路由控制的目的1控制路由的发布通过路由策略对发布的路由进行过滤只发布满足条件的路由2控制路由的接收通过路由策略对接收的路由进行过滤只接收满足条件的路由3控制路由的引入通过路由策略控制从其他路由协议引入的路由条目只有满足条件的路由才会被引入路由匹配工具路由匹配工具有ACL 和ip-prefixIP前缀两种ip前缀列表命令1ip-prefix-name地址前缀列表名称prefix--前缀2序号本匹配项在地址前缀列表中的序号匹配时根据序号从小到大顺序匹配3动作permit/deny地址前缀列表的匹配模式为允许/拒绝表示匹配/不匹配4IP网段与掩码路由匹配的网络地址以及限定匹配网络地址的前多少位需严格匹配5掩码范围匹配路由前缀长度掩码长度的匹配范围为 mask-lengthgreater-equal-valueless-equal-value32掩码基础长度(mask-length) ≤ ge最小值(greater-equal-value) ≤ le最大值(less-equal-value) ≤ 32IP ip-prefix test index 10 permit 192.168.1.0 24 greater-equal 24 less-equal 26前缀列表名 序号 动作 ip网段与掩码 掩码范围ip ip‑prefix 名字 permit 网络 N ge M le LN路由的前 N 个比特必须和命令里的网络前缀保持一致ge‑M、le‑L 用来限定路由总的掩码长度范围掩码参数省略规则省略le L默认 L32省略ge M默认 MNge、le 全都省略掩码必须严格等于 N仅匹配这一条路由硬性语法约束N≤M≤L≤32不满足该条件命令直接报错。greater‑equal简写ge规定路由实际掩码的最小值less‑equal简写le规定路由实际掩码最大值。注意前缀列表的规则自动以10为步调生成注意末尾隐含一条拒绝所有的规则ip‑prefix 末尾隐含deny 0.0.0.0 0[r1]ip ip-prefix aa permit 192.168.1.0 24 less-equal 28抓取掩码24.25.26.27.28网段的流量[r1]ip ip-prefix aa permit 192.168.1.0 24 greater-equal 28抓取的是掩码大于等于28前面的数 字代表的是前24位不变后面的数字代表掩码[r1]ip ip-prefix aa permit 192.168.0.0 16 greater-equal 24 less-equal 24[r1]ip ip-prefix aa permit 0.0.0.0 0 greater-equal 32---抓取的是所有主机路由[r1]ip ip-prefix aa permit 0.0.0.0 0 less-equal 32---抓取所有[r1]ip ip-prefix aa permit 0.0.0.0 0 ---抓取缺省路由路由策略工具路由策略是一套对路由条目做「过滤、修改属性、控制发布 / 接收」的工具用来人为干预路由的传递与优选实现路由控制、流量调度、防环路、业务隔离。路由策略工具主要有filter-policy过滤策略和route-policy路由策略两种filter-policy前置规则IP 前缀列表末尾自带隐含 deny 所有所有未被 permit 语句匹配到的路由都会触发过滤动作下文描述均针对被策略 deny 匹配的路由。距离矢量路由协议RIP中 filter-policy 逻辑filter-policy import 直接拦截邻居发送过来的路由更新报文本机不会接收这条路由该路由不会存入本地路由表上游发送的路由直接被丢弃全网其他设备也无法通过本机获取该网段。filter-policy export拦截本机发往邻居的路由更新报文本机不会将这条路由发布给邻居下游邻居无法学习到该网段路由。补充匹配 permit 的路由不受任何拦截正常收发、正常加入路由表。链路状态路由协议OSPF中 filter-policy 逻辑filter-policy import OSPF 的 LSA 会完整全网泛洪所有设备的链路状态数据库 LSDB 完全同步过滤策略不会拦截任何 LSA本地设备运行 SPF 算法计算出全部路由后仅对 deny 路由执行屏蔽不把该路由写入本机 IP 路由表同区域其他设备不受影响依旧能在自身路由表看到该网段。