你有没有遇到过这样的场景明明网络拓扑画得清清楚楚静态路由也配得明明白白但流量就是不走你预想的那条路或者当网络需要同时承载办公、视频会议和备份流量时所有数据包都挤在同一条链路上导致关键业务卡顿非关键流量却占着带宽。这背后的核心矛盾往往不是“路由”本身出了问题而是“控制路由”的策略没有生效。很多网络工程师在学习了OSPF、BGP这些动态路由协议后会陷入一个误区认为只要协议通了路由表有了网络就能“智能”地工作。但现实是路由协议负责的是“发现”和“计算”路径生成一张客观的“地图”路由表。而具体让哪些“车辆”数据包走哪条“道路”什么时候需要“交通管制”则需要另一套更精细的指挥系统——这就是路由策略Route Policy与策略路由Policy-Based Routing, PBR要解决的问题。这两个概念名字相近极易混淆却是构建高可控性、高性能网络的关键分水岭。简单来说路由策略它的操作对象是“路由信息”。它像一个城市规划局决定哪些道路信息可以录入地图路由表哪些需要修改属性如优先级、开销从而影响路由协议计算出的最终路径。它作用于控制平面。策略路由它的操作对象是“数据包”。它像一个现场的交通警察不关心地图怎么画直接根据数据包的特征如源地址、协议类型、端口号指挥它们走特定的出口。它作用于转发平面。今天我们就彻底厘清这两者并结合OSPF和BGP这两个最核心的协议讲明白如何从“连通”走向“可控”。1. 先分清“地图规划师”与“交通指挥官”路由策略 vs. 策略路由理解两者的根本区别是避免配置混乱的第一步。我们可以用一个更具体的比喻假设你是一个物流中心的总调度。路由策略是你的“成本与路线规划部”。这个部门不接触具体的货物只研究各种运输线路的报告路由协议学习到的路由。他们会制定规则比如“所有从供应商A来的线路报告成本一律加10”修改路由开销“凡是提到走小路的报告一律不采纳”过滤路由“优先采用铁路公司的报告除非他们断线”调整路由优先级。这些规则最终影响的是你墙上的那张“官方推荐运输路线图”路由表。所有司机默认都按这张图走。策略路由则是你的“特种货物调度员”。有些货物很特殊比如生鲜冷链高优先级、危险品需特定路线或加急件。调度员会守在分拣口直接查看货物标签数据包的五元组。一旦匹配规则比如“所有发往冷库的货物”他就不看墙上的推荐图了直接指令“走3号门上蓝色冷链车”。这个指令是临时的、强制的且只针对匹配的货物。1.1 核心差异对照表为了让区别更直观我们列一个表格特性维度路由策略策略路由操作对象路由信息Routes数据包Packets作用层面控制平面Control Plane转发平面Forwarding Plane决策依据路由的属性如源协议、前缀、AS_Path、Community等数据包的属性如源/目IP、协议、端口、ToS、报文长度等生效阶段路由信息被放入路由表之前数据包到达接口查询路由表之后或替代查询核心目的影响路由表的内容从而间接影响所有流量的路径直接为特定流量指定路径不受路由表约束配置位置通常在路由协议进程下调用如OSPF/BGP的import-route或filter-policy在接口视图或全局下调用通过策略路由图实现影响力全局性。一条被过滤或修改的路由会影响所有去往该目的地的流量。局部性。只对匹配策略的流量生效其他流量仍按路由表转发。1.2 一个典型的误判场景假设公司有两条出口链路一条高速但贵的专线ISP1一条便宜但慢的宽带ISP2。目标是让内部服务器192.168.1.0/24访问互联网走宽带其他所有员工上网走专线。错误做法试图用路由策略实现在路由协议中过滤掉服务器网段从专线学到的默认路由。这会导致路由表中根本没有去往互联网的“专线路由”结果是所有流量包括员工流量都可能被丢到宽带线路上或者因为路由缺失而丢包。因为你修改的是“地图”本身。正确做法使用策略路由在连接内部服务器的网关接口上应用PBR。匹配源IP为服务器网段的数据包强制其下一跳指向宽带网关。员工流量不匹配此策略继续查询路由表走默认的专线路由。因为你指挥的是“具体的货物”。理解了这个根本区别我们才能进入实操。策略路由的配置逻辑相对独立而路由策略则深度依赖于具体的路由协议。我们先从更“主动”的指挥手段——策略路由开始。2. 策略路由当一次“交通管制”实现精细引流策略路由让你能基于比目的IP更丰富的条件来引导流量。它的配置通常遵循“定义流分类 - 定义流行为 - 绑定成策略 - 应用”的逻辑。2.1 基础配置框架与实战示例我们以华为设备VRP系统的配置逻辑为例其概念与其他厂商相通。假设场景路由器内网口G0/0/1下接两个网段10.1.1.0/24研发部和10.1.2.0/24市场部。路由器有两个出口G0/0/2高速链路下一跳1.1.1.1和G0/0/3备份链路下一跳2.2.2.2。要求研发部访问外网走高速链路市场部走备份链路。