Cisco_策略路由的概念、原理、配置實例

1、策略路由1 策略路由概述 21.1 普通路由的概念 21.2 策略路由的概念 21.2.1 策略路由 21.2.2 路由策略 52 策略路由的實現(xiàn)原理 52.1 策略路由的好處 52.2 策略路由的流程 52.3 策略路由的處理流程 62.3.1 流模式和逐包模式 62.3.2 流模式流程圖 62.3.2 路由器流模式及逐包模式切換命令 72.4 Route-map 原理與執(zhí)行 72.4.1 Route-map 概念 72.4.2 理解 Route-map 72.4.3 Route-map 的執(zhí)行語句 83 策略路由的規(guī)劃設計 93.1 策略路由的適用環(huán)境 93.2 策略路由的配置 103.2

2、.1 路由器基本配置 103.2.2 交換機基本配置 143.3 策略路由的驗證和調(diào)試 154 策略路由部署應用案例 174.1 策略路由配置案例一 174.1.1 網(wǎng)絡拓撲 174.1.2 功能需求： 174.1.3 配置實現(xiàn)： 184.2 策略路由配置案例二 184.2.1 網(wǎng)絡拓撲 184.2.2 功能需求： 194.2.3 配置實現(xiàn)： 194.3 策略路由配置案例三 204.3.1 網(wǎng)絡拓撲 204.3.2 功能需求： 214.3.3 配置實現(xiàn)： 214.3.4 配置優(yōu)化： 231 策略路由概述1.1 普通路由的概念普通路由轉(zhuǎn)發(fā)基于路由表進行報文的轉(zhuǎn)發(fā)；路由表的建立直聯(lián)路由、主機路由；

3、靜態(tài)配置路由條目；動態(tài)路由協(xié)議學習生成；查看命令 show ip route對于同一目的網(wǎng)段，可能存在多條 dista nee不等的路由條目1.2 策略路由的概念1.2.1 策略路由所謂策略路由， 顧名思義， 即是根據(jù)一定的策略進行報文轉(zhuǎn)發(fā)， 因此策略路 由是一種比目的路由更靈活的路由機制。 在路由器轉(zhuǎn)發(fā)一個數(shù)據(jù)報文時， 首先根 據(jù)配置的規(guī)則對報文進行過濾，匹配成功則按照一定的轉(zhuǎn)發(fā)策略進行報文轉(zhuǎn)發(fā)。 這種規(guī)則可以是基于標準和擴展訪問控制列表， 也可以基于報文的長度； 而轉(zhuǎn)發(fā) 策略則是控制報文按照指定的策略路由表進行轉(zhuǎn)發(fā)，也可以修改報文的 IP 優(yōu)先 字段。因此，策略路由是對傳統(tǒng)IP路由機制的有

4、效增強。向左走向右走策略路由能滿足基于源IP地址、目的IP址、協(xié)議字段，甚至于TCP、UDP的源、目的端口等多種組合進行選路。簡單點來說，只要IP standard/extended ACL能設置的，都可以做為策略路由的匹配規(guī)則進行轉(zhuǎn)發(fā)。策略路由（Policy Route）是指在決定一個IP包的下一跳轉(zhuǎn)發(fā)地址或是下一 跳缺省IP地址時，不是簡單的根據(jù)目的IP地址決定，而是綜合考慮多種因素來 決定。如可以根據(jù)DSCP字段、源和目的端口號，源IP地址等來為數(shù)據(jù)包選擇 路徑。策略路由可以在一定程度上實現(xiàn)流量工程， 使不同服務質(zhì)量的流或者不同 性質(zhì)的數(shù)據(jù)（語音、FTP）走不同的路徑。基于策略的路由為網(wǎng)

5、絡管理者提供了比傳統(tǒng)路由協(xié)議對報文的轉(zhuǎn)發(fā)和存儲更強的控制能力。傳統(tǒng)上，路由器用從路由協(xié)議派生出來的路由表，根據(jù)目的地 址進行報文的轉(zhuǎn)發(fā)?；诓呗缘穆酚杀葌鹘y(tǒng)路由能力更強， 使用更靈活，它使網(wǎng) 絡管理者不僅能夠根據(jù)目的地址而且能夠根據(jù)協(xié)議類型、報文大小、應用或I P源地址來選擇轉(zhuǎn)發(fā)路徑。策略可以定義為通過多路由器的負載平衡或根據(jù)總流量 在各線上進行報文轉(zhuǎn)發(fā)的服務質(zhì)量（QoS ）。本交換機所支持的策略路由是與 QOS的流分類標準相結(jié)合的。針對簡單流分類和復雜流分類， 可以根據(jù)到來的數(shù)據(jù)包的匹配的以下特征， 來設定策略路由： 802.1p 優(yōu)先級VLAN ID源 /目的 MAC 地址源 /目的的 I

