1. 从一次网络故障说起为什么需要策略路由去年我负责的一个混合云项目上线后运维同事反馈了一个奇怪的现象从公司内网访问部署在公有云A上的Web服务速度时快时慢有时甚至完全不通。但通过公有云B上的跳板机去访问却一切正常。我们检查了所有常规配置路由表是通的安全组策略放行了网络ACL也没问题。问题到底出在哪经过一番抓包和路由追踪真相浮出水面。原来公司内网出口有两条链路一条是高速专线直连到公有云A另一条是普通互联网线路默认路由指向这里。由于某些历史策略部分内网子网的流量被错误地导向了普通互联网线路而这条线路到云A的路径存在拥塞和不稳定节点。传统的路由决策无论是静态路由还是动态路由协议如OSPF、BGP都只根据目标IP地址这一个维度来选择路径。对于“从特定源来的、去往云A的流量必须走专线”这种复杂需求它们无能为力。策略路由就是解决这类问题的“手术刀”。它不是替代传统路由而是在传统路由表决策之前增加了一个更灵活、更智能的“流量调度器”。你可以基于源IP、目标IP、协议类型、端口号甚至数据包大小等丰富的条件为匹配的流量指定独特的下一跳、出接口或修改其优先级。简单来说传统路由回答的问题是“要去XX地方我该走哪条路” 而策略路由回答的问题是“什么样的人源在什么情况下协议/端口要去XX地方我该为他安排哪条专属通道” 这让你能实现精细化的流量工程比如让视频会议流量走低延迟链路让大文件下载走高带宽链路或者让管理流量与业务流量物理隔离。2. 策略路由的核心原理在路由表前加一道“智能关卡”要理解策略路由首先要明白数据包在路由器或三层交换机中的转发流程。一个简化的标准流程是数据包到达 - 查找路由表 - 从路由表决定的接口转发出去。策略路由在这个流程中插入了一个关键环节通常被称为“策略路由”或“PBR”处理节点。它的工作原理可以分解为以下几个核心步骤2.1 定义流量“画像”访问控制列表策略路由的第一步是识别“什么样的流量”。这通常通过访问控制列表来实现。ACL在这里不再是用于过滤允许/拒绝而是充当一个“流量分类器”。标准ACL通常只基于源IP地址进行匹配。例如access-list 10 permit 192.168.1.0 0.0.0.255就定义了一个“画像”所有来自192.168.1.0/24网段的流量。扩展ACL可以基于源IP、目标IP、协议类型如TCP、UDP、ICMP以及源/目标端口号进行更精细的匹配。例如access-list 101 permit tcp 192.168.1.0 0.0.0.255 any eq 80定义的“画像”是来自192.168.1.0/24网段去往任何目标TCP 80端口HTTP的流量。注意在策略路由中ACL的末尾隐含规则deny any依然有效。这意味着只有被ACLpermit的流量才会进入策略路由流程未被匹配的流量将跳过PBR继续走传统的路由表查询路径。这一点至关重要是设计策略时的关键。2.2 制定转发“策略”路由映射表定义了流量画像后我们需要为它们制定“专属通行策略”。这个策略的载体就是路由映射表。路由映射表的结构类似于编程中的“if-then”语句。一个基本的路由映射表条目包含序列号决定匹配和执行的顺序从小到大。匹配条件通常就是引用上一步定义的ACL。也可以匹配数据包长度、QoS标记等。执行动作对匹配的流量执行什么操作。在策略路由中核心动作是set。set ip next-hop强制将数据包的下一跳地址设置为指定的IP。这是最常用、最直接的方式。set interface强制数据包从指定的物理或逻辑接口转发出去。set ip default next-hop仅在路由表中没有明确路由即默认路由也不存在不通常指没有更精确路由时尝试使用此下一跳时生效行为因设备厂商和OS版本略有差异需谨慎使用。set ip precedence或set dscp修改数据包的QoS标记用于后续的优先级队列处理。例如一个典型的路由映射表配置可能是route-map INTERNET-OUTBOUND permit 10 match ip address ACL-OFFICE-SUBNET set ip next-hop 203.0.113.1这条策略的意思是如果数据包匹配了ACLACL-OFFICE-SUBNET那么就允许执行策略permit并将其下一跳设置为203.0.113.1。2.3 应用策略到“关口”入接口或全局制定了策略还需要把它应用到流量必经的“关卡”上。这个应用点至关重要决定了策略的作用范围。入接口应用这是最常用、最直观的方式。将路由映射表应用到路由器接收数据包的入方向接口上。这意味着只有从这个接口进入设备的数据包才会被施加策略路由检查。这种方式影响范围明确易于管理和排错。例如将策略应用到连接公司内网的GigabitEthernet0/0接口。