Cisco_策略路由的概念原理配置實(shí)例

1、策略路由1策略路由概述21普通路由的概念21.2策略路由的概念2121策略路由21.2.2路由策略52策略路由的實(shí)現(xiàn)原理52.1策略路由的好處52.2策略路由的流程52.3策略路由的處理流程62.3.1流模式和逐包模式62.3.2流模式流程圖62.3.2路由器流模式及逐包模式切換命令72.4 route-map 原理與執(zhí)行7241 route-map 概念72.4.2 hw route-map72.4.3 route-map 的執(zhí)彳亍語(yǔ)句83策略路由的規(guī)劃設(shè)計(jì)93.1策略路由的適用環(huán)境93.2策略路由的配置1()3.2.1路由器基本配置103.2.2交換機(jī)基本配置143.3策略路由的驗(yàn)證和調(diào)試

2、154策略路由部署應(yīng)用案例174.1策略路由配置案例一174.1.1網(wǎng)絡(luò)拓?fù)?74.1.2功能需求： 174.1.3配置實(shí)現(xiàn)： 184.2策略路由配置案例二184.2.1網(wǎng)絡(luò)拓?fù)?84.2.2功能需求： 194.2.3配置實(shí)現(xiàn)：194.3策略路由配置案例三204.3.1網(wǎng)絡(luò)拓?fù)?04.3.2功能需求：214.3.3配置實(shí)現(xiàn)：214.3.4配置優(yōu)化：23策略路由概述1 -1普通路由的概念普通路由轉(zhuǎn)發(fā)基于路由表進(jìn)行報(bào)文的轉(zhuǎn)發(fā)；路由表的建立直聯(lián)路由、主機(jī)路由；靜態(tài)配置路由條目；動(dòng)態(tài)路由協(xié)議學(xué)習(xí)生成；查看命令show ip route對(duì)于同一目的網(wǎng)段，可能存在多條distance不等的路由條目1-2策

3、略路由的概念1.2.1策略路由所謂策略路由，顧名思義，即是根據(jù)一定的策略進(jìn)行報(bào)文轉(zhuǎn)發(fā)，因此策略路 由是一種比目的路由更靈活的路由機(jī)制。在路由器轉(zhuǎn)發(fā)一個(gè)數(shù)據(jù)報(bào)文時(shí)，首先根 據(jù)配置的規(guī)則對(duì)報(bào)文進(jìn)行過(guò)濾，匹配成功則按照一定的轉(zhuǎn)發(fā)策略進(jìn)行報(bào)文轉(zhuǎn)發(fā)。 這種規(guī)則可以是基于標(biāo)準(zhǔn)和擴(kuò)展訪問(wèn)控制列表，也可以基于報(bào)文的長(zhǎng)度；而轉(zhuǎn)發(fā) 策略則是控制報(bào)文按照指定的策略路由表進(jìn)行轉(zhuǎn)發(fā)，也可以修改報(bào)文的ip優(yōu)先 字段。因此，策略路由是對(duì)傳統(tǒng)ip路由機(jī)制的有效增強(qiáng)。向左走向右走策略路由能滿足基于源ip地址、目的ip址、協(xié)議字段，甚至于tcp、udp 的源、目的端口等多種組合進(jìn)行選路。簡(jiǎn)單點(diǎn)來(lái)說(shuō)，只要ipstandard/ex

4、tended acl 能設(shè)置的，都可以做為策略路由的匹配規(guī)則進(jìn)行轉(zhuǎn)發(fā)。策略路由（policy route）是指在決定一個(gè)ip包的下一跳轉(zhuǎn)發(fā)地址或是下一 跳缺省ip地址吋，不是簡(jiǎn)單的根據(jù)目的1p地址決定，而是綜合考慮多種因素來(lái) 決定。如可以根據(jù)dscp字段、源和目的端口號(hào)，源ip地址等來(lái)為數(shù)據(jù)包選擇 路徑。策略路由可以在一定程度上實(shí)現(xiàn)流量工程，使不同服務(wù)質(zhì)量的流或者不同 性質(zhì)的數(shù)據(jù)（語(yǔ)音、ftp）走不同的路徑?；诓呗缘穆酚蔀榫W(wǎng)絡(luò)管理者提供了比傳統(tǒng)路由協(xié)議對(duì)報(bào)文的轉(zhuǎn)發(fā)和存儲(chǔ) 更強(qiáng)的控制能力。傳統(tǒng)上，路由器用從路由協(xié)議派生出來(lái)的路由表，根據(jù)目的地 址進(jìn)行報(bào)文的傳發(fā)?；诓呗缘穆酚杀葌鹘y(tǒng)路由能力更強(qiáng)

