目  录

1 双栈策略路由

1.1 双栈策略路由简介

1.1.1 双栈策略简介

1.1.2 报文的转发流程

1.1.3 双栈策略路由与Track联动

1.2 双栈策略路由配置限制和指导

1.3 双栈策略路由配置任务简介

1.4 配置双栈策略路由

1.4.1 创建双栈策略节点

1.4.2 配置双栈策略节点的匹配规则

1.4.3 配置双栈策略节点的动作

1.5 应用双栈策略路由

1.5.1 在指定接口应用双栈策略路由

1.5.2 全局应用双栈策略路由

1.6 双栈策略路由显示和维护

1.7 策略路由典型配置举例

1.7.1 基于报文协议类型的接口双栈策略路由配置举例

1.7.2 基于报文协议类型的全局双栈策略路由配置举例

 

1 双栈策略路由

1.1  双栈策略路由简介

与单纯依照报文的目的地址查找路由表进行转发不同，双栈策略路由是一种依据用户制定的策略进行路由转发的机制。双栈策略路由可以对于满足一定条件（例如ACL规则）的IPv4或IPv6报文，执行指定的操作（设置报文的下一跳、出接口、缺省下一跳和缺省出接口等）。

1.1.1  双栈策略简介

双栈策略路由用来定义报文的匹配规则，以及对报文执行的操作。双栈策略由节点组成。

一个双栈策略可以包含一个或者多个节点。节点的构成如下：

·     每个节点由节点编号来标识，编号较小的节点优先被执行。

·     每个节点的具体内容由if-match子句和apply子句来指定。if-match子句定义该节点的匹配规则，apply子句定义该节点的动作。

·     每个节点对报文的处理方式由匹配模式决定。匹配模式分为permit（允许）和deny（拒绝）两种。

应用双栈策略路由后，系统将根据双栈策略路由中定义的匹配规则和操作，对报文进行处理：系统按照节点编号从小到大的顺序依次匹配各节点，如果报文满足某个节点的匹配规则，则执行该节点的动作；如果报文不满足某个节点的匹配规则，则继续匹配下一个节点；如果报文不能满足双栈策略路由中任何一个节点的匹配规则，则根据路由表来转发报文。

1. if-match子句关系

在一个节点中可以配置多条if-match子句，同一类型的if-match子句只能配置一条，最新的配置生效。

同一个节点中的各if-match子句之间是“与”的关系，即报文必须满足该节点的所有if-match子句才算满足这个节点的匹配规则。

2. apply子句关系

同一个节点中可以配置多条apply子句，但不一定都会执行。多条apply子句之间的关系请参见“1.4.3  配置双栈策略节点的动作”。

3. 节点的匹配模式与节点的if-match子句、apply子句的关系

一个节点的匹配模式与这个节点的if-match子句、apply子句的关系如表1-1所示。

表1-1 节点的匹配模式、if-match子句、apply子句三者之间的关系

是否满足所有if-match子句	节点匹配模式
	permit（允许模式）	deny（拒绝模式）
是	·     如果节点配置了apply子句，则执行此节点apply子句 ¡     如果节点指导报文转发成功，则不再匹配下一节点 ¡     如果节点指导报文转发失败，则不再匹配下一节点 ·     如果节点未配置apply子句，则不会执行任何动作，且不再匹配下一节点，报文将根据路由表来进行转发	不执行此节点apply子句，不再匹配下一节点，报文将根据路由表来进行转发
否	不执行此节点apply子句，继续匹配下一节点	不执行此节点apply子句，继续匹配下一节点

 

 