6、P 地址（包括 IP MASK 部分）TCP/UDP 源 /目的端口號IP 優(yōu)先級DSCP 的優(yōu)先級IP 的協(xié)議類型字段可以對匹配以上特征的流，設定以下兩種策略路由：下一跳 I P 地址: 這條配置命令標示了那些符合匹配語句的輸出報文將進行 下一跳 I P 地址。下一跳缺省 I P 地址: 這條配置命令設定缺省的下一跳。如果路由表中沒有 明確的路徑， 則路由器使用缺省的下一跳。 這個過程經(jīng)常應用于在兩個不同的服 務提供商之間進行負載平衡。當使用這條命令時，也是首先用路由表進行路由。 如果路由表中沒有明確的路徑，則路由器根據(jù)制定的策略使用缺省值。策略路由使網(wǎng)絡管理者能根據(jù)它提供的機制指定一個報文

7、采取的具體路徑。 而在當今高性能的網(wǎng)絡中， 這種選擇的自由性是很需要的。 需要明確策略路由是 設置在接收報文接口而不是發(fā)送接口。當在接收報文的接口設定了策略路由后， 交換機在該接口， 檢測到來的數(shù)據(jù) 報文，當檢測到有匹配相應流分類特征的數(shù)據(jù)數(shù)據(jù)報文經(jīng)過時， 就查找相應的策 略路由表項，按照策略路由表項所指定的下一跳 IP 地址或是缺省路由 IP 地址， 來選擇轉(zhuǎn)發(fā)路徑。策略路由功能是與流分類和流策略緊密相關(guān)的， 關(guān)于流分類和流策略的基本 配置命令見 QOS 配置部分。1.2.2路由策略路由策略通過路由策略控制路由的接收、發(fā)布、弓I入的方法，實現(xiàn)對路由的優(yōu)化2策略路由的實現(xiàn)原理2.1策略路由的好

8、處基于源的路由可以使不同的用戶選擇不同的ISP通過設置IP Precede nee或Tos來實現(xiàn)QOS實現(xiàn)負載均衡2.2策略路由的流程策賂路由"Hill 計N1F1t止常路莊（冀于日標使用Route-map來配置策略路由的流程策略路由只對入口數(shù)據(jù)包有效。應用策略路由，必須要指定策略路由使用的路由映射， 并且要創(chuàng)建路由映射。 一個路由映射由很多條策略組成， 每個策略都定義了 1 個或多個的匹配規(guī)則和對 應操作。 一個接口應用策略路由后， 將對該接口接收到的所有包進行檢查， 不符 合路由映射任何策略的數(shù)據(jù)包將按照通常的路由轉(zhuǎn)發(fā)進行處理， 符合路由映射中 某個策略的數(shù)據(jù)包就按照該策略中定義

9、的操作進行處理。策略路由對報文的發(fā)送接口、下一跳的配置是基于多轉(zhuǎn)發(fā)表實現(xiàn)的。2.3 策略路由的處理流程2.3.1 流模式和逐包模式流模式第一個包查路由轉(zhuǎn)發(fā)表，如果存在路由，將該路由項以source、dest、 tos、入接口等索引放置到cache中，以后同樣的流就可以直接查 cache對于低端路由器，所有操作由CPU+內(nèi)存處理對于中高端設備，一般由NP和Asic芯片完成處理逐包模式每個包都進行查表后才進行轉(zhuǎn)發(fā)2.3.2 流模式流程圖232路由器流模式及逐包模式切換命令ip route-cache policy開啟快速交換策略路由就是流模式no ip route-cache policy 關(guān)閉該

10、功能就是逐包模式2.4 Route-map原理與執(zhí)行2.4.1 Route-map 概念route-map是由一組match字句和set字句構(gòu)成，他實際上是訪問控制列表的 一個超集。當需做策略路由的報文匹配route-map中的match字句定義的規(guī)則時, 將按照set字句的配置決定該報文的路由方式，包括設置報文的優(yōu)先權(quán)字段，設 置報文的下一跳，設置報文的發(fā)送接口2.4.2 理解 Route-map類似于復雜的Access-list自頂向下地處理，一旦有一條匹配，則立刻結(jié)束route-map查找Route-map每個條目都被賦予編號，可以任意地插入或刪除條目當使用策略路由時， 首先定義重分布路

