策略路由与路由策略原理.pptx

《策略路由与路由策略原理.pptx》由会员分享，可在线阅读，更多相关《策略路由与路由策略原理.pptx（30页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、Page 1如何对报文转发的路径进行有效控制?如何对发布、接收、引入的路由信息进行有效控制，提高网络安全性?学完本课程之后您将会找到满意的答案。第1页/共30页Page 2参考资料操作手册、命令手册第2页/共30页Page 3目标学习完此课程，您将会：掌握策略路由基本原理掌握路由策略基本原理第3页/共30页Page 4第第1 1 1 1章章 策略路由原理策略路由原理第2 2章 路由策略原理第4页/共30页Page 5策略路由的引入普通的报文转发是依据报文的目的地址查询转发表来实现的。display ip routing-table Routing Table:public netDestina

2、tion/Mask Protocol Pre Cost Nexthop InterfacePC1PC2RTARTBRTCRTD S1/0/0E1/2/0第5页/共30页Page 6策略路由的引入(续)普通的报文转发是依据报文的目的地址查询转发表来实现的。但是遇到如下情况如何解决？1、根据源IP来控制报文转发。即控制来自PC1的报文通过接口S1/0/0转发，来自PC2的报文通过接口E1/2/0转发口？2、根据报文的长度来控制报文转发。3、根据报文的其他属性来控制报文转发。PC1PC2RTARTBRTCRTD S1/0/0E1/2/0第6页/共30页Page 7策略路由概念策略路由是一种依据用户制

3、定的策略进行路由选择的机制，与单纯依照IP报文的目的地址查找路由表进行转发不同，可应用于安全、负载分担等目的。VRP策略路由支持基于acl包过滤、地址长度等信息，灵活地指定路由。而acl报文过滤则可以根据报文的源ip、目的ip、协议、端口号、优先级、tos、时间段、vpn等各种丰富的信息将报文分类，然后控制将这些报文按照不同的路由转发出去。第7页/共30页Page 8策略路由的分类按报文分类：分为单播策略路由（针对单播报文进行控制）和组播策略路由（只对组播报文进行控制）。单播报文RTARTBRTCRTDRTFRTE我是组播策略，组播报文听我指挥，该报文从接口e1/0和s0/0转发我是单播策略，

4、单播报文听我指挥，该报文从接口e0/0转发组播报文第8页/共30页Page 9策略路由的分类（续）策略路由既可以应用于被转发的报文，又可以应用于路由器本地产生的报文。前者称为接口策略路由，后者称为本地策略路由。接口策略路由只对转发的报文起作用，对本地产生的报文（比如本地的ping报文）不起作用。而本地策略路由只对本地产生的报文起作用，对转发的报文不起作用。接口策略路由配置在接口视图下。本地产生的报文的策略路由配置在系统视图下。注意：组播策略路由只支持转发的报文，不对路由器本机产生的报文进行策略路由。第9页/共30页Page 10匹配原则概述Route-policy:route_policy_n

5、ame permit 10:if-match acl 3000 if-match packet-length 100 500 apply output-interface Ethernet1/1/0 /有多个匹配项 deny 20:if-match acl 2000 /只有匹配项 permit 30:if-match acl 3100 permit 40:apply output-interface Ethernet1/1/0 /只有操作项 permit 50:apply output-interface Ethernet1/1/0 deny 60:/匹配项和操作项都没有 permit 70:

6、permit 80:if-match acl 3000 apply output-interface Ethernet1/1/0 serial1/0/0 apply ip-address next-hop 1.1.1.1 /有多个操作项 第10页/共30页Page 11匹配项匹配项就是if-match语句，根据这些匹配项将报文按照某个规则进行分类，分为满足规则和不满足规则两类。定义什么节点？定义什么节点？匹配否？匹配否？PermitDenyMatch（所有条件都满足）（所有条件都满足）执行退出执行退出不执行退出不执行退出Not match（任意一个不满足）（任意一个不满足）不执行继续不执行继续

