目  录

1 路由策略配置

1.1 路由策略简介

1.1.1 路由策略的应用

1.1.2 路由策略的实现

1.1.3 过滤器

1.2 配置过滤列表

1.2.1 配置准备

1.2.2 配置地址前缀列表

1.3 配置路由策略

1.3.1 配置准备

1.3.2 创建一个路由策略

1.3.3 配置if-match子句

1.3.4 配置apply子句

1.3.5 配置continue子句

1.4 路由策略的显示和维护

1.5 路由策略典型配置举例

1.5.1 在IPv4路由引入中应用路由策略

1.5.2 在IPv6路由引入中应用路由策略

1.6 常见错误配置举例

1.6.1 无法实现IPv4路由信息过滤

1.6.2 无法实现IPv6路由信息过滤

1 路由策略配置

1.1  路由策略简介

路由策略（Routing Policy）是为了改变网络流量所经过的途径而修改路由信息的技术，主要通过改变路由属性（包括可达性）来实现。

1.1.1  路由策略的应用

路由策略的应用灵活广泛，主要有下面几种方式：

l              控制路由的发布

路由协议在发布路由信息时，通过路由策略对路由信息进行过滤，只发布满足条件的路由信息。

l              控制路由的接收

路由协议在接收路由信息时，通过路由策略对路由信息进行过滤，只接收满足条件的路由信息，可以控制路由表项的数量，提高网络的安全性。

l              管理引入的路由

路由协议在引入其它路由协议发现的路由时，通过路由策略只引入满足条件的路由信息，并控制所引入的路由信息的某些属性，以使其满足本协议的要求。

l              设置路由的属性

对通过路由策略的路由设置相应的属性。

1.1.2  路由策略的实现

路由策略的实现步骤如下：

(1)        首先要定义将要实施路由策略的路由信息的特征，即定义一组匹配规则。可以用路由信息中的不同属性作为匹配依据进行设置，如目的地址、发布路由信息的路由器地址等。

(2)        然后再将匹配规则应用于路由的发布、接收和引入等过程的路由策略中。

可以灵活使用过滤器来定义各种匹配规则，过滤器的相关内容见下一节介绍。

1.1.3  过滤器

过滤器可以看作是路由策略过滤路由的工具，单独配置的过滤器没有任何过滤效果，只有在路由协议的相关命令中应用这些过滤器，才能够达到预期的过滤效果。

路由协议可以引用访问控制列表、地址前缀列表、AS路径访问列表、团体属性列表、扩展团体属性列表、路由策略几种过滤器。下面对各种过滤器逐一进行介绍。

1. 访问控制列表

访问控制列表包括针对IPv4报文的ACL和针对IPv6报文的ACL。用户在定义ACL时可以指定IP(v6)地址和子网范围，用于匹配路由信息的目的网段地址或下一跳地址。

ACL的相关内容请参见“ACL和QoS配置指导”中的“ACL”。

2. 地址前缀列表

地址前缀列表包括IPv4地址前缀列表和IPv6地址前缀列表。

地址前缀列表的作用类似于ACL，但比它更为灵活，且更易于用户理解。使用地址前缀列表过滤路由信息时，其匹配对象为路由信息的目的地址信息域；另外，用户可以指定gateway选项，指明只接收某些路由器发布的路由信息。关于gateway选项的设置请参见“三层技术-IP路由命令参考”中的“RIP”。

一个地址前缀列表由前缀列表名标识。每个前缀列表可以包含多个表项，每个表项可以独立指定一个网络前缀形式的匹配范围，并用一个索引号来标识，索引号指明了在地址前缀列表中进行匹配检查的顺序。

每个表项之间是“或”的关系，在匹配的过程中，路由器按升序依次检查由索引号标识的各个表项，只要有某一表项满足条件，就意味着通过该地址前缀列表的过滤（不再进入下一个表项的测试）。

