route-map与acl
Route-map的使用方法详解
Route-mapCCNP学习笔记关于route-map的配置讨论，1．Passive-interface被动接口RIP中的被动接口是只收不发，EIGRP中的被动接口是不收不发。
配置，路由进程中，Passive-interface default 关闭所有接口No passive-interface s1/1 打开s1/1接口2．Distribute-list分发列表配置，利用ACL来抓取路由条目，Access-list 1 permit 4.4.4.0 0.0.0.255（路由条目）在路由进程中应用分发列表，Router eigrp 100Distribute-list 1 in/out 接口这个就代表只允许4.4.4.0的路由条目通过，其他路由条目不允许通过。
In后面不能跟协议，只有out后面可以跟。
Out后面不可以跟接口。
3．Prefix-list前缀列表，设计用于专抓路由，不仅可以抓网络号，还可以抓掩码。
配置，利用prefix-list来抓取路由条目，Ip prefix-list 1 permit 2.2.2.0/24（代表必须严格匹配网络号必须是2.2.2.0，掩码必须是24位的。
）在路由进程中应用prefix-list，Router eigrp 100Distribute-list prefix 1 out 接口Prefix-list的其他写法：Ip prefix-list 1 permit 2.2.2.0/24 （匹配前24位：2.2.2.*，掩码必须为24位）Ip prefix-list 1 permit 2.2.2.0/24 le 32 （匹配前24位：2.2.2.*，掩码必须为24—32位）Ip prefix-list 1 permit 2.2.2.0/24 ge 26 （匹配前24位：2.2.2.*，掩码必须为26---32位）Ip prefix-list 1 permit 2.2.2.0/24 ge 25 le 30 （匹配前24位：2.2.2.*，掩码必须为25---32位）Ip prefix-list 1 permit 0.0.0.0/0 le 32 （匹配所有，不可以写any）Show ip prefix-list可以用查看。
策略路由（route-map）...
策略路由（route-map）...策略路由（route-map）小总结2008-01-16 17:41:25| 分类：CISCO | 标签：|字号大中小订阅策略路由是设置在接收报文接口，而不是发送报文接口。
策略路由将覆盖到相同目的地址的基于路由表入口项的报文。
ip local policy route-map,定义路由器使用策略路由。
我们不能将策路路由绑定在接口上，因为路由器产生的数据包不会基于策略路由转发所以要在全局下起用。
ip policy route-map 应用到接口，一个接口下只能绑定一个route-map ,但可以通过顺序号建立多个条目,默认以10为步进值。
match ip address,match length,匹配项目，其中长度可以是小报文和巨大报文，MATCH命令可以使用很多，但是所有的MATCH命令都必须使报文按SET命令设置操作进行路由。
route-map SDH-2M permit 10match ip address 1 通过ＡＣＬ控制那些数据采用策略路由转发match ip address 2set serial 0 如果这么一个配置的话，匹配其中一个就行了，1或2，按照顺序来选走1开始匹配一个就OK，。
route-map 定义名字和匹配策略路由是否要对符合标准的报文进行策略路由，可以同时定义几个相同名字的路由器，比如同时cisco，并且还可以设置几个序列号，按照序列号的顺序来选择，并符合要求的策略路由。
一个用数字1 0定义，另一个用2 0定义。
一个到来的报文根据路由图l a b 1的序号为1 0的入口项进行检测。
如果报文不符合 I P地址，则用序号为2 0的入口项检测。
set default interface 在路由标中没有明确路由的时候使用缺省接口。
set interface 定义符合标准的报文的输出口，可以定义多个输出口，第一个关闭，则按照顺序选择下一个接口。
route-map的原理及简单应用
route-map的原理及简单应⽤Route-map什么是route-map，怎么说呢？你说它属于什么呢？属于路由策略？还是属于策略路由？其实都不算，我个⼈理解，它只算是⼀个⼯具，上⾯两者都能⽤到但是这个⼯具吧，⽤着还挺爽，所涉及到的范围还挺多的呢？~IGP协议，BGP协议，....Distribute,redistribute，等等，都能看到它的⾝影初识route-map1、Route-map中的语句相当于acl的各⾏2、route-map的序列号默认为10，不会⾃动递增，所以需要⼿动的写序号3、route-map的⾏为默认是permit4、match——匹配条件，set——执⾏动作在match语句中，会有不同的表现形式1 match X1,X2，写在⼀⾏，⽤，隔开时，是逻辑上的“或”关系2 match X1Match X2 写在两⾏时，⽤回车隔开，是逻辑上的“且”关系“或”“且”想必不⽤多说了，很好理解，或，多个条件满⾜⼀个则OK且，就是都得满⾜.Route-map的运⾏⽅式PS:在route-map中，和ACL是⼀样的，最后都有⼀条deny 的动作，所以，我们在部署route-map时，也要分情况的来配置⼀条permit当然，是分情况哦~什么情况呢？⽐如说你在做路由重分布时，只想提取某些条⽬，那势必要拒绝其它的⽽如果在后期的BGP中，针对某些条⽬去施加特定属性时，就要去话茬其它没有被策略的，以保证路由条⽬的正常传递，这⼀点在后期的各个⼩实验中会有明显的体现，先要清楚这个事⼉~实例1如图所⽰，R1-R2运⾏RIP,R2-R3运⾏OSPF，在R2上进⾏双向重发布，可以先来分析⼀下，OSPF重分布到RIP ,需要写跳数，那请问这两个条⽬到达R1时的跳数是否⼀致？RIP进到OSPF时，可以去修改metric-type，R3上看到的类型是否⼀致？答案是肯定的，因为在重分布的时候并没有进⾏任何的修改，况且单独的重分布也没有办法进⾏设置。
Route map介绍
每个route map的陈述可能有多个match和set语句,如下:
! route-map Garfield permit 10
match ip route-source 15
match interface Serial0
set metric-type type-1
set next-hop 10.1.2.3 !
