4.5.3 在VLAN 接口应用策略路由[共2页]
交换机上也做策略路由
交换机上也做策略路由随着互联网的发展，数据传输量大，访问速度快的要求越来越高。
为了满足这样的要求，网络技术不断地更新和完善，其规模各式各样的网络也不断扩大和发展。
在这种情况下，策略路由的应用变得越来越重要。
在传统IP网络中，路由器使用的是静态路由。
静态路由需要管理员手动设置网络路由规则，并在其中加入至少一条适用于所有子网的默认路由，以确定包的流向。
但是静态路由在自适应性和灵活性方面存在很大的不足，网络的准确性和可扩展性也有所限制。
于是，动态路由的出现可以说是一个新的网络革命。
动态路由会在网络的不同节点之间建立一种“通讯协议”，路由器之间可以相互交换路由信息，形成一个网络拓扑图，实现路由的自动转换和更新。
随着网络不断发展和拓展，传统路由器已经无法满足网络需求，很多运营商开始采用具有更多功能的交换设备。
而一些厂商的交换机已经开始支持动态路由，实现了类似于路由器的高级路由功能，如策略路由。
策略路由概述策略路由是一个基于条件规则的路由选择机制。
通过设置路由策略，可以使路由器决定每个数据包的最佳路径。
策略路由可以对数据包的源地址、目的地址、协议、端口等不同的参数进行分类，然后将它们送到最合适的目的地。
策略路由可以带来很多好处，例如：•支持多路径类型（例如，不同的ISP和物理路径），可以优化和增强数据流的整体性能和可靠性。
•允许在路由器上进行更多的转发决策，从而灵活控制网络流量和带宽。
•策略路由可以控制每个流量的路径，从而实现特定链路的负载均衡和防止特定链路出现拥塞。
交换机上实现策略路由的优势随着网络不断变化，交换机也不再仅仅是桥接器，它们还被用作路由器，这些新功能可以极大地提高网络的性能和灵活性。
在许多情况下，交换机比路由器更便宜、更易于配置和部署，从而为网络管理员提供更多的选择。
与路由器相比，交换机具有以下优点：•交换机的转发速度更快，比路由器产生的网络延迟更低。
•交换机可以灵活部署，可以使用自动设备发现了解网络拓扑，然后在网络中设置路由规则。
通过路由器实现VLAN间路由
通过路由器实现VLAN间路由在当今的网络环境中，VLAN（虚拟局域网）技术得到了广泛的应用。
它能够将一个物理的局域网划分为多个逻辑上的局域网，从而提高网络的安全性、灵活性和可管理性。
然而，当不同的 VLAN 之间需要进行通信时，就需要通过路由器来实现 VLAN 间的路由。
首先，让我们来了解一下什么是 VLAN。
简单来说，VLAN 是一种将一个物理的局域网在逻辑上划分成多个不同的广播域的技术。
每个VLAN 就像是一个独立的局域网，不同 VLAN 之间的设备在二层（数据链路层）上是相互隔离的，也就是说，一个 VLAN 中的广播帧不会被转发到其他 VLAN 中。
那么，为什么我们需要实现 VLAN 间的路由呢？想象一下，在一个企业网络中，可能有不同的部门，如财务部、市场部、研发部等。
为了保证各部门之间的数据安全和独立性，我们可以将它们划分到不同的 VLAN 中。
但是，这些部门之间有时又需要进行通信，例如财务部需要向市场部提供一些财务数据，这时候就需要通过路由器来实现VLAN 间的路由，让不同 VLAN 中的设备能够相互通信。
接下来，我们看看如何通过路由器实现 VLAN 间路由。
常见的方法有两种：单臂路由和多层交换。
单臂路由是一种较为简单和经济的实现方式。
在这种方式中，我们只需要在路由器的一个物理接口上配置多个子接口，每个子接口对应一个 VLAN。
路由器会根据数据包的 VLAN 标签来进行路由转发。
为了实现单臂路由，首先需要在交换机上创建 VLAN，并将相应的端口分配到不同的 VLAN 中。
然后，将交换机与路由器相连的端口设置为 trunk 端口，以便能够传输多个 VLAN 的数据包。
在路由器上，为每个 VLAN 对应的子接口配置 IP 地址和子网掩码，这些 IP 地址将作为各个 VLAN 的网关。
当不同 VLAN 中的设备要进行通信时，数据包会被发送到交换机，交换机通过 trunk 端口将数据包转发给路由器。
H3C交换机策略路由技术及其应用
H3C交换机策略路由技术及其应用1 概述Internet的高速发展，为用户提供了更多的接入方式的选择，例如现在的高校一般都可以用教育网和电信网两种方式接入internet。
为了能够让不同的用户通过不同的方式访问internet资源，用户对三层交换机的路由功能提出了更高的要求。
H3C公司的策略路由技术是一种通过识别不同的网络数据包从而按照预先设定好的策略进行转发的技术，它可以对网络数据包按不同的关键字段进行识别分类，以决定其转发策略。
策略路由技术可以有效的控制网络用户数据包的流向和行为。
策略路由位于IP层，在做IP转发前，如果报文命中某个策略路由对应的规则，则要进行相应的策略路由的动作，动作包括重定向到指定下一跳，以及remark 标记（如TOS、IP优先级或DSCP），然后根据重定向的下一跳代替报文的目的IP 去查FIB表，做IP转发。
图1 策略路由在系统中的位置2 术语NEXTHOP重定向下一跳：策略路由处理过程中，代替报文的目的ip来查找路由表以得到真正下一跳的一个ip地址。
ACL（Access Control List）访问控制列表：包含一系列的规则。
这些规则可以用来匹配报文以决定对报文做相应的策略路由动作。
FIB (Forwarding Information Base)转发信息表：FIB是三层转发的核心数据，用于指导IP报文的转发。
PBR (Policy Based Routing)策略路由：根据事先预定义的策略对报文进行路由转发。
TOS (Type of Service)服务类型：在IP报文头中的标志，用来进行流量控制。
NP (Network Processor)网络处理器：一种用于数据报文处理的可编程、高性能网络专用处理器。
3 策略路由功能特性PBR使用关键字对数据包进行分类从而采用不同策略对数据包进行转发，所使用的关键字为数据包本身或相关的一些特征项：源IP地址目的IP地址源端口号目的端口号IP协议类型PBR能够根据这些关键字进行数据包分类，不同的类别使用不同的策略路由。
数据中心管理中的网络隔离与流量控制方法(四)
数据中心是现代企业不可或缺的核心设施，其网络管理的重要性不言而喻。
在数据中心的网络管理中，网络隔离和流量控制是关键要素。
本文将讨论数据中心管理中的网络隔离与流量控制方法，以帮助读者更好地理解并应用于实际工作中。
1. 虚拟局域网（VLAN）的应用虚拟局域网是一种网络隔离的常用方法。
通过将交换机划分为多个逻辑子网，不同的VLAN可以实现隔离，确保不同部门或业务之间的数据不会相互干扰。
例如，将财务部门的设备划分到一个VLAN，将生产部门的设备划分到另一个VLAN，可以有效隔离两个部门的网络流量，提高网络的安全性和性能。
2. 策略路由的实施在数据中心管理中，网络流量的控制也是至关重要的。
策略路由是一种流量控制的方法，通过根据不同的策略选择最佳的路由路径，实现对网络流量的精确控制。
可以根据业务需求和网络拓扑优化路由策略，避免拥塞或单点故障，并确保数据中心的高可用性和可靠性。
3. 负载均衡的应用负载均衡是数据中心网络流量控制的另一个重要手段。
通过将网络流量分发到多个服务器，可以平衡服务器的负载，提高数据中心的性能和可扩展性。
采用负载均衡技术，可以避免某个服务器负载过高而导致故障，提高服务的响应速度和可靠性，确保用户体验。
4. 拥塞控制的实施在数据中心网络流量的管理中，拥塞是一个常见的问题。
为了避免拥塞的发生和蔓延，需要实施适当的拥塞控制策略。
例如，利用流量监测和流量调节技术，实时监测网络流量的变化，并根据需求动态调整网络资源的分配。
此外，还可以采用排队算法和负载敏感路由等手段，控制流量的传输速率，避免拥塞的发生。
5. 安全策略的应用数据中心的网络管理离不开网络安全的考虑。
除了前述的虚拟局域网的隔离和拥塞控制的策略，还需要制定适当的安全策略以保护数据中心免受恶意攻击和数据泄露的威胁。
例如，采用访问控制列表（ACL）技术，对网络流量进行过滤和筛选，限制未授权的访问。
同时，采用防火墙和入侵检测系统等安全设备，提高数据中心网络的安全性。