1.1.2  报文的转发流程

在设备全局或指定接口上应用双栈策略路由后，该策略路由将对接口接收的报文起作用，指导其转发。根据双栈策略路由转发报文的基本流程为：

(1)     根据配置的双栈策略路由，查找满足匹配条件的节点。

(2)     若找到了匹配的节点，并且该节点是permit（允许）模式：

a.     根据策略路由中配置的下一跳指导报文转发。

b.     若节点未配置下一跳，或根据下一跳指导报文转发失败，则根据路由表中除缺省路由之外的路由来转发报文。

c.     若未找到除缺省路由之外的路由，或路由转发失败，则根据策略路由中配置的缺省下一跳指导报文转发。

d.     若节点未配置缺省下一跳，或根据缺省下一跳指导报文转发失败，则根据缺省路由来转发报文。

(3)     若找不到匹配的节点，或找到了匹配的节点，但该节点是deny（拒绝）模式，则根据路由表指导报文转发。

1.1.3  双栈策略路由与Track联动

双栈策略路由通过与Track联动，增强了应用的灵活性和对网络环境变化的动态感知能力。

双栈策略路由可以在配置报文的下一跳、出接口、缺省下一跳、缺省出接口时与Track项关联，根据Track项的状态来动态地决定策略的可用性。双栈策略路由配置仅在关联的Track项状态为Positive或NotReady时生效。关于双栈策略路由与Track联动的详细介绍和相关配置，请参见“可靠性配置指导”中的“Track”。

1.2  双栈策略路由配置限制和指导

收到某些目的为本设备的报文后，如果双栈策略路由匹配该报文，则会在报文上送CPU处理前先执行双栈策略路由节点的动作。

1.3  双栈策略路由配置任务简介

双栈策略路由配置任务如下：

(1)     配置双栈策略

a.     创建双栈策略节点

b.     配置双栈策略节点的匹配规则

c.     配置双栈策略节点的动作

(2)     应用双栈策略路由

请选择以下至少一项任务进行配置：

¡     在指定接口应用双栈策略路由

¡     全局应用双栈策略路由

全局双栈策略路由对设备上所有接口转发的报文都生效。

1.4  配置双栈策略路由

1.4.1  创建双栈策略节点

(1)     进入系统视图。

system-view

(2)     创建双栈策略节点，并进入双栈策略节点视图。

dual-stack policy-based-route policy-name [ deny | permit ] node node-number

(3)     （可选）设置当前双栈策略节点的描述信息。

description text

缺省情况下，未设置当前双栈策略节点的描述信息。

1.4.2  配置双栈策略节点的匹配规则

(1)     进入系统视图。

system-view

(2)     进入双栈策略节点视图。

dual-stack policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置匹配规则。

¡     设置ACL匹配规则。

if-match acl { ipv4 | ipv6 | user-defined } { acl-number | name acl-name }

缺省情况下，未设置ACL匹配规则。

if-match子句中使用ACL时，将忽略ACL规则的permit/deny动作以及time-range指定的规则生效时间段等的处理机制，只使用ACL中的匹配规则来匹配报文。如果使用的ACL不存在，则不匹配任何报文。

¡     设置IP报文QoS本地ID值匹配规则。

if-match qos-local-id local-id-value qppb-manipulation

缺省情况下，未设置IP报文QoS本地ID值匹配规则。

¡     设置服务链匹配规则。

if-match service-chain { path-id service-path-id [ path-index service-path-index ] }

缺省情况下，未设置服务链匹配规则。

在三层以太网接口和三层以太网聚合接口应用双栈策略路由时，策略节点不能同时配置if-match service-chain和apply default-next-hop子句。

