策略路由
策略路由配置详解
38策略路由配置理解策略路由策略路由概述策略路由〔PBR：Policy-Based Routing〕提供了一种比基于目的地址进展路由转发更加灵敏的数据包路由转发机制。
策略路由可以根据IP/IPv6报文源地址、目的地址、端口、报文长度等内容灵敏地进展路由选择。
现有用户网络，常常会出现使用到多个ISP〔Internet Server Provider，Internet效劳提供商〕资源的情形，不同ISP申请到的带宽不一；同时，同一用户环境中需要对重点用户资源保证等目的，对这局部用户不可以再根据普通路由表进展转发，需要有选择的进展数据报文的转发控制，因此，策略路由技术即可以保证ISP资源的充分利用，又可以很好的满足这种灵敏、多样的应用。
IP/IPv6策略路由只会对接口接收的报文进展策略路由，而对于从该接口转发出去的报文不受策略路由的控制；一个接口应用策略路由后，将对该接口接收到的所有包进展检查，不符合路由图任何策略的数据包将按照普通的路由转发进展处理，符合路由图中某个策略的数据包就按照该策略中定义的操作进展转发。
一般情况下，策略路由的优先级高于普通路由，可以对IP/IPv6报文根据定义的策略转发；即数据报文先按照IP/IPv6策略路由进展转发，假如没有匹配任意一个的策略路由条件，那么再按照普通路由进展转发。
用户也可以配置策略路由的优先级比普通路由低，接口上收到的IP/IPv6报文那么先进展普通路由的转发，假如无法匹配普通路由，再进展策略路由转发。
用户可以根据实际情况配置设备转发形式，如选择负载平衡或者冗余备份形式，前者设置的多个下一跳会进展负载平衡，还可以设定负载分担的比重；后者是应用多个下一跳处于冗余形式，即前面优先生效，只有前面的下一跳无效时，后面次优的下一跳才会生效。
用户可以同时配置多个下一跳信息。
策略路由可以分为两种类型：一、对接口收到的IP报文进展策略路由。
该类型的策略路由只会对从接口接收的报文进展策略路由，而对于从该接口转发出去的报文不受策略路由的控制；二、对本设备发出的IP报文进展策略路由。
策略路由和路由策略的区别
路由策略策略路由
基于控制平台，会影响路由表的表项基于转发平⾯，不会影响路由表的表项，且设备收到报⽂后，会查找策略路由进⾏匹配转发，若匹配失败，则再查找路由表进⾏转发
只能基于⽬的地址进
⾏策略判定
可基于源地址、⽬的地址、协议地址、报⽂⼤⼩等进⾏粗略制定与路由协议结合使⽤需要⼿⼯逐条配置，以保证报⽂按策略进⾏转发
常⽤到：Route-
Policy、Filter-Policy 等。
常⽤到：Traffic-Filter、Traffic-Policy、Policy-Based-Router等
策略路由和路由策略的区别
⼀、路由策略（Router-Plight）
路由策略是通过修改路由表来控制数据流量的可达性。
即对接受和发布的路由进⾏过滤。
这种⽅式称为路由策略。
⼆、策略路由。
（Traffic-Policy）
策略路由是通过⽤户制定的策略进⾏转发，且该策略优于路由表的转发。
这种⽅式称为策略路由。
总结：路由策略是基于路由表进⾏流量转发，⽽策略路由是基于策略进⾏流量的转发.。
策略路由，路由策略
策略路由，路由策略前⾔：在企业⽹络中，常⾯临⾮法流量访问及流量路径不优的问题，为了保护数据访问的安全性、提⾼链路带宽的利⽤率，需要对⽹络中的流量⾏为控制，如控制⽹络流量可达性，调整⽹络流量路径。
如何控制流量可达性？ ⽅案⼀：对接收和发布的路由进⾏过滤来控制可达性，路由策略 ⽅案⼆：使⽤Traffic-filter⼯具对数据进⾏过滤，流量过滤 什么是路由策略? 通过⼀系列的⼯具或者⽅式对路由进⾏各种控制的策略，这个策略可以影响路由的产⽣，发布和选择等，进⽽影响报⽂的转发路径 在ip⽹络中，路由策略的⽤途主要有两个⽅⾯：对路由信息过滤和修改路由属性。
如图，如果使⽤流量过滤，使市场部的流量不能访问财务部。
会有极⼤的局限性，若是在RTA上做traffic-filter，流量会经过RTC RTB再在RTA上被过滤极⼤的浪费链路带宽。
若在RTC⼊⼝做traffic-filter，可能RTC不是由你进⾏管理的。
⽽且流量过滤针对每⼀个报⽂进⾏过滤，极⼤的浪费设备性能，所以建议使⽤路由策略来进⾏对流量的可达性进⾏控制。
路由策略使⽤的⼯具： 条件⼯具：把路由匹配出来，acl ip-prefix 策略⼯具：匹配抓取的路由，执⾏各种各样的策略。
router-policy 调⽤⼯具：把策略应⽤到某个具体的协议中。
filter-policy import-route配置思路：配置filter-policy不让192.168.1.0路由发出给到AR1[AR2-rip-1]filter-policy 2000 export -----对所有接⼝发出的路由做过滤[AR2-rip-1]ACL 2000[AR2-acl-basic-2000]rule PER S 192.168.2.0 0 filter-policy 2000 export static import-route static 对引⼊的静态路由实现过滤，本地不存在LSDB 当过滤本地接⼝的路由时 filter-policy 2000 export 针对链路状态路由协议⽆效，链路状态路由协议发送的是LSA filter-policy 2000 import 针对链路状态协议有效，不过是在加表实现过滤，本地LSDB中依旧有此链路状态ACL的局限性？ACL只能抓取路由的前缀，不关⼼掩码信息，如果两条路由拥有相同的前缀，ACL⽆法分别抓取前缀列表的优势？相⽐ACL来说既能匹配前缀也能抓取掩码，前缀列表不能⽤于流量过滤。
路由策略和策略路由配置与管理
路由策略和策略路由配置与管理路由策略和策略路由配置与管理“路由策略”与“策略路由”之间的区别就在于它们的主体（或者说“作⽤对象”）不同，前者的主体是“路由”，是对符合条件的路由（主要）通过修改路由属性来执⾏相应的策略动作（如允许通过、拒绝通过、接收、引⼊等），使通过这些路由的数据报⽂按照规定的策略进⾏转发；⽽后者的主体是数据报⽂，是对符合条件的数据报⽂（如报⽂的源地址、报⽂长度等）按照策略规定的动作进⾏操作（如设置报⽂的出接⼝和下⼀跳、设置报⽂的缺省出接⼝和下⼀跳等），然后转发。
“路由策略”如RIP、OSPF、IS-IS、BGP中动态路由信息发送（发布）/接收控制、路由选路、路由引⼊以及BGP路由属性配置等都⽤到了“路由策略”。
路由策略基础路由策略（Routing Policy）是通过使⽤不同的匹配条件和匹配模式来选择路由，或改变路由属性。
路由策略主要应⽤在路由信息发布、接收、引⼊和路由属性修改等⼏个⽅⾯：1、控制路由的发布可通过路由策略对所要发布的路由信息进⾏过滤，只允许发布满⾜条件的路由信息。
2、控制路由的接收可通过路由策略对所要接收的路由信息进⾏过滤，只允许接收满⾜条件的路由信息。
这样可以控制路由条⽬的数量，提⾼⽹络的路由效率。
3、控制路由的引⼊可通过路由策略只引⼊满⾜条件的路由信息，并控制所引⼊的路由信息的某些属性，使其满⾜本路由协议的路由属性要求。
4、设置路由的属性修改通过路由策略过滤的路由的属性，满⾜⾃⾝需要。
⼀、路由策略原理要实现路由策略，⾸先要定义将要实施路由策略的路由信息的特征，即定义⼀组匹配规则，这就是路由策略中必须使⽤的过滤器。
可以⽤路由信息中的不同属性作为过滤器的匹配依据，如路由的⽬的地址、源地址等。
然后将匹配规则应⽤于路由的发布、接收和引⼊等过程的策略中。
在⼀个路由策略中可以包括多组以if-match语句指定的匹配条件，这些匹配条件是以节点（Node）来进⾏标识的。
如果在⼀个路由策略中包括多个节点，则路由会按照节点号从⼩到⼤依次进⾏匹配，直到与某节点的条件完全匹配（后⾯的节点就不在去匹配了），如果到了路由策略中所包括的最后⼀个节点仍没有完全匹配，则该路由拒绝通过。
策略路由配置详解
策略路由配置详解
一、策略路由的概念