应用策略路由的工作原理
应用策略路由的工作原理概述应用策略路由是一种网络路由选择的策略，它可以根据特定的应用要求来选择数据包的传输路径。
通过应用策略路由，网络管理员可以优化网络流量，提高应用性能和服务质量。
本文将介绍应用策略路由的工作原理及其应用场景。
工作原理应用策略路由通过制定特定的路由策略来实现数据包的选择。
在传统路由中，路由器根据目的IP地址来进行路由选择，而应用策略路由则引入了更多的因素，例如源IP地址、服务类型、端口号等。
应用策略路由的工作原理如下： 1. 根据源地址和目的地址确定数据包的传输路径。
2. 根据服务类型确定数据包的传输路径。
3. 根据端口号确定数据包的传输路径。
应用场景应用策略路由可以在以下场景中发挥作用： 1. 多链路负载均衡：通过应用策略路由，可以根据不同的应用需求选择不同的传输路径，实现网络流量的均衡分配。
这样可以避免某个传输路径过载，提高整体的网络性能。
2. 优化服务质量：通过应用策略路由，可以根据服务类型来选择最佳的传输路径，例如将对延迟敏感的应用流量优先发送到低延迟的路径上，从而提高服务质量。
3. 网络故障切换：应用策略路由可以根据网络故障情况来选择备用的传输路径，实现网络故障时的无缝切换。
配置方法应用策略路由的配置方法可以因不同设备而有所不同，下面以常见的路由器为例，介绍一种配置方法： 1. 登录路由器的管理界面。
2. 进入路由器的配置界面，找到应用策略路由相关的设置选项。
3. 根据实际需求，制定相应的路由策略。
可以根据源地址、目的地址、服务类型、端口号等因素进行设置。
4. 保存配置，并使配置生效。
总结通过应用策略路由，网络管理员可以根据应用要求来选择数据包的传输路径，从而优化网络流量，提高应用性能和服务质量。
应用策略路由的工作原理是通过制定特定的路由策略来实现数据包的选择。
它在多链路负载均衡、服务质量优化和网络故障切换等场景中都具有重要作用。
在配置应用策略路由时，需要登录设备管理界面，并根据实际需求进行相应的配置。
策略路由配置详解
策略路由配置详解
一、策略路由的概念
策略路由是一种网络路由管理方法，它的基本思想是建立一组用来定
义所有网络流量及其传输路径的策略，并利用这组策略实现路由负载均衡，从而提高网络性能。
二、策略路由配置的要素
1.路由器
路由器是策略路由的基础，配置正确的路由器是策略路由正常运行的
关键，一般需要设置路由协议和路由策略。
2.协议
协议是指路由器交换机之间的连接，当路由器与交换机之间的连接类
型是协议时，策略路由就可以在此基础上正确工作，用户可以根据自身需
要选择合适的协议进行配置。
3.连接
连接是指策略路由需要通过路由器或交换机保持的一种物理连接，它
是策略路由的基础，因此必须正确配置路由器和交换机之间的连接，才能
确保策略路由的正常运行。
4.地址
地址是指在策略路由系统中所有设备的IP地址，这些地址是策略路
由网络中所有设备的唯一标识符，必须正确设置，才能使策略路由能够真
正发挥出效用。
5.策略
策略是指在策略路由系统中，路由器或交换机根据其中一种规则选择最佳路由策略，从而实现合理分配网络流量，提高网络性能。
h3c交换机的vlan控制策略路由设置
昨天去一家客户那边调试h3c的设备,客户要做vlan间互访和策略路由.本以为挺简单的事情,可到了才发现不是自己想象的那样.vlan间互访没想到h3c搞的那么麻烦,cisco的数据流控制就是做一条访问列表,列表里定义了动作是拒绝还是允许,然后直接把这个列表应用到接口上就可以了,但h3c却没有这么简单,h3c我总结了一下总的思路是这样的1.首先定义访问控制列表,注意:假如要使把此列表应用到qos策略中的话此列表中的deny和permit是没有意义的,不管是permit还是deny都代表"匹配"该数据流.2.定义类,类里面很简单,就是简单的匹配某条列表.应该也可以像cisco一样匹配or或者and,我没验证.3.定义行为动作,行为动作可以分好多,常用的有filter deny,filter permit 拒绝/允许,还有改变下一条redirect next-hop.或者可以做标记,qos等.4.定义qos策略,把2,3里的类和行为建立关联,如什么类执行什么行为,可以做好多条,同一个行为如果找到第一项匹配则不再接着往下执行,所有有可能同一个数据流能满足多条不同行为操作的情况.5.把此qos策略应用到接口上.下面我把配置粘上来供大家参考#version 5.20, Release 5303#sysname master switch#domain default enable system#telnet server enable#vlan 1#vlan 20#vlan 23description 0023#vlan 24#vlan 30#vlan 40#vlan 50vlan 60#vlan 70#vlan 80#vlan 90#vlan 100#domain systemaccess-limit disablestate activeidle-cut disableself-service-url disable#traffic classifier h3c operator andif-match acl 3060********* 定义类，30，50，90三个网段之间不能互访********traffic classifier wangtong operator andif-match acl 2010********* 定义类，20，60，90网段的用户分到wangtong这个类中*******traffic classifier dianxin operator andif-match acl 2020********* 定义类，30，50，70网段的用户分到电信这个类中*******traffic behavior h3cfilter deny********* 定义行为名字叫h3c的动作为丢弃!*********traffic behavior wangtongredirect next-hop 10.1.1.2*********定义行为名字叫wangtong 动作为改变下一跳位10.1.1.2*********traffic behavior dianxinredirect next-hop 10.1.2.2*********定义行为名字叫wangtong 动作为改变下一跳位10.1.2.2*********qos policy h3cclassifier h3c behavior h3cclassifier wangtong behavior wangtongclassifier dianxin behavior dianxin***********定义一个qos策略(注意,这里是总的qos策略,其中包括vlan间访问控制和策略路由控制都汇聚到此策略中了)1.满足h3c类别的数据流执行h3c这个行为,这里行为为丢弃2.满足wangtong类别的数据流执行网通这个行为,这里的行为为改变下一跳为10.1.1.23.