《华为策略路由与路由策略原理培训材料》由会员分享，可在线阅读，更多相关《华为策略路由与路由策略原理培训材料（25页珍藏版）》请在金锄头文库上搜索。
1、HUAWEI TECHNOLOGIES CO., LTDHUAWEI Confidential Security Level: 策略路由与路由策略原理ISSUE 1.0HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential l如何对报文转发的路径进行有效控制?如 何对发布、接收、引入的路由信息进行有 效控制，提高网络安全性?学完本课程之 后您将会找到满意的答案。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 学习指南l本课程全套资料包括培训胶片、配套原理教 材、多媒体课件、试题、演练案例和教师教 学指导
2、书，合理有效利用上述资料您将会取 得良好的学习效果。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 目标l学习完此课程，您将会：掌握策略路由基本原理掌握路由策略基本原理HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 第第1 1章章 策略路由原理策略路由原理第2章 路由策略原理HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 策略路由的引入l普通的报文转发是依据报文的目的地址查询转发表来实现的。display ip routing-tableRout
3、ing Table: public net Destination/Mask Protocol Pre Cost Nexthop Interface 0.0.0.0/0 RIP 100 1 200.200.203.2 GE11/1/0 0.0.0.0/32 RIP 100 1 200.200.203.2 GE11/1/0 1.0.0.0/8 STATIC 60 0 11.110.0.1 Ethernet12/2/0 4.4.4.0/24 DIRECT 0 0 4.4.4.4 Ethernet12/2/0.200 4.4.4.4/32 DIRECT 0 0 127.0.0.1 InLoopBac
4、k0 5.0.0.0/8 RIP 100 1 200.200.203.2 GE11/1/0 PC1PC2RTARTBRTCRTD S1/0/0E1/2/0HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 策略路由的引入(续)l普通的报文转发是依据报文的目的地址查询转发表来实现的。l但是遇到如下情况如何解决？ 1、根据源IP来控制报文转发。即控制来自PC1的报文通过接 S1/0/0转发，来自PC2的报文通过接口E1/2/0转发口？2、根据报文的长度来控制报文转发。3、根据报文的其他属性来控制报文转发。PC1PC2RTARTBRTCRTD S1/0/
5、0E1/2/0HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 策略路由概念l策略路由是一种依据用户制定的策略进行路由选择的机制，与单纯 依照IP报文的目的地址查找路由表进行转发不同，可应用于安全、 负载分担等目的。lVRP策略路由支持基于acl包过滤、地址长度等信息，灵活地指定路 由。而acl报文过滤则可以根据报文的源ip、目的ip、协议、端口号 、优先级、tos、时间段、vpn等各种丰富的信息将报文分类，然后 控制将这些报文按照不同的路由转发出去。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential
6、 策略路由的分类策略路由分类l接口策略路由接口策略路由只对转发的报文起作用，对本地产生的报文（比 如本地的ping报文）不起作用。而本地策略路由只对本地产生 的报文起作用，对转发的报文不起作用。接口策略路由配置在接口视图下。 l本地策略路由本地产生的报文的策略路由配置在系统视图下。注意：组播策略路由只支持转发的报文，不对路由器本机产生 的报文进行策略路由。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 匹配原则概述Route-policy : route_policy_namepermit 10 : if-match acl 3000if-ma
7、tch packet-length 100 500 apply output-interface Ethernet1/1/0 /有多个匹配项deny 20 : if-match acl 2000 /只有匹配项permit 30 : if-match acl 3100permit 40 : apply output-interface Ethernet1/1/0 /只有操作项permit 50 :apply output-interface Ethernet1/1/0deny 60 : /匹配项和操作项都没有permit 70 : permit 80 : if-match acl 3000app