策略路由是一种网络路由管理方法，它的基本思想是建立一组用来定
义所有网络流量及其传输路径的策略，并利用这组策略实现路由负载均衡，从而提高网络性能。
二、策略路由配置的要素
1.路由器
路由器是策略路由的基础，配置正确的路由器是策略路由正常运行的
关键，一般需要设置路由协议和路由策略。
2.协议
协议是指路由器交换机之间的连接，当路由器与交换机之间的连接类
型是协议时，策略路由就可以在此基础上正确工作，用户可以根据自身需
要选择合适的协议进行配置。
3.连接
连接是指策略路由需要通过路由器或交换机保持的一种物理连接，它
是策略路由的基础，因此必须正确配置路由器和交换机之间的连接，才能
确保策略路由的正常运行。
4.地址
地址是指在策略路由系统中所有设备的IP地址，这些地址是策略路
由网络中所有设备的唯一标识符，必须正确设置，才能使策略路由能够真
正发挥出效用。
5.策略
策略是指在策略路由系统中，路由器或交换机根据其中一种规则选择最佳路由策略，从而实现合理分配网络流量，提高网络性能。
策略路由应用场景
策略路由应用场景1. 策略路由的概念策略路由是一种网络路由技术，它根据特定的策略或规则来选择不同的路径来传输数据包。
策略路由可以根据网络的实际情况和需求，灵活地配置路由规则，实现灵活的流量调度和负载均衡。
2. 策略路由的基本原理策略路由的基本原理是通过对数据包的目的地址、源地址、协议类型等信息进行判断和过滤，然后根据预先设定的路由策略将数据包送往不同的目的地。
策略路由的实现需要借助路由器或交换机等网络设备来完成。
3. 策略路由的应用场景3.1 多路径调度策略路由可以通过配置多个路径和对应的优先级来实现多路径调度。
在网络中，有时候会存在多条路径可以到达目的地，策略路由可以根据网络的实际情况和需求，选择合适的路径来传输数据包。
多路径调度可以提高网络的负载均衡性能，提高网络的吞吐量。
3.2 链路切换策略路由可以实现链路的切换和冗余，当某个链路发生故障或拥塞时，策略路由可以根据预先设定的策略，自动切换到备用的链路上进行数据传输，提高网络的可靠性和鲁棒性。
3.3 业务隔离策略路由可以实现不同业务的隔离，不同的业务可以通过不同的路径进行传输，避免不同业务之间的相互干扰，提高网络的安全性和可维护性。
3.4 基于用户的访问控制策略路由可以根据用户的身份和权限，实现对用户的访问控制。
根据不同用户的需求和权限，策略路由可以将用户的数据包送往不同的目的地，实现网络资源的共享和隔离。
4. 策略路由的实现方式4.1 静态策略路由静态策略路由是通过手动配置路由表来实现的。
管理员可以手动配置路由器或交换机的路由表，定义不同的策略和规则，实现数据包的按需路由。
4.2 动态策略路由动态策略路由是通过动态协议来实现的。
动态协议可以根据网络的实际情况和需求，自动更新和调整路由表，实现更加灵活的策略路由。
5. 策略路由的优缺点5.1 优点•灵活性高：策略路由可以根据网络的实际情况和需求，灵活地配置路由策略，实现灵活的流量调度和负载均衡。
思科Cisco策略路由与路由策略实例详解
思科Cisco策略路由与路由策略实例详解本⽂讲述了思科Cisco策略路由与路由策略。
分享给⼤家供⼤家参考，具体如下：⼀、策略路由1. 路由策略与策略路由2. 策略路由的特点3.策略路由的配置3.1 接⼝下配置3.2 全局配置3.3 策略路由的冗余设置3.4 default语句3.5 为流量打ToS标记⼆、路由策略1.抓取流量的列表1.1 ACL访问控制列表1.2 prefix-list前缀列表2. 路由策略⼯具2.1 distribute-list分发列表2.2 route-map路由镜像2.3 OSPF filter-list⼀、策略路由1. 路由策略与策略路由路由策略是对路由信息本⾝的参数进⾏修改、控制等，最终影响路由表的⽣成，说⽩了路由策略就是告诉设备怎么学，⼀般与BGP结合使⽤⽐较多。
策略路由PBR，策略基于路由重点在路由，就是通过策略控制数据包的转发⽅向。
也有⼈把策略路由称之为⼀个复杂的静态路由。
⼀般来讲，策略路由是先于路由表执⾏的。
即设备在转发报⽂时，⾸先将报⽂与策略路由的匹配规则进⾏⽐较。
若符合匹配条件，则按策略路由进⾏转发；如果报⽂⽆法匹配策略路由的条件，再按照普通路由进⾏转发。
策略路由在转化层⾯不如路由表。
原因是匹配的东西过多，底层芯⽚处理⽀持有限。
使⽤原则是能不⽤就不⽤。
如果出现⾮⽬的地址的转发策略，果断⽤。
2. 策略路由的特点传统的路由表转发只能通过数据的⽬标地址做决策；策略路由可以根据源地址、⽬的地址、源端⼝、⽬的端⼝、协议、TOS等流量特征来做策略提供路由，灵活性⾼。
为QoS服务。
使⽤route-map及策略路由可以根据数据包的特征修改其相关QoS项，进⾏为QoS服务。
负载均衡。
使⽤策略路由可以设置数据包的⾏为，⽐如下⼀跳、下⼀接⼝等，这样在存在多条链路的情况下，可以根据数据包的应⽤不同⽽使⽤不同的链路，进⽽提供⾼效的负载均衡能⼒。
策略路由PBR默认只对穿越流量⽣效，不能处理本路由器产⽣流量3.策略路由的配置3.1 接⼝下配置接⼝下只能捕获该接⼝的⼊接⼝流量做策略（不能处理本路由器产⽣流量）R1(config)#access-list 100 permit ip host 1.1.1.1 any //⽤ACL捕获流量R1(config)#route-map pbr permit 10 //定义route-mapR1(config-route-map)#match ip add 100 //调⽤被ACL捕获的流量R1(config-route-map)#set ip next-hop 10.1.1.1 //设置下⼀跳R1(config-route-map)#exitR1(config)#int f0/0R1(config-if)#ip policy route-map pbr //接⼝下调⽤3.2 全局配置能够捕获所有⼊接⼝流量以及本路由器产⽣的流量（源地址是本路由器流量）R1(config)#access-list 100 permit ip host 1.1.1.1 any //⽤ACL捕获流量R1(config)#route-map pbr permit 10 //定义route-mapR1(config-route-map)#match ip add 100 //调⽤被ACL捕获的流量R1(config-route-map)#set ip next-hop 10.1.1.1 //设置下⼀跳R1(config-route-map)#exitR1(config)#ip local policy route-map pbr //全局下调⽤3.3 策略路由的冗余设置R1(config)#route-map PBR permit 10R1(config-route-map)#set ip next-hop verify-availability 10.1.24.2 1 track 1 //设置track监控，若track监控成功，执⾏该语句；若失败，则转为执⾏下条语句R1(config-route-map)#set ip next-hop 10.1.34.3R1(config-route-map)#exitR1(config)#ip local policy route-map PBRR1(config)#track 1 ip sla 1 //定义⼀个track监控 sla的探测结果R1(config-track)#ip sla 1 //定义⼀个slaR1(config-ip-sla)#icmp-echo 10.1.12.1 source-ip 10.4.4.4 //设置其探针R1(config)#ip sla schedule 1 life forever start-time now //设置sla 1的执⾏时间3.4 default语句在route-map的set ip default这个位置输⼊，定义为被捕获的流量先查路由表，如果能精确匹配（如果抓的为10.5.5.5，路由表中有10.5.5.5/24这不叫精确匹配；如果10.5.5.5/32则叫精确匹配）就执⾏路由表；如果不能则执⾏策略路由。
