1.2  IPv6策略路由类型

根据作用对象的不同，策略路由可分为本地策略路由和转发策略路由：

·     本地策略路由：对设备本身产生的报文（比如本地发出的ping报文）起作用，指导其发送。

·     转发策略路由：对接口接收的报文起作用，指导其转发。

1.1.3  IPv6策略简介

IPv6策略用来定义报文的匹配规则，以及对报文执行的操作。IPv6策略由节点组成。

一个IPv6策略可以包含一个或者多个节点。节点的构成如下：

·     每个节点由节点编号来标识。节点编号越小节点的优先级越高，优先级高的节点优先被执行。

·     每个节点的具体内容由if-match子句和apply子句来指定。if-match子句定义该节点的匹配规则，apply子句定义该节点的动作。

·     每个节点对报文的处理方式由匹配模式决定。匹配模式分为permit（允许）和deny（拒绝）两种。

应用IPv6策略后，系统将根据IPv6策略中定义的匹配规则和操作，对报文进行处理：系统按照优先级从高到低的顺序依次匹配各节点，如果报文满足这个节点的匹配规则，就执行该节点的动作；如果报文不满足这个节点的匹配规则，就继续匹配下一个节点；如果报文不能满足IPv6策略中任何一个节点的匹配规则，则根据路由表来转发报文。

1. if-match子句关系

在一个节点中可以配置多条if-match子句，同一类型的if-match子句最多只能有一条。

同一个节点中的各if-match子句之间是“与”的关系，即报文必须满足该节点的所有if-match子句才算满足这个节点的匹配规则。

2. apply子句关系

同一个节点中可以配置多条apply子句，但配置的多条apply子句不一定都会执行。多条apply子句之间的关系请参见“1.3.3  配置IPv6策略节点的动作”。

3. 节点的匹配模式与节点的if-match子句、apply子句的关系

一个节点的匹配模式与这个节点的if-match子句、apply子句的关系如表1-1所示。

表1-1 节点的匹配模式、if-match子句、apply子句三者之间的关系

1.1.4  策略路由与Track联动

策略路由通过与Track联动，增强了应用的灵活性和对网络环境变化的动态感知能力。

策略路由可以在配置报文的下一跳、出接口、缺省下一跳、缺省出接口时与Track项关联，根据Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或NotReady时生效。关于策略路由与Track联动的详细介绍和相关配置，请参见“网络管理和监控配置指导”中的“Track”。

1.1.5  IPv6策略路由配置限制和指导

对于软件转发的设备，收到目的为本设备的IPv6报文后，即使IPv6策略路由匹配该报文，也不会处理。

对于硬件转发的设备，收到某些目的为本设备的IPv6报文后，如果IPv6策略路由匹配该报文，会在报文上送CPU之前先按IPv6策略节点动作处理。

支持快速转发功能的设备会采用高速缓存来处理报文，根据报文的一个或多个信息来标识一条数据流。当一条数据流的第一个报文经过策略路由转发成功后，在高速缓存中生成相应的转发信息，该数据流的后续报文就可以通过直接查找策略路由快速转发表进行转发。这样便大大减少了报文的转发时间，提高了报文的转发速率。有关快速转发的详细介绍，请参见“三层技术-IP业务”中的“快速转发”。

如果策略路由的permit节点指导报文转发成功，则满足如下条件时设备无法生成快速转发表项：

·     策略节点设置了报文五元组之外的匹配条件，例如通过if-match packet-length子句设置了IPv6报文长度匹配规则。

·     如果策略节点配置了apply access-vpn、apply next-hop（指定了带有inbound-vpn参数的下一跳）和apply output-interface（指定了广播或NBMA类型的出接口）其中一种或多种子句，则按照优先级顺序依次判断是否满足如下条件：

¡     apply access-vpn子句指定了多个VPN实例，并且第一个VPN实例不可用。如果未配置本子句，则继续判断后面的条件。

¡     apply next-hop子句指定了带有inbound-vpn参数的下一跳，但是该下一跳不可达。在负载分担模式下，需要至少一个带有inbound-vpn参数的下一跳；在非负载分担模式下，配置带inbound-vpn参数的下一跳之前未配置其他可用的、不带inbound-vpn参数的下一跳。如果未配置本子句，则继续判断后面的条件。