# 第一步配置ACL定义需要被“管制”的流量抓取研发部和市场部的源地址 acl number 2001 rule 5 permit source 10.1.1.0 0.0.0.255 # 匹配研发部网段 acl number 2002 rule 5 permit source 10.1.2.0 0.0.0.255 # 匹配市场部网段 # 第二步配置流分类将ACL与分类关联 traffic classifier R-D if-match acl 2001 traffic classifier MKT if-match acl 2002 # 第三步配置流行为定义“管制”动作指定下一跳 traffic behavior R-D-BEHAVIOR redirect ip-nexthop 1.1.1.1 # 研发部流量指向高速出口 traffic behavior MKT-BEHAVIOR redirect ip-nexthop 2.2.2.2 # 市场部流量指向备份出口 # 第四步创建流策略将分类与行为绑定 traffic policy PBR-DEMO classifier R-D behavior R-D-BEHAVIOR classifier MKT behavior MKT-BEHAVIOR # 第五步在流量入接口内网口上应用流策略 interface GigabitEthernet0/0/1 traffic-policy PBR-DEMO inbound # 关键策略路由通常在入方向应用配置完成后从研发部PC发出的数据包进入G0/0/1时匹配了策略就会被直接重定向到1.1.1.1不再查询路由表。市场部流量同理。2.2 关键细节与避坑指南入方向inbound应用是核心策略路由必须在流量进入设备的接口上应用。因为它需要在转发决策的最早期介入。如果在出接口应用设备已经根据路由表选好路并完成封装了为时已晚。策略路由优先级最高匹配PBR的流量其转发路径由PBR完全决定无视路由表。即使路由表里有更优的路径也以PBR为准。注意路由可达性redirect ip-nexthop指定的下一跳地址必须是设备通过其他方式直连路由、静态路由或动态路由可达的。否则数据包会被丢弃。在上例中1.1.1.1和2.2.2.2必须是路由表中存在的有效下一跳。复杂匹配条件除了源IP你还可以用ACL匹配目的IP、协议TCP/UDP/ICMP、端口号等实现如“将去往服务器80端口的流量引向WAF设备”等更精细的策略。故障排查命令display traffic policy statistics interface GigabitEthernet 0/0/1 inbound这条命令可以查看策略在接口上的匹配计数是判断策略是否生效的最直接证据。如果计数不增加检查ACL规则是否正确、策略是否应用在正确的接口和方向。策略路由给了我们一把精准的手术刀但它管理的是“流量”。当我们需要从源头影响“路由信息”的传播和选择时就需要请出功能更强大的“地图编辑工具”——路由策略尤其是在OSPF和BGP这样的动态协议中。3. 路由策略在OSPF中的核心应用控制LSA的生成与学习OSPF通过洪泛LSA来同步链路状态数据库所有路由器基于相同的LSDB计算出一致的最短路径树。路由策略在OSPF中主要用于影响LSA的传播从而影响其他路由器的计算。3.1 控制路由引入filter-policy与路由聚合OSPF自身不发明路由它传播的是链路状态。但从其他协议如直连、静态、BGP引入路由到OSPF时或者在不同OSPF区域间传递3类LSA时路由策略就派上用场了。场景一台ASBR自治系统边界路由器上有很多直连网段192.168.0.0/24,192.168.1.0/24...192.168.15.0/24你希望只将192.168.0.0/24和192.168.1.0/24引入OSPF其他的不引入。# 创建ACL或前缀列表定义“允许引入”的路由 acl number 2000 rule 5 permit source 192.168.0.0 0.0.0.255 rule 10 permit source 192.168.1.0 0.0.0.255 rule 15 deny source any # 隐式拒绝所有也可不配默认拒绝 # 在OSPF进程下使用filter-policy export对引入的路由进行过滤 ospf 1 router-id 1.1.1.1 filter-policy 2000 export direct # 仅引入ACL 2000允许的直连路由 import-route direct # 引入直连路由更佳实践路由聚合对于连续的子网更好的做法是使用abr-summary或asbr-summary进行聚合减少LSA数量提升网络稳定性。ospf 1 area 0.0.0.0 abr-summary 192.168.0.0 255.255.240.0 # 将16个/24子网聚合成一个/20的3类LSA发布3.2 控制路由学习filter-policy import这个功能用于过滤从OSPF邻居学习到的路由不让它们进入本地路由表。场景作为某区域的一台路由器你不想学习到来自邻居的关于10.2.0.0/16的路由。acl number 3000 rule 5 deny source 10.2.0.0 0.0.255.255 rule 10 permit source any ospf 1 filter-policy 3000 import # 阻止ACL 3000拒绝的路由进入路由表注意filter-policy import过滤的是进入路由表的路由但LSA仍然会被接收并存入LSDB也会被继续传递给其他OSPF邻居。它只影响本地路由决策。3.3 修改路由开销Cost开销是OSPF选路的首要依据。