11、由映射， 一個路由映射可以由很多策 略組成，策略按序號大小排列，只要符合了前面策略，就退出路由映射的執(zhí)行。 由于路由映射中每個策略都有其編號，故可以方便的插入或刪除。2.4.3 Route-map 的執(zhí)行語句route-map test permit 10match x y zmatch aset bset croute-map test permit 20match qset rdeny all(系統(tǒng)隱含)If (x or y or z) and athen set (b and c)else if qthen set relse set nothingroute-map-name給路由圖定

12、義一個便于記憶的名字。 redistribute 路由進程配置命令是通過該 名字引用路由圖的。 一個路由圖可以定義多個路由圖策略， 一個路由圖策略對應 一個序號。permit（可選）如果定義了 permit 關(guān)鍵字，又符合 match 定義的匹配規(guī)則。則 set 命令對重分布路由進行控制； 對于策略路由， set 命令將對數(shù)據(jù)包轉(zhuǎn)發(fā)進行控制。 并退出路由圖的操作。如果定義了 permit 關(guān)鍵字，而不符合 match 定義的匹配規(guī)則。 則將進入第二 個路由圖策略進行操作。直到最終執(zhí)行了 set 命令。deny（可選）如果定義了 deny 關(guān)鍵字，又符合 match 定義的匹配規(guī)則。則不會 執(zhí)行

13、任何操作， 該路由圖策略不允許進行路由重分布或策略路由， 而且退出路由 圖操作。如果定義了 deny 關(guān)鍵字，而不符合 match 定義的匹配規(guī)則。則將進入下一 個路由圖策略進行操作。直到最終執(zhí)行了 set 命令。sequence-number路由圖策略對應的序號。 低序號的策略優(yōu)先得到使用， 因此需要注意序號的 設置。3 策略路由的規(guī)劃設計3.1 策略路由的適用環(huán)境多出口情況下校園網(wǎng)（in ternet網(wǎng)、教育網(wǎng)）;企業(yè)網(wǎng)（雙出口上網(wǎng)） ； 旁路組網(wǎng)需要修改報文 TOS、dscp；3.2 策略路由的配置3.2.1 路由器基本配置 路由器配置步驟1) 定義重分布路由圖，一個路由圖

14、可以由好多策略組成，策略按序號大小 排列，只要符合了前面策略，就退出路由圖的執(zhí)行；Router(config)#route-map route-map-name permit | deny sequence 定義路 由圖Router(config)#no route-map route-map-name permit | deny sequence 刪 除路由圖2) 定義路由圖每個策略的匹配規(guī)則或條件； 定義匹配規(guī)則， 只有符合規(guī)則的數(shù)據(jù)包才進行策略路由， 如果沒有配置匹配 規(guī)則，則所有數(shù)據(jù)包都符合規(guī)則。 要定義策略的匹配規(guī)則，在路由圖配置模式中執(zhí)行以下 Route(config-route-

15、map)#match ip address access-list-number 匹配訪問列表中的地址Route(config-route-map)#match length min-length max-length 匹配數(shù)據(jù)包大小范圍3) 定義滿足匹配規(guī)則后， 路由器對符合規(guī)則的數(shù)據(jù)包進行 IP 優(yōu)先值和下一 跳的設置。要定義匹配規(guī)則后的操作，在路由圖配置模式中執(zhí)行以下命令：Router(co nfig-route-map)#set default in terface in terface-type in terface-nu mber 設置數(shù)據(jù)包的輸出接口，Router(co nfig

16、-route-map)#set ip default n ext-hop ip-address設置數(shù)據(jù)包的下一跳IP地址，Router(co nfig-route-map)#set ip n ext-hop ip-address設置數(shù)據(jù)包的下一跳IP地址Router(co nfig-route-map)#set ip precede neeprecede nce| critical | flash | flash-override |immediate | internet | n etwork | priority |routine設置數(shù)據(jù)包IP優(yōu)先值set ip next-hop和set