2.set metric {metric-value|bandwidth delay RELY load MTU}:为匹配成功的路由设置metric大小
3.set metric-type {internal|external|type-1|type-2}:为匹配成功的路由设置metric的类型,该路由将被再发布到OSPF或IS-IS 1
4.set next-hop {next-hop}:为匹配成功的路由指定下一跳地址
5.set tag {tag-value}:为匹配成功的路由设置标签
二 策略路由相关
match命令还可以和策略路由一起使用:
1.match ip address {ACL number|name} […ACL number|name]:匹配ACL所指定的数据包的特征的路由
Linus(config-route-map)#match ip address 112
Linus(config-route-map)#set metric 80
尽管先输入的是20,后输入的是15,IOS将把15放在20之前.
还可以允许删除个别陈述,
如下: Linus(config)#no route-map Hagar 15 在删除的时候要特别小心,假如你输入了no route-map Hegar而没有指定序列号,那么整个route map将被删除.并且如果在添加match和set语句的时候没有指定序列号的话,那么它们仅仅会修改陈述10.在匹配的时候,从上到下,如果匹配成功,将不再和后面的陈述进行匹配,指定操作将被执行
route-map的应用
route-map 可以应用在两种不同的地方：redistribute 和policy routing，但是区别必须搞清楚：一、deny语句1、route-map 中的deny语句如果匹配，redistribute时匹配的条目将不被重分发。
2、route-map 中的deny语句如果匹配，policy routing时，不再做策略路由，而交由正常路由表去转发。
二、默认的deny allroute-map 同access-list 一样，最后都有隐含的deny all三、route-map语句顺序号1、在编辑route-map 时，如不注明permit xx ，第一句默认为permit 10例：route-map crackermatch ip address 101set ip next-hop 211.81.157.1route-map crackermatch interface f0/0set metric 100相当于：route-map cracker permit 10match ip ad 101set ip next-hop 211.81.157.1route-map cracker permit 20match int f0/0set metric 1002、删除某条目时，如不注明语句号，则直接删除整个route-map例：no route-map cracker上面这条命令会删除整个route-map，而不是我们想删除的20语句，正确的用法是：no route-map cracker 203、match 语句如果放在同一语句下，则为匹配所有：例3-1：route-map cracker permit 10match ip address 101match ip length 1500set ip next-hop 211.81.157.1set metric 100上例表示，同时满足这两种条件时，设置metric并转发至211.81.157.1例3-2：route-map cracker permit 10match ip address 101set ip next-hop 211.81.157.1route-map cracker permit 20match ip address 102set ip next-hop 211.81.157.2route-map cracker permit 30上例表示，顺序匹配各条语句，但是一旦有一条语句被匹配，则跳出route-map。
思科Cisco策略路由详细介绍
思科Cisco策略路由详细介绍思科Cisco策略路由详细介绍思科策略路由怎么配置呢?下面yjbys为大家就策略路由的以下四个方面做相关讲解，配置Cisco策略的朋友可以参考下注:PBR以前是CISCO用来丢弃报文的一个主要手段。
比如：设置set interface null 0，按CISCO说法这样会比ACL的deny要节省一些开销。
这里我提醒：interface null 0no ip unreachable //加入这个命令这样避免因为丢弃大量的报文而导致很多ICMP的不可达消息返回。
三层设备在转发数据包时一般都基于数据包的目的地址(目的网络进行转发)，那么策略路由有什么特点呢?1、可以不仅仅依据目的地址转发数据包，它可以基于源地址、数据应用、数据包长度等。
这样转发数据包更灵活。
2、为QoS服务。
使用route-map及策略路由可以根据数据包的特征修改其相关QoS项，进行为QoS服务。
3、负载平衡。
使用策略路由可以设置数据包的行为，比如下一跳、下一接口等，这样在存在多条链路的情况下，可以根据数据包的应用不同而使用不同的链路，进而提供高效的负载平衡能力。
策略路由影响的只是本地的行为，所以可能会引起“不对称路由”形式的流量。
比如一个单位有两条上行链路A与B，该单位想把所有HTTP流量分担到A 链路，FTP流量分担到B链路，这是没有问题的，但在其上行设备上，无法保证下行的HTTP流量分担到A链路，FTP 流量分担到B链路。
策略路由一般针对的是接口入(in)方向的数据包，但也可在启用相关配置的情况下对本地所发出的数据包也进行策略路由。
本文就策略路由的以下四个方面做相关讲解：1、启用策略路由2、启用Fast-Switched PBR3、启用Local PBR4、启用CEF-Switched PBR启用策略路由：开始配置route-map。