你可以通过路由策略在引入路由或接收路由时修改其开销值。场景从静态路由引入到OSPF时希望给某条特定路由设置一个较高的开销使其成为备用路径。# 使用Route-Policy路由策略这是一个更强大的工具 route-policy STATIC-TO-OSPF permit node 10 # 创建一个路由策略节点 if-match ip-prefix SPECIFIC-ROUTE # 匹配一个特定的前缀列表 apply cost 1000 # 如果匹配则设置开销为1000 ! route-policy STATIC-TO-OSPF permit node 20 # 创建另一个节点允许其他所有路由 # 不设置if-match表示匹配所有不设置apply表示使用默认开销或原开销 ! ip ip-prefix SPECIFIC-ROUTE index 10 permit 172.16.1.0 24 # 定义前缀列表 ospf 1 import-route static route-policy STATIC-TO-OSPF # 应用路由策略引入静态路由通过以上手段你就像一位OSPF区域的“信息审核官”可以决定哪些链路状态信息被广播、以何种代价被广播从而精细地塑造整个区域的路径选择倾向。然而当网络规模扩大到需要跨自治系统时BGP协议及其附带的路径属性为路由策略提供了更广阔的舞台。4. 路由策略在BGP中的高阶玩法基于属性的路径操控BGP的核心理念是“路径矢量”和“策略路由”。它携带丰富的路径属性如AS_Path、Next_Hop、Local_Pref、MED、Community等这些属性本身就是为路由策略而生的。在BGP中路由策略是进行路由选择、过滤和修改的核心工具。4.1 理解BGP选路规则与策略切入点BGP拥有一个复杂的决策过程BGP Best Path Selection Algorithm。路由策略可以在这个过程的多个环节介入入方向Import在接收邻居发来的路由并放入BGP表BGP Table之前进行过滤或属性修改。出方向Export在向邻居发送路由之前进行过滤或属性修改。路由注入将从IGP如OSPF或其他BGP进程学到的路由引入BGP时。4.2 关键属性操控实战我们通过几个常见场景来演示。场景一使用Local_Pref控制出站流量Local_Pref是公认的强属性只在AS内部传递用于告诉本AS内的路由器从多个出口中去往同一外部目的地的优先出口。值越高越优先。# 假设从两个ISP邻居Peer 2.2.2.2和3.3.3.3学习到了相同的路由。 # 我们希望优先使用ISP12.2.2.2的路径。 route-policy SET-LOCAL-PREF permit node 10 apply local-preference 200 # 设置较高的本地优先级 ! bgp 100 peer 2.2.2.2 route-policy SET-LOCAL-PREF import # 对从ISP1学来的路由在入口处设置高Local_Pref这样AS内部的所有路由器在比较这两条路由时都会优先选择来自ISP1的路径。场景二使用MED影响入站流量MEDMulti-Exit Discriminator用于向外部邻居提示从多个入口进入本AS时哪个入口更优。值越低越优。它用于影响对方AS发送流量给你的路径。# 我们向两个ISP邻居2.2.2.2和3.3.3.3发布本AS的路由时希望他们优先通过ISP1链路发送流量给我们。 route-policy SET-MED permit node 10 apply cost 50 # 设置较低的MED值 ! bgp 100 peer 2.2.2.2 route-policy SET-MED export # 向ISP1发布路由时携带MED50 peer 3.3.3.3 route-policy SET-MED export # 向ISP2发布路由时也携带MED50等等这没区别。 # 正确做法通常需要为不同邻居设置不同的MED值。 route-policy SET-MED-FOR-ISP2 permit node 10 apply cost 100 # 为ISP2设置较高的MED ! bgp 100 peer 2.2.2.2 route-policy SET-MED export peer 3.3.3.3 route-policy SET-MED-FOR-ISP2 export注意MED的比较只在来自同一个相邻AS的路由间进行。对方AS是否遵从MED建议也取决于其自身的策略。场景三使用Community实现路由标记与协同Community团体属性是一个标签可以附加在BGP路由上用于在AS之间传递简单的策略信息。它本身不影响选路但可以被路由策略匹配从而触发相应的动作如过滤、修改属性。# 1. 定义Community值 ip community-list standard NO-EXPORT permit 100:1 # 定义一个标准团体列表匹配100:1 # 2. 