满足dianxin类别的数据流执行dianxin这个行为,这里的行为为改变下一跳为10.1.2.2 ***************************************************************** ***#acl number 2010rule 0 permit source 192.168.20.0 0.0.0.255rule 1 permit source 192.168.60.0 0.0.0.255rule 2 permit source 192.168.90.0 0.0.0.255acl number 2020rule 0 permit source 192.168.30.0 0.0.0.255rule 1 permit source 192.168.50.0 0.0.0.255rule 2 permit source 192.168.70.0 0.0.0.255acl number 3060rule 10 permit ip source 192.168.30.0 0.0.0.255 destination 192.168.50.00.0.0.255rule 20 permit ip source 192.168.30.0 0.0.0.255 destination 192.168.90.00.0.0.255rule 50 permit ip source 192.168.50.0 0.0.0.255 destination 192.168.30.00.0.0.255rule 60 permit ip source 192.168.50.0 0.0.0.255 destination 192.168.90.00.0.0.255rule 70 permit ip source 192.168.90.0 0.0.0.255 destination 192.168.30.00.0.0.255rule 80 permit ip source 192.168.90.0 0.0.0.255 destination192.168.50.0 0.0.0.255*************在30,50,90三个网段之间做隔离,使他们不能互相访问,但都能访问其他的地址,由于h3c的三层交换机(这里的型号是s5510)可以实现单向访问,以此每一条都得建立2条规则来匹配如30--90网段,90---30网段.因为是作用在trunk口上的,因此源地址无法确定****************************************interface NULL0#interface Vlan-interface1ip address 192.168.10.1 255.255.255.0#interface Vlan-interface20ip address 192.168.20.254 255.255.255.0#interface Vlan-interface23ip address 10.1.1.1 255.255.255.0interface Vlan-interface24ip address 10.1.2.1 255.255.255.0#interface Vlan-interface30ip address 192.168.30.254 255.255.255.0#interface Vlan-interface40ip address 192.168.40.254 255.255.255.0#interface Vlan-interface50ip address 192.168.50.254 255.255.255.0#interface Vlan-interface60ip address 192.168.60.254 255.255.255.0 #interface Vlan-interface70ip address 192.168.70.254 255.255.255.0 #interface Vlan-interface80ip address 192.168.80.254 255.255.255.0 #interface Vlan-interface90ip address 192.168.90.254 255.255.255.0 interface GigabitEthernet1/0/1port link-type trunkport trunk permit vlan allqos apply policy h3c inbound#interface GigabitEthernet1/0/2port link-type trunkport trunk permit vlan allqos apply policy h3c inbound#interface GigabitEthernet1/0/3port link-type trunkport trunk permit vlan allqos apply policy h3c inbound#interface GigabitEthernet1/0/4port link-type trunkport trunk permit vlan allqos apply policy h3c inbound#interface GigabitEthernet1/0/5port link-type trunkport trunk permit vlan allqos apply policy h3c inbound#interface GigabitEthernet1/0/6port link-type trunkport trunk permit vlan allqos apply policy h3c inbound#interface GigabitEthernet1/0/7port link-type trunkport trunk permit vlan allqos apply policy h3c inbound#interface GigabitEthernet1/0/8port link-type trunkport trunk permit vlan allqos apply policy h3c inbound************在8个trunk口上绑定qos策略**************************888 #interface GigabitEthernet1/0/9port access vlan 20#interface GigabitEthernet1/0/10port access vlan 20interface GigabitEthernet1/0/11port access vlan 20#interface GigabitEthernet1/0/12port access vlan 20#interface GigabitEthernet1/0/13port access vlan 20#interface GigabitEthernet1/0/14port access vlan 20#interface GigabitEthernet1/0/15port access vlan 20#interface GigabitEthernet1/0/16port access vlan 20#interface GigabitEthernet1/0/17port access vlan 20#interface GigabitEthernet1/0/18port access vlan 20#interface GigabitEthernet1/0/19port access vlan 100speed 100#interface GigabitEthernet1/0/20port access vlan 100speed 100#interface GigabitEthernet1/0/21port access vlan 100speed 100#interface GigabitEthernet1/0/22port access vlan 100#interface GigabitEthernet1/0/23port access vlan 23speed 100duplex full#interface GigabitEthernet1/0/24port access vlan 24#interface GigabitEthernet1/0/25shutdown#interface GigabitEthernet1/0/26shutdown#interface GigabitEthernet1/0/27shutdown#interface GigabitEthernet1/0/28shutdown#ip route-static 0.0.0.0 0.0.0.0 10.1.1.2ip route-static 0.0.0.0 0.0.0.0 10.1.2.2**********定义2条缺省路由,一条指向电信网络,一条指向网通网络*************** #user-interface aux 0user-interface vty 0 4#return[master switch]。
华为路由器路由策略和策略路由