5、，使用更靈活，它使網(wǎng) 絡(luò)管理者不僅能夠根據(jù)fi的地址而且能夠根據(jù)協(xié)議類(lèi)型、報(bào)文大小、應(yīng)用或ip 源地址來(lái)選擇轉(zhuǎn)發(fā)路徑。策略可以定義為通過(guò)多路41器的負(fù)載平衡或根據(jù)總流量 在各線上進(jìn)行報(bào)文轉(zhuǎn)發(fā)的服務(wù)質(zhì)量（qos ）。木交換機(jī)所支持的策略路由是與qos的流分類(lèi)標(biāo)準(zhǔn)相結(jié)合的。針對(duì)簡(jiǎn)單流分類(lèi)和復(fù)雜流分類(lèi)，可以根據(jù)到來(lái)的數(shù)據(jù)包的匹配的以下特征，來(lái)設(shè)定策略路由: 802.1 p優(yōu)先級(jí) vlan id 源/冃的mac地址 源/目的的ip地址（包括ip mask部分） tcp/udp源/目的端口號(hào) ip優(yōu)先級(jí) dscp的優(yōu)先級(jí) ip的協(xié)議類(lèi)型字段可以對(duì)匹配以上特征的流，設(shè)定以下兩種策略路由：下一跳ip地址：這

6、條配置命令標(biāo)示了那些符合匹配語(yǔ)句的輸岀報(bào)文將進(jìn)行 下一跳ip地址。下一跳缺省ip地址：這條配置命令設(shè)定缺省的下-跳。如果路由表中沒(méi)有 明確的路徑，則路由器使用缺省的下一跳。這個(gè)過(guò)程經(jīng)常應(yīng)用于在兩個(gè)不同的服 務(wù)提供商之間進(jìn)行負(fù)載平衡。當(dāng)使用這條命令時(shí)，也是首先用路由表進(jìn)行路由。 如果路由表中沒(méi)有明確的路徑，則路由器根據(jù)制定的策略使用缺省值。策略路由使網(wǎng)絡(luò)管理者能根據(jù)它提供的機(jī)制指定一個(gè)報(bào)文采取的具體路徑。 而在當(dāng)今高性能的網(wǎng)絡(luò)中，這種選擇的自由性是很需要的。需要明確策略路由是 設(shè)置在接收?qǐng)?bào)文接口而不是發(fā)送接口。當(dāng)在接收?qǐng)?bào)文的接口設(shè)定了策略路由后，交換機(jī)在該接口，檢測(cè)到來(lái)的數(shù)據(jù) 報(bào)文，當(dāng)檢測(cè)到有匹

7、配相應(yīng)流分類(lèi)特征的數(shù)據(jù)數(shù)據(jù)報(bào)文經(jīng)過(guò)時(shí)，就查找相應(yīng)的策 略路由表項(xiàng)，按照策略路由表項(xiàng)所指定的下一跳ip地址或是缺省路由ip地址， 來(lái)選擇轉(zhuǎn)發(fā)路徑。策略路由功能是與流分類(lèi)和流策略緊密相關(guān)的，關(guān)于流分類(lèi)和流策略的基本 配置命令見(jiàn)qos配置部分。1.2.2路由策略路由策略通過(guò)路由策略控制路由的接收、發(fā)布、引入的方法，實(shí)現(xiàn)對(duì)路由的優(yōu)化2策略路由的實(shí)現(xiàn)原理2.1策略路由的好處基于源的路由可以使不同的用戶(hù)選擇不同的isp通過(guò)設(shè)置ip precedence或tos來(lái)實(shí)現(xiàn)qos實(shí)現(xiàn)負(fù)載均衡2.2策略路由的流程策略路由?丫 /match有匹配條日嗎?正常路由（皋于目標(biāo)）使用route-map來(lái)配置策略路由的流程策