创建路由策略为特定路由打上Community标签 route-policy TAG-COMMUNITY permit node 10 if-match ip-prefix INTERNAL-SUBNETS apply community 100:1 additive # 添加团体属性100:1 ! route-policy TAG-COMMUNITY permit node 20 # 允许其他路由通过 # 3. 在向EBGP邻居发布路由时应用此策略 bgp 100 peer 2.2.2.2 route-policy TAG-COMMUNITY export # 4. 在另一个路由器或同一台上可以基于Community过滤路由 route-policy FILTER-BY-COMM permit node 10 if-match community NO-EXPORT # 匹配带有100:1的路由 apply deny # 拒绝这些路由 ! route-policy FILTER-BY-COMM permit node 20 # 允许其他路由 bgp 100 peer 3.3.3.3 route-policy FILTER-BY-COMM export # 不向邻居3.3.3.3发布带有NO-EXPORT标签的路由Community提供了一种灵活、可扩展的跨AS策略协调机制是大型BGP网络运维的必备技能。4.3 BGP策略配置的黄金法则明确方向时刻清楚import影响收到的路由和export影响发出的路由的区别。善用软重置在修改入方向策略后需要对BGP会话执行refresh bgp all import或通过peer x.x.x.x capability-advertise route-refresh通知邻居重新发送路由信息使新策略生效而无需中断会话。查看BGP表使用display bgp routing-table或show ip bgp查看BGP表这是策略生效与否的“真相之源”。关注路由的属性和状态代码。路由反射器环境在RR架构中路由策略的应用位置在RR上还是在Client上需要仔细设计因为RR会反射路由可能覆盖Client的策略。从OSPF到BGP路由策略的复杂性和威力逐级递增。它要求网络工程师不仅要懂配置命令更要理解协议的内在逻辑和属性传递的规则。无论是策略路由的精准引流还是OSPF/BGP中路由策略的全局调控其最终目的都是让网络从“自动运行”变为“按需运行”。5. 从理论到生产构建你的网络策略思维框架掌握了具体技术最后我们需要建立一个系统化的思维框架以便在面对任何网络路径控制需求时都能快速找到解决方案。5.1 四步决策法遇到路径问题怎么办第一步界定问题范围全局影响是否希望改变所有去往某个目的地的流量路径如果是优先考虑路由策略修改路由表。局部影响是否只希望改变特定类型如来自某IP、去往某端口的流量路径如果是优先考虑策略路由。协议相关问题是否涉及路由在OSPF/BGP等协议中的传播、优选或过滤如果是必须使用路由策略。第二步选择控制平面控制平面路由策略思考点在于“信息”。你想隐藏、修改、优选或标记哪条路由信息在哪个协议、哪个邻居之间生效转发平面策略路由思考点在于“流量”。你想在设备的哪个接口、根据报文的什么特征、将它们引向何处第三步设计具体规则匹配条件精确定义你的目标。是IP前缀ACL/前缀列表、协议端口、路由属性AS_Path, Community还是报文特征DSCP执行动作明确要做什么。是拒绝deny、允许permit、修改属性set metric, set local-pref还是重定向redirect应用点位确定在哪个设备的哪个接口、哪个协议进程、哪个邻居方向应用此规则。第四步验证与监控预验证在测试环境或使用display traffic-policy simulated-binding等模拟命令验证匹配关系。增量实施先应用permit动作并观察再应用deny或重定向。关键命令策略路由display traffic policy statisticsOSPFdisplay ospf routing,display ospf lsdbBGPdisplay bgp routing-table,display bgp peer … advertised-routes/received-routes日志与告警为关键策略配置日志记录监控匹配计数异常。5.2 常见陷阱与进阶考量策略路由的“黑洞”指定的下一跳不可达。务必确保重定向的下一跳在路由表中有效。路由策略的“副作用”在过滤或修改一条路由时是否会影响其他意料之外的服务尤其是在BGP中一条路由可能承载多个前缀。性能开销策略路由需要逐包匹配早期硬件或快速流表匹配在高速接口上可能带来性能压力。路由策略在路由更新时处理对转发性能无直接影响。配置复杂度与维护复杂的策略网络是“运维地狱”。务必做好文档为每条策略添加清晰的描述description。与Fast RerouteFRR等可靠性方案的协同策略路由可能会绕过IGP的快速收敛机制。在设计高可用网络时需要综合评估。网络的价值在于连通而网络的智慧在于控制。从简单的静态路由到动态的OSPF、BGP再到今天深入探讨的路由策略与策略路由技术的演进始终围绕着如何在“自动化”与“可控性”之间取得平衡。真正的网络工程师不仅是协议的配置者更是流量路径的“设计师”。当你下次再面对网络流量路径的难题时不妨先问自己两个问题我想影响的是“地图”还是“正在行驶的车辆”答案就在这篇文章里。 路由策略与策略路由：从网络连通到流量控制的进阶指南