华为路由器路由策略和策略路由路由策略和策略路由⼀、路由策略简介路由策略主要实现了路由过滤和路由属性设置等功能，它通过改变路由属性（包括可达性）来改变⽹络流量所经过的路径。
路由协议在发布、接收和引⼊路由信息时，根据实际组⽹需求实施⼀些策略，以便对路由信息进⾏过滤和改变路由信息的属性，如：1、控制路由的接收和发布只发布和接收必要、合法的路由信息，以控制路由表的容量，提⾼⽹络的安全性。
2、控制路由的引⼊在⼀种路由协议在引⼊其它路由协议发现的路由信息丰富⾃⼰的路由信息时，只引⼊⼀部分满⾜条件的路由信息。
3、设置特定路由的属性修改通过路由策略过滤的路由的属性，满⾜⾃⾝需要。
路由策略具有以下价值：通过控制路由器的路由表规模，节约系统资源；通过控制路由的接收、发布和引⼊，提⾼⽹络安全性；通过修改路由属性，对⽹络数据流量进⾏合理规划，提⾼⽹络性能。
⼆、基本原理路由策略使⽤不同的匹配条件和匹配模式选择路由和改变路由属性。
在特定的场景中，路由策略的6种过滤器也能单独使⽤，实现路由过滤。
若设备⽀持BGP to IGP功能，还能在IGP引⼊BGP路由时，使⽤BGP私有属性作为匹配条件。
图1 路由策略原理图如图1，⼀个路由策略中包含N（N>=1）个节点（Node）。
路由进⼊路由策略后，按节点序号从⼩到⼤依次检查当路由与该节点的所有If-match⼦句都匹配成功后，进⼊匹配模式选择，不再匹配其他节点。
匹配模式分permit和deny两种：permit：路由将被允许通过，并且执⾏该节点的Apply⼦句对路由信息的⼀些属性进⾏设置。
deny：路由将被拒绝通过。
当路由与该节点的任意⼀个If-match⼦句匹配失败后，进⼊下⼀节点。
如果和所有节点都匹配失败，路由信息将被拒绝通过。
过滤器路由策略中If-match⼦句中匹配的6种过滤器包括访问控制列表ACL（Access Control List）、地址前缀列表、AS 路径过滤器、团体属性过滤器、扩展团体属性过滤器和RD属性过滤器。
策略路由应用场景
策略路由应用场景1. 策略路由的概念策略路由是一种网络路由技术，它根据特定的策略或规则来选择不同的路径来传输数据包。
策略路由可以根据网络的实际情况和需求，灵活地配置路由规则，实现灵活的流量调度和负载均衡。
2. 策略路由的基本原理策略路由的基本原理是通过对数据包的目的地址、源地址、协议类型等信息进行判断和过滤，然后根据预先设定的路由策略将数据包送往不同的目的地。
策略路由的实现需要借助路由器或交换机等网络设备来完成。
3. 策略路由的应用场景3.1 多路径调度策略路由可以通过配置多个路径和对应的优先级来实现多路径调度。
在网络中，有时候会存在多条路径可以到达目的地，策略路由可以根据网络的实际情况和需求，选择合适的路径来传输数据包。
多路径调度可以提高网络的负载均衡性能，提高网络的吞吐量。
3.2 链路切换策略路由可以实现链路的切换和冗余，当某个链路发生故障或拥塞时，策略路由可以根据预先设定的策略，自动切换到备用的链路上进行数据传输，提高网络的可靠性和鲁棒性。
3.3 业务隔离策略路由可以实现不同业务的隔离，不同的业务可以通过不同的路径进行传输，避免不同业务之间的相互干扰，提高网络的安全性和可维护性。
3.4 基于用户的访问控制策略路由可以根据用户的身份和权限，实现对用户的访问控制。
根据不同用户的需求和权限，策略路由可以将用户的数据包送往不同的目的地，实现网络资源的共享和隔离。
4. 策略路由的实现方式4.1 静态策略路由静态策略路由是通过手动配置路由表来实现的。
管理员可以手动配置路由器或交换机的路由表，定义不同的策略和规则，实现数据包的按需路由。
4.2 动态策略路由动态策略路由是通过动态协议来实现的。
动态协议可以根据网络的实际情况和需求，自动更新和调整路由表，实现更加灵活的策略路由。
5. 策略路由的优缺点5.1 优点•灵活性高：策略路由可以根据网络的实际情况和需求，灵活地配置路由策略，实现灵活的流量调度和负载均衡。
策略路由的原理与应用实例
策略路由的原理与应用实例概述策略路由是一种根据特定规则或策略选择路径的路由方式。
与传统的静态路由相比，策略路由可以根据不同的业务需求和网络状态动态调整路由路径，提高网络的灵活性和可用性。
原理策略路由的原理在于通过配置路由器或网络设备的路由表，在收到数据包时根据设定的策略选择最优的路径进行转发。
策略路由可以基于多种因素进行选择，如源地址、目的地址、传输协议、端口号等。
下面通过几个应用实例来进一步了解策略路由的原理和应用。
应用实例1：基于负载均衡的策略路由负载均衡是策略路由的一种常见应用。
在高负载的网络环境中，通过将请求均匀地分配到多个服务器上，可以提高系统的整体性能和可用性。
常见的负载均衡算法有轮询、加权轮询、最小连接数等。
以下是一个基于轮询算法的负载均衡策略的示例配置：•配置两台服务器的IP地址和权重（服务器1: 192.168.1.100，权重1；服务器2: 192.168.1.101，权重2）；•配置路由器的策略路由规则，将请求按照轮询算法分发到两台服务器。
通过这样的配置，当路由器收到请求时，会根据轮询算法将请求依次发送到服务器1和服务器2，实现负载的均衡。
应用实例2：基于访问控制的策略路由策略路由还可以用于实现安全访问控制。
通过根据源地址、目的地址和端口等信息进行筛选，可以限制特定用户或IP的访问权限。
以下是一个基于访问控制的策略路由的示例配置：•配置允许某个特定IP段的用户访问网络（源地址：192.168.1.0/24）；•配置禁止某个特定IP的用户访问网络（源地址：192.168.1.100）；•配置允许某个特定端口的请求通过（目的端口：80）。
通过这样的配置，路由器在收到请求时，会根据配置的策略进行判断和过滤，只允许符合规则的请求通过，提高网络的安全性和稳定性。
应用实例3：基于路径优化的策略路由策略路由还可以用于优化网络路径，实现最短路径或最优路径的选择。
在不同的网络环境中，可以根据网络拓扑、链路带宽等因素进行路径选择。
HIKVISION 网关路由器 操作手册说明书
网关路由器操作手册版权所有©杭州海康威视数字技术股份有限公司2020。
保留一切权利。
本手册的任何部分，包括文字、图片、图形等均归属于杭州海康威视数字技术股份有限公司或其关联公司（以下简称“海康威视”）。
未经书面许可，任何单位或个人不得以任何方式摘录、复制、翻译、修改本手册的全部或部分。
除非另有约定，海康威视不对本手册提供任何明示或默示的声明或保证。
关于本产品本手册描述的产品仅供中国大陆地区销售和使用。
本产品只能在购买地所在国家或地区享受售后服务及维保方案。
关于本手册本手册仅作为相关产品的指导说明，可能与实际产品存在差异，请以实物为准。
因产品版本升级或其他需要，海康威视可能对本手册进行更新，如您需要最新版手册，请您登录海康威视官网查阅（）。
海康威视建议您在专业人员的指导下使用本手册。
商标声明●为海康威视的注册商标。
●本手册涉及的其他商标由其所有人各自拥有。
责任声明●在法律允许的最大范围内，本手册以及所描述的产品（包含其硬件、软件、固件等）均“按照现状”提供，可能存在瑕疵或错误。
海康威视不提供任何形式的明示或默示保证，包括但不限于适销性、质量满意度、适合特定目的等保证；亦不对使用本手册或使用海康威视产品导致的任何特殊、附带、偶然或间接的损害进行赔偿，包括但不限于商业利润损失、系统故障、数据或文档丢失产生的损失。
●您知悉互联网的开放性特点，您将产品接入互联网可能存在网络攻击、黑客攻击、病毒感染等风险，海康威视不对因此造成的产品工作异常、信息泄露等问题承担责任，但海康威视将及时为您提供产品相关技术支持。
●使用本产品时，请您严格遵循适用的法律法规，避免侵犯第三方权利，包括但不限于公开权、知识产权、数据权利或其他隐私权。
您亦不得将本产品用于大规模杀伤性武器、生化武器、核爆炸或任何不安全的核能利用或侵犯人权的用途。
●如本手册内容与适用的法律相冲突，则以法律规定为准。
前言本节内容的目的是确保用户通过本手册能够正确使用产品，以避免操作中的危险或财产损失。
基于VLAN的策略路由的应用