17、ip default next-hop命令十分類似，但是操作的順序完全不同。set ip next-hop命令使得路由器首先檢查策略路由，不符合策略后使用路 由表進行數(shù)據(jù)包轉(zhuǎn)發(fā)處理；set ip default n ext-hop命令使得路由器首先檢查路由 表，若發(fā)現(xiàn)沒有明確路由則使用策略路由進行數(shù)據(jù)包轉(zhuǎn)發(fā)處理。IP數(shù)據(jù)包報頭優(yōu)先值的設置，網(wǎng)絡流量大時，優(yōu)先值高的流量可以得到優(yōu) 先處理。缺省情況下，RGNOS是不對IP報頭的優(yōu)先值進行修改的，會保持其原有的在應用策略路由時，可以對 IP 報頭的優(yōu)先值進行設置。當這些攜帶一定優(yōu) 先值的數(shù)據(jù)包到達其它路由器時， 如果該路由器啟用了隊列機制， 優(yōu)先值

18、高的數(shù) 據(jù)包會得到優(yōu)先處理， 其服務質(zhì)量就得到了保證。 如果沒有啟用隊列機制， 優(yōu)先 值將沒有任何意義，所有數(shù)據(jù)包的發(fā)送按照 FIFO (先進先出)的方式進行處理。優(yōu)先值的設置可以用名字或者數(shù)字，名字命名來自 RFC 791， 其對應關(guān)系如下0 Routing1 Priority2 Immediate3 Flash4 flash-override5 Critical6 Internet7 Network4) 在指定接口中應用路由圖。要配置到達路由器接口數(shù)據(jù)包的策略路由，在接口配置模式中執(zhí)行以下命 令：Router(config-if)#ip policy route-map route-map

19、 在接口應用策略路由說明路由器本身產(chǎn)生的數(shù)據(jù)包， 通常是不要應用策略路由， 如果路由器本身產(chǎn)生 的數(shù)據(jù)包也要應用策略路由，在全局配置模式中執(zhí)行以下命令：Router(config)#ip local policy route-map route-map 應用本地策略路由 接口上應用策略時，缺省情況下， IP 報文快速轉(zhuǎn)發(fā)也支持策略路由轉(zhuǎn)發(fā)。 如果要關(guān)閉策略路由的快速轉(zhuǎn)發(fā)功能，可以有以下命令：Router(config-if)#no ip route-cache policy 在接口上關(guān)閉策略路由快速轉(zhuǎn)發(fā)功321.2路由器配置舉例 ISP A.ISP AISPB涼DTE1.2.0.

20、0 ISP B.RouterA(co nfig)# access-list 1 permit ip 55RouterA(co nfig)# access-list 2 permit ip 55RouterA(co nfig)# route-map access permit10 (序列號從低開始匹配)RouterA(co nfig-route-map)# match ip address1(匹配列表 1)RouterA(config-route-map)# set ip default next-hop 666.6 (指向下一

21、跳地址)RouterA(co nfig-route-map)# route-map access permit 20RouterA(co nfig-route-map)# match ip address 2RouterA(c on fig-route-map)# set ip default n ext-hop RouterA(co nfig-route-map)# route-map access permit 30RouterA(co nfig-route-map )# set default in terface n ull(沒有匹配 1 和 2 的都丟棄)RouterA

22、(co nfig)# in terface ether net 0RouterA(config-if)# ip address RouterA(config-if)# ip policy route-map accessRouterA(config)# interface serial 0RouterA(config-if)# ip address RouterA(config)# interface serial 1RouterA(config-if)# ip address 255.255.

23、255.03.2.2 交換機基本配置 交換機配置步驟1) 定義重分布路由圖，一個路由圖可以由好多策略組成，策略按序號大小 排列，只要符合了前面策略，就退出路由圖的執(zhí)行；2) 定義路由圖每個策略的匹配規(guī)則或條件；3) 定義滿足匹配規(guī)則后， 路由器對符合規(guī)則的數(shù)據(jù)包進行 IP 優(yōu)先值和下一 跳的設置4) 在指定接口中應用路由圖。 交換機配置舉例在 f 0/0 口上配置策略路由 , 使得所有進入的報文都轉(zhuǎn)發(fā)到下一跳為 的設備Ruijie(config)# access-list 1 permit anyRuijie(config)# route-ma