7、不执行继续不执行继续注意：1、只有满足所有的ifmatch，才算匹配，即各匹配条件是与的关系。2、“匹配退出，不匹配继续”的原则。即只要任意一个节点满足匹配，则不再继续往下匹配，如果不匹配则继续匹配下一个节点。第11页/共30页Page 12操作项操作项就是apply语句，也就是满足匹配项的报文将怎么处理、从哪个接口转发出去。route-policy n permit node 0 if-match acl 2000 if-match packet-length 100 500 apply ip-precedence priority apply output-interface Serial

8、1/0/0 Ethernet1/1/0 apply default output-interface Serial1/0/0 apply ip-address next-hop 1.1.1.1 apply ip-address default next-hop 2.2.2.2 3.3.3.3 一个单播报文只能转发一次，即只能从某个接口转发出去第12页/共30页Page 13转发接口的优先级策略路由的出接口策略路由的下一跳路由表中下一跳策略路由的缺省出接口策略路由的缺省下一跳低高转发优先级 以上只针对单播报文，不包括组播报文。当配置有优先级高的策略，则优先级低的配置将被忽略。单播策略路由可以同时

9、配置两个下一跳或设置两个出接口，报文转发将采用负载分担的方式进行。第13页/共30页Page 14报文匹配的其它策略 注意事项：1、如果只添加一个节点而没有任何匹配项和设置操作项，则所有报文都匹配，不再继续往下匹配。但是策略路由的统计数字不改变。2、如果添加一个节点，只有匹配项，没有设置操作项，则进行匹配，但不执行相应的操作，不再继续往下匹配。但是策略路由的统计数字不改变。3、如果添加一个节点，没有匹配项，有设置操作项，则所有报文都匹配，根据permit/deny执行相应的操作，不再继续往下匹配。但是策略路由的统计数字改变。4、如果匹配项中使用的acl根本不存在，则缺省是不匹配任何报文。5、当

10、直接出接口指定为本地的以太网接口、子接口、Virtual-Template接口时，虽然从指定接口转发，但不能正常通信，因为这几个接口是广播域，不能确定下一跳，因此必须指定为下一跳。6、当配置deny的节点时，对于单播策略路由来说，节点的apply 命令行等于没配置一样，数据包将走正常单播路由表转发，因此没有deny的调试信息以及相应的统计信息；对于组播策略路由来说，数据包将直接丢弃，不查询组播路由表，有deny的调试信息以及相应的统计信息。第14页/共30页Page 15单播报文转发流程YYYYYYY策略路由配置有出接口吗？策略路由配置有下一跳吗？路由表中有下一跳吗？策略路由配置有缺省接口吗？

11、策略路由配置有缺省下一跳吗？策略路由有设置优先级吗？丢弃该报文，发ICMP_UNREACH配置有本地策略路由吗？本地报文发送流程按正常流程发送报文根据策略设置报文优先级发送报文到该出接口发送报文到该下一跳发送报文到该下一跳发送报文到该缺省下一跳结束发送报文到该缺省接口对来自外部的转发报文首先判断有接口策略路由吗第15页/共30页Page 16组播策略路由和单播策略路由的区别：1、报文不一样。单播报文就是以A、B、C类ip地址为目的地址的报文，组播报文就是以224.0.0.0239.255.255.255 为目的地址的报文。2、配置不一样。组播策略路由的配置中apply必须包含acl。3、配置作

12、用域不一样。单播策略路由的配置仅对单播报文起作用，组播策略路由的配置仅对组播报文起作用。即apply中包含有acl的对组播报文起作用，对单播报文不起作用；apply中不包含有acl的对单播报文起作用，对组播报文不起作用。4、当单播同时配置有出接口和下一跳时，则只从出接口转发，不从下一跳转发。当组播同时配置有出接口和下一跳时，则既从各个出接口转发（可能有多个），也从各个下一跳转发（也可能有多个），但是最多只能从64个接口转发。第16页/共30页Page 17组播转发边界当一个接口配置了组播转发边界以后，从该接口接收的报文和从该接口发出的报文（包括本机发出的报文）都将按照配置的acl策略进行过滤。