基于VLAN的策略路由的应用随着网络的普及，小型企业的局域网在资金短缺的状况下如何花更少的钱去实现较为复杂的网络功能、满足人们对网络功能更高的需求，是网络技术人员关怀的问题。
在系统中网络技术人员可按照用户需求实现丰盛的路由功能，其中无数功能都可以和路由器产品相媲美。
基于Linux 系统强大的功能，这里提出通过架设Linux服务器解决该问题，经济而平安。
本地一家工厂初步搭建了局域网，因为经济条件有限，只购买较容易的网络衔接设备，通过光纤接入本地ISP。
随着网络应用的进展，现需要划分几个网段，规定机房用户不允许拜访财务部门和办公室，财务部门的计算机不允许拜访Internet。
大多数解决这类问题的做法都是通过用法交换机结合路由器共同完成。
这种做法虽然实现相对容易，较易维护，但成本高。
因此，本文按照实际条件和详细需求制定出一种技术计划：安装一台Linux服务器，通过划分虚拟局域网 (VLAN)、设置策略路由解决问题。
2 VLAN的概念2．1 VLAN的定义VLAN(Virtual Local Area Network)又称为虚拟局域网，该技术实现了与物理位置无关的规律工作组划分。
采纳VLAN技术可将广播数据报限制在同一VLAN内，提高了网络整体的有效带宽。
同时，可按照实际状况分离对各VLAN定义不同级别的平安策略，有效地避开非法入侵，增加了网络的平安性。
下面介绍三种主要VLAN的定义方式。
(1)基于端口的VLAN定义通过交换机的端口划分来定义虚拟子网，该方式和物理网段划分较为类似，其主要缺点是无法实现与物理位置无关的虚拟网配置，假如工作站在端口间移动，则有须要对VLAN重新举行配置，这种办法运用在实际中比较普遍也最成熟。
(2)基于MAC地址的VLAN定义用节点网卡的MAC地址打算其所隶属的虚拟子网。
这种方式实现了与物理位置无关的虚拟网配置，不足之处第1页共5页。
VLAN间路由配置实例分享
VLAN间路由配置实例分享在网络中，VLAN（Virtual LAN）是一种将局域网划分为多个虚拟局域网的技术。
不同的VLAN之间通常是隔离的，为了使不同的VLAN之间能够互相通信，需要进行VLAN间路由配置。
本文将分享一个VLAN间路由配置的实例，帮助读者理解如何正确配置VLAN间路由。
首先，我们需要明确一些概念。
在VLAN间路由配置中，我们需要有一个具备路由功能的设备，比如路由器或三层交换机。
此外，我们还需要划分不同的VLAN，并为每个VLAN分配一个IP地址段。
接下来，我们将以一个企业网络为例，展示如何配置VLAN间路由。
假设我们有以下几个要求：1. 划分三个VLAN，分别用于管理、销售和研发部门。
2. 每个VLAN分配一个IP地址段。
3. 不同VLAN之间需要互相通信。
首先，我们需要在路由器或三层交换机上创建三个VLAN，并为每个VLAN分配一个唯一的VLAN ID。
假设我们将管理部门的VLAN ID设置为10，销售部门的VLAN ID设置为20，研发部门的VLAN ID 设置为30。
接下来，我们需要在交换机上将各个端口划分到相应的VLAN中。
比如，将管理部门的端口划分到VLAN 10，销售部门的端口划分到VLAN 20，研发部门的端口划分到VLAN 30。
然后，我们需要为每个VLAN配置IP地址段。
假设管理部门的IP 地址段为192.168.10.0/24，销售部门的IP地址段为192.168.20.0/24，研发部门的IP地址段为192.168.30.0/24。
我们需要将这些IP地址段分别分配给相应的VLAN。
此时，不同的VLAN已经配置完成，但它们之间还无法通信。
接下来，我们需要在路由器或三层交换机上配置VLAN间路由。
首先，我们需要将交换机的某个接口配置为Trunk口，用于连接到路由器或三层交换机的接口。
Trunk口上会承载多个VLAN的数据流量。
然后，我们需要在路由器或三层交换机上配置子接口。
策略路由-交换机配置
1.1.1CISCO交换机配置方法一、（不具备逃生方案）建立ACLip access-list extended policy-route-aclpermit ip any anyexit配置route-map路由图route-map policy-routematch ip address policy-route-aclset ip next-hop 192.168.100.123exit在接口上应用route-mapinterface vlan 54ip policy route-map policy-routeexit方法二、（具备逃生方案）建立ACLaccess-list 101 permit ip 192.168.36.0 0.0.0.255 anyip access-list extended policy-route-aclpermit ip any anyexit配置带下跳检测的route-map路由图ip sla monitor 1type echo protocol ipIcmpEcho 172.28.1.11frequency 8ip sla monitor schedule 1 life forever start-time nowtrack 123 rtr 1 reachabilityip sla monitor 2type echo protocol ipIcmpEcho 172.28.1.12frequency 8ip sla monitor schedule 2 life forever start-time nowtrack 223 rtr 2 reachabilityroute-map policy_routematch ip address policy-route-aclset ip next-hop verify-availability 172.28.1.11 10 track 123 set ip next-hop verify-availability 172.28.1.12 20 track 223 在接口上应用route-mapinterface vlan 200ip policy route-map policy-routeCISCO EEM逃生方案#创建一个event managerevent manager applet PBR#您那边的event manager如果版本是3.0的话应该支持#event track 1的用法,我们这里只支持syslog进行模式匹配event syslog pattern "Interface FastEthernet0/3, changed state to down" action 1.0 syslog msg "PBR to shutdown the interface vlan 112"action 1.1 cli command "en"action 1.3 cli command "config term"action 1.5 cli command "int vlan 112"action 1.7 cli command "shutdown"1.1.2H3C交换机配置1.2.2.1policy-based-route方法配置建立ACLacl number 3040rule 0 permit ip source anyquit配置policy-based-route路由图policy-based-route policy-route permit node 10if-match acl 3040apply ip-address next-hop 192.168.100.123quit在接口应用policy-based-routeinterface Ethernet0/3.40ip policy-based-route policy-routequit1.2.2.2qos policy方法配置配置ACL策略[H3C7506E]acl number 3040[H3C7506E-acl-adv-3040] rule 10 permit ip source any[H3C7506E-acl-adv-3040]quit配置匹配ACL的流分类1[H3C7506E] traffic classifier 1[H3C7506E-classifier-1] if-match