01-S12500_IPv4策略路由典型配置举例
本章节下载: 01-S12500_IPv4策略路由典型配置举例 (139.99 KB)
本文档介绍了IPv4策略路由的配置举例。
普通报文是根据目的IP地址来查找路由表转发的,策略路由是一种依据用户制定的策略进行路由选择的机制。策略路由可以基于到达报文的源地址、目的地址、IP优先级、协议类型等字段灵活地进行路由选择。
策略路由的优先级高于普通路由。配置了策略路由后,报文的转发流程如下(分4种情况):
(1) 策略节点的匹配模式为permit,该节点下ACL规则动作为permit
· 匹配成功:若策略路由设置的出接口或下一跳有效,则按策略路由转发;若策略路由设置的出接口或下一跳无效,则按照普通路由表转发;
· 匹配失败:继续下一个节点的匹配。
(2) 策略节点的匹配模式为permit,该节点下ACL规则动作为deny
· 匹配成功:继续下一个节点的匹配;
· 匹配失败:继续下一个节点的匹配。
(3) 策略节点的匹配模式为deny,该节点下ACL规则动作为permit
· 匹配成功:按照普通路由表转发;
· 匹配失败:继续下一个节点的匹配。
(4) 策略节点的匹配模式为deny,该节点下ACL规则动作为deny
· 匹配成功:继续下一个节点的匹配;
· 匹配失败:继续下一个节点的匹配。
实际应用中,策略路由的配置一般采用第一种情况。
本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。
本文假设您已了解IPv4策略路由特性。
如图1所示,缺省情况下,Device的GE5/0/47端口上收到的所有报文根据路由表转发的下一跳均为10.4.1.2。
现要求在Device上配置IPv4策略路由,具体实现要求如下:
(1) 首先匹配GE5/0/47端口上收到的源IP为10.2.1.1的报文,将该报文的下一跳重定向到10.5.1.2;
(2) 其次匹配GE5/0/47端口上收到的源IP不为10.2.1.1的TCP报文,将该报文的下一跳重定向到10.3.1.2。
图1 IPv4策略路由特性典型配置组网图
· 为了确保能同时满足对于两种不同类型的报文重定向到不同的下一跳,需要配置两个访问控制列表,一个用于匹配GE5/0/47端口上收到的源IP为10.2.1.1的报文,另一个用于匹配GE5/0/47端口上收到的源IP不为10.2.1.1的TCP报文,并在策略路由中创建两个节点,分别对匹配上的报文进行重定向;
· 同一条策略路由中,创建的节点编号越小,优先级越高。为了确保GE5/0/47端口上收到源IP为10.2.1.1的TCP报文下一跳能优先被重定向到10.5.1.2,需要在策略路由中配置该策略使用较小的节点编号(本例中使用0号节点,另一策略使用1号节点)。
本举例是在S12500-CMW710-R7129版本上进行配置和验证的。
· S12500只支持转发策略路由。转发策略路由只对接口接收的报文起作用,指导其转发,对本地产生的报文不起作用;
· 配置重定向到下一跳时,不能将IPv4规则重定向到IPv6地址,反之亦然。
# 请按照图1配置各接口的IP地址和子网掩码,具体配置过程略。
# 定义访问控制列表ACL 3005,用于匹配源IP为10.2.1.1的报文。
<DEVICE> system-view
[DEVICE] acl number 3005
[DEVICE-acl-adv-3005] rule 0 permit ip source 10.2.1.1 0
[DEVICE-acl-adv-3005] quit
# 定义访问控制列表ACL 3006,用于匹配GE5/0/47端口上收到的源IP不为10.2.1.1的TCP报文。
[DEVICE] acl number 3006
[DEVICE-acl-adv-3006] rule 0 permit tcp
[DEVICE-acl-adv-3006] quit
# 创建策略路由pbr1的0号节点,将匹配ACL 3005的报文下一跳重定向到10.5.1.2。
[DEVICE] policy-based-route pbr1 permit node 0
[DEVICE-pbr-pbr1-0] if-match acl 3005
[DEVICE-pbr-pbr1-0] apply next-hop 10.5.1.2
[DEVICE-pbr-pbr1-0] quit
# 创建策略路由pbr1的1号节点,将匹配ACL 3006的报文下一跳重定向到10.3.1.2。
[DEVICE] policy-based-route pbr1 permit node 1
[DEVICE-pbr-pbr1-1] if-match acl 3006
[DEVICE-pbr-pbr1-1] apply next-hop 10.3.1.2
[DEVICE-pbr-pbr1-1] quit
# 在交换机的入接口Vlan-interface2上应用策略。
[DEVICE] interface vlan-interface 2
[DEVICE-Vlan-interface2] ip policy-based-route pbr1
[DEVICE-Vlan-interface2] quit
通过display ip policy-based-route命令可以查看到当前策略路由配置已经配置成功:
[DEVICE] display ip policy-based-route policy pbr1
Policy name: pbr1
node 0 permit:
if-match acl 3005
apply next-hop 10.5.1.2
node 1 permit:
if-match acl 3006
apply next-hop 10.3.1.2
当Device收到源IP为10.1.1.1/24和10.2.1.1/24的报文时,有如下结果:
· 当10.3.1.2和10.5.1.2均可达时,源IP为10.2.1.1的所有IP报文都被重定向到10.5.1.2;源IP为10.1.1.1的TCP报文被重定向到10.3.1.2;其他报文会根据普通的路由表转发到下一跳10.4.1.2;
· 当10.3.1.2可达和10.5.1.2不可达时,源IP为10.1.1.1的TCP报文被重定向到10.3.1.2;其他报文会根据普通的路由表转发到下一跳10.4.1.2;
· 当10.3.1.2不可达和10.5.1.2可达时,源IP为10.2.1.1的所有IP报文都被重定向到10.5.1.2;其他报文会根据普通的路由表转发到下一跳10.4.1.2;
· 当10.3.1.2和10.5.1.2均不可达时,所有报文都会根据普通的路由表转发到下一跳10.4.1.2。
#
vlan 1
#
vlan 2 to 5
#
policy-based-route pbr1 permit node 0
if-match acl 3005
apply next-hop 10.5.1.2
#
policy-based-route pbr1 permit node 1
if-match acl 3006
apply next-hop 10.3.1.2
#
interface Vlan-interface2
ip address 10.1.2.1 255.255.255.0
ip policy-based-route pbr1
#
interface Vlan-interface3
ip address 10.3.1.1 255.255.255.0
#
interface Vlan-interface4
ip address 10.4.1.1 255.255.255.0
#
interface Vlan-interface5
ip address 10.5.1.1 255.255.255.0
#
interface GigabitEthernet5/0/3
port link-mode bridge
port access vlan 3
#
interface GigabitEthernet5/0/4
port link-mode bridge
port access vlan 4
#
interface GigabitEthernet5/0/47
port link-mode bridge
port access vlan 2
#
interface GigabitEthernet5/0/48
port link-mode bridge
port access vlan 5
#
acl number 3005
rule 0 permit ip source 10.2.1.1 0
#
acl number 3006
rule 0 permit tcp
#
· 《H3C S12500系列路由交换机 三层技术-IP路由配置指导》中的“策略路由”
· 《H3C S12500系列路由交换机 三层技术-IP路由命令参考》中的“策略路由”
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!