基于源地址的策略路由
PBR (policy-Based routing,策略路由)总结
一：PBR的功能介绍1:PBR可以用于路由重新分配。
基于PBR我们可以在重新分配路由时有选择的重分配。
(当然还有其它手段passive-interface，distribute-list，还有route-map实现)。
一般来说,PBR是通过路由映射来配置的(route-map)。
2:影响下一跳。
PBR在大规模边界网关协议BGP的运行中，是一个最必不可少的工具。
传统的路由策略来自由路由协议计算出来的路由表。
路由器只能根据报文的目的地址进行数据转发，不能提供有差别的服务。
基于策略的路由可以基于数据包的源地址，甚至是源地址,目的地址，源端口，目的端口，四层协议以及报文大小，应用或者其它策略来选择转发路径。
3:设置优先级。
PBR还可以给予外出数据包设置IP优先级位，这样方便了QOS策略。
网络管理员可以根据实际工作的需要，灵活设置PBR机制，实现比传统路由协议更强的路由控制能力。
4:负载平衡。
使用PBR策略路由设置数据包的行为，比如下一跳，出接口等，这样在存在多条链路的情况下，可以根据数据包的应用不同而使用不同的链路，进而提供高效的负载平衡能力。
二：PBR的特点：PBR影响的只是本地的行为，不会干预其它路由器的选路行为，当可以通过设置优先级位来用于其它路由器配置策略。
当路由器进行数据转发时，路由器根据预先设置的策略对数据包进行匹配，如果匹配到一条PBR，就根据该条策略指定的路由进行转发；如果没有匹配到任何策略，就根据路由表的内容对报文进行转发。
常用的PBR配置命令如下所示：route-map map-tag { permit |deny} [sequence number] [定义PBR] match ip address acl-id[匹配ACL-id定义的流量]match length min-byte max-byte[匹配报文大小为min-byte到max-byte 大小的流量]set ip next-hop ip-address [设置数据包下一条地址]set ip default next-hop ip-address [设置数据包下一条地址]set ip precedence [number|name] [设置IP数据包优先级]set interface slot/number[设置出接口]set default interface slot/number [设置出接口]ip policy route-map map-tag [在接口下应用PBR]ip local policy route-map map-tag [对本地路由器产生的数据包执行PBR]说明：这里要注意set ip next-hop与set ip default next-hop、set interface 与set default interface这两对语句的区别，不含default的语句，是不查询路由表就转发数据包到下一跳IP或接口，而含有default的语句是先查询路由表，在找不到精确匹配的pbr策略路由条目时，才转发数据包到default语句指定的下一跳IP或接口。
策略路由配置命令
一、基于distribute的路由过滤1.定义acl (conf)#access-list 1 deny 192.168.1.0 0.0.0.255 (conf)#access-list 1 permit any2.进入路由重发布(conf)#router rip (conf-router)#distribute-list 1 out ospf 1 在rip协议下，配置distribute列表，引用acl 1，过滤从osp f 1重发布到r ip的网络路由。
也就是说，通过该路由器进行osp f的重发布到rip网络中，过滤acl 1的数据。
在该例中的意思就是ospf中如果有数据属于192.168.1.0/24，那么在rip网络中无法学习到这些路由。
由于重发布的命令是re d istr ibute，所以这里可以理解为发布到rip网络中。
=============================================================================== ============================================二、基于route-map的路由过滤1.定义acl (conf)#access-list 1 deny 192.168.1.0 0.0.0.255 (conf)#acces s-list 1 permit any2.定义route-map (conf)# route-map ospf-rip permit 10 其中ospf-rip为ro ute-map的名称，10为序列号，下述条件如果成立的话动作为per mit。