acl 3040[H3C7506E-classifier-1] quit配置刚才定义的流分类1的行为，定义如果匹配就下一跳至192.168.100.123 [H3C7506E] traffic behavior 1[H3C7506E-behavior-1] redirect next-hop 192.168.100.123[H3C7506E-behavior-1] quit将刚才设置的流分类及行为应用至QOS策略中，定义policy 1[H3C7506E] qos policy 1[H3C7506E-qospolicy-1] classifier 1[H3C7506E-qospolicy-1] behavior 1[H3C7506E-qospolicy-1] quit在接口上应用定义的QOS策略policy 1[H3C7506E] interface GigabitEthernet 2/0/11[H3C7506E-GigabitEthernet2/0/11] qos apply policy 1 inbound[H3C7506E-GigabitEthernet2/0/11] quit1.2.2.3route policy方法配置建立ACLacl number 3000rule 0 permit ip source anyquit配置route policy路由图route-policy policy-route permit node 1if-match acl 3000apply ip-address next-hop 192.168.100.123quit在接口应用route policyinterface Ethernet1/0ip policy route-policy policy-routequit1.2.2.4traffic-redirect方法配置建立ACLacl number 3000rule 0 permit ip source anyquit在接口应用traffic-redirecinterface GigabitEthernet6/1/1traffic-redirect inbound ip-group 3000 rule 0 next-hop 192.168.100.123quit逃生方案：traffic-redirect inbound ip-group 3000 rule 0 next-hop 192.168.100.123 in forword1.1.3华为交换机配置1.2.3.1traffic-policy方法配置配置ACL策略acl number 3040rule 10 permit ip source anyquit配置匹配ACL的流分类1traffic classifier 1if-match acl 3040quit配置刚才定义的流分类1的行为，定义如果匹配就下一跳至192.168.100.123 traffic behavior 1redirect next-hop 192.168.100.123quit将刚才设置的流分类及行为应用至traffic-policy策略中，定义policy 1traffic policy 1classifier 1 behavior 1quit在接口上应用定义的QOS策略policy 1interface GigabitEthernet 2/0/11traffic-policy 1 inboundquit1.2.3.2traffic-redirect方法配置建立ACLacl number 3000rule 0 permit ip source anyquit在接口应用traffic-redirecinterface GigabitEthernet6/1/1traffic-redirect inbound ip-group 3000 rule 0 next-hop 192.168.100.123quit1.2.3.3route policy方法配置建立ACLacl number 3000rule 0 permit ip source anyquit配置route policy路由图route-policy policy-route permit node 1if-match acl 3000apply ip-address next-hop 192.168.100.123quit在接口应用route policyinterface Ethernet1/0ip policy route-policy policy-routequit。
vlan间路由的方法 -回复
vlan间路由的方法-回复VLAN间路由的方法随着网络规模的扩大和复杂性的增加，划分不同的虚拟局域网（VLAN）来管理网络流量和安全性变得越来越重要。
然而，仅仅将不同VLAN划分成不同的网络段是不够的。
为了实现不同VLAN之间的通信，我们需要实施VLAN间的路由。
本文将一步一步回答关于VLAN间路由的方法，并提供一个综合的解决方案。
第一步：了解VLAN和VLAN间路由的概念在进一步讨论VLAN间路由之前，我们首先需要明确VLAN和VLAN间路由的概念。
VLAN是一种虚拟的局域网，可以将物理网络划分为逻辑上的多个独立网络。
每个VLAN都有自己的网络地址空间和安全策略。
它可以帮助我们更好地控制网络流量和提高网络安全性。
VLAN间路由是指不同VLAN之间的数据包交换过程。
它允许不同VLAN 中的设备互相通信，实现跨VLAN的数据传输。
第二步：为VLAN分配IP地址在实施VLAN间路由之前，我们需要为每个VLAN分配一个唯一的IP地址。
这些IP地址可以是私有IP地址，也可以是公共IP地址，具体根据需要和网络环境来选择。
第三步：选择VLAN间路由的实现方式现在我们来讨论实现VLAN间路由的不同方式。
选择适合你网络环境的方式是很重要的。
1. 传统路由器：你可以使用传统的路由器来实现VLAN间路由。
在以太网交换机和路由器之间添加一个带有多个接口的路由器，每个接口连接到一个VLAN。
路由器将在不同VLAN之间进行路由，将数据包从源VLAN 转发到目标VLAN。
2. 三层交换机：三层交换机是一种集成了路由功能的交换机。
它可以实现多个VLAN之间的数据转发。
使用三层交换机可以简化网络结构并提高性能。
将不同的VLAN配置在不同的接口上，三层交换机会根据目标IP地址将数据包转发到正确的VLAN。
3. 虚拟路由器：虚拟路由器是一种基于软件的路由器解决方案。
它可以在服务器上运行，将不同VLAN之间的数据包转发。
虚拟路由器可以提供更大的灵活性和可伸缩性，但也可能需要更高的计算资源。
交换机上也做策略路由
交换机上也做策略路由交换机上也可以做策略路由，这是因为现代交换机逐渐具备了路由器的功能，从而实现了多重功能的集成。
在网络拓扑结构较为复杂的情况下，为了保障网络的高可用性、安全性以及性能等方面的需求，交换机上的策略路由也变得越来越重要。
1. 策略路由的基本原理策略路由是一种基于目的地址不同的路由选择策略，可以根据不同的需求选择不同的路由方案进行转发，从而实现对流量的控制和管理。
在交换机上实现策略路由，通常采用的是ACL（Access Control List）技术，即访问控制列表技术，通过配置ACL可以实现路由的分流，以及对不同流量的控制和限制。
2. 策略路由的应用场景（1）流量分流在网络拓扑结构较为复杂的情况下，流量分流可以有效提高网络的负载能力，避免网络拥塞发生。
通过策略路由技术，可以将不同类型的流量按需求分流到不同的路由上进行传输，从而优化网络性能。
例如，在企业网络中，一部分部门需要专线连接，而另一部分只需要公网连接，此时可以通过ACL配置，将需要专线连接的部门的流量分流到专线路由上进行传输，让公网路由处理其他部门的流量。
（2）网络安全控制通过ACL技术，可以实现对不同类型的流量的过滤和控制，确保网络的安全性。
例如，可以通过配置ACL来限制某些危险的IP流量进入网络，以保证网络的正常运行；还可以通过ACL来防止DDoS攻击、网络蠕虫和病毒等恶意流量的攻击。