在三层以太网子接口和三层以太网聚合子接口应用双栈策略路由时，策略节点不支持配置服务链匹配规则。

1.4.3  配置双栈策略节点的动作

1. 功能简介

用户通过配置apply子句指定双栈策略节点的动作。

影响报文转发路径的apply子句优先级从高到低依次为：

(1)     apply next-hop

(2)     apply output-interface

(3)     apply default-next-hop

(4)     apply default-output-interface

apply子句的含义、执行优先情况和详细说明如表1-2所示。

表1-2 apply子句的含义以及执行优先情况等说明

子句	含义		执行优先情况/详细说明
apply precedence	设置报文的IP优先级		只要配置了该子句，该子句就一定会执行
apply next-hop和apply output-interface	设置报文的下一跳、出接口		apply next-hop的优先级高于apply output-interface。当两条子句同时配置并且都有效时，系统只会执行apply next-hop子句
apply service-chain	设置报文的服务链规则		本子句用于VXLAN组网环境，在配置时，在当前策略节点必须配置可达的下一跳
apply default-next-hop和apply default-output-interface	设置报文的缺省下一跳、缺省出接口		apply default-next-hop的优先级高于apply default-output-interface。当两条子句同时配置并且都有效时，系统只会执行apply default-next-hop子句 执行缺省下一跳和出接口的前提是：在策略中未配置下一跳或者出接口，或者配置的下一跳和出接口无效，并且在路由表中未找到与报文目的地址匹配的路由表项
apply mirror-to-destination	设置报文镜像到指定目的地址的隧道	某些组网中，要将报文通过隧道（如GRE隧道）镜像到指定的网络设备，以便于对报文进行分析和监控。本功能用来满足该需求。配置本功能后，策略节点为匹配的报文封装外层头，通过隧道将报文转发给目的网络设备 策略节点中只要配置了此动作，所有匹配该策略节点匹配条件的报文都会被镜像到指定目的地址的隧道
apply statistics	设置策略节点统计匹配成功的次数和字节数		开启本功能后，管理员可以通过display命令查看当前匹配成功的总次数和字节总数 策略节点中只要配置了此动作，就一定会执行

‌

2. 配置限制和指导

双栈策略路由通过查询FIB表中是否存在下一跳或缺省下一跳地址对应的条目，判断设置的报文转发下一跳或缺省下一跳地址是否可用。双栈策略路由周期性检查FIB表，设备到下一跳的路径发生变化时，双栈策略路由无法及时感知，可能会导致通信发生短暂中断。

3. 修改报文IP优先级

(1)     进入系统视图。

system-view

(2)     进入双栈策略节点视图。

dual-stack policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置报文的IP优先级。

apply precedence { type | value }

缺省情况下，未设置报文的IP优先级。

4. 配置指导报文转发类动作

(1)     进入系统视图。

system-view

(2)     进入双栈策略节点视图。

dual-stack policy-based-route policy-name [ deny | permit ] node node-number

(3)     配置动作。

¡     设置报文转发的下一跳。

apply next-hop [ vpn-instance vpn-instance-name ] { { ipv4-address | ipv6-address } [ direct ] [ track track-entry-number ] [ service-chain path-id service-path-id [ path-index service-path-index ] ] }&<1-4>

缺省情况下，未设置报文转发的下一跳。

用户通过一次或多次配置本命令可以同时配置多个下一跳，每个节点最多可以配置4个下一跳，这些下一跳起到主备的作用。

当配置了多个下一跳做主备，且多个下一跳地址属于同一个网段时，如果主下一跳对应的32位主机路由匹配失败，则设备会匹配主下一跳对应的网段路由转发报文，当网段路由匹配失败后，再匹配配置的备下一跳。

¡     设置指导报文转发的出接口。

apply output-interface null 0 [ track track-entry-number ]

缺省情况下，未设置指导报文转发的出接口。

¡     设置指导报文转发的缺省下一跳。

apply default-next-hop [ vpn-instance vpn-instance-name ] { { ipv4-address | ipv6-address } [ direct ] [ track track-entry-number ] [ service-chain path-id service-path-id [ path-index service-path-index ] ] }&<1-4>

缺省情况下，未设置指导报文转发的缺省下一跳。

用户通过一次或多次配置本命令可以同时配置多个缺省下一跳，每个节点最多可以配置4个缺省下一跳，这些缺省下一跳起到主备的作用。

¡     设置指导报文转发的缺省出接口。

apply default-output-interface null 0 [ track track-entry-number ]