策略路由配置命令
一、基于distribute的路由过滤1.定义acl (conf)#access-list 1 deny 192.168.1.0 0.0.0.255 (conf)#access-list 1 permit any2.进入路由重发布(conf)#router rip (conf-router)#distribute-list 1 out ospf 1 在rip协议下，配置distribute列表，引用acl 1，过滤从osp f 1重发布到r ip的网络路由。
也就是说，通过该路由器进行osp f的重发布到rip网络中，过滤acl 1的数据。
在该例中的意思就是ospf中如果有数据属于192.168.1.0/24，那么在rip网络中无法学习到这些路由。
由于重发布的命令是re d istr ibute，所以这里可以理解为发布到rip网络中。
=============================================================================== ============================================二、基于route-map的路由过滤1.定义acl (conf)#access-list 1 deny 192.168.1.0 0.0.0.255 (conf)#acces s-list 1 permit any2.定义route-map (conf)# route-map ospf-rip permit 10 其中ospf-rip为ro ute-map的名称，10为序列号，下述条件如果成立的话动作为per mit。
注意：route-map和ac l相同的是，在尾部都有隐藏的默认拒绝所有的条件。
3.匹配条件(config-route-map)#match ip address 1 查询acl 1是否满足4.进入路由重发布(conf)#router rip (conf-router)#redistribute ospf 1 metric 4 route-map ospf-rip 在路由重发布的时候，对route-map的ospf-rip条目进行匹配过滤。
router-map路由策略
router-map路由策略一、策略路由简介基于策略的路由允许应用一个策略控制数据包应如何走而非基于路由表选路。
IP路由基于目标地，而PBR允许基于源的路由，即来自何处而应到哪去，从而根据需要走一条特殊的路径。
在网络中实施基于策略的路由有以下优点：1、基于源的供应商选择：通过策略路由使源于不同用户组的数据流选择经过不同的Internet连接。
2、服务质量：可以通过在网络边缘路由器上设置IP数据包包头中的优先级或TOS值，并利用队列机制在网络核心或主干中为数据流划分不同的优先级，来为不同的数据流提供不同级别的QoS。
3、负载均衡：网络管理员可以通过策略路由在多条路径上分发数据流。
4、网络管理更加灵活。
二、双出口配置实例（一）实验拓朴：（二）实验要求：1、R1连接本地子网，R2为边缘策略路由器，R3模拟双ISP接入的Internet环境。
2、要求R1所连接的局域网部分流量走R2-R3间上条链路（ISP1链路），部分流量走R2-R3间下条链路（ISP2链路）从而实现基于源的供应商链路选择和网络负载均衡。
（三）各路由器配置如下：R1配置：R1#sh runinterface Loopback0//模拟第一个子网：192.168.1.0/24ip address 192.168.1.1 255.255.255.0//模拟子网中第一台主机ip address 192.168.1.2 255.255.255.0secondary//模拟子网中第二台主机!interface Loopback2192.168.2.0/24ip address 192.168.2.1 255.255.255.0ip address 192.168.2.2 255.255.255.0 secondary !interface FastEthernet0/0ip address 12.0.0.1255.255.255.0!router ripversion 2network 192.168.1.0network 192.168.1.0network 12.0.0.0no auto-summary//模拟第二个子网：R3配置：R3#sh runinterface Loopback0//模拟一个连接目标ipaddress100.100.100.100255.255.255.0!interface Serial1/1//模拟ISP1的接入端口ip address 123.0.0.3 255.255.255.0!interface Serial1/3//模拟ISP2的接入端口ip address 223.0.0.3 255.255.255.0!router ripversion 2network 100.0.0.0network 123.0.0.0network 223.0.0.0no auto-summary!R2的配置：R2#sh runinterface FastEthernet0/0ip address 12.0.0.2 255.255.255.0ippolicyroute-mapisp-test//在接口上启用策略路由isp-test进行流量控制!interface Serial1/1ip address 123.0.0.1 255.255.255.0!interface Serial1/3ip address 223.0.0.1 255.255.255.0router ripversion 2network 12.0.0.0network 123.0.0.0network 223.0.0.0no auto-summaryaccess-list 101 permit ip 192.168.1.0 0.0.0.255 host 100.100.100.100//访问控制列表101，用于过滤原地址，允许子网192.168.1.0流量通过*/access-list 102 permit ip 192.168.2.0 0.0.0.255 host 100.100.100.100//访问控制列表102，用于过滤原地址，允许子网192.168.2.0流量通过*/!route-map isp-test permit 10//定义route-map，取名为isp-test，序列为10match ip address 101//检查源地址，匹配acl 101set ip default next-hop 123.0.0.3//指定下一跳地址!route-map isp-test permit 20//定义isp-test的第二条语句，序列号为20match ip address 102//检查源地下，匹配acl102set ip default next-hop 223.0.0.3!route-map isp-test permit 30//定义isp-test的第三条语句，序列号为30set default interface Null0//丢弃不匹配规定标准的包------------------------------------------------------------------------（四）调试R2#sh ip policy//显示应用的策略InterfaceRoute mapFa0/0isp-accR2#sh route-map isp-test//显示配置的路由映射图route-map isp-test, permit, sequence 