全局应用少数平台支持将策略路由全局应用到设备上影响所有接口的入站流量。这种方式控制力强但风险也高一旦配置错误可能影响所有流量需极其谨慎。当数据包到达应用了PBR的接口时处理流程变为入接口接收 -PBR检查- 若匹配则按set动作转发 - 若不匹配则正常查询路由表- 转发。3. 实战演练配置一个典型的分流场景光说不练假把式。我们用一个最常见的场景来演示策略路由的配置公司拥有双线互联网接入电信、联通希望内部研发网段192.168.10.0/24访问所有外部资源都走电信线路而市场部网段192.168.20.0/24则走联通线路。拓扑简化如下路由器内网口G0/0连接电信的外网口G0/1下一跳1.1.1.1连接联通的外网口G0/2下一跳2.2.2.1。我们将以思科IOS风格CLI为例进行配置其逻辑在其他厂商设备如华为的traffic-policy或policy-based-route上也大同小异。3.1 第一步定义流量分类ACL首先我们需要创建两个ACL来精确识别研发部和市场部的流量。这里使用标准ACL即可因为我们只关心源IP地址。! 创建ACL匹配研发部网段流量 ip access-list standard ACL-RD permit 192.168.10.0 0.0.0.255 ! 创建ACL匹配市场部网段流量 ip access-list standard ACL-MKT permit 192.168.20.0 0.0.0.2550.0.0.255是反掩码permit语句意味着匹配这些源IP的流量将被策略路由处理。3.2 第二步创建路由映射表制定策略接下来创建路由映射表为不同类别的流量指定不同的出口。! 创建路由映射表 PBR-OUTBOUND route-map PBR-OUTBOUND permit 10 description Redirect RD traffic to ChinaTelecom match ip address ACL-RD ! 匹配研发部ACL set ip next-hop 1.1.1.1 ! 下一跳指向电信网关 route-map PBR-OUTBOUND permit 20 description Redirect Marketing traffic to ChinaUnicom match ip address ACL-MKT ! 匹配市场部ACL set ip next-hop 2.2.2.1 ! 下一跳指向联通网关这里有两个序列10和20。设备会按顺序评估。如果数据包源IP是192.168.10.5它匹配序列10执行set ip next-hop 1.1.1.1后就不再继续检查序列20。序列20是为市场部流量准备的。3.3 第三步在入接口应用策略最后也是最关键的一步将这个策略应用到内网流量进入路由器的那个接口上。interface GigabitEthernet0/0 description LAN-Inside ip address 192.168.1.1 255.255.255.0 ip policy route-map PBR-OUTBOUND ! 在此接口入方向应用策略路由配置完成后从G0/0接口进入的、源IP属于研发或市场部的流量将不再查询全局路由表而是直接根据route-map的指示从相应的外网接口转发出去。3.4 第四步验证与排错配置完成后必须进行验证。检查策略路由配置show route-map PBR-OUTBOUND查看路由映射表是否配置正确以及匹配计数器如果支持是否在增加。检查接口应用show ip policy或show running-config interface GigabitEthernet0/0确认策略已正确应用到目标接口。实战测试 从研发部192.168.10.x和市場部192.168.20.x的PC上分别进行路由追踪tracert或traceroute到一个公网IP如8.8.8.8。观察第一跳是否分别指向1.1.1.1和2.2.2.1。这是最直接的验证方法。查看本地路由表show ip route确保你的默认路由或相关路由仍然存在。策略路由的流量不依赖于路由表中的这些路由来转发但未匹配PBR的流量如其他部门以及PBR指定的下一跳的可达性仍然依赖于路由表。这是一个常见的混淆点PBR的set ip next-hop是强制性的即使路由表里没有去往目标网段的路由匹配的流量也会被发往这个下一跳。但如果这个下一跳地址本身对于路由器来说不可达即没有去往这个下一跳IP的路由数据包将会被丢弃。4. 策略路由的进阶应用与经典“坑点”掌握了基础配置我们来看看策略路由还能玩出什么花样以及在实际部署中那些容易踩坑的地方。4.1 基于应用的精细引流除了基于IP策略路由更强大的地方在于可以基于四层端口进行引流。