3. 路由策略

路由策略是一种比较复杂的过滤器，它不仅可以匹配路由信息的某些属性，还可以在条件满足时改变路由信息的属性。路由策略可以使用前面几种过滤器定义自己的匹配规则。

一个路由策略可以由多个节点（node）构成，每个节点是匹配检查的一个单元，在匹配过程中，系统按节点序号升序依次检查各个节点。不同节点间是“或”的关系，如果通过了其中一个节点，就意味着通过该路由策略，不再对其他节点进行匹配。

每个节点可以由一组if-match、apply和continue子句组成。

l              if-match子句定义匹配规则，匹配对象是路由信息的一些属性。同一节点中的不同if-match子句是“与”的关系，只有满足节点内所有if-match子句指定的匹配条件，才能通过该节点的匹配测试。

l              apply子句指定动作，也就是在通过节点的匹配后，对路由信息的一些属性进行设置。

l              continue子句用来配置下一个执行节点。当路由成功匹配当前路由策略节点时，可以指定路由继续匹配同一路由策略内的下一个节点，这样可以组合路由策略各个节点的if-match子句和apply子句，增强路由策略的灵活性。

if-match、apply和continue子句可以根据应用进行设置，都是可选的。

l              如果只过滤路由，不设置路由的属性，则不需要使用apply子句。

l              如果某个permit节点没有配置任何if-match子句，则该节点匹配所有的路由。

l              通常在多个deny节点后设置一个不含if-match子句和apply子句的permit节点，用于允许其它的路由通过。

1.2  配置过滤列表

1.2.1  配置准备

在配置过滤列表之前，需要准备以下数据：

l              前缀列表名称

l              匹配的地址范围

l              扩展团体属性列表序号

1.2.2  配置地址前缀列表

1. 配置IPv4地址前缀列表

IPv4地址前缀列表由列表名标识，每个前缀列表可以包含多个表项。各表项以网络前缀的形式，独立指定一个匹配范围，并使用索引号标识。

在匹配过程中，系统按索引号升序依次检查各个表项，只要路由信息满足一个表项，就认为通过该过滤列表，不再去匹配其他表项。

表1-1 配置IPv4地址前缀列表

例如，按如下配置可以保证仅过滤掉10.1.0.0/16、10.2.0.0/16、10.3.0.0/16三个网段的路由，而其它网段的路由信息可以通过。

<Sysname> system-view

[Sysname] ip ip-prefix abc index 10 deny 10.1.0.0 16

[Sysname] ip ip-prefix abc index 20 deny 10.2.0.0 16

[Sysname] ip ip-prefix abc index 30 deny 10.3.0.0 16

[Sysname] ip ip-prefix abc index 40 permit 0.0.0.0 0 less-equal 32

2. 配置IPv6地址前缀列表

IPv6地址前缀列表由列表名标识，每个前缀列表可以包含多个表项。各表项可以独立指定一个网络前缀形式的匹配范围，并使用索引号标识。

在匹配的过程中，系统按索引号升序依次检查各个表项，只要路由信息满足一个表项，就认为通过该过滤列表，不再去匹配其他表项。

表1-2 配置IPv6地址前缀列表

例如，按如下配置可以保证仅过滤掉2000:1::/48、2000:2::/48、2000:3::/48三个网段的路由，而其它网段的路由信息可以通过。

<Sysname> system-view

[Sysname] ip ipv6-prefix abc index 10 deny 2000:1:: 48

[Sysname] ip ipv6-prefix abc index 20 deny 2000:2:: 48

[Sysname] ip ipv6-prefix abc index 30 deny 2000:3:: 48

[Sysname] ip ipv6-prefix abc index 40 permit :: 0 less-equal 128

1.3  配置路由策略

路由策略用来根据路由信息的某些属性过滤路由信息，并改变与路由策略规则匹配的路由信息的属性。匹配条件可以使用前面几种过滤列表。

一个路由策略可由多个节点构成，每个节点又分为：

l              if-match子句：定义匹配规则，即路由信息通过当前路由策略所需满足的条件，匹配对象是路由信息的某些属性。

l              apply子句：指定动作，也就是在满足由if-match子句指定的过滤条件后所执行的一些配置命令，对路由的某些属性进行修改。