10Match clauses:ip address (access-lists): 101Set clauses:ip default next-hop 123.0.0.3Policy routing matches: 0 packets, 0 bytesroute-map isp-test, permit, sequence 20Match clauses:ip address (access-lists): 102Set clauses:ip default next-hop 223.0.0.3Policy routing matches: 0 packets, 0 bytesroute-map isp-test, permit, sequence 30Match clauses:Set clauses:default interface Null0Policy routing matches: 0 packets, 0 bytes================================================================= =======R1#traceroute//路由跟踪Protocol [ip]://ip流量Target IP address: 100.100.100.100//目标地Source address: 192.168.1.1//源地址为子网一的第一台主机Numeric display [n]:Timeout in seconds [3]:Probe count [3]:Minimum Time to Live [1]:Maximum Time to Live [30]:Port Number [33434]:Loose, Strict, Record, Timestamp, Verbose[none]:Type escape sequence to abort.Tracing the route to 100.100.100.1001 12.0.0.2 72 msec 216 msec 276 msec2 123.0.0.3 288 msec 360 msec *//ISP1入口-------------------------------------------------------------------------------R1#tracerouteProtocol [ip]:Target IP address: 100.100.100.100Source address: 192.168.1.2//源地址为子网一的第二台主机Numeric display [n]:Timeout in seconds [3]:Probe count [3]:Minimum Time to Live [1]:Maximum Time to Live [30]:Port Number [33434]:Loose, Strict, Record, Timestamp, Verbose[none]:Type escape sequence to abort.Tracing the route to 100.100.100.1001 12.0.0.2 92 msec 188 msec 52 msec2 123.0.0.3 416 msec 436 msec *//ISP1入口----------------------------------------------------------------------------------R1#tracerouteProtocol [ip]:Target IP address: 100.100.100.100Source address: 192.168.2.1//源地址为子网二的第一台主机Numeric display [n]:Timeout in seconds [3]:Probe count [3]:Minimum Time to Live [1]:Maximum Time to Live [30]:Port Number [33434]:Loose, Strict, Record, Timestamp, Verbose[none]:Type escape sequence to abort.Tracing the route to 100.100.100.1001 12.0.0.2 136 msec 40 msec 144 msec2 223.0.0.3 356 msec *132 msec//ISP2入口---------------------------------------------------------R1#tracerouteProtocol [ip]:Target IP address: 100.100.100.100Source address: 192.168.2.2//源地址为子网二中第二台主机Numeric display [n]:Timeout in seconds [3]:Probe count [3]:Minimum Time to Live [1]:Maximum Time to Live [30]:Port Number [33434]:Loose, Strict, Record, Timestamp, Verbose[none]:Type escape sequence to abort.Tracing the route to 100.100.100.1001 12.0.0.2 28 msec 104 msec 200 msec2 223.0.0.3 300 msec *196 msec//ISP2入口-----------------------------------------------------（五）小结：通过以上实验，可以看到子网一（192.168.1.0/24）的流量都经过R2-R3的上一条链路选择了ISP1链路，子网二（192.168.2.0/24）的流量都经过R2-R3的下一条链路选择了ISP2链路。
锐捷--策略路由
If (x or y or z) and a then set (b and c) else if q then set r else set nothing
策略路由的配置步骤
定义路由图
Route（config）#route-map 路由图名 permit/deny 序号
定义路由图每个策略的匹配规则或条件
set ip precedence ——用来设置IP数据包中的IP优先级bit
路由图
set ip next-hop ip-add和set ip default next-hop
路由图的执行逻辑
route-map test permit 10 match x y z match a set b set c route-map test permit 20 match q set r deny all(缺省隐含)
策略路由
对象:需要转发的数据报文
路由器转发数据报文时， 根据配置的规则对报文进行检查。匹配成功则按照一 定的转发策略进行报文转发，也可以修改报文的IP优先字段
路由策略
对象:路由 通过路由策略控制路由的接收、发布、引入的方法，实现对路由的优化
课程内容
第一章 策略路由概述 第二章 策略路由工作原理 第三章 策略路由案例
可以通过lenth语句匹配三层数据包的长度
Router(config-route-map)#match length min max
路由图
通过set语句定义匹配规则的数据执行的动作
set ip next hop——把数据包转发到指定的下一跳地址
set interface ——把数据包转发到指定的端口 set default interface ——提供了缺省的转发端口 set ip default next-hop ——提供了缺省下一跳地址 set ip tos ——用来设置IP TOS的值