使用route-map map-tag [permit | deny] [sequence-number]进入route-map的配置模式。
Router Map
Route Map-> Route Map类似一种脚本语言。
就像脚本语言当中的if语句，即if( 条件语句 ){执行语句1；执行语句2；...}当符合某种条件，就开始执行某些语句。
----------------------------------------------------------> 而在route map当中就只有match....set.....。
【结构就比如match匹配了某条路由，我就将这个路由的metric值set（设置）为10】即类似于这样match（匹配某个路由）{set metric = 10；}----------------------------------------------------------> router map的工作方式：1、和ACL执行方式一样，也是从上到下的执行顺序，因为route map可能不止一条。
2、route map可以随时插入某一行或者随时删掉某一行。
比如route map有间隔，默认就是间隔10，所以我创建第一条route map时，那么他的序号默认为10，我再增加一条，我可以将这条序号手工指定为20，这样我就可以这样以10为单位的间隔。
方便在他们之间增加语句（下面实验会理解到，在这先了解一下）3、需要acl 或者 prefix-list进行感兴趣流的抓取----------------------------------------------------------> router map的应用地方：一般应用于以下三个地方1、重分布上面2、基于策略路由3、BGP（应用最广）在这里主要讲解的是在重分布上面的应用上面。
而在BGP的应用在讲BGP协议的时候应该会有涉及，那是以后的事了。
----------------------------------------------------------> 结合实验（应用于重分布下）将rip重分布到ospf中去。
route-map配置案例
route-map配置案例route-map配置是网络设备中常用的一种策略路由配置方式，通过route-map可以对路由进行控制和过滤，实现灵活的路由策略。
下面是一些route-map配置案例，旨在帮助读者更好地理解和应用route-map。
1. 配置案例一：基于访问控制列表（ACL）的路由策略控制route-map ACL-POLICY permit 10match ip address ACL-1set metric 100route-map ACL-POLICY permit 20match ip address ACL-2set metric 200route-map ACL-POLICY deny 30set metric 500route-map ACL-POLICY permit 40set metric 300route-map ACL-POLICY permit 50set metric 400这个配置案例中，通过route-map ACL-POLICY对路由进行了访问控制列表ACL-1和ACL-2的匹配，根据匹配结果设置不同的路由度量值（metric）。
ACL-1匹配的路由度量值设置为100，ACL-2匹配的路由度量值设置为200，未匹配的路由度量值设置为500，最后两条permit语句设置了未匹配的路由度量值为300和400。
2. 配置案例二：基于访问控制列表（ACL）和策略路由的路由策略控制route-map ACL-POLICY permit 10match ip address ACL-1set ip next-hop 10.0.0.1route-map ACL-POLICY permit 20match ip address ACL-2set ip next-hop 10.0.0.2route-map ACL-POLICY deny 30set ip next-hop 10.0.0.3route-map ACL-POLICY permit 40set ip next-hop 10.0.0.4route-map ACL-POLICY permit 50set ip next-hop 10.0.0.5这个配置案例中，通过route-map ACL-POLICY对路由进行了访问控制列表ACL-1和ACL-2的匹配，根据匹配结果设置不同的下一跳地址（next-hop）。
ACL和Route-Map中permit,deny对路由过滤的动作
ACL和Route-Map中permit，deny对路由过滤的动作此实验讨论route-map中acl permit和any动作对路由过滤影响。
拓扑如图：验证一.R2access-list 10 permit 192.168.4.0 0.0.0.255access-list 10 permit 192.168.6.0 0.0.0.255!route-map kk permit 10match ip address 10!router eigrp 90redistribute ospf 110 metric 10000 100 255 1 1500 route-map kknetwork 23.1.1.2 0.0.0.0no auto-summaryeigrp router-id 1.1.1.1R3R3#sh ip routeGateway of last resort is not set23.0.0.0/24 is subnetted, 1 subnetsC 23.1.1.0 is directly connected, FastEthernet0/1192.168.4.0/32 is subnetted, 1 subnetsD EX 192.168.4.1 [170/307200] via 23.1.1.2, 01:24:13, FastEthernet0/1192.168.6.0/32 is subnetted, 1 subnetsD EX 192.168.6.1 [170/307200] via 23.1.1.2, 01:23:50, FastEthernet0/1从R3的路由表可知，Route-map 仅仅重分发了192.168.4.0/24和192.168.6.0/24的路由，过滤了其他的路由。