补充匹配 permit 的路由计算完成后正常写入本地路由表。filter-policy export 仅对通过 import-route 从其他协议引入的外部路由生效对 OSPF 原生 1、2、3 类内部 / 区域间 LSA 完全无效匹配 permit 的外部路由才会生成 5 类 / 7 类外部 LSA 向外泛洪匹配 deny 的外部路由不会生成对应的外部 LSA整条外部路由不会在 OSPF 域内传递。协议类型命令完整作用区分 permit/deny核心特点背诵考点距离矢量RIPfilter-policy import入方向过滤邻居发来的路由更新匹配 permit接收路由加入路由表匹配 deny直接丢弃更新不接收该路由拦截路由更新报文拒绝的路由本机完全收不到上下游全网受影响距离矢量RIPfilter-policy export出方向过滤发给邻居的路由匹配 permit向邻居发布这条路由匹配 deny拦截报文不向邻居发布拦截发布报文下游邻居无法学习到被拒绝网段链路状态OSPFfilter-policy importLSA 正常泛洪本地 SPF 算出全部路由后再过滤匹配 permit正常写入本机路由表匹配 deny算出路由但不写入本机路由表LSA 全网完整同步其他设备不受影响仅本机看不到 deny 路由链路状态OSPFfilter-policy export仅针对import-route重分布外部路由匹配 permit生成 5/7 类外部 LSA 泛洪匹配 deny不生成外部 LSA外部路由不发布对内网 1/2/3 类 LSA 无任何过滤效果只管跨协议引入的外部路由route-policy步骤大致可分为node----rule---action前缀列表P1匹配 192.168.1.0/24P2匹配 192.168.2.0/24P3匹配剩下网段。route‑policy 策略 RP‑TESTnode10匹配 192.168.1.0/24cost 改为 20允许通过node20拒绝 192.168.2.0/24node30放行其余全部路由在 OSPF 引入静态路由调用该策略。#1、配置前缀列表 ip ip-prefix P1 index 10 permit 192.168.1.0 24 ip ip-prefix P2 index 10 permit 192.168.2.0 24 #2、配置route‑policy route-policy RP-TEST permit node 10 if-match ip-prefix P1 apply cost 20 route-policy RP-TEST deny node 20 if-match ip-prefix P2 #deny节点里面就算写apply也不会生效 route-policy RP-TEST permit node 30 #没有if‑match代表匹配所有剩余路由apply不配置属性保持原样 #3、调用策略OSPF引入静态路由 ospf 1 import-route static route-policy RP-TESTroute--policy的结构一个路由策略由一个或多个结点构成每个结点包括多个if-match和apply子句。1节点号一个路由策略可以由多个结点node构成路由匹配route-policy时遵循以下两个规则Ⅰ顺序匹配在匹配过程中系统按照节点号从小到大的顺序依次检查各个表项因此在指定节点号时要注意符合期望的匹配顺序Ⅱ唯一匹配route-policy各结点号间是“或”的关系只有通过一个结点匹配就认为通过该过滤器不再进行其他结点的匹配。2匹配模式结点的匹配模式分为两种permit和denyⅠperimit--允许指定结点的匹配模式为允许。当路由项通过该结点过滤后将执行该结点的apply应用子句不进入下一个结点如果路由项没有通过该结点过滤将进行下一节点继续匹配Ⅱdeny--拒绝指定结点的匹配模式为拒绝这时apply子句不会被执行。当路由项满足该结点的所有if-match子句时将被拒绝通过该结点不能进入下一结点如果路由项不满该结点的所有if-match子句则进入下一个结点继续匹配。3if-match子句定义匹配条件route-policy的每一个节点都可以包含多个if-match子句也可以不包含。