¡     策略节点配置了apply output-interface子句，且该子句指定了广播或NBMA类型的出接口，但是该出接口不可用。在负载分担模式下，需要至少一个指定了广播或NBMA类型的出接口；在非负载分担模式下，指定广播或NBMA类型的出接口之前未指定其他可用的、非广播或NBMA类型的出接口。

·     策略节点未配置apply access-vpn vpn-instance、apply next-hop、apply output-interface其中一种或多种子句，但是配置了apply default-next-hop、apply default-output-interface中的一种或多种子句。

·     策略节点配置了apply precedence子句。

如果策略路由的permit节点指导报文转发失败，并且该节点配置了apply continue子句，则设备也无法生成快速转发表项。

1.2  IPv6策略路由配置任务简介

IPv6策略路由配置任务如下：

(1)     配置IPv6策略

a.     创建IPv6策略节点

b.     配置IPv6策略节点的匹配规则

c.     配置IPv6策略节点的动作

(2)     应用IPv6策略

请选择以下至少一项任务进行配置：

¡     对本地报文应用IPv6策略

¡     对接口转发的报文应用IPv6策略

(3)     （可选）开启告警功能

1.3  配置IPv6策略

1.3.1  创建IPv6策略节点

(1)     进入系统视图。

system-view

(2)     创建IPv6策略节点，并进入IPv6策略节点视图。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

1.3.2  配置IPv6策略节点的匹配规则

(1)     进入系统视图。

system-view

(2)     进入IPv6策略节点视图。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置匹配规则。

¡     设置ACL匹配规则。

if-match acl { ipv6-acl-number | name ipv6-acl-name }

缺省情况下，未设置ACL匹配规则。

IPv6策略路由不支持匹配二层信息的ACL匹配规则。

¡     设置IPv6报文长度匹配规则。

if-match packet-length min-len max-len

缺省情况下，未设置IPv6报文长度匹配规则。

1.3.3  配置IPv6策略节点的动作

1. 功能简介

用户通过配置apply子句指导IPv6策略节点的动作。

影响报文转发路径的apply子句有五条，优先级从高到低依次为：

(1)     apply access-vpn

(2)     apply next-hop

(3)     apply output-interface

(4)     apply default-next-hop

(5)     apply default-output-interface

apply子句的含义、执行优先情况和详细说明如表1-2所示。

表1-2 apply子句的含义以及执行优先情况等说明

‌

2. 配置限制和指导

IPv6策略路由通过查询FIB表中是否存在下一跳或缺省下一跳地址对应的条目，判断设置的报文转发下一跳或缺省下一跳地址是否可用。IPv6策略路由周期性检查FIB表，设备到下一跳的路径发生变化时，IPv6策略路由无法及时感知，可能会导致通信发生短暂中断。

3. 设置IPv6报文的IP优先级

(1)     进入系统视图。

system-view

(2)     进入IPv6策略节点视图。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置IPv6报文的IP优先级。

apply precedence { type | value }

缺省情况下，未设置IPv6报文的优先级。

4. 配置指导报文转发类动作

(1)     进入系统视图。

system-view

(2)     进入IPv6策略节点视图。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     配置动作。

¡     设置报文在指定VPN实例中进行转发。

apply access-vpn { public | vpn-instance vpn-instance-name&<1-4> }

缺省情况下，设备根据路由表在公网或VPN内转发报文。

每个节点最多可以配置公网和n个VPN实例。当满足匹配规则后，将根据配置顺序在公网或第一个可用的VPN实例转发表进行转发。

¡     重标记报文所属的VPN。

apply remark-vpn

缺省情况下，未重标记报文所属的VPN。

¡     设置报文转发的下一跳。

apply next-hop [ vpn-instance vpn-instance-name | inbound-vpn ] { ipv6-address [ direct ] [ track track-entry-number ] [ weight weight-value ] } &<1-4>

缺省情况下，未设置报文转发的下一跳。

用户通过一次或多次配置本命令可以同时配置多个下一跳，每个节点最多可以配置16个下一跳，这些下一跳起到主备或负载分担的作用。

当配置了多个下一跳做主备，且多个下一跳地址属于同一个网段时，当主下一跳匹配失败后，设备会先匹配主下一跳对应的网段路由转发报文，当网段路由匹配失败后，再匹配配置的备下一跳。

