实验19 策略路由与设备体系结构v3.6-b03d01

1
蓝狐高级网络工程师系列教材——网络工程实验指南（第二卷）
(4) 入处理 包过滤（允许、拒绝） QOS（打 QOS 标记、流量限速） URPF（反向路径检查） 策略路由（改变下一跳） (5) 出处理 包过滤（允许、拒绝） NAT（地址转换） IPSec（加密） QOS（队列调度、流量整形）
19.1.3. 入处理与出处理 IP 数据包操纵
RT7# traceroute Protocol [ip]: Target IP address: 192.168.20.1 Source address: 192.168.36.1
(3) traceroute 测试（专线 1 Down） ：重复上述 traceroute 测试。 (4) traceroute 测试（专线 2 Down） ：重复上述 traceroute 测试。
实验19 策略路由与设备体系结构
19.1. 策略路由原理
19.1.1. 路由器的控制层面和转发层面
(1) 控制层面 路由协议邻居建立路由信息发起路由信息传播CPU 路由计算协议路由表 全局路由表 (2) 转发层面 接收数据包入处理查找全局路由表转发处理出处理发送数据包 (3) IP 转发流程 控制层面 全局路由表 转发层面 接收数据包 接收二层目的地址 是自己的数据包 拆二层封装 发送数据包 重新二层封装 将数据包发送至下 一跳 路由传播/操纵/控制 控制层面 CPU 协议数据 本地产生的数据 IP 数据包转发 重定向上送 上送 CPU 查表上送 查找全局路由表 入处理 ip access-group xx in 最长掩码匹配 ip policy route-map xx …… 出处理 ip access-group xx out IPSec、NAT、QOS 队列调度 …… 转发处理 将数据包转发至出 接口 TTL 减 1
定义策略
route-map PBR permit 10 match ip address 1 set ip next-hop 10.1.1.2 route-map PBR permit 20 match ip address 2 set ip next-hop 10.2.2.2 （定义名字叫 PBR 的 route－map，10 节点） （匹配被 ACL 1 的 IP 数据包） （指定下一跳地址为 10.1.1.2） （20 节点） （匹配被 ACL 2 的 IP 数据包） （指定下一跳地址为 10.2.2.2）
3
蓝狐高级网络工程师系列教材——网络工程实验指南（第二卷）
19.2. 组网一：基于流的选路
19.2.1. 组网需求
湖南省某公司，总部和株洲分公司之间通过两条 E1 专线相连，其业务流量在这 两条专线上负责分担；现 A 业务流量太大，其株洲分公司客户端与总部服务器之间的 互访流量约需要 1.8Mbps 带宽，故将这两条专线改为主备方式：专线 2 作为 A 业务的 专用链路及其他业务的备份，专线 1 作为其他业务的主链路及 A 业务的备份。
(2) traceroute 测试 Traceroute RT7：带源 192.168.36.1 RT7：带源 192.168.36.1 RT7：带源 192.168.37.1 RT7：带源 192.168.37.1 RT5：带源 192.168.20.1 RT5：带源 192.168.20.1 RT5：带源 192.168.21.1 RT5：带源 192.168.21.1 192.168.20.1 192.168.21.1 192.168.20.1 192.168.21.1 192.168.36.1 192.168.37.1 192.168.36.1 192.168.37.1 走专线 1 走专线 2 不通
192.168.3.1/24
图19.4 实验拓扑（组网二） 192.168.2.0/24 的用户通过电信出口访问 Internet，教育网出口作备份。 192.168.3.0/24 的用户通过教育网出口访问 Internet，电信出口作备份。
(1) 流量匹配与流量动作 流量匹配：使用 ACL 对数据流进行匹配。 流量动作：对匹配了 ACL 的流量进行相应动作。 入方向动作：允许、拒绝、打 QOS 标记、限速、改变下一跳 出方向动作：允许、拒绝、NAT、IPSec、QOS 队列调度、流量整形 (2) 流量匹配 数据包中的各个字段都可进行匹配。如：目的 MAC、源 MAC、VLAN ID、COS； 源 IP、目标 IP、协议、QOS；TCP/UDP 源端口、目标端口；应用层协议、内容。 常用的匹配条件：五元组（源 IP、目标 IP、协议、源端口、目标端口） 。
边界
Si
图19.3 组网拓扑（组网二） 202.202.0.1/32 202.202.0.1/32
RT5
电信
S3
教育网
S0பைடு நூலகம்
RT7
S0 202.202.202.1/30 S2 202.202.202.2/30
边界 RT1 RT3