（3）灵活的路由控制传统的无层交换机无法支持路由控制，而现代交换机就可以利用策略路由技术灵活地对IP数据流进行路由的控制，同时还能够根据不同流量的特点进行不同的路由转发。
例如，某公司的某个部门需要对特定的IP流量进行优先级路由，可以通过ACL进行配置，将这部分IP流量发送到目标设备的路由上，从而实现更加灵活的路由控制。
3. 策略路由的配置方法在交换机上实现策略路由技术，需要按照以下步骤进行配置：（1）确定分流规则根据实际需求，确定需要分流的流量类型和路由方向，例如需要将某个部门的流量分流到专线连接上，或者需要将恶意流量分流到黑洞，从而实现网络的安全控制。
策略路由配置与应用
Si
R1 GE4/1 GE4/2 Fe1/0 R2 Fe1/0
教育网 Fe0/0 Fe0/0 联通
CERNET Internet ChinaNET
学生网络
配置VLAN出口控制列表
RS1(config)#ip access-list standard 1 ;设置教工连 接外网的ACL RS1(config- std-nacl)#10 permit 202.207.171.0 0.0.0.128 RS1(config- std-nacl)#20 permit 202.207.171.128 0.0.0.128 RS1(config- std-nacl)#30 permit 202.207.172.0 0.0.0.128 …… RS1(config)#ip access-list standard 2 ;设置学生连 接外网的ACL RS1(config- std-nacl)#10 permit 176.16.10.0 0.0.0.128 RS1(config- std-nacl)#20 permit 176.16.10.128 0.0.0.128 RS1(config- std-nacl)#30 permit 176.16.11.0 0.0.0.128
R1(config)#access-list 1 permit 176.16.1.11 ;设置主机A允许访问列表 R1(config)#access-list 2 permit 176.16.1.12 ;设置主机B允许访问列表 R1(config)#route-map RULE1 permit 10 ;设置主机A的策略路由序号为10 R1(config-route-map)#match ip address 1 ;设置匹配地址access-list 1 R1(config-route-map)#set ip next-hop 176.16.12.1;设置数据包的下一跳地址 R1(config)#route-map RULE1 permit 20 ;设置主机B的策略路由序号为20 R1(config-route-map)#match ip address 2 R1(config-route-map)#set ip next-hop 176.16.21.1 R1(config)# interface fe0/0 R1(config-if)#ip address 176.16.1.1 255.255.255.0 R1(config-if)#ip policy route-map RULE1 ;在fe0/0接口启用策略路由 R1(config)# interface s0/0 R1(config-if)#ip address 176.16.12.2 255.255.255.0 R1(config)# interface s1/0 R1(config-if)#ip address 176.16.21.2 255.255.255.0 R1(config)#router ospf 100 R1(config-router)#network 176.16.1.0 255.255.255.0 R1(config-router)#network 176.16.12.0 255.255.255.0 R1(config-router)#network 176.16.21.0 255.255.255.0
策略路由和常见应用
策略路由和常见应用1. 策略路由简介策略路由（Policy-based routing）是一种网络路由技术，它通过基于路由策略选择路由路径，以实现对网络流量进行灵活控制和管理的目的。
相比传统的基于目的地地址的路由技术，策略路由允许根据其他因素（如源地址、服务类型、应用类型等）来决定数据包的转发路径。
这种灵活的路由控制方式，使得策略路由在网络管理和流量调优等方面具有重要应用。
在策略路由中，网络管理员可以设定一系列策略，每个策略定义了一组匹配规则和对应的动作。
当一个数据包到达路由器时，路由器将根据这些匹配规则来选择应用于该数据包的策略。
而每个策略的动作则决定了数据包应该如何进行转发处理。
通过合理配置策略，管理员可以实现对特定流量的优先处理、流量分流以及流量定向等目标。
2. 策略路由的应用场景策略路由在网络管理和流量调优等场景中有着广泛的应用。
以下是常见的几个应用场景：2.1 多路径负载均衡在一些网络环境下，可能存在多条连接到外部网络的出口链路。
为了充分利用这些链路资源，避免单一链路的拥塞，可以使用策略路由实现多路径负载均衡。
通过设定策略规则，使得不同的流量被分发到不同的链路上，实现负载均衡。
这样可以提高网络的带宽利用率，同时降低链路拥塞的风险。
2.2 流量定向在某些情况下，网络管理员希望将特定类型的流量定向到特定的链路上。
例如，将对视频流量的处理优先放到高带宽低延迟的链路上，以提高视频传输的质量。
利用策略路由，可以根据流量的特征来选择合适的链路，实现流量的定向。
2.3 网络流量控制策略路由还可以用于网络流量控制的场景。
通过设定策略规则，可以限制特定类型的流量的带宽使用。
例如，对于一个企业网络，可以限制员工使用互联网的带宽，保障关键业务的传输性能。
策略路由可以根据流量的特征来进行限制，并通过选择不同的路径或者丢弃一部分流量，实现流量的控制。
3. 策略路由的配置和实现策略路由的配置和实现方式根据具体的路由器设备和操作系统会有所差异，下面是一般的配置步骤：1.确定策略路由的实施范围和目标：包括需要控制的流量类型、路由路径选择规则等。
路由器的VLAN设置
路由器的VLAN设置在网络架构中，VLAN（Virtual Local Area Network）是一种将局域网虚拟化的技术。
通过VLAN，我们可以将多个不同的逻辑网络划分为各自独立的虚拟网络，实现更好的网络管理和安全性。
而在路由器上进行VLAN的设置，可以帮助我们灵活地控制和管理网络流量，提高网络性能和安全性。
一、为什么需要VLAN设置在传统的网络架构中，所有设备都处于同一个广播域（Broadcast Domain）中。
这样的架构很难实现网络的隔离和安全性控制，同时也会导致网络流量的拥堵。
而VLAN的出现可以很好地解决这些问题。
通过将不同的设备划分到不同的VLAN中，可以实现不同VLAN之间的逻辑隔离，减少广播和冲突域，提高网络性能和安全性。
二、路由器VLAN设置的基本方法在进行路由器的VLAN设置之前，需要先了解一些基本的概念和操作方法。
1. 确定VLAN的划分方式：根据网络的需求和规模，我们可以按照不同的部门、功能或者安全级别来划分VLAN。
例如，可以将财务部门的设备划分到一个VLAN中，将研发部门的设备划分到另一个VLAN中，从而实现彼此之间的逻辑隔离。
2. 创建VLAN：在路由器的管理界面中，可以找到VLAN的设置选项。
可以根据实际需求创建相应的VLAN，并为其分配一个唯一的VLAN ID。
同时，还可以为每个VLAN设置名称和描述，以便于后续的管理和识别。
3. 配置接口：在进行VLAN设置时，还需要配置路由器上的接口，将其与相应的VLAN关联起来。
可以将一个接口划分到多个VLAN中，也可以将多个接口划分到同一个VLAN中。
这样可以根据实际需求，灵活地控制不同接口之间的通信。
4. 设置VLAN间的路由：在多个VLAN之间进行通信时，需要在路由器上设置相应的路由规则。
可以通过配置静态路由或者使用动态路由协议（如OSPF、BGP等）来实现VLAN间的互联。