l              continue子句：用来配置下一个执行节点，当路由成功匹配当前路由策略节点时，可以指定路由继续匹配同一路由策略内的下一个节点。

1.3.1  配置准备

在配置路由策略之前，需完成以下任务：

l              配置过滤列表

l              配置路由协议

在配置之前，需要准备以下数据：

l              路由策略的名称、节点序号

l              匹配条件

l              要修改的路由属性值

1.3.2  创建一个路由策略

表1-3 创建一个路由策略

1.3.3  配置if-match子句

表1-4 配置if-match子句

1.3.4  配置apply子句

表1-5 配置apply子句

1.3.5  配置continue子句

表1-6 配置continue子句

1.4  路由策略的显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后路由策略的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除路由策略的统计信息。

表1-7 路由策略的显示和维护

1.5  路由策略典型配置举例

1.5.1  在IPv4路由引入中应用路由策略

1. 组网需求

如下图所示，Switch A和Switch B通过RIP-2实现网络层互通。Switch A上存在着到达20.0.0.0/8、30.0.0.0/8、40.0.0.0/8网段的静态路由，Switch B希望通过Switch A访问这些网络，但是Swtich A只允许Switch B访问20.0.0.0/8、40.0.0.0/8网络，禁止访问30.0.0.0/8网络。

2. 组网图

图1-1 在IPv4路由引入中应用路由策略组网图

3. 配置步骤

(1)        配置Switch A

# 配置各接口的IP地址（略）

# 配置RIP基本功能

<SwitchA> system-view

[SwitchA] rip

[SwitchA-rip-1] version 2

[SwitchA-rip-1] undo summary

[SwitchA-rip-1] network 192.168.1.0

[SwitchA-rip-1] quit

# 配置三条静态路由

[SwitchA] ip route-static 20.0.0.0 255.0.0.0 172.17.1.2

[SwitchA] ip route-static 30.0.0.0 255.0.0.0 172.17.1.2

[SwitchA] ip route-static 40.0.0.0 255.0.0.0 172.17.1.2

# 配置访问列表

[SwitchA] acl number 2000

[SwitchA-acl-basic-2000] rule deny source 30.0.0.0 0.255.255.255

[SwitchA-acl-basic-2000] rule permit source any

[SwitchA-acl-basic-2000] quit

# 引入静态路由

[SwitchA] rip

[SwitchA-rip-1] import-route static

# 对发布给Switch B的路由信息引用ACL 2000进行过滤，只有通过过滤的路由信息才发布给Switch B

[SwitchA-rip-1] filter-policy 2000 export vlan-interface 100

[SwitchA-rip-1] quit

(2)        配置Switch B

# 配置各接口的IP地址（略）

# 配置RIP基本功能

<SwitchB> system-view

[SwitchB] rip

[SwitchB-rip-1] version 2

[SwitchB-rip-1] undo summary

[SwitchB-rip-1] network 192.168.1.0

[SwitchB-rip-1] network 10.0.0.0

[SwitchB-rip-1] quit

(3)        查看Switch B的rip路由表，验证结果

[SwitchB] display rip 1 route

 Route Flags: R - RIP, T - TRIP

              P - Permanent, A - Aging, S - Suppressed, G - Garbage-collect ----------------------------------------------------------------------