注意：route-map和ac l相同的是，在尾部都有隐藏的默认拒绝所有的条件。
3.匹配条件(config-route-map)#match ip address 1 查询acl 1是否满足4.进入路由重发布(conf)#router rip (conf-router)#redistribute ospf 1 metric 4 route-map ospf-rip 在路由重发布的时候，对route-map的ospf-rip条目进行匹配过滤。
基于源IP地址的策略路由的研究与实现
基于源IP地址的策略路由的研究与实现作者：朱俊黄守明来源：《电脑知识与技术》2013年第04期摘要：文章介绍了策略路由的工作机制，指出了策略路由在复杂网络下的应用具备了节省费用，能为不同的数据流提供不同的服务质量，提高网络的利用率，平衡网络负载，方便管理员进行管理等诸多优点。
并介绍了基于源IP地址的策略路由的配置方法，对配置进行了测试验证。
关键词：策略路由；网络安全；路由表；负载均衡；服务质量中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）04-0764-02随着社会的发展，网络应用变得非常广泛，网络规模和功能也也在扩大，为了方便管理网络和提高安全性，常常划分逻辑子网，普通路由常用于不同网络间通信，而对于更复杂的路由需求，往往需要通过策略路由来实现。
1 策略路由路由器的工作过程是对要转发的数据进行分析，然后和路由表中的记录进行比对，从而决定数据从哪个端口进行发送，这种工作过程很大程度依赖路由表，在路由表中的记录中，将会包含目的网络等相关信息。
策略路由的工作机制不同，它不仅可以根据传统方式中的目的网络信息来选择路由，还要以根据源IP地址、目的IP地址、应用、报文大小、网络协议等来选择合适的路由。
网络管理员可以根据当前网络实际情况，来指定策略路由。
策略路由使用灵活，更能适合当前复杂网络的需求。
策略路由的应用能够节省费用，还能为不同的数据流提供不同的服务质量，从而提高网络的利用率，平衡网络负载。
2 具体实现2.1 网络环境网络拓扑结构图如下图：图1 网络拓扑结构图路由器接口信息如表1。
表1 路由器接口信息[＼&R1＼&R2＼&R3＼&F0/0＼&192.168.3.1＼&192.168.3.2＼&192.168.2.2＼&F0/3＼&192.168.2.1＼&＼&192.168.4.1＼&Loopback＼&192.168.1.1＼&＼&＼&S0/2＼&＼&＼&192.168.5.2＼&S0/3＼&＼&192.168.5.1＼&＼&]2.2 实际需求在R3中使用策略路由，源地址为192.168.4.10的数据经路由器存储转发后，通过IP为192.168.2.1的端口，而源地址为192.168.4.20的数据经路由器存储转发后，通过IP为192.168.5.1的端口。
route-map配置案例
route-map配置案例route-map配置是网络设备中常用的一种策略路由配置方式，通过route-map可以对路由进行控制和过滤，实现灵活的路由策略。
下面是一些route-map配置案例，旨在帮助读者更好地理解和应用route-map。
1. 配置案例一：基于访问控制列表（ACL）的路由策略控制route-map ACL-POLICY permit 10match ip address ACL-1set metric 100route-map ACL-POLICY permit 20match ip address ACL-2set metric 200route-map ACL-POLICY deny 30set metric 500route-map ACL-POLICY permit 40set metric 300route-map ACL-POLICY permit 50set metric 400这个配置案例中，通过route-map ACL-POLICY对路由进行了访问控制列表ACL-1和ACL-2的匹配，根据匹配结果设置不同的路由度量值（metric）。
ACL-1匹配的路由度量值设置为100，ACL-2匹配的路由度量值设置为200，未匹配的路由度量值设置为500，最后两条permit语句设置了未匹配的路由度量值为300和400。