8、ly output-interface Ethernet1/1/0 serial1/0/0apply ip-address next-hop 1.1.1.1 /有多个操作项 HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 匹配项l匹配项就是if-match语句，根据这些匹配项将报文按照某个规则进行分类，分为 满足规则和不满足规则两类。定义义什么节节点？ 匹配否？PermitDenyMatch（所有条件都满满足）执执行退出不执执行退出Not match（任意一个不满满足）不执执行继续继续不执执行继续继续注意： 1、只有满足所有的ifmatch，才
9、算匹配，即各匹配条件是与的关系。 2、“匹配退出，不匹配继续”的原则。即只要任意一个节点满足匹配，则不再继续往下匹配，如果不匹配则继续匹配下一个节点。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 操作项l操作项就是apply语句，也就是满足匹配项的报文将怎么处理、从哪 个接口转发出去。route-policy n permit node 0if-match acl 2000if-match packet-length 100 500apply ip-precedence priorityapply output-interface Seria
10、l1/0/0 Ethernet1/1/0apply default output-interface Serial1/0/0apply ip-address next-hop 1.1.1.1apply ip-address default next-hop 2.2.2.2 3.3.3.3 一个单播报文只能转发一次， 即只能从某个接口转发出去HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 转发接口的优先级策略路由的出接口策略路由的下一跳路由表中下一跳策略路由的缺省出接口策略路由的缺省下一跳低高转发优先级以上只针对单播报文，不包括组播报文。 当配置
11、有优先级高的策略，则优先级低的配置将被忽略。 单播策略路由可以同时配置两个下一跳或设置两个出接口，报文转发将 采用负载分担的方式进行。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 报文匹配的其它策略 注意事项：l1、如果只添加一个节点而没有任何匹 配项和设置操作项，则所有报文都匹配 ，不再继续往下匹配。但是策略路由的 统计数字不改变。l2、如果添加一个节点，只有匹配项， 没有设置操作项，则进行匹配，但不执 行相应的操作，不再继续往下匹配。但 是策略路由的统计数字不改变。l3、如果添加一个节点，没有匹配项， 有设置操作项，则所有报文都匹配，根
12、据permit/deny执行相应的操作，不再继 续往下匹配。但是策略路由的统计数字 改变。l4、如果匹配项中使用的acl根本不存在 ，则缺省是不匹配任何报文。l5、当直接出接口指定为本地的以太网接 口、子接口、Virtual-Template接口时，虽 然从指定接口转发，但不能正常通信，因 为这几个接口是广播域，不能确定下一跳 ，因此必须指定为下一跳。 l6、当配置deny的节点时，对于单播策 略路由来说，节点的apply 命令行等于没 配置一样，数据包将走正常单播路由表转 发，因此没有deny的调试信息以及相应的 统计信息；对于组播策略路由来说，数据 包将直接丢弃，不查询组播路由表，有 de
13、ny的调试信息以及相应的统计信息。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 问题l请简要描述单播报文转发流程。l请简要描述组播报文策略路由流程。HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 第1章 策略路由原理第第2 2章章 路由策略原理路由策略原理HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 路由策略的作用l过滤路由信息的手段l发布路由信息时只发送部分信息l接收路由信息时只接收部分信息l进行路由引入时引入满足特定条 件的信息支持等值路
14、由l设置路由协议引入的路由属性HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 策略相关的五种过滤器l路由策略（routing policy） 设定匹配条件，属性匹配后进行设置，由if-match和apply字句组成l访问列表（access-list） 用于匹配路由信息的目的网段地址或下一跳地址，过滤不符合条件的 路由信息l前缀列表（prefix-list） 匹配对象为路由信息的目的地址或直接作用于路由器对象（gateway）l自治系统路径信息访问列表（aspath-list） 仅用于BGP协议，匹配BGP路由信息的自治系统路径域l团体属性列表（
15、community-list） 仅用于BGP协议，匹配BGP路由信息的自治系统团体域HUAWEI TECHNOLOGIES CO., LTD.HUAWEI Confidential 路由策略与过滤器的关系l在路由引入（import-route ）时使用routing policyrouting policy由一系列的if-match子句和apply子句组成匹配AS-path时使用AS-path list匹配Community时使用Community list匹配IP address时使用IP Prefix和Access listl在路由发布（export）和路由接收（import）时使用地址前缀列表 （IP Prefix）和访问控制列表接收时：IP Prefix、Access list和Gateway（特定路由