路由策略
若允许其他子公司访问A,但是必须经过公司总部检查: 1:Ip as-path-acl 2 permit _100.+200$ 2:Ip as-path-acl 2 permit _100 200$
3:Ip as-path-acl 2 deny 200$ 4:Ip as-path-acl 2 permit .*
设置引入路由到IS-IS的级别：levelapply isis [ level-1 | level-2 | level-1-2 ] 1、level-2还是level-1-2
设置BGP路由信息的本地优先级 设置路由信息的路由权值 设置路由信息的路由权类型 设置BGP路由信息的路由源 apply local-preference localpref apply cost value apply cost-type [ internal | external ] apply origin { igp | egp as-number | incomplete }
匹配路由信息的路由权值
匹配OSPF路由信息的标记域
龙旭网络
网络创造无限
if-match tag value
Route-policy的apply配置
操作 命令
在BGP路由信息的as-path系列前加 入指定的AS号
在BGP路由信息中设置团体属性 设置路由信息的下一跳地址
设置OSPF路由信息的标记域
龙旭网络
网络创造无限
apply tag value
利用Route-policy实现路由发布和 接收的过滤
BGP中,对BGP邻居(组)发布和接收路由时通过route-policy进行路由过 滤.
配置:[ RA-bgp 100]peer {group-name | peer-address} route-policy <routepolicy-name> {import | export}
Hillstone策略路由配置
目录
• 策略路由基本概念与原理 • Hillstone设备策略路由功能介绍 • 策略路由配置步骤详解
目录
• 典型应用场景分析：企业内外网访问控制 • 故障排查与性能优化方法论述 • 总结回顾与未来展望
01
策略路由基本概念与原理
策略路由定义及作用
定义
策略路由（Policy-Based Routing， PBR）是一种依据用户制定的策略进 行路由选择的技术，它可以根据数据 包的源/目的IP地址、端口号、协议类 型等特征，灵活选择出口路径。
RIP
支持RIP协议，实现基于距离矢 量的路由算法。
OSPF
支持OSPF协议，实现基于链路 状态的路由算法。
EIGRP
支持EIGRP协议，实现高级距 离矢量和链路状态混合路由算
法。
路由表项配置方法
命令行配置
01
通过设备的命令行接口进行路由表项的配置，提供灵活的配置
方式。
Web界面配置
02
通过设备的Web管理界面进行路由表项的配置，提供直观的配
配置日志记录参数，如记 录级别、存储位置等；
结合企业的审计要求，对 关键的网络访问行为进行 审计和追溯。
05
故障排查与性能优化方法 论述
常见故障现象及原因分析
路由表项不正确
可能是由于配置错误或网络拓扑变化导致，需要检查策略路由配置 和网络拓扑。
流量丢失或延迟
可能是由于网络设备故障、链路拥塞或路由环路等原因导致，需要 逐一排查。
AI驱动的策略路由优化
人工智能（AI）技术将在策略路由中发挥越来越重要的作 用，通过机器学习和数据分析来优化策略路由规则和算法 。
多云环境下的策略路由应用
路由策略（route-policy）和策略路由（PBR）
路由策略（route-policy）和策略路由（PBR）1.路由策略功能：路由策略主要实现了路由过滤和路由属性设置等功能，它通过改变路由属性（包括可达性）来改变⽹络流量所经过的路径。
匹配形式：⼀个路由策略中包含N（N>=1）个节点（Node），也就是多个route-policy 10，20，30.........路由进⼊路由策略后，当路由与该节点的所有If-match⼦句都匹配成功后，进⼊匹配模式选择，不再匹配其他节点。
当路由与该节点的任意⼀个If-match⼦句匹配失败后，进⼊下⼀节点。
如果和所有节点都匹配失败，路由信息将被拒绝通过，（也就是说route-policy 末尾是隐含拒绝）。
路由策略中If-match⼦句中匹配的6种过滤器：1.访问控制列表ACL（Access Control List），只⽀持基本ACL；ACL是将报⽂中的⼊接⼝、源或⽬的地址、协议类型、源或⽬的端⼝号作为匹配条件的过滤器。
2.地址前缀列表（IP Prefix List）；地址前缀列表将源地址、⽬的地址和下⼀跳的地址前缀作为匹配条件的过滤器。
路由按索引号从⼩到⼤依次检查各个节点是否匹配，任意⼀个节点匹配成功，将不再检查其他节点。
若所有节点都匹配失败，路由信息将被过滤。
如果地址前缀列表不与路由策略中if-match语句配合使⽤，地址前缀列表中⾄少配置⼀个节点的匹配模式是permit，否则所有路由将都被过滤。
当IP地址为0.0.0.0时表⽰通配地址，表⽰掩码长度范围内的所有路由都被Permit或Deny。
3.AS路径过滤器（AS_Path Filter）；4.团体属性过滤器（Community Filter）；5.扩展团体属性过滤器和RD属性过滤器（Extcommunity Filter）；6.RD属性过滤器（Route Distinguisher Filter）。
配置任务：配置过滤器（6种）-----配置route-policy-----if-match-----apply-----配置路由策略⽣效时间（可选）2.策略路由策略路由PBR（Policy-Based Routing）是⼀种依据⽤户制定的策略进⾏路由选择的机制。
h3cS5500EI策略路由
文档来源为:从网络收集整理.word版本可编辑.欢迎下载支持.目录1 策略路由 .............................................................................................................................................. 1-11.1 策略路由简介.................................................................................................................................... 1-11.2 配置策略路由.................................................................................................................................... 1-11.2.1 配置QoS策略 ....................................................................................................................... 1-11.2.2 应用QoS策略 ....................................................................................................................... 1-21.3 策略路由显示和维护......................................................................................................................... 1-31.4 策略路由典型配置举例 ..................................................................................................................... 1-31.4.1 IPv4策略路由配置举例........................................................................................................... 1-31.4.2 IPv6策略路由配置举例........................................................................................................... 1-41 策略路由1.1 策略路由简介策略路由（policy-based-route）是一种依据用户制定的策略进行路由选择的机制。