2. 配置案例二：基于访问控制列表（ACL）和策略路由的路由策略控制route-map ACL-POLICY permit 10match ip address ACL-1set ip next-hop 10.0.0.1route-map ACL-POLICY permit 20match ip address ACL-2set ip next-hop 10.0.0.2route-map ACL-POLICY deny 30set ip next-hop 10.0.0.3route-map ACL-POLICY permit 40set ip next-hop 10.0.0.4route-map ACL-POLICY permit 50set ip next-hop 10.0.0.5这个配置案例中，通过route-map ACL-POLICY对路由进行了访问控制列表ACL-1和ACL-2的匹配，根据匹配结果设置不同的下一跳地址（next-hop）。
防火墙基于策略路由的配置技巧
防火墙基于策略路由的配置技巧防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。
那么防火墙基于策略路由的配置技巧方法有哪些呢?具体介绍问题描述：您可以定义自己的规则来进行数据包的路由而不仅仅由目的地地址所决定。
在这里您可以学到怎么使用基于策略路由的办法来解决这一问题。
在具体的应用中，基于策略的路由有：☆ 基于源IP地址的策略路由☆ 基于数据包大小的策略路由☆ 基于应用的策略路由☆ 通过缺省路由平衡负载这里，讲述了第一种情况的路由策略举例:在这个例子中，防火墙的作用是：把10.0.0.0/8内部网地址翻译成可路由的172.16.255.0/24子网地址。
下面的防火墙配置是为了完整性而加进去的，它不是策略路由配置所必需的。
在这里的防火墙可以被其它类似的产品代替，如PIX或其它类似防火墙设备。
这里的防火墙的配置如下：access-list 1 permit 10.0.0.0 0.255.255.255ip nat pool net-10 172.16.255.1 172.16.255.254 prefix-length 24ip nat inside source list 1 pool net-10interface Ethernet0ip address 172.16.20.2 255.255.255.0ip nat outsideinterface Ethernet1ip address 172.16.39.2 255.255.255.0ip nat insiderouter eigrp 1network 172.16.0.0default-metric 10000 100 255 1 1500ip route 172.16.255.0 255.255.255.0 Null0end在我们的例子中，Cisco WAN路由器上运行策略路由来保证从10.0.0.0/8网络来的IP数据包被发送到防火墙去。
H3C路由器怎么设置基于源地址的策略路由
H3C路由器怎么设置基于源地址的策略路由基于源地址的策略路由是一种根据数据包源地址的不同来选择不同转发路径的技术。
通过设定优先级和条件，将不同的源地址组合到不同的策略路由中，从而实现流量的灵活控制与管理。
这种技术可以用来实现各种场景的网络流量控制，例如将特定的源地址流量指定到指定的出口链路。
二、创建策略路由使用H3C路由器配置基于源地址的策略路由的第一步是创建策略路由。
创建策略路由需要指定要匹配的流量条件和对应的转发路径。
下面是创建策略路由的步骤：1. 登录到H3C路由器的命令行界面或Web管理界面，进入系统配置模式。
2.创建策略路由的路由策略，并进入策略路由配置模式：```[Router] route-policy policy1[Router-route-policy-policy1]```3.配置策略路由的流量匹配条件，可以根据源地址进行匹配：```[Router-route-policy-policy1] match ip source-address 1```这里的1表示要匹配的源地址的编号，可以根据实际需要进行调整。
4.配置策略路由的转发路径。
这里需要指定转发的接口和下一跳地址：```[Router-route-policy-policy1] apply interfaceGigabitEthernet0/0/1 ip-address 10.0.0.1```这里的GigabitEthernet0/0/1是需要转发的接口，10.0.0.1是对应的下一跳地址。