8、略路由只對(duì)入口數(shù)據(jù)包有效。應(yīng)用策略路由，必須要指定策略路由使用的路由映射，并且要?jiǎng)?chuàng)建路由映射。 一個(gè)路由映射由很多條策略組成，每個(gè)策略都定義了 1個(gè)或多個(gè)的匹配規(guī)則和對(duì) 應(yīng)操作。一個(gè)接口應(yīng)用策略路由后，將對(duì)該接口接收到的所有包進(jìn)行檢查，不符 合路由映射任何策略的數(shù)據(jù)包將按照通常的路由轉(zhuǎn)發(fā)進(jìn)行處理，符合路由映射中 某個(gè)策略的數(shù)據(jù)包就按照該策略中定義的操作進(jìn)行處理。策略路由對(duì)報(bào)文的發(fā)送接口、下一跳的配置是基于多轉(zhuǎn)發(fā)表實(shí)現(xiàn)的。2.3策略路由的處理流程2.3.1流模式和逐包模式流模式第一個(gè)包查路由轉(zhuǎn)發(fā)表，如果存在路由，將該路由項(xiàng)以sourcedest> tos> 入接口等索引放置到cach

9、e中，以后同樣的流就可以直接查cache對(duì)于低端路由器，所有操作由cpu+內(nèi)存處理對(duì)于中高端設(shè)備，一般由np和asic芯片完成處理逐包模式每個(gè)包都進(jìn)行查表后才進(jìn)行轉(zhuǎn)發(fā)2.3.2流模式流程圖2.3.2路由器流模式及逐包模式切換命令ip route-cache policy開(kāi)啟快速交換策略路由就是流模式no ip route-cache policy關(guān)閉該功能就是逐包模式2.4 route-map原理與執(zhí)行2.4.1 route-map 概念route-map是由一組match字句和set字句構(gòu)成，他實(shí)際上是訪問(wèn)控制列表的 一個(gè)超集。當(dāng)需做策略路由的報(bào)文匹配route-map中的match字句定義

10、的規(guī)則時(shí), 將按照set字句的配置決定該報(bào)文的路由方式，包括設(shè)置報(bào)文的優(yōu)先權(quán)字段，設(shè) 置報(bào)文的下一跳，設(shè)置報(bào)文的發(fā)送接口2.4.2 理解 route-map類(lèi)似于復(fù)雜的access-list自頂向下地處理，一旦有一條匹配，則立刻結(jié)束route-map查找route-map每個(gè)條日都被賦予編號(hào)，可以任意地插入或刪除條日當(dāng)使用策略路由時(shí)，首先定義重分布路由映射，一個(gè)路由映射可以由很多策 略組成，策略按序號(hào)大小排列，只要符合了前面策略，就退出路由映射的執(zhí)行。 由于路由映射中每個(gè)策略都有其編號(hào)，故可以方便的插入或刪除。2.4.3 route-map的執(zhí)行語(yǔ)句route-map test permit

11、10match x y zmatch aset broute-map test permit 20 match qset rdeny all(系統(tǒng)隱含)if (x or y or z) and a then set (b and c) else if qthen set relse set nothingroute-map-name給路由圖定義一個(gè)便于記憶的名字o redistribute路由進(jìn)程配置命令是通過(guò)該名字引用路由圖的。一個(gè)路由圖可以定義多個(gè)路由圖策略，一個(gè)路由圖策略對(duì)應(yīng) 一個(gè)序號(hào)。permit（可選）如果定義了 permit關(guān)鍵字，又符合match定義的匹配規(guī)則。則set 命令對(duì)重

12、分布路由進(jìn)行控制；對(duì)于策略路由，set命令將對(duì)數(shù)據(jù)包轉(zhuǎn)發(fā)進(jìn)行控制。 并退出路由圖的操作。如果定義了 permit關(guān)鍵字，而不符合match定義的匹配規(guī)則。則將進(jìn)入第二 個(gè)路由圖策略進(jìn)行操作。直到最終執(zhí)行了 set命令。deny（可選）如果定義了 deny關(guān)鍵字，又符合match定義的匹配規(guī)則。則不會(huì) 執(zhí)行任何操作，該路由圖策略不允許進(jìn)行路由重分布或策略路由，而且退出路由 圖操作。如果定義了 deny關(guān)鍵字，而不符合match定義的匹配規(guī)則。則將進(jìn)入下一 個(gè)路由圖策略進(jìn)行操作。直到最終執(zhí)行了 set命令。sequence nu mber路由圖策略對(duì)應(yīng)的序號(hào)。低序號(hào)的策略?xún)?yōu)先得到使用，因此需要注意