交换机上也做策略路由
交换机上也做策略路由交换机上也可以做策略路由，这是因为现代交换机逐渐具备了路由器的功能，从而实现了多重功能的集成。
在网络拓扑结构较为复杂的情况下，为了保障网络的高可用性、安全性以及性能等方面的需求，交换机上的策略路由也变得越来越重要。
1. 策略路由的基本原理策略路由是一种基于目的地址不同的路由选择策略，可以根据不同的需求选择不同的路由方案进行转发，从而实现对流量的控制和管理。
在交换机上实现策略路由，通常采用的是ACL（Access Control List）技术，即访问控制列表技术，通过配置ACL可以实现路由的分流，以及对不同流量的控制和限制。
2. 策略路由的应用场景（1）流量分流在网络拓扑结构较为复杂的情况下，流量分流可以有效提高网络的负载能力，避免网络拥塞发生。
通过策略路由技术，可以将不同类型的流量按需求分流到不同的路由上进行传输，从而优化网络性能。
例如，在企业网络中，一部分部门需要专线连接，而另一部分只需要公网连接，此时可以通过ACL配置，将需要专线连接的部门的流量分流到专线路由上进行传输，让公网路由处理其他部门的流量。
（2）网络安全控制通过ACL技术，可以实现对不同类型的流量的过滤和控制，确保网络的安全性。
例如，可以通过配置ACL来限制某些危险的IP流量进入网络，以保证网络的正常运行；还可以通过ACL来防止DDoS攻击、网络蠕虫和病毒等恶意流量的攻击。
（3）灵活的路由控制传统的无层交换机无法支持路由控制，而现代交换机就可以利用策略路由技术灵活地对IP数据流进行路由的控制，同时还能够根据不同流量的特点进行不同的路由转发。
例如，某公司的某个部门需要对特定的IP流量进行优先级路由，可以通过ACL进行配置，将这部分IP流量发送到目标设备的路由上，从而实现更加灵活的路由控制。
3. 策略路由的配置方法在交换机上实现策略路由技术，需要按照以下步骤进行配置：（1）确定分流规则根据实际需求，确定需要分流的流量类型和路由方向，例如需要将某个部门的流量分流到专线连接上，或者需要将恶意流量分流到黑洞，从而实现网络的安全控制。
华为策略路由配置实例
华为策略路由配置实例1、组网需求图1 策略路由组网示例图如上图1所示，公司用户通过Switch双归属到外部网络设备。
其中，一条是低速链路，网关为10.1.20.1/24；另外一条是高速链路，网关为10.1.30.1/24。
公司希望上送外部网络的报文中，IP优先级为4、5、6、7的报文通过高速链路传输，而IP优先级为0、1、2、3的报文则通过低速链路传输。
2、配置思路1、创建VLAN并配置各接口，实现公司和外部网络设备互连。
2、配置ACL规则，分别匹配IP优先级4、5、6、7，以及IP优先级0、1、2、3。
3、配置流分类，匹配规则为上述ACL规则，使设备可以对报文进行区分。
4、配置流行为，使满足不同规则的报文分别被重定向到10.1.20.1/24和10.1.30.1/24。
5、配置流策略，绑定上述流分类和流行为，并应用到接口GE2/0/1的入方向上，实现策略路由。
3、操作步骤3.1、创建VLAN并配置各接口# 在Switch上创建VLAN100和VLAN200。
<HUAWEI> system-view[HUAWEI] sysname Switch[Switch] vlan batch 100 200# 配置Switch上接口GE1/0/1、GE1/0/2和GE2/0/1的接口类型为Trunk，并加入VLAN100和VLAN200。
[Switch] interface gigabitethernet 1/0/1[Switch-GigabitEthernet1/0/1] port link-type trunk[Switch-GigabitEthernet1/0/1] port trunk allow-pass vlan 100 200 [Switch-GigabitEthernet1/0/1] quit[Switch] interface gigabitethernet 1/0/2[Switch-GigabitEthernet1/0/2] port link-type trunk[Switch-GigabitEthernet1/0/2] port trunk allow-pass vlan 100 200 [Switch-GigabitEthernet1/0/2] quit[Switch] interface gigabitethernet 2/0/1[Switch-GigabitEthernet2/0/1] port link-type trunk[Switch-GigabitEthernet2/0/1] port trunk allow-pass vlan 100 200 [Switch-GigabitEthernet2/0/1] quit配置LSW与Switch对接的接口为Trunk类型接口，并加入VLAN100和VLAN200。
策略路由应用场景
策略路由应用场景一、什么是策略路由策略路由是一种动态路由技术，它可以根据不同的网络流量应用不同的路由策略，从而实现更加灵活和高效的网络通信。
策略路由可以根据网络流量的特点、目的地、源地址等因素进行选择最优路径，从而提高网络性能和可靠性。
二、策略路由应用场景1. 多线接入场景在多线接入场景下，策略路由可以根据不同线路的带宽、延迟等因素进行选择最优路径，从而实现负载均衡和容灾备份。
例如，在企业内部搭建了多条线路连接到公网上，当其中一条线路出现故障时，策略路由可以自动切换到其他正常的线路上。
2. 多网关场景在多网关场景下，策略路由可以根据目的地地址选择合适的网关进行通信。
例如，在企业内部搭建了多个子网，并且每个子网都有一个独立的网关。
当子网之间需要通信时，策略路由可以根据目标地址选择合适的网关进行转发。
3. QoS保障场景在QoS保障场景下，策略路由可以根据不同的应用程序进行流量分类和优先级调度，从而保障重要业务的带宽和延迟要求。
例如，在企业内部需要保障视频会议、在线教育等实时应用的网络服务质量时，策略路由可以将这些应用程序的流量优先级调高，从而保证它们的带宽和延迟要求。
4. 安全防护场景在安全防护场景下，策略路由可以根据源地址、目标地址等因素进行黑白名单过滤和攻击防护。
例如，在企业内部需要禁止某些IP地址访问某些敏感资源时，策略路由可以根据源地址进行黑名单过滤，并且对于一些恶意攻击流量也可以进行拦截和过滤。
5. 智能分流场景在智能分流场景下，策略路由可以根据不同的服务类型、用户身份等因素进行智能分流和调度。
例如，在电商平台上需要对不同类型的用户提供不同的服务质量时，策略路由可以根据用户身份进行智能分流，并且对于一些高价值客户也可以提供更加个性化的服务。
三、总结以上就是策略路由的应用场景介绍，可以看到，在不同的网络应用场景下，策略路由都可以发挥出不同的优势和作用。