三、VLAN设置的注意事项在进行路由器的VLAN设置时，需要注意以下几点：1. 设备的兼容性：不同的路由器对VLAN的支持程度有所差异，因此在进行VLAN设置之前，需要确保所使用的路由器支持VLAN功能，并确认其软件版本是否支持所需的功能。
4.5.3在VLAN接口应用策略路由[共2页]
![4.5.3在VLAN接口应用策略路由[共2页]](https://img.taocdn.com/s3/m/eb04b52af011f18583d049649b6648d7c1c7088a.png)
4.5.3在VLAN接口应用策略路由[共2页]第4章园区网路由与系统集成– 107 –图4.13 基于源IP 地址的策略路由拓扑结构图在路由器R1的FE0接口应用源IP 地址的策略路由（假设策略路由名为RULE1），从主机A 来的数据包设置下一跳地址为176.16.12.1；从主机B 来的数据包设置下一跳地址为176.16.21.1；所有其他的数据包正常（按目标地址）转发。
R1、R2和R3运行OSPF 协议。
（1）配置路由器R1。
使用access-list id {deny|permit}{src src-wildcard|host src |any | interface idx}命令建立一个访问控制列表（ACL ），用于过滤IP 数据包。
命令中的id 表示ACL 的序号，deny 表示拒绝数据包通过，permit 表示允许数据包通过，src 表示源地址，src-wildcard 表示源地址通配符，host src 表示主机IP ，any 表示任意地址，interface idx 表示输入匹配接口。
R1(config)#access-list 1 permit 176.16.1.11;设置主机A 允许访问列表R1(config)#access-list 2 permit 176.16.1.12;设置主机B 允许访问列表 R1(config)#route-map RULE1 permit 10;设置主机 A 的策略路由序号为10 R1(config-route-map)#match ip address 1;设置匹配地址access-list 1 R1(config-route-map)#set ip next-hop 176.16.12.1;设置数据包的下一跳地址R1(config)#route-map RULE1 permit 20;设置主机 B 的策略路由序号为20 R1(config-route-map)#match ip address 2R1(config-route-map)#set ip next-hop 176.16.21.1R1(config)# interface fe0/0R1(config-if)#ip address 176.16.1.1 255.255.255.0R1(config-if)#ip policy route-map RULE1;在fe0/0接口启用策略路由R1(config)# interface s0/0R1(config-if)#ip address 176.16.12.2 255.255.255.0R1(config)# interface s1/0R1(config-if)#ip address 176.16.21.2 255.255.255.0R1(config)#router ospf 100R1(config-router)#network 176.16.1.0 255.255.255.0R1(config-router)#network 176.16.12.0 255.255.255.0R1(config-router)#network 176.16.21.0 255.255.255.0 （2）配置路由器R2和R3的OSPF 。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第4章 园区网路由与系统集成
– 107 –
图4.13 基于源IP 地址的策略路由拓扑结构图
在路由器R1的FE0接口应用源IP 地址的策略路由（假设策略路由名为RULE1），从主机A 来的数据包设置下一跳地址为176.16.12.1；从主机B 来的数据包设置下一跳地址为176.16.21.1；所有其他的数据包正常（按目标地址）转发。
R1、R2和R3运行OSPF 协议。
（1）配置路由器R1。
使用access-list id {deny|permit}{src src-wildcard|host src |any | interface idx}命令建立一个访问控制列表（ACL ），用于过滤IP 数据包。
命令中的id 表示ACL 的序号，deny 表示拒绝数据包通过，permit 表示允许数据包通过，src 表示源地址，src-wildcard 表示源地址通配符，host src 表示主机IP ，any 表示任意地址，interface idx 表示输入匹配接口。
R1(config)#access-list 1 permit 176.16.1.11
;设置主机A 允许访问列表 R1(config)#access-list 2 permit 176.16.1.12
;设置主机B 允许访问列表 R1(config)#route-map RULE1 permit 10
;设置主机A 的策略路由序号为10 R1(config-route-map)#match ip address 1
;设置匹配地址access-list 1 R1(config-route-map)#set ip next-hop 176.16.12.1
;设置数据包的下一跳地址 R1(config)#route-map RULE1 permit 20
;设置主机B 的策略路由序号为20 R1(config-route-map)#match ip address 2
R1(config-route-map)#set ip next-hop 176.16.21.1
R1(config)# interface fe0/0
R1(config-if)#ip address 176.16.1.1 255.255.255.0
R1(config-if)#ip policy route-map RULE1
;在fe0/0接口启用策略路由
R1(config)# interface s0/0
R1(config-if)#ip address 176.16.12.2 255.255.255.0
R1(config)# interface s1/0
R1(config-if)#ip address 176.16.21.2 255.255.255.0
R1(config)#router ospf 100
R1(config-router)#network 176.16.1.0 255.255.255.0
R1(config-router)#network 176.16.12.0 255.255.255.0
R1(config-router)#network 176.16.21.0 255.255.255.0 （2）配置路由器R2和R3的OSPF 。
R2(config)# interface s0/0
R2(config-if)#ip address 176.16.12.1 255.255.255.0
R2(config)#router ospf 100
R2(config-router)#network 176.16.12.0 255.255.255.0
R3(config)# interface s0/0
R3(config-if)#ip address 176.16.21.1 255.255.255.0
R3(config)#router ospf 100
R3(config-router)#network 176.16.21.0 255.255.255.0
（3）策略路由测试。
依据路由器R1配置的策略路由，主机A 只能ping 通R2的s0/0接口，主机B 只能ping 通R3的s1/0接口。
主机C 的数据包到达R1的fe0/0接口不匹配策略路由，数据包正常转发，所以主机C 可Ping 通R2的s0/0口和R3的s1/0口。
使用“show ip policy ”命令可显示在哪些接口上应用了哪些策略。