Route-map 末尾有一条隐含的deny any子句，这个子句拒绝了其他的路由，并不是acl 的隐含deny any 拒绝掉的。
route-map 和 access-list 区别
route map 语句定义有序列号，需要修改时，可以直接指定所要修改的route map 语句的序列号，从而实现非常简便灵活的修改。
Access-list 标准的还是扩删除和添加。
3.对于完全不符合任何条件的数据包操作不同
Route map 与 access-list 的区别
1.应用目的不同
访问控制列表是依据数据包的条件对数据包进行过滤，考虑的允许还是禁止数据包的通过。
Route map是依据数据包的条件对数据包的传输方向进行控制，考虑的是数据包应该从什么线路被路由。
2.route map 语句可以灵活修改
router(config)#ip local policy route-map map-name
一个数据包，如果不符合access-list中所有语句的条件，则这个数据包会被路由器丢弃。
而一个数据包，如果不符合route map 中所有语句的条件，则这个数据包会被路由表路由。
在默认情况下，由路由器本身产生的数据包不受控于策略路由语句，为了让路由器本身产生的数据包也能接受策略路由的管理，在全局模式下使用：
ACL（访问控制列表）的应用
ACL（访问控制列表）的应用ACL的应用一、概述属于IOS包过滤防火墙的一部分，但是现在不仅仅是用在这个方面。
现在可以应用在：1、data plan 通过一些对数据包的匹配，抓到数据包对数据包进行丢弃或者转发等操作（对象:数据包、数据帧）2、control plan 对路由条目的匹配，对路由条目执行策略（路由条目）二、理论以及命令全局模式下：access-list<1-99> IP标准访问控制列表<100-199>IP扩展访问控制列表<200-299>协议类型代码访问控制列表没有明确标准的应用的流量<300-399>DECnet 访问控制列表<700-799>48bit MAC地址访问控制列表<1100-1199>扩展的48bit MAC地址访问控制列表<1300-1999>IP标准访问控制列表<2000-2699>IP扩展访问控制列表这些包含了常见的IP的二层协议和三层协议1、标准只能匹配协议中的一个地址（源地址）命令access-list 1 permit（允许）/deny（拒绝）/remark hostname/x.x.x.x/any（所有主机通配符32个1）/host（一台单一主机通配符32个0）掩码：/nn&x.x.x.x log/例子access-list 1 permit 1.1.1.1访问控制列表必须在某种技术环节下调用，否则不存在任何意义。
一般调用在接口下，比较常用。
调用的时候有方向：in或者out注意：每条访问控制列表后面都有一个隐式拒绝一个编号的访问控制列表可以使用多行，默认一般都是以10 开始编号，间隔是10，最大是2147483647。
一般认为无上限。
ACL书写的时候注意，是金字塔式的，从上到下，匹配的范围越来越大。
因为ACL 一旦匹配，就会立即执行动作，不会放到后一条。
VLAN映射表配置与VLAN ACL及router map比较
VLAN映射表配置与VLAN ACL及router map比较VLAN映射表配置配置步骤：1、定义vlan的访问图，访问图可以有多条语句，每个语句有一个编号2、定义匹配条件，可以匹配ip address、mac addres3、执行动作，丢弃、转发、重定向4、应用vlan的访问图到指定的vlan #vlan filter map-name vlan_list listVLAN访问控制（VACL），也称为VLAN访问映射表，它应用于VLAN中的所有通信流，支持基于ETHERTYPE和MAC地址的过滤，可以防止未经授权的数据流进入VLAN。
目前支持的VACL操作有三种：转发(forward)，丢弃(drop)，重定向(redirect)。
VACL很少用到，在配置时要注意以下几点：1) 最后一条隐藏规则是deny ip any any，与ACL相同。
2) VACL没有inbound和outbound之分，区别于ACL。
3) 若ACL列表中是permit，而VACL中为drop，则数据流执行drop。
4) VACL规则应用在NAT之前。
5) 一个VACL可以用于多个VLAN中；但一个VLAN只能与一个VACL关联。
6) VACL只有在VLAN的端口被激活后才会启用，否则状态为inactive。
例：三层交换机上,用VLAN间ACL实验环境：VAN10,VLAN20,VLAN30。
要求VLAN20,30都能访问VLAN10,但20,30之间不能相互访问.三层switch配置：access-list 120 permit ip any 192.168.30.0 0.0.0.255access-list 130 permit ip any 192.168.20.0 0.0.0.255vlan access-map deny20-30 100 定义vlan的访问图deny20-30，序号100match ip add 120 定义匹配条件，匹配access-list 120action drop 执行动作exitvlan filter deny20-30 vlan-list 20 vlan20上应用VACLvlan access-map deny30-20 101match ip add 130action dropexitvlan filter deny30-20 vlan-list 30策略路由配置使用route mapRoute map与access-list非常相似自上而下的运行检查, 找到一个匹配就离开route map行带有顺序号容易编辑，可以随意插入和删除Route map是命名的，容易归档，Match…set…实例一：拓扑图试验1: 基于源地址的策略路由。