4apply子句指定动作路由通过route-policy过滤时系统按照apply子句指定的动作对路由信息进行一些属性设置。route-policy的每个结点可包含多个apply子句也可以不包含。只需要过滤路由时不需要设置路由的属性则可以不用apply子句5goto next-node子句用来设置路由对通过当前结点匹配后跳转到指定的结点继续匹配策略路由--PBRPolicy-Based Routing策略路由让网络设备不仅能够基于报文的目的IP地址进行数据转发更能基于其他元素进行数据转发源目端口号原目MAC地址。。。。。。区别路由策略针对路由信息是一套用于对路由信息进行过滤、属性设置等操作的方法通过对路由的操作或控制来影响数据报文的转发路径PBR针对数据报文PBR直接对数据报文进行操作通过多种手段匹配感兴趣的报文然后执行丢弃或强制转发路径等操作PBR分类1接口PBRⅠ接口PBR只针对转发的报文起作用对本地始发的报文无效Ⅱ接口PBR调用在接口下对接口的入方向报文生效默认设备按照路由表的下一跳进行报文转发如果配置了接口PBR则设备按照接口PBR指定的下一跳进行转发。2本地PBRⅠ本地PBR对本地始发流量有效Ⅱ本地PBR在系统视图中调用MQCMQC是模块化Qos命令行指通过将具有某类共同特征的数据流划分一类并为同一类数据流提供相同的服务也可以为不同类的数据流提供不同的服务。MQC三要素1流分类配置流分类用于匹配感兴趣的数据流可基于VLANTag、acl规则、DSCP等2流行为将感兴趣的报文进行重定向可以设置重定向的下一跳IP地址或者出接口3流策略在接口的入方向应用流策略在属于该VLAN并匹配流分类中规则的入方向报文实施策略控制在全局或板卡上应用流策略路由策略__filter-policy--- 过滤策略实验目的通过过滤策略控制对路由信息的写入三台路由器OSPF宣告连通所有路由已经连通通过ospf宣告路由设置1.0/24为主网段2.0/243.0/24为次网段在接口视图下启用 OSPF把 LoopBack0 接口划入 Area 0 区域等价于在 OSPF 进程下用network宣告该接口网段。ospf network‑type broadcastLoopBack 接口默认 OSPF 网络类型为Loopback。默认情况下无论你配置的 IP 掩码是 / 24OSPF 发布路由强制变成/32 主机路由。修改为broadcast广播型之后OSPF 会按照接口配置的实际掩码向外发布路由例如192.168.4.1/24就发布 24 位网段同时广播网络类型会发送 Hello 报文可以建立邻居Loopback 默认不会发 Hello 报文。查看R2上的OSPF路由表查看R3OSPF路由表此时R2R3都有1.0 2.0 3.0 网段的路由信息filter-policy配置现在通过filter-policy实现在R2上看不到192.168.1.0这条路由但是能在R3上看到前缀列表命令ip ip-prefix 前缀名 index 序号值 动作 IP网段 掩码 掩码范围在R2 的ospf中调用过滤策略匹配 permit 的三个网段计算出来之后正常加入 R2 的路由表filter-policy import对接收的路由设置过滤策略只有通过过滤策略的路由才会被添加到路由表中没有通过过滤策略的不会被添加但不影响对外发布此时R2的全局路由表中没有1.0/24网段路由R2的OSPF路由表中仍有但是R3全局路由表中有。原因在链路状态协议中各路由设备间传递的是LSA信息然后设备根据LSA汇总的LSDB信息计算出路由表。但是filter-policy只能过滤路由信息无法过滤LSA。撤销R1上对1.02.03.0的路由通告改为引入直连但要保证R2R3上只能收到1.0/24这条路由R2路由表R3同样的通过filter-policy让R2.R3只能收到1.0这条路由此时原因OSPF引入外部路由后为了避免产生路由环路在发布时通过filter-policy export命令对引入路由进行过滤只将满足条件的外部路由转换为Type5 LSA 再发布当网络上同时部署了OSPF和其他路由协议时如果已经再边界设备上引入了其他路由协议的路由在默认情况下该设备将把引入的全部外部路由发布给OSPF邻居。如果只希望将引入的部分外部路由发布给邻居可以使用filter-policy export命令