例如希望所有HTTP/HTTPS网页浏览流量走一条低成本高延迟的链路而所有SSH、RDP远程管理和语音流量走一条低延迟的优质链路。! 创建扩展ACL识别流量 ip access-list extended ACL-WEB permit tcp any any eq 80 ! HTTP permit tcp any any eq 443 ! HTTPS ip access-list extended ACL-CRITICAL permit tcp any any eq 22 ! SSH permit tcp any any eq 3389 ! RDP permit udp any any range 16384 32767 ! 语音RTP常用端口范围 ! 创建路由映射 route-map APP-BASED-ROUTING permit 10 match ip address ACL-WEB set ip next-hop 10.0.0.1 ! 指向低成本链路网关 route-map APP-BASED-ROUTING permit 20 match ip address ACL-CRITICAL set ip next-hop 172.16.0.1 ! 指向优质链路网关将此route-map应用到内网入口即可实现基于应用的智能选路。4.2 与NAT结合的注意事项策略路由和NAT网络地址转换结合时顺序问题是最大的坑。数据包处理流程通常是入接口PBR - 路由查询 - NAT出接口。这意味着策略路由的set ip next-hop或set interface动作发生在NAT之前。你策略路由所指定的下一跳必须是能够处理转换前源IP的路径。例如你的内网IP是192.168.1.100出公网需要NAT成202.96.1.10。如果你用PBR将流量指向一个下一跳而这个下一跳设备的路由表里没有回程路由指向你的真实公网IP202.96.1.10或者其安全策略不允许从192.168.1.100这个私网IP来的流量那么即使出去的通路正确返回的流量也无法正确送达导致会话失败。实操心得在配置了NAT的环境中做策略路由最好先在目标路径上不做PBR只用NAT测试连通性。确认通顺后再叠加PBR策略。并且要确保PBR指向的下一跳设备其回程路由指向的是你NAT转换后的公网IP地址池。4.3 策略路由无法匹配由本机产生的流量这是一个至关重要的限制。策略路由只能作用于“经转”的流量即从一个接口进入需要从另一个接口转发出去的流量。对于路由器自身CPU产生的流量例如你从路由器CLI发起的ping或telnet测试或者路由器发出的SNMP Trap、Syslog、NTP请求等策略路由是无效的。这些流量永远只遵循设备自身的路由表即show ip route看到的表。例如你在路由器上配置了让所有HTTP流量走链路A的策略并从路由器上ping一个公网地址这个ping包不会走链路A而是走路由表决定的路径。要测试策略路由效果必须从连接在应用了PBR的接口下的其他主机发起流量。4.4 默认路由与策略路由的博弈当策略路由的set动作指定的下一跳或接口失效时比如链路断开流量会怎样处理这取决于配置如果使用了set ip next-hop并且指定的下一跳不可达大多数平台会丢弃匹配的数据包而不会回退到查询路由表。这是为了确保策略的强制性。如果使用了set ip default next-hop则仅在路由表中没有明确路由包括默认路由匹配该数据包时才会使用这个“默认下一跳”。如果路由表中有路则优先走路由表。这个行为比较复杂且在不同厂商设备上可能有差异生产环境慎用。可靠的实践是对于关键的策略路由路径一定要配置链路检测如IP SLA并与静态路由或动态路由联动确保下一跳的可用性。或者在路由映射表中配置多个set ip next-hop语句形成备份路径。4.5 性能考量策略路由需要路由器对每个数据包进行ACL匹配和策略查询这是一个比单纯查询路由表最长前缀匹配更消耗CPU的过程。在低端设备或高速链路上大规模部署复杂的策略路由尤其是使用大量扩展ACL可能会对转发性能产生影响。在设计和实施前需要评估设备的性能规格。我的经验是对于百兆、千兆级别的企业接入现代中端路由器处理常规的策略路由绰绰有余。但在万兆核心或者需要匹配大量复杂条件的场景需要考虑采用更专业的流量工程方案或者通过简化ACL、将策略下放到接入交换机等方式来分担压力。策略路由是一把精准的流量雕刻刀它赋予了网络管理员超越目的IP的流量控制能力。从简单的源地址分流到复杂的基于应用的路径选择它都能胜任。然而它的强大也伴随着复杂性尤其是与NAT、路由协议、设备自身流量共存时需要清晰的理解和严谨的测试。记住它的工作边界只针对经转流量理解其处理顺序先PBR后路由表查询并在变更时做好验证你就能稳健地利用这把利器解决传统路由无法应对的复杂网络流量调度难题。