route-map对应的华三命令
route-map对应的华三命令在华三（H3C）交换机中，route-map对应的命令是“路由映射”。
路由映射用于在交换机上配置和管理路由信息，以便实现数据包的转发和路由选择。
以下是一些常用的华三交换机路由映射相关命令：1. 进入路由映射视图：```route-map <映射名称>```2. 添加路由前缀：```route-map <映射名称> prefix <前缀地址>```3. 设置路由协议：```route-map <映射名称> protocol <协议类型>```4. 设置路由策略：```route-map <映射名称> policy```5. 添加路由器接口：```route-map <映射名称> interface <接口名称>```6. 设置路由器接口的出方向：```route-map <映射名称> interface exit <出方向>```7. 删除路由映射：```undo route-map <映射名称>```请注意，这些命令需要在合适的视图下使用，例如全局视图或接口视图。
在使用这些命令时，请根据实际情况替换相应的参数。
例如，以下是一个简单的华三交换机路由映射配置示例：```进入全局视图：``````global-config```创建一个路由映射：```route-map ROUTE_MAP_NAME```添加路由前缀：```route-map ROUTE_MAP_NAME prefix 192.168.1.0/24```设置路由协议（此处以OSPF为例）：```route-map ROUTE_MAP_NAME protocol ospf```添加路由器接口（假设接口名称为Ethernet0/0/1）：```route-map ROUTE_MAP_NAME interface Ethernet0/0/1 ```设置路由器接口的出方向（此处设置为outbound）：```route-map ROUTE_MAP_NAME interface exit outbound ```退出全局视图：```quit```以上命令将在华三交换机上创建一个基本的路由映射配置。
NAT中四类地址的含义
思科的理解：1、内部本地地址：指在一个企业和机构网络内部分配给一台主机的IP地址，这地址通常是私有IP地址。
2、内部全局地址：指设置在路由器等因特网接口设备上，用来代替一个或者多个私有IP地址的公有地址，这个地址在公网上是唯一的。
3、外部本地地址：指因特网上的一个公有地址，该地址可能是因特网上的一台主机。
4、外部全局地址：指因特网上另一端网络内部的地址，该地址可能是的私有的。
对于网络地址转换的理解核心在于搞清楚NAT术语中所提到的四个地址。
事实上，所有的地址转换工作就是在对这四个地址进行反复的变化。
因此下面的例子用十分形象和生活化的内容来解释了四个地址之间的关系。
四个术语的内容：inside local(内部本地地址)inside global(内部全局地址)outside local(外部本地地址)outside global(外部全局地址)对于这四个地址的解释如下：inside local(内部本地地址)：在自有网络中分配给私有主机的地址，一般情况下该地址是RFC1918中定义的私有地址。
inside local地址的特点是只会出现在自有网络中并且一定是给私有主机使用的。
inside global(内部全局地址)：私有主机在非自有网络中使用的地址，通常情况下inside global地址是从合法的全球统一可寻址空间中分配的地址，也就是通常所说的共有IP。
inside global地址的特点是只会出现在非自有网络中并且一定是给私有主机使用的。
outside local(外部本地地址)：非私有主机在自有网络内表现出来的IP地址。
该地址是自有网络的管理员为本网络以外的设备所准备的用于在自有网络内使用的IP地址。
outside local地址的特点是只会出现在自有网络内但是是供给非私有主机使用的。
outside global(外部全局地址)：非私有主机在自有网络以外的区域使用的IP 地址，是非私有主机所在网络的管理员负责管理个分配的。
路由策略基本配置步骤
路由策略基本配置步骤路由策略是网络中实现数据包传输的重要组成部分。
它通过选择最佳的路径将数据包从源主机发送到目标主机。
在网络中，路由器是负责执行路由策略的设备。
本文将介绍路由策略的基本配置步骤，帮助读者了解如何正确配置路由器以实现网络数据的高效传输。
1. 确定网络拓扑在配置路由策略之前，首先需要了解网络的拓扑结构。
网络拓扑指的是网络中各个设备之间的连接关系。
常见的网络拓扑结构包括星型、环形、总线型等。
了解网络拓扑结构可以帮助我们确定路由器的位置和连接方式。
2. 配置路由器基本信息在配置路由策略之前，需要先对路由器进行基本的配置。
这包括设置路由器的管理IP地址、主机名、登录密码等。
这些基本信息可以通过路由器的命令行界面或者Web界面进行配置。
示例命令：Router> enableRouter# configure terminalRouter(config)# hostname myroutermyrouter(config)# interface gigabitethernet0/0myrouter(config-if)# ip address 192.168.1.1 255.255.255.0myrouter(config-if)# no shutdownmyrouter(config-if)# exitmyrouter(config)# enable secret mypasswordmyrouter(config)# exit3. 配置路由协议路由协议是路由器之间交换路由信息的一种协议。
常见的路由协议有静态路由、RIP、OSPF、BGP等。