你有没有遇到过这样的场景明明网络拓扑画得清清楚楚静态路由也配得明明白白但流量就是不走你预想的那条路或者当网络需要同时承载办公、视频会议和备份流量时所有数据包都挤在同一条链路上导致关键业务卡顿非关键流量却占着带宽。这背后的核心矛盾往往不是“路由”本身出了问题而是“控制路由”的策略没有生效。很多网络工程师在学习了OSPF、BGP这些动态路由协议后会陷入一个误区认为只要协议通了路由表有了网络就能“智能”地工作。但现实是路由协议负责的是“发现”和“计算”路径生成一张客观的“地图”路由表。而具体让哪些“车辆”数据包走哪条“道路”什么时候需要“交通管制”则需要另一套更精细的指挥系统——这就是路由策略Route Policy与策略路由Policy-Based Routing, PBR要解决的问题。这两个概念名字相近极易混淆却是构建高可控性、高性能网络的关键分水岭。简单来说路由策略它的操作对象是“路由信息”。它像一个城市规划局决定哪些道路信息可以录入地图路由表哪些需要修改属性如优先级、开销从而影响路由协议计算出的最终路径。它作用于控制平面。策略路由它的操作对象是“数据包”。它像一个现场的交通警察不关心地图怎么画直接根据数据包的特征如源地址、协议类型、端口号指挥它们走特定的出口。它作用于转发平面。今天我们就彻底厘清这两者并结合OSPF和BGP这两个最核心的协议讲明白如何从“连通”走向“可控”。1. 先分清“地图规划师”与“交通指挥官”路由策略 vs. 策略路由理解两者的根本区别是避免配置混乱的第一步。我们可以用一个更具体的比喻假设你是一个物流中心的总调度。路由策略是你的“成本与路线规划部”。这个部门不接触具体的货物只研究各种运输线路的报告路由协议学习到的路由。他们会制定规则比如“所有从供应商A来的线路报告成本一律加10”修改路由开销“凡是提到走小路的报告一律不采纳”过滤路由“优先采用铁路公司的报告除非他们断线”调整路由优先级。这些规则最终影响的是你墙上的那张“官方推荐运输路线图”路由表。所有司机默认都按这张图走。策略路由则是你的“特种货物调度员”。有些货物很特殊比如生鲜冷链高优先级、危险品需特定路线或加急件。调度员会守在分拣口直接查看货物标签数据包的五元组。一旦匹配规则比如“所有发往冷库的货物”他就不看墙上的推荐图了直接指令“走3号门上蓝色冷链车”。这个指令是临时的、强制的且只针对匹配的货物。1.1 核心差异对照表为了让区别更直观我们列一个表格特性维度路由策略策略路由操作对象路由信息Routes数据包Packets作用层面控制平面Control Plane转发平面Forwarding Plane决策依据路由的属性如源协议、前缀、AS_Path、Community等数据包的属性如源/目IP、协议、端口、ToS、报文长度等生效阶段路由信息被放入路由表之前数据包到达接口查询路由表之后或替代查询核心目的影响路由表的内容从而间接影响所有流量的路径直接为特定流量指定路径不受路由表约束配置位置通常在路由协议进程下调用如OSPF/BGP的import-route或filter-policy在接口视图或全局下调用通过策略路由图实现影响力全局性。一条被过滤或修改的路由会影响所有去往该目的地的流量。局部性。只对匹配策略的流量生效其他流量仍按路由表转发。1.2 一个典型的误判场景假设公司有两条出口链路一条高速但贵的专线ISP1一条便宜但慢的宽带ISP2。目标是让内部服务器192.168.1.0/24访问互联网走宽带其他所有员工上网走专线。错误做法试图用路由策略实现在路由协议中过滤掉服务器网段从专线学到的默认路由。这会导致路由表中根本没有去往互联网的“专线路由”结果是所有流量包括员工流量都可能被丢到宽带线路上或者因为路由缺失而丢包。因为你修改的是“地图”本身。正确做法使用策略路由在连接内部服务器的网关接口上应用PBR。匹配源IP为服务器网段的数据包强制其下一跳指向宽带网关。员工流量不匹配此策略继续查询路由表走默认的专线路由。因为你指挥的是“具体的货物”。理解了这个根本区别我们才能进入实操。策略路由的配置逻辑相对独立而路由策略则深度依赖于具体的路由协议。我们先从更“主动”的指挥手段——策略路由开始。2. 策略路由当一次“交通管制”实现精细引流策略路由让你能基于比目的IP更丰富的条件来引导流量。它的配置通常遵循“定义流分类 - 定义流行为 - 绑定成策略 - 应用”的逻辑。2.1 基础配置框架与实战示例我们以华为设备VRP系统的配置逻辑为例其概念与其他厂商相通。假设场景路由器内网口G0/0/1下接两个网段10.1.1.0/24研发部和10.1.2.0/24市场部。路由器有两个出口G0/0/2高速链路下一跳1.1.1.1和G0/0/3备份链路下一跳2.2.2.2。要求研发部访问外网走高速链路市场部走备份链路。