缺省情况下，未设置指导报文转发的缺省出接口。

¡     设置报文的服务链规则。

apply service-chain path-id service-path-id [ path-index service-path-index ]

缺省情况下，未设置报文的服务链规则。

¡     设置报文镜像到指定目的地址的隧道

apply mirror-to-destination [ vpn-instance vpn-instance-name ] destination-ipv4-address [ source-ip source-ipv4-address ] [ dscp dscp-value ]

undo apply mirror-to-destination [ vpn-instance vpn-instance-name ] destination-ipv4-address

缺省情况下，未设置报文镜像到指定目的地址的隧道

5. 设置统计类动作

(1)     进入系统视图。

system-view

(2)     进入双栈策略节点视图。

dual-stack policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置策略节点统计匹配成功的次数和字节数。

apply statistics

缺省情况下，未配置策略节点统计匹配成功的次数。

1.5  应用双栈策略路由

1.5.1  在指定接口应用双栈策略路由

1. 功能简介

通过本配置，可以将已经配置的双栈策略路由应用到接口，指导接口转发接收到的所有报文。

2. 配置限制和指导

应用双栈策略路由时，该双栈策略路由必须已经存在，否则配置将失败。

对接口转发的报文应用双栈策略路由时，一个接口只能应用一个双栈策略路由。应用新的双栈策略路由前必须删除接口上原来已经应用的双栈策略路由。

一个双栈策略路由可以同时被多个接口应用。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     对接口转发的报文应用双栈策略路由。

dual-stack policy-based-route policy-name

缺省情况下，未对接口转发的报文应用双栈策略路由。

1.5.2  全局应用双栈策略路由

1. 功能简介

通过本配置，可以将已经配置的双栈策略路由应用到所有接口，指导这些接口转发接收的所有报文。

2. 配置限制和指导

应用双栈策略路由时，该双栈策略路由必须已经存在，否则配置将失败。

一台设备只能应用一条全局双栈策略路由，应用新的全局双栈策略路由前必须通过执行undo dual-stack global policy-based-route命令取消已应用的全局双栈策略路由。

如果在应用了全局双栈策略路由的同时，又在接口上应用了其他的双栈策略路由，则优先使用接口的配置处理报文；如果报文不匹配接口的双栈策略路由，则使用全局双栈策略路由继续处理。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     对接口转发的报文应用全局双栈策略路由。

dual-stack global policy-based-route policy-name

缺省情况下，未对接口转发的报文应用全局双栈策略路由。

1.6  双栈策略路由显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示双栈策略路由配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，用户可以执行reset命令可以清除双栈策略路由的统计信息。

表1-3 双栈策略路由显示和维护

操作	命令
显示已经配置的双栈策略路由	display dual-stack policy-based-route [ policy policy-name ]
显示全局双栈策略路由的配置信息和统计信息	（独立运行模式） display dual-stack policy-based-route global [ slot slot-number ] （IRF模式） display dual-stack policy-based-route global [ chassis chassis-number slot slot-number ]
显示接口下双栈策略路由的配置信息和统计信息	（独立运行模式） display dual-stack policy-based-route interface interface-type interface-number [ slot slot-number ] （IRF模式） display dual-stack policy-based-route interface interface-type interface-number [ chassis chassis-number slot slot-number ]
显示已经应用的双栈策略路由信息	display dual-stack policy-based-route setup
清除双栈策略路由的统计信息	reset dual-stack policy-based-route statistics [ policy policy-name ]

 

1.7  策略路由典型配置举例

1.7.1  基于报文协议类型的接口双栈策略路由配置举例

1. 组网需求

Switch A分别与Switch B和Switch C直连（保证Switch B和Switch C之间路由完全不可达）。通过策略路由控制从Switch A的以太网接口Vlan-interface11接收的报文：