根据网络规模和需求，选择适合的路由协议进行配置。
静态路由配置示例：myrouter(config)# ip route 10.0.0.0 255.0.0.0 192.168.1.2RIP路由配置示例：myrouter(config)# router ripmyrouter(config-router)# version 2myrouter(config-router)# network 192.168.1.0myrouter(config-router)# network 10.0.0.0myrouter(config-router)# exitOSPF路由配置示例：myrouter(config)# router ospf 1myrouter(config-router)# network 192.168.1.0 0.0.0.255 area 0myrouter(config-router)# network 10.0.0.0 0.255.255.255 area 0myrouter(config-router)# exit4. 配置路由策略路由策略是为了实现网络中数据包的传输选择最佳路径而制定的一系列规则。
策略路由设置命令
在Cisco路由器中，策略路由（Policy Routing）是一种允许管理员使用路由映射来控制数据包如何被路由的方法。
以下是一些关键的策略路由设置命令：定义访问控制列表(ACL):(config)# access-list 1 permit host 192.168.1.1定义路由映射(route-map):(config)# route-map pdb permit 10其中，pdb是route-map的名称，10是序列号。
匹配条件(在配置路由映射后):查询ACL 1是否满足条件。
设置下一跳地址(如果满足上述条件):(config-route-map)# set ip next-hop 192.168.1.6这将设置下一跳地址为192.168.1.6。
设置出向接口(如果需要):(config-route-map)# set interface GigabitEthernet0/0参数指定接口的类型和编号。
如果定义了多个接口，则使用第一个被发现的up接口。
应用策略路由:要应用策略路由，需要将其绑定到接口：(config-if)# ip policy route-map pdb这里的pdb应替换为你的路由映射名称。
其他相关命令:ip route: 显示路由表中的所有路由。
show ip route: 显示当前路由器的路由表。
clear ip route: 清除路由表中的所有条目。
ip classless: 允许路由器处理类域间路由（CIDR）。
ip helper-address: 设置帮助其他设备获取DHCP配置的IP地址。
ip default-network: 设置或显示IP默认网络的名称。
ip redirects: 允许或禁止ICMP重定向消息。
ip proxy-arp: 允许或禁止执行代理ARP。
注意事项: 策略路由可以非常复杂，具体配置可能会根据网络的具体需求和环境而有所不同。
route-map
route-map路由映射表（route-map）①理解route-map路由映射表是复杂的访问列表，让你能够使⽤match命令对分组或路由执⾏某些条件测试。
如果条件匹配，则可以采取⼀些措施来修改分组或路由的属性。
这些措施可通过set命令指定。
route-map中的语句相当于访问列表中的各⾏在路由映射表中视定match条件类似于在访问列表中指定源地址、⽬标地址和⼦⽹掩码。
Route-map于access-list最⼤的区别之⼀，就是route-map可使⽤set命令来修改分组或路由。
②应⽤场景a)基于策略的路由选择（Policy-Based Routing，PBR）：route-map可⽤于匹配源地址、⽬标地址、协议类型和最终⽤户应⽤程序。
当发⽣匹配时，可使⽤set命令指定将分组发送到路由器的接⼝或下⼀条地址。
PBR允许管理员使⽤所定义的route-map策略进⾏选路，⽽不是基于⽬标地址的IP路由表选路，俗称“策略路由”。
我们可以把它看成⼀种功能⽐较强⼤的静态路由。
策略路由优先于IP路由表被考虑。
⽰例：router(config)#access-list 1 permit 192.168.1.0 0.0.0.255router(config)#access-list 2 permit 192.168.2.0 0.0.0.255router(config)#route-map PBR permit 10router(config-route-map)#match ip address 1router(config-route-map)#set ip next-hop 1.1.1.2router(config)#route-map PBR permit 20router(config-route-map)#match ip address 2router(config-route-map)#set ip next-hop 2.1.1.2router(config)#int e0/0router(config)#ip policy route-map PBR#表⽰从该接⼝进⼊的IP报⽂将采⽤route-map PBR中定义的策略进⾏转发。
路由过滤命令详解route-map,distribute-list, prefix-list, ip as-path access-list
set ip precedence ------------------------------------- Bits Number Keyword 000 0 routine 001 1 priority 010 2 immediate 011 3 flash 100 4 flash-override 101 5 critical 110 6 internet 111 7 network