# 第一步配置ACL定义需要被“管制”的流量抓取研发部和市场部的源地址 acl number 2001 rule 5 permit source 10.1.1.0 0.0.0.255 # 匹配研发部网段 acl number 2002 rule 5 permit source 10.1.2.0 0.0.0.255 # 匹配市场部网段 # 第二步配置流分类将ACL与分类关联 traffic classifier R-D if-match acl 2001 traffic classifier MKT if-match acl 2002 # 第三步配置流行为定义“管制”动作指定下一跳 traffic behavior R-D-BEHAVIOR redirect ip-nexthop 1.1.1.1 # 研发部流量指向高速出口 traffic behavior MKT-BEHAVIOR redirect ip-nexthop 2.2.2.2 # 市场部流量指向备份出口 # 第四步创建流策略将分类与行为绑定 traffic policy PBR-DEMO classifier R-D behavior R-D-BEHAVIOR classifier MKT behavior MKT-BEHAVIOR # 第五步在流量入接口内网口上应用流策略 interface GigabitEthernet0/0/1 traffic-policy PBR-DEMO inbound # 关键策略路由通常在入方向应用配置完成后从研发部PC发出的数据包进入G0/0/1时匹配了策略就会被直接重定向到1.1.1.1不再查询路由表。市场部流量同理。2.2 关键细节与避坑指南入方向inbound应用是核心策略路由必须在流量进入设备的接口上应用。因为它需要在转发决策的最早期介入。如果在出接口应用设备已经根据路由表选好路并完成封装了为时已晚。策略路由优先级最高匹配PBR的流量其转发路径由PBR完全决定无视路由表。即使路由表里有更优的路径也以PBR为准。注意路由可达性redirect ip-nexthop指定的下一跳地址必须是设备通过其他方式直连路由、静态路由或动态路由可达的。否则数据包会被丢弃。在上例中1.1.1.1和2.2.2.2必须是路由表中存在的有效下一跳。复杂匹配条件除了源IP你还可以用ACL匹配目的IP、协议TCP/UDP/ICMP、端口号等实现如“将去往服务器80端口的流量引向WAF设备”等更精细的策略。故障排查命令display traffic policy statistics interface GigabitEthernet 0/0/1 inbound这条命令可以查看策略在接口上的匹配计数是判断策略是否生效的最直接证据。如果计数不增加检查ACL规则是否正确、策略是否应用在正确的接口和方向。策略路由给了我们一把精准的手术刀但它管理的是“流量”。当我们需要从源头影响“路由信息”的传播和选择时就需要请出功能更强大的“地图编辑工具”——路由策略尤其是在OSPF和BGP这样的动态协议中。3. 路由策略在OSPF中的核心应用控制LSA的生成与学习OSPF通过洪泛LSA来同步链路状态数据库所有路由器基于相同的LSDB计算出一致的最短路径树。路由策略在OSPF中主要用于影响LSA的传播从而影响其他路由器的计算。3.1 控制路由引入filter-policy与路由聚合OSPF自身不发明路由它传播的是链路状态。但从其他协议如直连、静态、BGP引入路由到OSPF时或者在不同OSPF区域间传递3类LSA时路由策略就派上用场了。场景一台ASBR自治系统边界路由器上有很多直连网段192.168.0.0/24,192.168.1.0/24...192.168.15.0/24你希望只将192.168.0.0/24和192.168.1.0/24引入OSPF其他的不引入。# 创建ACL或前缀列表定义“允许引入”的路由 acl number 2000 rule 5 permit source 192.168.0.0 0.0.0.255 rule 10 permit source 192.168.1.0 0.0.0.255 rule 15 deny source any # 隐式拒绝所有也可不配默认拒绝 # 在OSPF进程下使用filter-policy export对引入的路由进行过滤 ospf 1 router-id 1.1.1.1 filter-policy 2000 export direct # 仅引入ACL 2000允许的直连路由 import-route direct # 引入直连路由更佳实践路由聚合对于连续的子网更好的做法是使用abr-summary或asbr-summary进行聚合减少LSA数量提升网络稳定性。ospf 1 area 0.0.0.0 abr-summary 192.168.0.0 255.255.240.0 # 将16个/24子网聚合成一个/20的3类LSA发布3.2 控制路由学习filter-policy import这个功能用于过滤从OSPF邻居学习到的路由不让它们进入本地路由表。场景作为某区域的一台路由器你不想学习到来自邻居的关于10.2.0.0/16的路由。acl number 3000 rule 5 deny source 10.2.0.0 0.0.255.255 rule 10 permit source any ospf 1 filter-policy 3000 import # 阻止ACL 3000拒绝的路由进入路由表注意filter-policy import过滤的是进入路由表的路由但LSA仍然会被接收并存入LSDB也会被继续传递给其他OSPF邻居。它只影响本地路由决策。