200.200.200.1/30 200.200.200.2/30
192.168.1.1/30 S0 192.168.1.2/30 S0 192.168.2.1/24 (1) 实验组网需求
19.1.5. 策略路由参考命令
(1) ip policy route-map 这个接口配置命令使策略路由能够应用于一个特定的接口并确定将应用于报文的 路由图。 (2) ip local policy route-map 这个全局配置命令使路由器策略路由本地产生的报文。 (3) match ip address 这个路由图配置命令是上章定义的访问表进行策略匹配条件的基础。 (4) set interface 这条路由图配置命令标示了符合匹配语句的报文将发送到那个输出接口。 (5) set ip next-hop 这条路由图配置命令标示了那些符合匹配语句的输出报文将进行下一跳 I P 地址。 可以定义多个下一跳地址，如果第一个 next-hop 不可达，按顺序轮流测试。
5
蓝狐高级网络工程师系列教材——网络工程实验指南（第二卷）
19.3. 组网二：校园网双出口
19.3.1. 组网需求
某校园网通过电信、教育网两个出口接入 Internet，要求图书馆通过教育网出口访 问 Internet，而其他用户通过电信出口访问 Internet；还要求这两个出口互为备份。 电信 教育网
将策略绑定到数据流入接口
interface s1 ip policy route-map PBR 2
实验 19
策略路由与设备体系结构
(2) 策略路由匹配结果 route-map PBR permit 10 match 条件：匹配结果：匹配 permit：命中该节点； 匹配 deny；去下一节点继续匹配； 未匹配：去下一节点继续匹配； match 条件为空：所有数据包命中该节点 无 match 语句：所有数据包命中该节点 set 动作 route-map PBR permit 20 match 条件 set 动作 route-map PBR permit 30 match 条件 set 动作 route-map PBR 结果：命中 permit 节点：执行该节点动作。 （改变下一跳，如果下一跳不可达， 则按正常转发流程查路由表转发） PBR 跳过 deny 节点； 未命中任何节点：按正常转发流程查路由表转发。 PBR 为空：按正常转发流程查路由表转发。
19.1.4. 策略路由
(1) 策略路由配置
实验需求：在 R4 做策略路由：将从 192.168.1.0/24 来的所有数据走 S0 ，从 192.168.2.0/24 来的所有数据走 S3。 用 ACL 区分数据流
Access-list 1 permit 192.168.1.0 0.0.0.255 Access-list 2 permit 192.168.2.0 0.0.0.255
19.1.2. IP 路由转发原理
(1) 转发层面 接收数据包入处理查找全局路由表转发处理出处理发送数据包 (2) 无类路由查找（最长掩码匹配） IP 包的目标地址和全局路由表中的路由的子网掩码进行与运算； 运算结果和路由的目标网络相同时，即为选中； 继续查找全局路由表中的更优路由，以满足最长掩码匹配原则； 选择最优的路由进行数据包转发。 (3) IP 逐跳转发 每一跳都要查找路由表， 查找路由表遵循最长掩码匹配原则。 （查不到则丢弃该数 据包；查到且下一跳是直连的，则将该数据包转发至下一跳；查到且下一跳不是直连 的，则进行递归查找，直到找到直连的下一跳，才转发该数据) 每转发一次 TTL 减 1。 （每经过 1 次三层转发，TTL 减 1；TTL 等于 0 时丢弃该数 据包）
19.2.3. 策略路由配置及测试
(1) RT1、RT3 上，配置策略路由，使得 A 业务的主路径走专线 2。
RT3(config)# access-list 101 permit ip 192.168.36.0 0.0.0.255 192.168.20.0 0.0.0.255 route-map cl-to-srv permit 10 match ip address 101 set ip next-hop 192.168.1.5 interface Ethernet0 ip policy route-map cl-to-srv RT1(config)# access-list 101 permit ip 192.168.20.0 0.0.0.255 192.168.36.0 0.0.0.255 route-map srv-to-cl permit 10 match ip address 101 set ip next-hop 192.168.1.6 interface Serial2 ip policy route-map srv-to-cl 注意：如果策略路由未生效，请在绑定策略路由的接口上配置 no ip route-cache。
19.2.2. 基本连通性配置及测试