策略路由与路由策略原理

《策略路由与路由策略原理》由会员分享，可在线阅读，更多相关《策略路由与路由策略原理（31页珍藏版）》请在金锄头文库上搜索。

1、策略路由与路由策略原理安徽财经大学信息工程学院安徽财经大学信息工程学院l如何对报文转发的路径进行有效控制?如 何对发布、接收、引入的路由信息进行有 效控制，提高网络安全性?学完本课程之 后您将会找到满意的答案。安徽财经大学信息工程学院参考资料l操作手册、命令手册安徽财经大学信息工程学院目标l学习完此课程，您将会：掌握策略路由基本原理掌握路由策略基本原理安徽财经大学信息工程学院第第1 1章章 策略路由原理策略路由原理第2章 路由策略原理安徽财经大学信息工程学院策略路由的引入l普通的报文转发是依据报文的目的地址查询转发表来实现的。display ip routing-tableRouting Ta

2、ble: public net Destination/Mask Protocol Pre Cost Nexthop Interface 0.0.0.0/0 RIP 100 1 200.200.203.2 GE11/1/0 0.0.0.0/32 RIP 100 1 200.200.203.2 GE11/1/0 1.0.0.0/8 STATIC 60 0 11.110.0.1 Ethernet12/2/0 4.4.4.0/24 DIRECT 0 0 4.4.4.4 Ethernet12/2/0.200 4.4.4.4/32 DIRECT 0 0 127.0.0.1 InLoopBack0 5.0

3、.0.0/8 RIP 100 1 200.200.203.2 GE11/1/0 PC1PC2RTARTBRTCRTD S1/0/0E1/2/0安徽财经大学信息工程学院策略路由的引入(续)l普通的报文转发是依据报文的目的地址查询转发表来实现的。l但是遇到如下情况如何解决？ 1、根据源IP来控制报文转发。即控制来自PC1的报文通过接 S1/0/0转发，来自PC2的报文通过接口E1/2/0转发口？2、根据报文的长度来控制报文转发。3、根据报文的其他属性来控制报文转发。PC1PC2RTARTBRTCRTD S1/0/0E1/2/0安徽财经大学信息工程学院策略路由概念l策略路由是一种依据用户制定的策略进

4、行路由选择的机制，与单纯 依照IP报文的目的地址查找路由表进行转发不同，可应用于安全、 负载分担等目的。lVRP策略路由支持基于acl包过滤、地址长度等信息，灵活地指定路 由。而acl报文过滤则可以根据报文的源ip、目的ip、协议、端口号 、优先级、tos、时间段、vpn等各种丰富的信息将报文分类，然后 控制将这些报文按照不同的路由转发出去。安徽财经大学信息工程学院策略路由的分类l按报文分类：分为单播策略路由（针对单播报文进行控制）和组播 策略路由（只对组播报文进行控制）。单播报文 RTARTBRTCRTDRTFRTE我是组播策略，组播 报文听我指挥，该报 文从接口e1/0和s0/0 转发我是

5、单播策略，单 播报文听我指挥， 该报文从接口e0/0 转发组播报文安徽财经大学信息工程学院策略路由的分类（续）l策略路由既可以应用于被转发的报文，又可以应用于路由器本地产 生的报文。前者称为接口策略路由，后者称为本地策略路由。l接口策略路由只对转发的报文起作用，对本地产生的报文（比如本 地的ping报文）不起作用。而本地策略路由只对本地产生的报文起 作用，对转发的报文不起作用。l接口策略路由配置在接口视图下。 l本地产生的报文的策略路由配置在系统视图下。l注意：组播策略路由只支持转发的报文，不对路由器本机产生的报 文进行策略路由。安徽财经大学信息工程学院匹配原则概述Route-policy :

6、 route_policy_namepermit 10 : if-match acl 3000if-match packet-length 100 500 apply output-interface Ethernet1/1/0 /有多个匹配项deny 20 : if-match acl 2000 /只有匹配项permit 30 : if-match acl 3100permit 40 : apply output-interface Ethernet1/1/0 /只有操作项permit 50 :apply output-interface Ethernet1/1/0deny 60 : /匹配

7、项和操作项都没有permit 70 : permit 80 : if-match acl 3000apply output-interface Ethernet1/1/0 serial1/0/0apply ip-address next-hop 1.1.1.1 /有多个操作项 安徽财经大学信息工程学院匹配项l匹配项就是if-match语句，根据这些匹配项将报文按照某个规则进行分类，分为 满足规则和不满足规则两类。定义义什么节节点？ 匹配否？PermitDenyMatch（所有条件都满满足）执执行退出不执执行退出Not match（任意一个不满满足）不执执行继续继续不执执行继续继续注意： 1、只

8、有满足所有的ifmatch，才算匹配，即各匹配条件是与的关系。 2、“匹配退出，不匹配继续”的原则。即只要任意一个节点满足匹配，则不再继续往下匹配，如果不匹配则继续匹配下一个节点。安徽财经大学信息工程学院操作项l操作项就是apply语句，也就是满足匹配项的报文将怎么处理、从哪 个接口转发出去。route-policy n permit node 0if-match acl 2000if-match packet-length 100 500apply ip-precedence priorityapply output-interface Serial1/0/0 Ethernet1/1/0ap