3.3 修改路由开销Cost开销是OSPF选路的首要依据。你可以通过路由策略在引入路由或接收路由时修改其开销值。场景从静态路由引入到OSPF时希望给某条特定路由设置一个较高的开销使其成为备用路径。# 使用Route-Policy路由策略这是一个更强大的工具 route-policy STATIC-TO-OSPF permit node 10 # 创建一个路由策略节点 if-match ip-prefix SPECIFIC-ROUTE # 匹配一个特定的前缀列表 apply cost 1000 # 如果匹配则设置开销为1000 ! route-policy STATIC-TO-OSPF permit node 20 # 创建另一个节点允许其他所有路由 # 不设置if-match表示匹配所有不设置apply表示使用默认开销或原开销 ! ip ip-prefix SPECIFIC-ROUTE index 10 permit 172.16.1.0 24 # 定义前缀列表 ospf 1 import-route static route-policy STATIC-TO-OSPF # 应用路由策略引入静态路由通过以上手段你就像一位OSPF区域的“信息审核官”可以决定哪些链路状态信息被广播、以何种代价被广播从而精细地塑造整个区域的路径选择倾向。然而当网络规模扩大到需要跨自治系统时BGP协议及其附带的路径属性为路由策略提供了更广阔的舞台。4. 路由策略在BGP中的高阶玩法基于属性的路径操控BGP的核心理念是“路径矢量”和“策略路由”。它携带丰富的路径属性如AS_Path、Next_Hop、Local_Pref、MED、Community等这些属性本身就是为路由策略而生的。在BGP中路由策略是进行路由选择、过滤和修改的核心工具。4.1 理解BGP选路规则与策略切入点BGP拥有一个复杂的决策过程BGP Best Path Selection Algorithm。路由策略可以在这个过程的多个环节介入入方向Import在接收邻居发来的路由并放入BGP表BGP Table之前进行过滤或属性修改。出方向Export在向邻居发送路由之前进行过滤或属性修改。路由注入将从IGP如OSPF或其他BGP进程学到的路由引入BGP时。4.2 关键属性操控实战我们通过几个常见场景来演示。场景一使用Local_Pref控制出站流量Local_Pref是公认的强属性只在AS内部传递用于告诉本AS内的路由器从多个出口中去往同一外部目的地的优先出口。值越高越优先。# 假设从两个ISP邻居Peer 2.2.2.2和3.3.3.3学习到了相同的路由。 # 我们希望优先使用ISP12.2.2.2的路径。 route-policy SET-LOCAL-PREF permit node 10 apply local-preference 200 # 设置较高的本地优先级 ! bgp 100 peer 2.2.2.2 route-policy SET-LOCAL-PREF import # 对从ISP1学来的路由在入口处设置高Local_Pref这样AS内部的所有路由器在比较这两条路由时都会优先选择来自ISP1的路径。场景二使用MED影响入站流量MEDMulti-Exit Discriminator用于向外部邻居提示从多个入口进入本AS时哪个入口更优。值越低越优。它用于影响对方AS发送流量给你的路径。# 我们向两个ISP邻居2.2.2.2和3.3.3.3发布本AS的路由时希望他们优先通过ISP1链路发送流量给我们。 route-policy SET-MED permit node 10 apply cost 50 # 设置较低的MED值 ! bgp 100 peer 2.2.2.2 route-policy SET-MED export # 向ISP1发布路由时携带MED50 peer 3.3.3.3 route-policy SET-MED export # 向ISP2发布路由时也携带MED50等等这没区别。 # 正确做法通常需要为不同邻居设置不同的MED值。 route-policy SET-MED-FOR-ISP2 permit node 10 apply cost 100 # 为ISP2设置较高的MED ! bgp 100 peer 2.2.2.2 route-policy SET-MED export peer 3.3.3.3 route-policy SET-MED-FOR-ISP2 export注意MED的比较只在来自同一个相邻AS的路由间进行。对方AS是否遵从MED建议也取决于其自身的策略。场景三使用Community实现路由标记与协同Community团体属性是一个标签可以附加在BGP路由上用于在AS之间传递简单的策略信息。它本身不影响选路但可以被路由策略匹配从而触发相应的动作如过滤、修改属性。# 1. 定义Community值 ip community-list standard NO-EXPORT permit 100:1 # 定义一个标准团体列表匹配100:1 # 2. 