<1> Standard ACL interfaceSerial0 ipaddress172.16.5.1255.255.255.0 ippolicyroute-mapsense ! access-list1permit172.16.6.00.0.0.255 access-list2permit172.16.7.00.0.0.255 ! route-mapsensepermit10 matchipaddress1 setipnext-hop172.16.4.2 ! route-mapsensepermit20 matchipaddress2
routemapfilterlist调用定义的ipaspathaccesslistprefixlist调用定义的ipprefixlistlistnamelistnumberdistributelist调用定义的accesslist或者使用定义的prefixlistprefixlist专用于抓路由并且并acl其中prefixlistdistributelist用于针对邻居做在一个方向上每次只能用其中的一个注意这里每次只能使用一个的意思是指prefixlist作为命令时的情况尤其是prefixlist既可以作为命令使用如在bgp进程中使用neighbor17216291prefixlist1out这个语句可以认为prefixlist是命令方向是out也可以作为类似于accesslist一样作为对路由的标识被distributelist命令所调用
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1. 一个接口能配多个辅助地址，secondary。
例：R1(config-if)# int lo1R1(config-if)#ip add 7.0.0.1 255.0.0.0R1(config-if)#ip add 8.0.0.1 255.0.0.0 secondaryR1(config-if)#ip add 9.0.0.1 255.0.0.0 secondary2. ACL单独使用与被route-map嵌套使用的区别：①单独的ACL本身有两个属性：a.匹配：用ip add 和通配符或反掩码相结合，来找到对应的数据。
b.对匹配的数据执行决策：允许或拒绝。
②ACL被route-map嵌套使用时：a.ACL这时只有一个属性：permit代表匹配、deny代表不匹配。
b.由route-map来执行决策：permit代表放行，deny代表过滤。
综上：①中ACL自己干两个活；②中ACL与route-map每人各干一个活，这样既能显示匹配的----用acl的per表示，又能显示不匹配的---用acl的deny 标记（这时因为是不匹配，所以route-map的任何决策都不能起作用）；acl 的deny只是在本条route-map下起一个给人提醒的作用，不会进入到下一条，而是消失或者说回归到总池中去。
3. route-map的特例：①当route-map的permit或deny条目为空时，代表允许或拒绝所有。
②如条目下嵌套的全是acl的deny，则以下至本章结尾均为解释：ACL和RouteMap的permit和deny规则在路由重分配时的动作A –--- B两台路由器通过E1/1接口直联，运行OSPF。
A路由器配置3条静态路由：ip route 7.0.0.0 255.0.0.0 Ethernet1/1ip route 8.0.0.0 255.0.0.0 Ethernet1/1ip route 9.0.0.0 255.0.0.0 Ethernet1/1A路由器ospf的配置如下：router ospf 1log-adjacency-changesredistribute static route-map testnetwork 0.0.0.0 255.255.255.255 area 11）在A路由器上，不配置任何ACL，只配置RouteMap，配置如下：route-map test permit 10match ip address 1此时ACL 1是一张空表。
配置完成之后过几秒钟，在B路由器上查看OSPF的路由表，如下：Link ID ADVRouter Age Seq# Che cksum Tag7.0.0.0 192.168.1.1 520x80000001 0x0073BA 08.0.0.0 192.168.1.1 12070x80000001 0x0066C6 09.0.0.0 192.168.1.1 12070x80000001 0x0059D2 0A路由器上的三条静态路由都成功的重分配进OSPF，并传给了B路由器。
单步总结：当RouteMap引用的ACL是一张空表时，对应的规则是permit any。
（但是route-map若为空，则是deny any）2）在A上配置ACL 1，只有一个permit规则，此时ACL和RouteMap的配置如下：access-list 1 permit 7.0.0.0 0.255.255.255route-map test permit 10match ip address 1此时，在B路由器上，就只能看到7.0.0.0这条路由，如下：Link ID ADVRouter Age Seq# Che cksum Tag7.0.0.0 192.168.1.1 1400x80000001 0x0073BA 0A路由器只重分配了7.0.0.0这条路有进OSPF，另外两条就被过滤掉了。
单步总结：如上例子，结果由route-map的两步组成：①ACL 1允许（permit）了7.0.0.0这条路由，②每条ACL最后都有一个隐藏的deny any；ACLdeny 的会向route-map下一条检查，route-map的最后也有一条隐式的deny any，此时8.0.0.0与9.0.0.0才被拒绝。
证明：如在route-map下再追加一条per 20，则所有路由通过。