9、ply default output-interface Serial1/0/0apply ip-address next-hop 1.1.1.1apply ip-address default next-hop 2.2.2.2 3.3.3.3 一个单播报文只能转发一次， 即只能从某个接口转发出去安徽财经大学信息工程学院转发接口的优先级策略路由的出接口策略路由的下一跳路由表中下一跳策略路由的缺省出接口策略路由的缺省下一跳低高转发优先级以上只针对单播报文，不包括组播报文。 当配置有优先级高的策略，则优先级低的配置将被忽略。 单播策略路由可以同时配置两个下一跳或设置两个出接口，报文转发将 采用负载

10、分担的方式进行。安徽财经大学信息工程学院报文匹配的其它策略 注意事项：l1、如果只添加一个节点而没有任何匹 配项和设置操作项，则所有报文都匹配 ，不再继续往下匹配。但是策略路由的 统计数字不改变。l2、如果添加一个节点，只有匹配项， 没有设置操作项，则进行匹配，但不执 行相应的操作，不再继续往下匹配。但 是策略路由的统计数字不改变。l3、如果添加一个节点，没有匹配项， 有设置操作项，则所有报文都匹配，根 据permit/deny执行相应的操作，不再继 续往下匹配。但是策略路由的统计数字 改变。l4、如果匹配项中使用的acl根本不存在 ，则缺省是不匹配任何报文。l5、当直接出接口指定为本地的以太

11、网接 口、子接口、Virtual-Template接口时，虽 然从指定接口转发，但不能正常通信，因 为这几个接口是广播域，不能确定下一跳 ，因此必须指定为下一跳。 l6、当配置deny的节点时，对于单播策 略路由来说，节点的apply 命令行等于没 配置一样，数据包将走正常单播路由表转 发，因此没有deny的调试信息以及相应的 统计信息；对于组播策略路由来说，数据 包将直接丢弃，不查询组播路由表，有 deny的调试信息以及相应的统计信息。安徽财经大学信息工程学院单播报文转发流程YYYYYYY策略路由配置有 出接口吗？策略路由配置有 下一跳吗？路由表中有下一 跳吗？策略路由配置有缺 省接口吗？策

12、略路由配置有缺 省下一跳吗？策略路由有设置 优先级吗？丢弃该报文，发ICMP_UNREACH配置有本地策略 路由吗？本地报文发送流程按正常流程发送报文根据策略设置报文优先级发送报文到该出接口发送报文到该下一跳发送报文到该下一跳发送报文到该缺省下一跳结束发送报文到该缺省接口对来自外部的转发报文首先判断 有接口策略路由吗安徽财经大学信息工程学院组播策略路由l和单播策略路由的区别：1、报文不一样。单播报文就是以A、B、C类ip地址为目的地址的报文， 组播报文就是以224.0.0.0239.255.255.255 为目的地址的报文。2、配置不一样。组播策略路由的配置中apply必须包含acl。3、配置

13、作用域不一样。单播策略路由的配置仅对单播报文起作用，组播 策略路由的配置仅对组播报文起作用。即apply中包含有acl的对组播报 文起作用，对单播报文不起作用； apply中不包含有acl的对单播报文起 作用，对组播报文不起作用。4、当单播同时配置有出接口和下一跳时，则只从出接口转发，不从下一 跳转发。当组播同时配置有出接口和下一跳时，则既从各个出接口转 发（可能有多个），也从各个下一跳转发（也可能有多个），但是最 多只能从64个接口转发。 安徽财经大学信息工程学院组播转发边界l当一个接口配置了组播转发边界以后，从该接口接收的报文和从该 接口发出的报文（包括本机发出的报文）都将按照配置的acl

14、策略进 行过滤。其中，对于从该接口接收的报文，先按照组播转发边界进 行过滤，再执行可能的组播策略路由处理。l组播转发边界可配置在所有支持组播报文转发的接口上。在入接口 和出接口都进行检查。组播转发边界配置在接口视图下： multicast packet-boundary acl-number 3000打开debug multicast forwarding 可以察看报文的丢弃信息。安徽财经大学信息工程学院组播转发报文的最小TTL值 l在接口上配置组播转发报文的最小TTL值后，当要将一个报文从该 接口转发出去时（包括本机发出的报文），对接口上配置的最小 TTL值进行检查，若报文TTL值（报文TT

15、L已在本路由器内减1）大 于接口上配置的最小TTL值，则转发该报文；若报文TTL值小于或 等于接口上配置的最小TTL值，则丢弃该报文。l组播转发TTL值可配置在所有支持组播报文转发的接口上。ttl检测 只有在出接口进行。 组播转发报文的最小TTL值 在接口视图下： multicast minimum-ttl 200打开debug multicast forwarding 可以察看报文的丢弃信息。安徽财经大学信息工程学院组播报文入接口组播边 界检查配置组播策略路由吗？满足ifmatch条件吗？出接口组播边 界检查出接口TTL阈值 检查通过路由表转 发策略路由指定接 口转发YN组播报文策略路由的流程安徽财经大学信息工程学院问题l请简要描述单播报文转发流程。l请简要描述组播报文策略路由流程。安徽财经大学信息工程学院第1章 策略路由原理第第2 2章章