·     指定所有IPv4 TCP报文的下一跳为1.1.2.2；

·     指定所有IPv6 TCP报文的下一跳为2::2；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-1 基于报文协议类型的接口双栈策略路由的配置组网图

‌

3. 配置步骤

(1)     如图1-1所示，配置各设备接口的IP地址，配置步骤略。

(2)     配置静态路由或动态路由协议，确保Host A和Switch B、Host A和Switch C、Host B和Switch B、Host B和Switch C之间路由可达，配置步骤略。

(3)     在Switch A上配置双栈策略路由。

# 定义访问控制列表ACL 3101，用来匹配IPv4 TCP报文。

<SwitchA> system-view

[SwitchA] acl advanced 3101

[SwitchA-acl-ipv4-adv-3101] rule permit tcp

[SwitchA-acl-ipv4-adv-3101] quit

# 定义访问控制列表ACL 3102，用来匹配IPv6 TCP报文。

[SwitchA] acl ipv6 advanced 3102

[SwitchA-acl-ipv6-adv-3102] rule permit tcp

[SwitchA-acl-ipv6-adv-3102] quit

# 创建双栈策略路由aaa，并定义5号节点，指定所有IPv4 TCP报文的下一跳为1.1.2.2。

[SwitchA] dual-stack policy-based-route aaa permit node 5

[SwitchA-pbrdual-aaa-5] if-match acl ipv4 3101

[SwitchA-pbrdual-aaa-5] apply next-hop 1.1.2.2

[SwitchA-pbrdual-aaa-5] quit

# 定义10号节点，指定所有IPv6 TCP报文的下一跳为2::2。

[SwitchA] dual-stack policy-based-route aaa permit node 10

[SwitchA-pbrdual-aaa-10] if-match acl ipv6 3102

[SwitchA-pbrdual-aaa-10] apply next-hop 2::2

[SwitchA-pbrdual-aaa-10] quit

# 在VLAN接口11上应用双栈策略路由。

[SwitchA] interface vlan-interface 11

[SwitchA-Vlan-interface11] dual-stack policy-based-route aaa

[SwitchA-Vlan-interface11] quit

4. 验证配置

在Host A和Host B上执行Telenet和Ping操作，结果如下：

·     从Host A上通过Telnet方式登录Switch B（1.1.2.2），结果成功。

·     从Host A上通过Telnet方式登录Switch C（1.1.3.2），结果失败。

·     从Host A上ping Switch C（1.1.3.2），结果成功。

·     从Host B上通过Telnet方式登录Switch B（1::2），结果失败。

·     从Host B上通过Telnet方式登录Switch C（2::2），结果成功。

·     从Host B上ping Switch B（1::2），结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：从Switch A的接口VLAN接口11接收的IPv4 TCP报文的下一跳为1.1.2.2，从Switch A的以太网接口VLAN接口11接收的IPv6 TCP报文的下一跳为2::2，双栈策略路由设置成功。

1.7.2  基于报文协议类型的全局双栈策略路由配置举例

1. 组网需求

Switch D分别与Switch A、Switch B、Switch C、Switch E和Switch F直连（保证Switch E到Switch F之间路由不可达）。通过全局双栈策略路由控制从Switch D的所有接口接收的报文：

·     指定所有IPv4 TCP报文的下一跳为1.1.4.2；

·     指定所有IPv6 TCP报文的下一跳为5::2；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-2 基于报文协议类型的全局双栈策略路由的配置组网图

 

‌

3. 配置步骤

(1)     如图1-2所示，配置各设备接口的IP地址，配置步骤略。

(2)     配置静态路由或动态路由协议，确保Switch A和Switch E，Switch A和Switch F、Switch B和Switch E、Switch B和Switch F、Switch C和Switch E、Switch C和Switch F之间路由可达，配置步骤略。