13、其中，对于从该接口接收的报文，先按照组播转发边界进行过滤，再执行可能的组播策略路由处理。组播转发边界可配置在所有支持组播报文转发的接口上。在入接口和出接口都进行检查。组播转发边界配置组播转发边界配置在接口视图下：multicast packet-boundary acl-number 3000打开debug multicast forwarding 可以察看报文的丢弃信息。第17页/共30页Page 18组播转发报文的最小TTL值 在接口上配置组播转发报文的最小TTL值后，当要将一个报文从该接口转发出去时（包括本机发出的报文），对接口上配置的最小TTL值进行检查，若报文TTL值（报文TTL已在

14、本路由器内减1）大于接口上配置的最小TTL值，则转发该报文；若报文TTL值小于或等于接口上配置的最小TTL值，则丢弃该报文。组播转发TTL值可配置在所有支持组播报文转发的接口上。ttl检测只有在出接口进行。组播转发报文的最小组播转发报文的最小TTL值值 在接口视图下：multicast minimum-ttl 200打开debug multicast forwarding 可以察看报文的丢弃信息。第18页/共30页Page 19组播报文入接口组播边界检查配置组播策略路由吗？满足ifmatch条件吗？出接口组播边界检查出接口TTL阈值检查通过路由表转发策略路由指定接口转发YN组播报文策略路由的流

15、程第19页/共30页Page 20问题请简要描述单播报文转发流程。请简要描述组播报文策略路由流程。第20页/共30页Page 21第1 1章 策略路由原理第第2 2 2 2章章 路由策略原理路由策略原理第21页/共30页Page 22路由策略的作用过滤路由信息的手段发布路由信息时只发送部分信息接收路由信息时只接收部分信息进行路由引入时引入满足特定条件的信息支持等值路由设置路由协议引入的路由属性第22页/共30页Page 23策略相关的五种过滤器路由策略（routing policy）设定匹配条件，属性匹配后进行设置，由if-match和apply字句组成访问列表（access-list）用于匹

16、配路由信息的目的网段地址或下一跳地址，过滤不符合条件的路由信息前缀列表（prefix-list）匹配对象为路由信息的目的地址或直接作用于路由器对象（gateway）自治系统路径信息访问列表（aspath-list）仅用于BGP协议，匹配BGP路由信息的自治系统路径域团体属性列表（community-list）仅用于BGP协议，匹配BGP路由信息的自治系统团体域第23页/共30页Page 24路由策略与过滤器的关系在路由引入（import-route）时使用routing policyrouting policy由一系列的if-match子句和apply子句组成匹配AS-path时使用AS-pa

17、th list匹配Community时使用Community list匹配IP address时使用IP Prefix和Access list在路由发布（export）和路由接收（import）时使用地址前缀列表（IP Prefix）和访问控制列表接收时：IP Prefix、Access list和Gateway（特定路由器）发布时：IP Prefix和Access list第24页/共30页Page 25路由策略的执行规则Routing policyaaaseq1seq2seq3match att1match att2match att3match att4match att5match a

18、tt6根据seq1的apply子句进行属性设置通过seq1的所有If-match子句YN通过seq2的所有If-match子句根据seq2的apply子句进行属性设置通过该Routing policyY通过该Routing policy通过seq3的所有If-match子句根据seq3的apply子句进行属性设置通过该Routing policyY通不过该Routing policyNN第25页/共30页Page 26AS正则表达式第26页/共30页Page 27策略路由与路由策略的区别策略路由与路由策略是两个不同的概念，应用领域不同。策略路由主要是控制报文的转发，即可以不按照路由表进行报文的转发（因为一般报文的转发要通过查找转发表，而配上策略路由后就不用管转发表了，可以随心所欲将报文从转发出去了）。路由策略主要控制路由信息的引入（控制哪些路由信息引到路由协议中，哪些路由不引入，主要是针对某种路由协议，是否允许其它路由信息引进来）、发布（控制哪些发布出去，哪些不发布出去，通过同一种路由协议发布出去）、接收（控制哪些接收，哪些丢弃）。第27页/共30页Page 28问题路由策略有何作用?常见策略过滤器有哪些?各有什么作用?路由策略执行的规则是怎样的?第28页/共30页Page 29小结策略路由原理路由策略原理小结小结小结小结第29页/共30页感谢您的观看！第30页/共30页