因此，在实际的网络设计和运维中，策略路由技术也是非常重要和必要的。
任务7.4 策略路由配置
Ø策略路由基本概念Ø接口策略路由ØMQCØ接口策略路由配置流程Ø策略路由配置命令•传统的路由转发原理是根据报文的目的地址查找路由表，然后进行报文转发。
但是用户希望能够在传统路由转发的基础上根据自己定义的路径进行报文转发。
•策略路由可以跨过路由表直接控制报文的转发，以达到优化通信路径的目的。
•本次任务介绍采用策略路由技术来优化通信路径。
Ø策略路由PBR（Policy-Based Routing）是一种依据用户制定的策略进行路由选择的机制。
Ø可根据目的地址、协议类型、报文大小、应用、源地址或其它属性来选择转发路径。
Ø转发数据报文时，策略路由优先于路由表。
若流量未匹配策略路由，则依据路由表转发。
Ø策略路由增强了路由选择的灵活性，可应用于安全、负载分担等通信场景。
示例中，R1通过部署策略路由，可对访问10.1.0.0的流量进行分流，实现负载分担。
Ø策略路由与路由策略是不同类型的路由控制技术，都可影响数据报文的转发路径。
两者区别：•操作对象上：路由策略的操作对象是路由表，执行效果是影响的是路由表的生成，从而影响数据的转发。
而策略路由的操作对象是数据报文，直接对报文进行转发控制。
•策略制定上：路由策略只能基于目的地址定义匹配规则，而策略路由可以基于目的地址、源地址及协议类型等多元组合来定义匹配规则。
•策略配置上：路由策略需要与路由协议结合使用，而策略路由需要手工指定。
•工具使用上：路由策略的工具有Route-Policy、Filter-Policy，策略路由的工具有Traffic-Policy、Policy-Based-Route及其它联动工具等。
Ø策略路由可分为本地策略路由、接口策略路由、智能策略路由。
•本地策略路由：仅对本机下发的报文进行处理，对转发的报文不起作用。
•接口策略路由：只对转发的报文起作用，对本地下发的报文不起作用。
h3c策略路由
目录1 策略路由 .............................................................................................................................................. 1-11.1 策略路由简介.................................................................................................................................... 1-11.2 配置策略路由.................................................................................................................................... 1-11.2.1 配置QoS策略 ....................................................................................................................... 1-11.2.2 应用QoS策略 ....................................................................................................................... 1-21.3 策略路由显示和维护......................................................................................................................... 1-31.4 策略路由典型配置举例 ..................................................................................................................... 1-31.4.1 IPv4策略路由配置举例........................................................................................................... 1-31.4.2 IPv6策略路由配置举例........................................................................................................... 1-41 策略路由1.1 策略路由简介策略路由（policy-based-route）是一种依据用户制定的策略进行路由选择的机制。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
策略路由技术文档目录1.概念 (1)2.策略路由的种类 (1)3.策略路由配置方法 (1)3.1路由重发布相关 (2)3.2策略路由相关 (2)3.3Configuring Route Maps (3)4.基于策略的路由技术概述 (4)4.1基于源地址的策略路由 (4)1. 概念策略路由是一种比基于目标网络进行路由更加灵活的数据包路由转发机制。
图1 策略路由应用了策略路由，路由器将通过路由图决定如何对需要路由的数据包进行处理，路由图决定了一个数据包的下一跳转发路由器。
应用策略路由，必须要指定策略路由使用的路由图，并且要创建路由图。
一个路由图由很多条策略组成，每个策略都定义了1个或多个的匹配规则和对应操作。
一个接口应用策略路由后，将对该接口接收到的所有包进行检查，不符合路由图任何策略的数据包将按照通常的路由转发进行处理，符合路由图中某个策略的数据包就按照该策略中定义的操作进行处理。
策略路由可以使数据包按照用户指定的策略进行转发。
对于某些管理目的，如QoS需求或VPN拓扑结构，要求某些路由必须经过特定的路径，就可以使用策略路由。
例如，一个策略可以指定从某个网络发出的数据包只能转发到某个特定的接口。
2. 策略路由的种类大体上分为两种：一种是根据路由的目的地址来进行的策略称为目的地址路由；另一种是根据路由源地址来进行策略实施的称为源地址路由。
随着策略路由的发展现在有了第三种路由方式：智能均衡的策略方式。
3. 策略路由配置方法route map和ACL很类似，它可以用于路由的再发布和策略路由，还经常使用在BGP中.策略路由(policy route)实际上是复杂的静态路由，静态路由是基于数据包的目标地址并转发到指定的下一跳路由器，策略路由还利用和扩展IPACL链接，这样就可以提供更多功能的过滤和分类route map的一些命令:3.1 路由重发布相关match命令可以和路由的再发布结合使用：（1）match interface {type number} […type number]:匹配指定的下一跳路由器的接口的路由。
（2）match ip address {ACL number|name} […ACL number|name]:匹配ACL所指定的目标IP地址的路由。
（3）match ip next-hop {ACL number|name} […ACL number|name]:匹配ACL所指定的下一跳路由器地址的路由。
（4）match ip route-source {ACL number|name} […ACL number|name]:匹配ACL所指定的路由器所宣告的路由。
（5）match metric {metric-value}:匹配指定metric大小的路由。