创建路由策略为特定路由打上Community标签 route-policy TAG-COMMUNITY permit node 10 if-match ip-prefix INTERNAL-SUBNETS apply community 100:1 additive # 添加团体属性100:1 ! route-policy TAG-COMMUNITY permit node 20 # 允许其他路由通过 # 3. 在向EBGP邻居发布路由时应用此策略 bgp 100 peer 2.2.2.2 route-policy TAG-COMMUNITY export # 4. 在另一个路由器或同一台上可以基于Community过滤路由 route-policy FILTER-BY-COMM permit node 10 if-match community NO-EXPORT # 匹配带有100:1的路由 apply deny # 拒绝这些路由 ! route-policy FILTER-BY-COMM permit node 20 # 允许其他路由 bgp 100 peer 3.3.3.3 route-policy FILTER-BY-COMM export # 不向邻居3.3.3.3发布带有NO-EXPORT标签的路由Community提供了一种灵活、可扩展的跨AS策略协调机制是大型BGP网络运维的必备技能。4.3 BGP策略配置的黄金法则明确方向时刻清楚import影响收到的路由和export影响发出的路由的区别。善用软重置在修改入方向策略后需要对BGP会话执行refresh bgp all import或通过peer x.x.x.x capability-advertise route-refresh通知邻居重新发送路由信息使新策略生效而无需中断会话。查看BGP表使用display bgp routing-table或show ip bgp查看BGP表这是策略生效与否的“真相之源”。关注路由的属性和状态代码。路由反射器环境在RR架构中路由策略的应用位置在RR上还是在Client上需要仔细设计因为RR会反射路由可能覆盖Client的策略。从OSPF到BGP路由策略的复杂性和威力逐级递增。它要求网络工程师不仅要懂配置命令更要理解协议的内在逻辑和属性传递的规则。无论是策略路由的精准引流还是OSPF/BGP中路由策略的全局调控其最终目的都是让网络从“自动运行”变为“按需运行”。5. 从理论到生产构建你的网络策略思维框架掌握了具体技术最后我们需要建立一个系统化的思维框架以便在面对任何网络路径控制需求时都能快速找到解决方案。5.1 四步决策法遇到路径问题怎么办第一步界定问题范围全局影响是否希望改变所有去往某个目的地的流量路径如果是优先考虑路由策略修改路由表。局部影响是否只希望改变特定类型如来自某IP、去往某端口的流量路径如果是优先考虑策略路由。协议相关问题是否涉及路由在OSPF/BGP等协议中的传播、优选或过滤如果是必须使用路由策略。第二步选择控制平面控制平面路由策略思考点在于“信息”。你想隐藏、修改、优选或标记哪条路由信息在哪个协议、哪个邻居之间生效转发平面策略路由思考点在于“流量”。你想在设备的哪个接口、根据报文的什么特征、将它们引向何处第三步设计具体规则匹配条件精确定义你的目标。是IP前缀ACL/前缀列表、协议端口、路由属性AS_Path, Community还是报文特征DSCP执行动作明确要做什么。是拒绝deny、允许permit、修改属性set metric, set local-pref还是重定向redirect应用点位确定在哪个设备的哪个接口、哪个协议进程、哪个邻居方向应用此规则。第四步验证与监控预验证在测试环境或使用display traffic-policy simulated-binding等模拟命令验证匹配关系。增量实施先应用permit动作并观察再应用deny或重定向。关键命令策略路由display traffic policy statisticsOSPFdisplay ospf routing,display ospf lsdbBGPdisplay bgp routing-table,display bgp peer … advertised-routes/received-routes日志与告警为关键策略配置日志记录监控匹配计数异常。5.2 常见陷阱与进阶考量策略路由的“黑洞”指定的下一跳不可达。务必确保重定向的下一跳在路由表中有效。路由策略的“副作用”在过滤或修改一条路由时是否会影响其他意料之外的服务尤其是在BGP中一条路由可能承载多个前缀。性能开销策略路由需要逐包匹配早期硬件或快速流表匹配在高速接口上可能带来性能压力。路由策略在路由更新时处理对转发性能无直接影响。配置复杂度与维护复杂的策略网络是“运维地狱”。务必做好文档为每条策略添加清晰的描述description。与Fast RerouteFRR等可靠性方案的协同策略路由可能会绕过IGP的快速收敛机制。在设计高可用网络时需要综合评估。网络的价值在于连通而网络的智慧在于控制。从简单的静态路由到动态的OSPF、BGP再到今天深入探讨的路由策略与策略路由技术的演进始终围绕着如何在“自动化”与“可控性”之间取得平衡。真正的网络工程师不仅是协议的配置者更是流量路径的“设计师”。当你下次再面对网络流量路径的难题时不妨先问自己两个问题我想影响的是“地图”还是“正在行驶的车辆”答案就在这篇文章里。