登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

09-典型配置举例

目录

13-策略路由典型配置举例

本章节下载： 13-策略路由典型配置举例  (332.49 KB)

docurl=/cn/Service/Document_Software/Document_Center/Home/Security/00-Public/Configure/Operation_Manual/H3C_SecPath_Web_RXX60_E1185_V7-Long/99/202301/1749995_30005_0.htm

13-策略路由典型配置举例

策略路由典型配置举例

本章包含如下内容：

·     简介

·     配置前提

·     配置举例

 

本文档介绍策略路由功能的典型配置举例。

策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对满足一定条件（如ACL规则）的报文执行指定的操作，如设置报文的下一跳和出接口等。与静态路由、动态路由（如BGP）这些根据路由表指导报文转发的路由功能相比，策略路由的转发优先级更高。

配置前提

 

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解策略路由特性。

配置举例

组网需求

如图-1所示，公司在网络出口部署了一台安全网关Device A，内网侧包含网络A（192.168.1.0/24）和网络B（192.168.2.0/24），外网侧租用了由不同运营商提供的线路A和线路B：其中线路A的接入设备为Device C，接入点IP地址为1.1.1.2/30；线路B的接入设备为Device D，接入点IP地址为2.2.2.2/30。需要实现如下需求：

·     网络A的用户访问外网时，优先使用线路A；网络B的用户访问外网时，优先使用线路B。

·     当线路A和B中的任何一条线路出现故障时，内网用户访问外网的流量还可以通过另外一条正常的线路进行转发。

图-1 策略路由配置组网图

 

使用版本

本举例是在F1000-AI-55的R8860版本上进行配置和验证的。

配置步骤

Device A的配置

1.     配置接口的IP地址和安全域

# 选择“网络 > 接口 > 接口”，进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮，配置如下。

·     安全域：Trust

·     选择“IPv4地址”页签，配置IP地址/掩码：192.168.3.2/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/2，配置如下。

·     安全域：Untrust

·     选择“IPv4地址”页签，配置IP地址/掩码：1.1.1.1/30

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3，配置如下。

·     安全域：Untrust

·     选择“IPv4地址”页签，配置IP地址/掩码：2.2.2.1/30

·     其他配置项使用缺省值

# 单击<确定>按钮，完成接口IP地址和安全域的配置。

2.     配置路由

本举例仅以静态路由为例，若实际组网中需采用动态路由，请配置对应的动态路由协议。

# 选择“网络 > 路由 > 静态路由 > IPv4静态路由”，单击<新建>按钮，进入新建IPv4静态路由页面。

# 新建访问网络A的IPv4静态路由，并进行如下配置：

·     目的IP地址：192.168.1.0

·     掩码长度：24

·     下一跳IP地址：192.168.3.1

·     其他配置项使用缺省值

# 单击<确定>按钮，完成静态路由的配置。

# 新建访问网络B的IPv4静态路由，并进行如下配置：

·     目的IP地址：192.168.2.0

·     掩码长度：24

·     下一跳IP地址：192.168.3.1

·     其他配置项使用缺省值

# 单击<确定>按钮，完成静态路由的配置。

3.     配置安全策略

# 选择“策略 > 安全策略 > 安全策略”，单击<新建>按钮，选择新建策略，进入新建安全策略页面。

# 新建安全策略secpolicy，并进行如下配置：

·     名称：secpolicy

·     源安全域：Trust

·     目的安全域：Untrust

·     类型：IPv4

·     动作：允许

·     源IPv4地址：192.168.1.0/24、192.168.2.0/24

·     其他配置项使用缺省值

# 单击<确定>按钮，完成安全策略secpolicy的配置。

4.     配置ACL

# 选择“对象 > ACL > IPv4”，进入IPv4  ACL配置页面。

# 单击<新建>按钮，创建用于匹配网络A内用户访问外网流量的ACL，配置如下图所示。

图-2 新建编号为3000的ACL

 

# 单击<确定>按钮，继续添加规则，配置如下图所示。

图-3 为编号为3000的ACL添加规则

 

# 单击<确定>按钮，完成ACL 3000的配置。

# 再次单击<新建>按钮，创建用于匹配网络B内用户访问外网流量的ACL，配置如下图所示。

图-4 新建编号为3001的ACL

 

# 单击<确定>按钮，继续添加规则，配置如下图所示。

图-5 为编号为3001的ACL添加规则

 

# 单击<确定>按钮，完成ACL配置。

5.     配置策略路由

# 选择“网络 > 路由 > 策略路由 > IPv4策略路由”，进入IPv4策略路由配置页面。

# 单击<新建>按钮，新建IPv4策略路由，配置如下图所示。

图-6 新建IPV4策略路由

 

# 单击<新建>按钮，新建编号为5的策略节点，用于指导网络A内用户访问外网流量的转发，配置如下图所示。

图-7 新建编号为5的策略节点

 

# 单击“设置报文转发的下一跳地址”下方的<新建>按钮，配置报文转发的下一跳地址，配置如下图所示。

图-8 设置报文转发的下一跳地址

 

# 单击<确定>按钮，完成下一跳地址配置。

# 单击<确定>按钮，完成策略节点配置。

# 再次单击<新建>按钮，新建编号为10的策略节点，用于指导网络B内用户访问外网流量的转发，配置如下图所示。

图-9 新建编号为10的策略节点

 

# 单击“设置报文转发的下一跳地址”下方的<确定>按钮，配置报文转发的下一跳地址，配置如下图所示。

图-10 设置报文转发的下一跳地址

 

# 单击<确定>按钮，完成下一跳地址配置。

# 单击<确定>按钮，完成策略节点配置。

# 单击<确定>按钮，完成IPv4策略路由配置。

Device B的配置

# 配置静态路由，确保内网用户访问外网的报文能被转发到Device A的接口GE1/0/1上，配置步骤略。

验证配置

1.     跟踪网络A内的主机访问外网IP地址3.3.3.3的路由，发现3号跃点为线路A的接入点IP地址1.1.1.2

C:\Users\abc>tracert 3.3.3.3

最多通过30个跃点跟踪到3.3.3.3的路由

1      1 ms       1 ms       1 ms       192.168.1.1

2      2 ms       2 ms       2 ms       192.168.3.2

3      4 ms       7 ms       6 ms       1.1.1.2

4      5 ms       5 ms       4 ms       3.3.3.3

跟踪完成。

2.     跟踪网络B内的主机访问外网IP地址3.3.3.3的路由，发现3号跃点为线路B的接入点IP地址2.2.2.2

C:\Users\xyz>tracert 3.3.3.3

最多通过30个跃点跟踪到3.3.3.3的路由

1      1 ms       1 ms       1 ms       192.168.2.1

2      2 ms       2 ms       2 ms       192.168.3.2

3      5 ms       6 ms       5 ms       2.2.2.2

4      6 ms       4 ms       5 ms       3.3.3.3

跟踪完成。

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们