（6）match route-type {internal|external[type-1|type-2]|level-1|level-2}:匹配指定的OSPF，EIGRP或IS-IS的路由类型的路由。
（7）match tag {tag-value} […tag-value]:匹配带有标签(tag)的路由。
set命令也可以和路由的再发布一起使用：（1）set level {level-1|level-2|level-1-2|stub-area|backbone}:设置IS-IS的Level，或OSPF的区域，匹配成功的路由将被再发布到该区域。
（2）set metric {metric-value|bandwidth delay RELY load MTU}:为匹配成功的路由设置metric大小。
（3）set metric-type {internal|external|type-1|type-2}:为匹配成功的路由设置metric的类型，该路由将被再发布到OSPF或IS-IS 1。
（4）set next-hop {next-hop}:为匹配成功的路由指定下一跳地址。
（5）set tag {tag-value}:为匹配成功的路由设置标签。
3.2 策略路由相关match命令还可以和策略路由一起使用：（1）match ip address {ACL number|name} […ACL number|name]:匹配ACL所指定的数据包的特征的路由。
（2）match length {min} {max}:匹配层3的数据包的长度。
set命令也可以和策略路由一起使用：（1）set default interface {type number} […type number]:当不存在指向目标网络的显式路由(explicit route)的时候，为匹配成功的数据包设置出口接口。
（2）set interface {type number} […type number]:当存在指向目标网络的显式路由的时候，为匹配成功的数据包设置出口接口。
（3）set ip default next-hop {ip-address} […ip-address]:当不存在指向目标网络的显式路由的时候，为匹配成功的数据包设置下一跳路由器地址。
（4）set ip precedence {precedence}:为匹配成功的IP数据包设置服务类型(Type of Service，ToS)的优先级。
（5）set ip tos {tos}:为匹配成功的数据包设置服务类型的字段的TOS位。
3.3 Configuring Route Mapsroute map是通过名字来标识的，每个route map都包含许可或拒绝操作以及一个序列号，序列号在没有给出的情况下默认是10，并且route map允许有多个陈述，如下：Linus(config)#route-map Hagar 20Linus(config-route-map)#match ip address 111Linus(config-route-map)#set metric 50Linus(config-route-map)#route-map Hagar 15Linus(config-route-map)#match ip address 112Linus(config-route-map)#set metric 80尽管先输入的是20，后输入的是15，IOS将把15放在20之前。
还可以允许删除个别陈述，如下：Linus(config)#no route-map Hagar 15 在删除的时候要特别小心，假如你输入了no route-map Hegar而没有指定序列号，那么整个route map将被删除.并且如果在添加match和set语句的时候没有指定序列号的话，那么它们仅仅会修改陈述10.在匹配的时候，从上到下，如果匹配成功，将不再和后面的陈述进行匹配，指定操作将被执行关于拒绝操作，是依赖于route map是使用再路由的再发布中还是策略路由中，如果是在策略路由中匹配失败(拒绝)，那么数据包将按正常方式转发。
如果是用于路由再发布，并且匹配失败(拒绝)，那么路由将不会被再发布如果数据包没有找到任何匹配，和ACL一样，route map末尾也有个默认的隐含拒绝所有的操作，如果是在策略路由中匹配失败(拒绝)，那么数据包将按正常方式转发。
如果是用于路由再发布，并且匹配失败(拒绝)，那么路由将不会被再发布如果route map的陈述中没有match语句，那么默认的操作是匹配所有的数据包和路由。
每个route map的陈述可能有多个match和set语句，如下：! route-map Garfield permit 10match ip route-source 15match interface Serial0set metric-type type-1set next-hop 10.1.2.3 !在这里，为了执行set语句，每个match语句中都必须进行匹配基于策略的路由。
4. 基于策略的路由技术概述基于策略的路由为网络管理者提供了比传统路由协议对报文的转发和存储更强的控制能力，传统上，路由器用从路由协议派生出来的路由表，根据目的地址进行报文的转发。
基于策略的路由比传统路由强，使用更灵活，它使网络管理者不能够根据目的地址而且能够根据，报文大小，应用或IP源地址来选择转发路径。
策略可以定义为通过多路由器的负载平衡或根据总流量在各线上进行转发的服务质量（QOS）。
策略路由使网络管理者能根据它提供的机定一个报文采取的具体路径。
而在当今高性能的网络中，这种选择的自由性是很需要的。
策略路由提供了这样一种机制：根据网络管理者制定的标准来进行报文的转发。
策略路由用MATCH和SET语句实现路径的选择。
策略路由是设置在接收报文接口而不是发送接口。
4.1 基于源地址的策略路由配置概述：路由器A将192.1.1.1来的所有数据从接口S0发出，而将从192.1.1.2来的所有数据从接口S1发出。
路由器A定义几个二级接口作为测试点。
路由器A和B配置RIP.在A的ETHERNET接口上应用IP策略路由图LAB1，为从192.168.1.1来的数据设置下一跳接口为S0，为从192..1.1.2来的数位设置下一跳接口为S1，所有其他的报文将用基于目的地址的路由。
路由器配置：ROUTE A:Version 11.2No service udp-small-serversNo service tcp-small-serversHostname routerAInterface ethernet0Ip address 192.1.1.1 255.255.255.0 secondaryIp address 192.1.1.2 255.255.255.0 secondaryIp address 192.1.1.3 255.255.255.0 secondaryIp address 192.1.1.10 255.255.255.0Ip policy route-map lab1//策略路由应用于E0口interface serial0ip addr 150.1.1.1 255.255.255.0interface serial1ip addr 151.1.1.1 255.255.255.0router ripnetwork 192.1.1.0network 150.1.0.0network 151.1.0.0ip local policy route-map lab1//使路由器策略路由本地产生报文no ip classlessaccess-list 1 permit 192.1.1.1access-list 2 permit 192.1.1.2route-map lab1 permit 10//定义策略路由图名称：LAB1，10为序号，用来标明被匹配的路由顺序。