3）在A路由器上，修改ACL的配置，RouteMap配置不变，如下：access-list 1 deny 7.0.0.0 0.255.255.255route-map test permit 10match ip address 1上一步的ACL 1是permit 7.0.0.0这条路由，这一步仅仅是将permit 修改成deny。
配置完成过一会儿，查看B路由器OSPF的路由表，A路由器上的三条静态路由，B路由器一条都没有。
单步总结：这一步得到的结论跟第2步的结论一样，ACL 1显示的deny 掉了7.0.0.0这条路由，然后用隐藏规则deny掉了其它两条路由。
4）为了充分测试，搞清楚每一个细节，我们再将ACL的配置做一点修改，RouteMap的配置暂时保持不变，A路由器的配置如下：access-list 1 deny 7.0.0.0 0.255.255.255access-list 1 permit anyroute-map test permit 10match ip address 1ACL 1 的配置增加了一条permit any。
过一会儿查看B路由器OSPF的路由表，如下：Link ID ADVRouter Age Seq# Che cksum Tag8.0.0.0 192.168.1.1 120x80000001 0x0066C6 09.0.0.0 192.168.1.1 120x80000001 0x0059D2 0可以看到8.0.0.0 9.0.0.0这两条路有豆成功的进行了重分配。
单步总结：ACL 1由于配置了permit any，这条规则在隐藏规则之前生效，因此8.0.0.0 9.0.0.0这两条路由成功匹配并重分配。
5）测试到这里，可能大家会觉得这个规则已经很清楚了，其实不然阿！到目前为止，RouteMap的配置一直没有变化，下面，我们慢慢地将RouteMap的配置进行修改，进行进一步的分析。
在上一步的基础上，我们修改一下配置，A路由器的配置如下：access-list 1 permit 7.0.0.0 0.255.255.255route-map test deny 10match ip address 1ACL 1仅仅允许7.0.0.0 这条路由，不过，此时RouteMap test 10已经变成了deny。
读到这里，大家可以先自己想想会是一个什么样的结果。
此时B路由器上OSPF路由表为空！单步结论：虽然ACL 1允许了一条路由，但是RouteMap的deny的优先级更高（或者可以理解为RouteMap的这个deny在后面执行），因此B 路由器上没有看到任何一个静态路由。
6）我们继续修改RouteMap的配置，此时我们增加一条RouteMap的配置，A路由器的配置如下：access-list 1 permit 7.0.0.0 0.255.255.255route-map test deny 10match ip address 1route-map test permit 20在上一步的基础上，增加名称为test，序列号为20的RouteMap，这条RouteMap配置下什么都没有。
此时查看B路由器上OSPF的路由表，如下：Link ID ADVRouter Age Seq# Che cksum Tag8.0.0.0 192.168.1.1 90x80000001 0x0066C6 09.0.0.0 192.168.1.1 90x80000001 0x0059D2 0可以看出，8.0.0.0 9.0.0.0这两条路由成功进行了重分配。
ACL 1只允许了7.0.0.0这条路由，由于RouteMap test 10 的deny 动作，7.0.0.0这条路由没有进行重分配。
现在8.0.0.0 9.0.0.0这两条路由进行了重分配，只有一个解释，那就是ACL1对这两条路由给出的deny（ACL 1的隐藏规则）并不是影响最终了重分配动作！ACL 1虽然deny了这两条路由，但是在RouteMaptest 20里面，将match everything（RouteMap下如果没有配置任何match命令，则表示matcheverything）。
单步结论：ACL给出的deny不会影响最终的重分配动作，RouteMap如果后续还有配置，则将ACL deny的路由继续向下传递并重新进行匹配。
7）再A路由器上，进一步修改配置，如下：access-list 1 deny 7.0.0.0 0.255.255.255route-map test deny 10match ip address 1route-map test permit 20我们把ACL 1修改为deny动作，RouteMap的配置保持跟第6步一致。
配置完成之后查看B路由器的OSPF路由表，如下：Link ID ADVRouter Age Seq# Che cksum Tag7.0.0.0 192.168.1.1 10x80000001 0x0073BA 08.0.0.0 192.168.1.1 10x80000001 0x0066C6 09.0.0.0 192.168.1.1 10x80000001 0x0059D2 0A路由器上的三条路由都成功进行了重分配。
第6步，我们得出一个结论，ACL给出的deny并不影响最终重分配动作，那么在这一步测试进行分析，ACL是deny，RouteMap也是deny，但是所有的静态路由都成功进行了重分配，因此，可以说明，ACL的deny 就可以简单的理解为匹配失败。
（将这一步的ACL配置修改成access-list 1 deny any，B路由器上的结果还是一样。
有兴趣的读者可以自己进行测试。
）单步结论：ACL给出的deny就是匹配失败，这时，RouteMap的动作并不重要，因此RouteMap的动作只有在匹配成功的时候才生效，ACL deny 之后，将进入下一条RouteMap继续进行匹配。
ACL的deny属性在route-map下一条是转义了，还是消失了？消失了。
ACL的deny属性在route-map下一条下的（转变或丢失）：①当在route-map第1条中，出现了ACL的deny；则deny在这一条表示匹配失败，这时route-map的动作并不重要，deny要进入route-map的第二条。