¡     设置指导报文转发的多个下一跳工作在负载分担模式。

apply loadshare next-hop

缺省情况下，多个下一跳工作在主备模式。

¡     设置指导报文转发的出接口。

apply output-interface { interface-type interface-number [ track track-entry-number ] }&<1-4>

缺省情况下，未设置指导报文转发的出接口。

用户通过一次或多次配置本命令可以同时配置多个出接口，每个节点最多可以配置16个出接口，这些出接口起到主备或负载分担的作用。

¡     设置指导报文转发的多个出接口工作在负载分担模式。

apply loadshare output-interface

缺省情况下，多个出接口工作在主备模式。

¡     设置指导报文转发的缺省下一跳。

apply default-next-hop [ vpn-instance vpn-instance-name | inbound-vpn ] { ipv6-address [ direct ] [ track track-entry-number ] }&<1-4>

缺省情况下，未设置指导报文转发的缺省下一跳。

用户通过一次或多次配置本命令可以同时配置多个缺省下一跳，每个节点最多可以配置16个缺省下一跳，这些缺省下一跳起到主备或负载分担的作用。

¡     设置指导报文转发的多个缺省下一跳工作在负载分担模式。

apply loadshare default-next-hop

缺省情况下，多个缺省下一跳工作在主备模式。

¡     设置指导报文转发的缺省出接口。

apply default-output-interface { interface-type interface-number [ track track-entry-number ] }&<1-4>

缺省情况下，未设置指导报文转发的缺省出接口。

用户通过一次或多次配置本命令可以同时配置多个缺省出接口，每个节点最多可以配置n个缺省出接口，这些缺省出接口起到主备或负载分担的作用。

¡     设置指导报文转发的多个缺省出接口工作在负载分担模式。

apply loadshare default-output-interface

缺省情况下，多个缺省出接口工作在主备模式。

5. 设置当前节点指定转发路径失败后继续进行后续节点处理

(1)     进入系统视图。

system-view

(2)     进入IPv6策略节点视图。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置匹配成功的当前节点指定转发路径失败后继续进行后续节点的处理。

apply continue

缺省情况下，匹配成功的当前节点指定转发路径失败后不再进行下一节点的匹配。

本命令仅在策略节点的匹配模式为permit时生效。

1.4  应用IPv6策略

1.4.1  对本地报文应用IPv6策略

1. 功能简介

通过本配置，可以将已经配置的IPv6策略应用到本地，指导设备本身产生IPv6报文的发送。应用IPv6策略时，该IPv6策略必须已经存在，否则配置将失败。

2. 配置限制和指导

对本地报文只能应用一个IPv6策略。应用新的IPv6策略前必须删除本地原来已经应用的IPv6策略。

若无特殊需求，建议用户不要对本地报文应用IPv6策略。否则，有可能会对本地报文的发送造成不必要的影响（如ping、telnet服务的失效）。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     对本地报文应用IPv6策略。

ipv6 local policy-based-route policy-name

缺省情况下，未对本地报文应用IPv6策略。

1.4.2  对接口转发的报文应用IPv6策略

1. 功能简介

通过本配置，可以将已经配置的IPv6策略应用到接口，指导接口接收的所有IPv6报文的转发。应用IPv6策略时，该IPv6策略必须已经存在，否则配置将失败。

2. 配置限制和指导

对接口转发的报文应用IPv6策略时，一个接口只能应用一个IPv6策略。应用新的IPv6策略前必须删除接口上原来已经应用的IPv6策略。

一个IPv6策略可以同时被多个接口应用。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     对接口转发的报文应用IPv6策略。

ipv6 policy-based-route policy-name

缺省情况下，未对接口转发的报文应用IPv6策略。

1.5  开启告警功能

1. 功能简介

开启IPv6策略路由模块的告警功能后，当下一跳的状态由有效变为无效时，该模块会生成包含下一跳地址的告警信息，用于报告该模块的重要事件。生成的告警信息将发送到设备的SNMP模块，通过设置SNMP中告警信息的发送参数，来决定告警信息输出的相关属性。

有关告警信息的详细介绍，请参见“网络管理和监控配置指导”中的“SNMP”。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启IPv6策略路由模块的告警功能。

snmp-agent trap enable ipv6 policy-based-route

缺省情况下，IPv6策略路由模块的告警功能处于开启状态。

1.6  IPv6策略路由显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示IPv6策略路由配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令可以清除IPv6策略路由的统计信息。

表1-3 IPv6策略路由显示和维护