13、序號(hào)的 設(shè)置。3策略路由的規(guī)劃設(shè)計(jì)3.1策略路由的適用環(huán)境多出口情況下校園網(wǎng)（imemel網(wǎng)、教育網(wǎng)）；企業(yè)網(wǎng)（雙出口上網(wǎng)）；旁路組網(wǎng)需要修改報(bào)文tos、dscp；3.2策略路由的配置3.2.1路由器基本配置路由器配置步驟1) 定義重分布路由圖，一個(gè)路由圖可以由好多策略組成，策略按序號(hào)大小 排列，只要符合了前面策略，就退岀路由圖的執(zhí)行；router(config)#route-map route-map-name permit | deny sequence 定義路 由圖router(config)#no route-map route-mapname permit | deny

14、 sequence冊(cè)!j 除路由圖2) 定義路由圖每個(gè)策略的匹配規(guī)則或條件；定義匹配規(guī)則，只有符合規(guī)則的數(shù)據(jù)包才進(jìn)行策略路由，如果沒(méi)有配置匹配 規(guī)則，則所有數(shù)據(jù)包都符合規(guī)則。要定義策略的匹配規(guī)則，在路由圖配置模式中執(zhí)行以下route(config-route-map)#match ip address access-list-number匹配訪問(wèn)列表中的地址route(configroutemap)#match length min-length max-length匹配數(shù)據(jù)包大小范圍3) 定義滿足匹配規(guī)則后，路由器對(duì)符合規(guī)則的數(shù)據(jù)包進(jìn)行ip優(yōu)先值和下一 跳的設(shè)置。要定義匹配規(guī)則后的操作，在路

15、由圖配置模式中執(zhí)行以下命令:router(config-route-map)#set default interface interface-type interface-number 設(shè)置數(shù)據(jù)包的輸岀接口，router(configroutemap)#set ip default next-hop ip-address設(shè)置數(shù)據(jù)包的下一跳ip地址，router(configroutemap)#set ip next-hop ip-address設(shè)置數(shù)據(jù)包的下一跳ip地址router(configi*outemap)#set ip precedence precedence! critical

16、| flash | flash-override |immediate | internet | network | priority |routine設(shè):數(shù)據(jù)包ip優(yōu)先值set ip next-hop和set ip default next-hop命令十分類(lèi)似，但是操作的順序完全 不同。set ip next-hop命令使得路由器首先檢查策略路由，不符合策略后使用路 由表進(jìn)行數(shù)據(jù)包轉(zhuǎn)發(fā)處理；set ip default next-hop命令使得路由器首先檢查路由 表，若發(fā)現(xiàn)沒(méi)有明確路由則使用策略路由進(jìn)行數(shù)據(jù)包轉(zhuǎn)發(fā)處理。目的路由丄set ip next-hop匹配策略路由按策略路由路由匹配路由

17、表按路由表路由丄set ip default next-hop匹配路由表是按路由表路由匹配策略路由、是按策略路由路由a目的路由ip數(shù)據(jù)包報(bào)頭優(yōu)先值的設(shè)置，網(wǎng)絡(luò)流量大時(shí)，優(yōu)先值高的流量可以得到優(yōu) 先處理。缺省情況下，rgnos是不對(duì)1p報(bào)頭的優(yōu)先值進(jìn)行修改的，會(huì)保持其原有的 值。在應(yīng)用策略路由時(shí)，可以對(duì)ip報(bào)頭的優(yōu)先值進(jìn)行設(shè)置。當(dāng)這些攜帶一定優(yōu) 先值的數(shù)據(jù)包到達(dá)其它路由器時(shí)，如果該路由器啟用了隊(duì)列機(jī)制，優(yōu)先值高的數(shù) 據(jù)包會(huì)得到優(yōu)先處理，其服務(wù)質(zhì)量就得到了保證。如果沒(méi)有啟用隊(duì)列機(jī)制，優(yōu)先 值將沒(méi)有任何意義，所有數(shù)據(jù)包的發(fā)送按照f(shuō)ifo (先進(jìn)先出)的方式進(jìn)行處理。優(yōu)先值的設(shè)置可以用名字或者數(shù)字，名