(3)     在Switch D上配置双栈策略路由。

# 定义访问控制列表ACL 3101，用来匹配1.1.1.0/24、1.1.2.0/24和1.1.3.0/24网段中的源设备发来的IPv4 TCP报文。

<SwitchD> system-view

[SwitchD] acl advanced 3101

[SwitchD-acl-ipv4-adv-3101] rule permit tcp source 1.1.1.0 0.0.0.0.255

[SwitchD-acl-ipv4-adv-3101] rule permit tcp source 1.1.2.0 0.0.0.0.255

[SwitchD-acl-ipv4-adv-3101] rule permit tcp source 1.1.3.0 0.0.0.0.255

[SwitchD-acl-ipv4-adv-3101] quit

# 定义访问控制列表IPv6 ACL 3102，用来匹配从1::0/64、2::0/64和3::0/64网段中的源设备发来的IPv6 TCP报文。

<SwitchD> system-view

[SwitchD] acl ipv6 advanced 3102

[SwitchD-acl-ipv6-adv-3102] rule permit tcp source 1::0 64

[SwitchD-acl-ipv6-adv-3102] rule permit tcp source 2::0 64

[SwitchD-acl-ipv6-adv-3102] rule permit tcp source 3::0 64

[SwitchD-acl-ipv6-adv-3102] quit

# 配置双栈策略路由aaa，定义5号节点，指定所有IPv4 TCP报文的下一跳为1.1.4.2。

[SwitchD] dual-stack policy-based-route aaa permit node 5

[SwitchD-pbrdual-aaa-5] if-match acl ipv4 3101

[SwitchD-pbrdual-aaa-5] apply next-hop 1.1.4.2

[SwitchD-pbrdual-aaa-5] quit

# 配置双栈策略路由aaa，定义10号节点，指定所有IPv6 TCP报文的下一跳为5::2。

[SwitchD] dual-stack policy-based-route aaa permit node 10

[SwitchD-pbrdual-aaa-10] if-match acl ipv6 3102

[SwitchD-pbrdual-aaa-10] apply next-hop 5::2

[SwitchD-pbrdual-aaa-10] quit

# 在Switch D上应用全局双栈策略路由aaa，处理Switch D上所有接口接收的报文。

[SwitchD] dual-stack global policy-based-route aaa

4. 验证配置

在Switch A、Switch B和Switch C上执行Telenet和Ping操作，结果如下：

·     从Switch A上通过Telnet方式登录Switch E（1.1.4.2），结果成功，登录Switch F（1.1.5.2），结果失败。

·     从Switch B上通过Telnet方式登录Switch E（1.1.4.2），结果成功，登录Switch F（1.1.5.2），结果失败。

·     从Switch C上通过Telnet方式登录Switch E（1.1.4.2），结果成功，登录Switch F（1.1.5.2），结果失败。

·     从Switch A上ping Switch F（1.1.5.2），结果成功。

·     从Switch B上ping Switch F（1.1.5.2），结果成功。

·     从Switch C上ping Switch F（1.1.5.2），结果成功。

·     从Switch A上通过Telnet方式登录Switch E（4::2/64），结果失败，登录Switch F（5::2），结果成功。

·     从Switch B上通过Telnet方式登录Switch E（4::2/64），结果失败，登录Switch F（5::2），结果成功。

·     从Switch C上通过Telnet方式登录Switch E（4::2/64），结果失败，登录Switch F（5::2），结果成功。

·     从Switch A上ping Switch F（4:::2），结果成功。

·     从Switch B上ping Switch F（4::2），结果成功。

·     从Switch C上ping Switch F（4::2），结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：从Switch D的以太网接口VLAN接口1、VLAN接口2和VLAN接口3接收的IPv4 TCP报文的下一跳为1.1.4.2，从Switch D的以太网接口VLAN接口1、VLAN接口2和VLAN接口3接收的IPv6 TCP报文的下一跳为5::2，全局双栈策略路由设置成功。