 Peer 192.168.1.3  on Vlan-interface100

      Destination/Mask        Nexthop     Cost    Tag   Flags   Sec

         20.0.0.0/8       192.168.1.3         1       0    RA      14

         40.0.0.0/8       192.168.1.3         1       0    RA      14

结果显示，上面的配置方法可以实现配置要求，Switch B只接收到了通过ACL 2000过滤后的路由信息。

1.5.2  在IPv6路由引入中应用路由策略

1. 组网需求

l              在Switch A和Switch B上使能RIPng。

l              在Switch A上配置三条静态路由，并设置在引入静态路由时应用路由策略，使三条静态路由部分引入、部分被屏蔽掉——20::/32和40::/32网段的路由是可见的，30::/32网段的路由则被屏蔽。

l              通过在Switch B上查看RIPng路由表，验证路由策略是否生效。

2. 组网图

图1-2 在IPv6路由引入中应用路由策略组网图

3. 配置步骤

(1)        配置Switch A

# 配置接口Vlan-interface100和Vlan-interface200的IPv6地址。

<SwitchA> system-view

[SwitchA] ipv6

[SwitchA] interface vlan-interface 100

[SwitchA-Vlan-interface100] ipv6 address 10::1 32

[SwitchA-Vlan-interface100] quit

[SwitchA] interface vlan-interface 200

[SwitchA-Vlan-interface200] ipv6 address 11::1 32

[SwitchA-Vlan-interface200] quit

# 在接口下使能RIPng。

[SwitchA] interface vlan-interface 100

[SwitchA-Vlan-interface100] ripng 1 enable

[SwitchA-Vlan-interface100] quit

# 配置三条静态路由，其下一跳为11::2，保证静态路由为active状态。

[SwitchA] ipv6 route-static 20:: 32 11::2

[SwitchA] ipv6 route-static 30:: 32 11::2

[SwitchA] ipv6 route-static 40:: 32 11::2

# 配置路由策略。

[SwitchA] ip ipv6-prefix a index 10 permit 30:: 32

[SwitchA] route-policy static2ripng deny node 0

[SwitchA-route-policy] if-match ipv6 address prefix-list a

[SwitchA-route-policy] quit

[SwitchA] route-policy static2ripng permit node 10

[SwitchA-route-policy] quit

# 启动RIPng协议并引入静态路由。

[SwitchA] ripng

[SwitchA-ripng-1] import-route static route-policy static2ripng

(2)        配置Switch B

# 配置接口Vlan-interface100的IPv6地址。

[SwitchB] ipv6

[SwitchB] interface vlan-interface 100

[SwitchB-Vlan-interface100] ipv6 address 10::2 32

# 在接口下使能RIPng。

[SwitchB-Vlan-interface100] ripng 1 enable

[SwitchB-Vlan-interface100] quit

# 启动RIPng协议。

[SwitchB] ripng

# 查看RIPng路由表。

[SwitchB-ripng-1] display ripng 1 route

   Route Flags: A - Aging, S - Suppressed, G - Garbage-collect

 ----------------------------------------------------------------

 Peer FE80::7D58:0:CA03:1  on Vlan-interface 100

 Dest 10::/32,

     via FE80::7D58:0:CA03:1, cost  1, tag 0, A, 18 Sec

 Dest 20::/32,

     via FE80::7D58:0:CA03:1, cost  1, tag 0, A, 8 Sec

 Dest 40::/32,

     via FE80::7D58:0:CA03:1, cost  1, tag 0, A, 3 Sec 

1.6  常见错误配置举例

1.6.1  无法实现IPv4路由信息过滤

1. 错误现象

路由协议运行正常的情况下无法实现路由信息过滤。

2. 分析

地址前缀列表的各个表项中至少应该有一个表项的匹配模式是permit模式。Route-policy的各个节点中至少应该有一个节点的匹配模式是permit模式。

3. 处理过程

(1)        使用display ip ip-prefix命令查看前缀列表的配置。

(2)        使用display route-policy命令查看路由策略的配置。

1.6.2  无法实现IPv6路由信息过滤

1. 错误现象

路由协议运行正常的情况下无法实现路由信息过滤。

2. 分析

地址前缀列表的各个表项中至少应该有一个表项的匹配模式是permit模式。Route-policy的各个节点中至少应该有一个节点的匹配模式是permit模式。

3. 处理过程

(1)        使用display ip ipv6-prefix命令查看前缀列表的配置。

(2)        使用display route-policy命令查看路由策略的配置。