24、p nameRuijie(config-route-map)# match ip address 1Ruijie(config-route-map)# set ip next-hop Ruijie(config-route-map)# int f 0/0Ruijie(config-if)# ip policy route-map name 交換機配置建議S6000E 系列的交換機使用多業(yè)務子卡可實現(xiàn)策略路由。一個接口最多只能配置一個路由圖，在同一個接口上多次配置路由圖會相互覆蓋在使用策略路由時，每個子路由圖建議只配置一個 ACL ；如果配置的子路由圖中只有

25、nexthop 而沒有配置 ACL ，則等價于所有報文都 匹配；如果子路由圖中只有 ACL 而沒有 nexthop 則匹配的報文普通轉(zhuǎn)發(fā)；如果子路由圖中即沒有ACL也沒有nexthop,則等價所有報文普通轉(zhuǎn)發(fā)。策略路由只支持配置 ACL 號,不支持 ACL 名字配置如果配置了 ACL 號但是該 ACL 不存在，等價所有報文都匹配3.3策略路由的驗證和調(diào)試顯示 IP 策略應用情況router#show ip policyInterfaceRoute mapFastEthernet2testDebug ip policyIP: s= (FastEthernet 1/1), d=192

26、.168.2.250(<NULL>), len=60, precedence=0, policy match RouteMap test, item = 10, permitIP: s= (FastEthernet 1/1), d=50(FastEthernet1/0), len=60, precedence=0, policy routed顯示所有或指定路由映射的信息 server_r1#show route-map <word>route-map test, permit, sequence 10Match clauses: ip

27、 address (access-lists): 1 Set clauses: default interface FastEthernet0Policy routing matches: 42 packets, 2520 bytes route-map test, permit, sequence 20 Match clauses: ip address (access-lists): 2Set clauses:ip next-hop Policy routing matches: 12 packets, 720 bytes顯示所有或指定路由映射的信息Internet4策

28、略路由部署應用案例4.1策略路由配置案例一4.1.1網(wǎng)絡拓撲Cernei2/30/30/30/30/3026.88.1 吃421166?用戶使斥製育網(wǎng)地址用戶4.1.2功能需求：OICQ應用全走電信出口/24數(shù)據(jù)流通過教育網(wǎng)上網(wǎng)/24訪問教育網(wǎng)走教育網(wǎng)非教育網(wǎng)流量走電信4.1.3 配置實現(xiàn)：route-map test permit 10 match ip address 103 set ip next-hop 172.1

29、6.0.1 route-map test permit 20 match ip address 105 set ip next-hop ip access-list extended 10310 permit tcp any any eq 800020 permit udp any any eq 8000 /OICQ 端口ip access-list extended 10510 permit ip 55 any20 permit ip any 5530 permit ip any 58.194

30、.0.0 55 省略/.教育網(wǎng)地址段 int ge 1/3ip policy route-map test/應用到入接口4.2 策略路由配置案例二4.2.1 網(wǎng)絡拓撲17Z16.0.2Z3OS PFCemet2210.38.0+2/30222,200.80.1/24211.66.ea.1?24422功能需求：OICQ應用全走電信出口/24數(shù)據(jù)流通過教育網(wǎng)上網(wǎng)/24訪問教育網(wǎng)走教育網(wǎng)非教育網(wǎng)流量走電信4.2.3 配置實現(xiàn):route-map test permit 10 match ip address 10

31、3 set ip next-hop route-map test permit 20match ip address 105set ip next-hop ip access-list exte nded 10310 permit tcp any any eq 800020 permit udp any any eq 8000 /OICQ 端口ip access-list exte nded 10510 deny ip any 5520 deny ip any 5530 p

32、ermit ip 55 any40 permit ip any 55 省略/.教育網(wǎng)地址段int range ge 1/3-4ip policy route-map test應用到入接口4.3策略路由配置案例三4.3.1網(wǎng)絡拓撲說明：用戶使用NBR2000作為網(wǎng)吧出口路由器，接入線路共 3條，兩條電信線路，一條網(wǎng)通線路。由于 NBR2000只有2個WAN 口，因此兩條電信線路 通過一臺二層交換機連接到 NBR2000的 WAN 0 口上，WAN 0 口配置兩個IP地 址（其中一個為seco nd ip）, WAN 1 口連接網(wǎng)通線路。IP地址如圖所示。4.3.2功能需求:訪問網(wǎng)通的網(wǎng)絡走網(wǎng)通線路，訪問其他網(wǎng)絡使用負載均衡的方式分別走兩條 電信線路。這是一種以前很少碰到的方案需求。