18、字命名來(lái)自rfc 791,其對(duì)應(yīng)關(guān)系如下0 routing1 priority2 immediate3 flash4 flashveitide5 critical6 internet7 network4) 在指定接口中應(yīng)用路由圖。要配置到達(dá)路由器接口數(shù)據(jù)包的策略路由，在接口配置模式中執(zhí)行以下命 令：router(config-if)#ip policy route-map route-map 在接 口應(yīng)用策略路由說(shuō)明路由器本身產(chǎn)生的數(shù)據(jù)包，通常是不要應(yīng)用策略路由，如果路由器本身產(chǎn)生 的數(shù)據(jù)包也要應(yīng)用策略路由，在全局配置模式中執(zhí)行以下命令：router(config)#ip local poli

19、cy route-map route-map 應(yīng)用本地策略路由接口上應(yīng)用策略時(shí)，缺省情況下，ip報(bào)文快速轉(zhuǎn)發(fā)也支持策略路由轉(zhuǎn)發(fā)。 如果要關(guān)閉策略路由的快速轉(zhuǎn)發(fā)功能，可以有以下命令：router(config-if)#no ip route-cache policy在接口上關(guān)閉策略路由快速轉(zhuǎn)發(fā)功 能。路由器配置舉例 0 ispa. 01spb.routera(config)# access-list 1 permit ip 55routera(config)# access-list 2 permit ip 1.2.0.

20、0 55routera(config)# route-map access permit 10(序列號(hào)從低開(kāi)始匹配)routera(config-route-map)# match ip address 1 (匹配列表 1)routera(config-route-map)# set ip default next-hop (指向下一跳地址)routera(config-route-map)# route-map access permit 20routera(config-route-map)# match ip address 2routera(confi

21、groutemap)# set ip default next-hop routera(config-route-map)# route-map access permit 30routera(config-route-map)# set default interface null0(沒(méi)右匹配 1 和 2 的都丟棄)routera(config)# interface ethernet 0routera(config-if)# ip address routera(config-if)# ip policy route-map acce

22、ssroutera(config)# interface serial 0routera(config-if)# ip address routera(config)# interface serial 1routera(config-if)# ip address 3.2.2交換機(jī)基本配置交換機(jī)配置步驟1) 定義重分布路由圖，一個(gè)路由圖可以由好多策略組成，策略按序號(hào)大小 排列，只要符合了前面策略，就退出路由圖的執(zhí)行；2) 定義路由圖每個(gè)策略的匹配規(guī)則或條件；3) 定義滿足匹配規(guī)則后，路由器對(duì)符合

23、規(guī)則的數(shù)據(jù)包進(jìn)行ip優(yōu)先值和下一 跳的設(shè)置4) 在指定接口中應(yīng)用路由圖。3222交換機(jī)配置舉例在f 0/0 口上配置策略路由，使得所有進(jìn)入的報(bào)文都轉(zhuǎn)發(fā)到下一跳為 的設(shè)備ruijie(config)# access-list 1 permit anyruijie(config)# route-map nameruijie(config-route-map)# match ip address 1ruijie(config-route-map)# set ip next-hop ruij ie(config-route-map)# int f 0/0ru

24、ijie(config-if)# ip policy route-map name3.223交換機(jī)配置建議s6000e系列的交換機(jī)使用多業(yè)務(wù)子卡可實(shí)現(xiàn)策略路由。一個(gè)接口最多只能配置一個(gè)路由圖，在同一個(gè)接口上多次配置路由圖會(huì)相互覆蓋。在使用策略路由時(shí)，每個(gè)子路由圖建議只配置一個(gè)acl；如果配置的子路由圖中只有nexthop而沒(méi)有配置acl,則等價(jià)于所有報(bào)文都 匹配；如果子路由圖屮只有acl而沒(méi)有nexthop則匹配的報(bào)文普通轉(zhuǎn)發(fā)；如果子路由圖中即沒(méi)有acl也沒(méi)有nexthop,則等價(jià)所有報(bào)文普通轉(zhuǎn)發(fā)。策略路由只支持配置acl號(hào),不支持acl名字配置如果配置了 acl號(hào)但是該acl不存在，等價(jià)所有

25、報(bào)文都匹配3.3策略路由的驗(yàn)證和調(diào)試顯示ip策略應(yīng)用情況router#show ip policyinterfaceroute mapfastethernet2testdebug ip policyip: s=l.l.2 (fastethemet 1/1), d=19268.2.250(<null>), len=60, precedence=o, policy match routemap test, item = 10, permitip: s= (fastethemet 1/1), d=19268.2.250(fastethemet 1/0), len=60,

26、precedence=0, policy routed顯示所有或指定路由映射的信息server_rl#show route-map <word> route-map test, permit, sequence 10match clauses:ip address (access-lists): 1set clauses:default interface fastethernetopolicy routing matches: 42 packets, 2520 bytes route-map test, permit, sequence 20match clauses:ip ad

27、dress (access-lists): 2set clauses:ip next-hop policy routing matches: 12 packets, 720 bytes顯示所有或指定路由映射的信息4策略路由部署應(yīng)用案例4.1策略路由配置案例一4.1.1網(wǎng)絡(luò)拓?fù)?30.1/24200211.6214x66.88.1用戶(hù)使用教育網(wǎng)地址用戶(hù)4.1.2功能需求:oicq應(yīng)用全走電信出口/24數(shù)據(jù)流通過(guò)教育網(wǎng)上網(wǎng)/24訪問(wèn)教育網(wǎng)走教育網(wǎng) 非教育網(wǎng)流量走電信4.1.3配置實(shí)現(xiàn):ro

28、ute-map test permit 10match ip address 103set ip next-hoproute-map test permit 20match ip address 105set ip next-hop ip access-list extended 10310 permit tcp any any eq 800020 permit udp any any eq 8000 /oicq 端口ip access-list extended 10510 permit ip 55 any20

29、permit ip any 5530 permit ip any 55 省略/.教育網(wǎng)地址段int ge 1/3ip policy route-map test 應(yīng)用到入接口4.2策略路由配置案例二4.2.1網(wǎng)絡(luò)拓?fù)?.2.2功能需求：oicq應(yīng)用全走電信出口/24數(shù)據(jù)流通過(guò)教冇網(wǎng)上網(wǎng)/24訪問(wèn)教育網(wǎng)走教育網(wǎng) 非教育網(wǎng)流量走電信4.2.3配置實(shí)現(xiàn)：route-map test permit 10match ip address 103set ip next-hop 17

30、26.0.1route-map test permit 20match ip address 105set ip next-hop ip access-list extended 10310 permit tcp any any eq 800020 permit udp any any eq 8000 /oicq 端口ip access-list extended 10510 deny ip any 5520 deny ip any 5530 permit ip 0.0.

31、0.255 any40 permit ip any 55 省略.教育網(wǎng)地址段int range ge 1/3-4ip policy route-map test應(yīng)用到入接口4.3策略路由配置案例三4.3.1網(wǎng)絡(luò)拓?fù)湔f(shuō)明：用戶(hù)使用nbr2000作為網(wǎng)吧出口路由器，接入線路共3條，兩條電信線路，一條網(wǎng)通線路。由于nbr2000只有2個(gè)wan 口，因此兩條電信線路 通過(guò)一臺(tái)二層交換機(jī)連接到nbr2000的wano 口上，wan 0 口配置兩個(gè)ip地 址（其屮一個(gè)為second ip）, wan 1 口連接網(wǎng)通線路。ip地址如圖所示。4.3.2功能需求：訪問(wèn)網(wǎng)通的網(wǎng)絡(luò)走網(wǎng)通線路，訪問(wèn)其他網(wǎng)絡(luò)使用負(fù)載均衡的方式分別走兩條 電信線路。這是一種以前很少碰到的方案需求。4.3.3配置實(shí)現(xiàn)：access-list 90 permit 54 定義偶數(shù) ipaccess-list 91 permit 54 定義奇數(shù) iproute