5.退出策略路由配置模式。
```[Router-route-policy-policy1] quit```6.保存配置并退出系统配置模式。
```[Router] save[Router] quit```三、应用策略路由策略路由配置完成后，需要将其应用到实际的转发过程中。
应用策略路由需要指定要应用的接口和方向。
下面是应用策略路由的步骤：1. 登录到H3C路由器的命令行界面或Web管理界面，进入系统配置模式。
LAB配置策略路由PBR
05
lab配置策略路由pbr总结
实验收获
深入理解了策略路由PBR的实现原理
01
通过配置策略路由，可以实现数据包根据特定规则进行路由，
提升了网络的灵活性和可扩展性。
学会了Lab配置方法
02
在实验中采用Lab配置方式，可以更加直观地展示网络设备的
配置过程，提高配置效率。
掌握VPC的配置和调试技巧
03
通过实验，熟悉了VPC的配置和调试技巧，可以更好地应对复
杂网络场景。
实验不足之处
实验过程中没有考虑到负载均衡的问题
在实验过程中，没有对负载均衡进行详细的研究和配置，导致网络设备在高负载 时可能出现性能瓶颈。
实验环境与实际场景的差异
由于实验环境的限制，实验中使用的网络拓扑和设备型号可能与实际场景存在差 异，影响实验结果的可推广性。
交换机
02
Cisco 3750，具备高性能、灵活性和可扩展性，支持二层和三
层功能。
PC机
03
运行Windows或Linux操作系统的计算机，用于网络配置和测
试。
02
策略路由基本概念
什么是策略路由
策略路由是一种网络路由技术，它可以根据不同的路由策略 将数据包从一个网络转发到另一个网络。
策略路由可以根据数据包的目的地址、源地址、传输协议等 因素来选择不同的路由路径，从而实现更加灵活和智能的路 由控制。
未来改进方向
完善负载均衡的配置
在未来的实验中，可以深入研究负载均衡的配置方法，实现网络设备的负载均衡，提高网 络设备的性能表现。
丰富实验环境和拓扑
可以尝试使用更多种类的网络设备和应用场景，丰富实验环境和拓扑，提高实验结果的可 推广性。
网络安全策略中防火墙技术的应用
网络安全策略中防火墙技术的应用【摘要】防火墙一种位于内部网络与外部网络之间的网络安全系统，也是用户网络和互联网相连的标准安全隔离设备。
本文通过介绍防火墙策略路由与nat技术，重点阐述了基于源地址的策略路由的实现形式，并总结了策略路由与路由策略的区别与策略路由的实际应用情况，为类似研究工程提供借鉴的意义。
【关键词】防火墙技术；策略路由；源地址；网络安全1.引言随着互联网的快速发展，网络技术得到不断的普及，非法存取、病毒、网络资源非法占有和黑客攻击等威胁网络安全运行的不安全因素也越来越多，这对网络安全技术的要求也有所提高。
防火墙技术作为网络安全运行的一项重要技术，指的是在内网和外网之间、专用网和公共网之间的界面上建立一道安全屏障，以控制不同信任程度区域间数据流的传输。
防火墙自身具有较强的抗攻击免疫力，所有网络数据流需要符合安全策略数据流的标准才能通过防火墙，这在很大程度上提高了网络安全运行的可靠性，避免了网络运行遭受一些不安全因素的影响。
本文通过探讨网络安全策略中防火墙技术的应用，结合网络地址转换，有效提高了网络出口资源的利用率，保护了校园网络运行的安全。
2.策略路由与nat技术2.1策略路由防火墙的策略路由优先级高于静态路由和缺省路由，低于直连路由。
策略路由可以在指定位置上灵活修改，添加和删除。
一个接口应用策略路由后，将根据预先设定的策略对该接口接收到的所有数据包进行匹配，如果匹配到一条策略，就按照策略路由进行转发；如果没有匹配到任何策略，就按照路由表中转发路径来进行路由。
策略路由分为三种：源地址路由、目的地址路由和智能均衡的策略方式。
源地址路由根据路由源地址来进行策略，目的地址路由根据路由的目的地址来实施策略。
智能均衡策略，是策略路由的发展方向。
2.2 natnat有三种实现方式：静态转换、动态转换和端口多路复用。
静态地址转换为每一个内部地址映射一个唯一的全局地址，内部地址与全局地址是一对一的，一成不变的。
cisco双线双路网络路由器怎么设置
cisco双线双路网络路由器怎么设置思科cisco是全球领先且顶尖的通讯厂商，出产的路由器功能也是很出色的，那么你知道cisco双线双路网络路由器怎么设置吗?下面是店铺整理的一些关于cisco双线双路网络路由器怎么设置的相关资料，供你参考。
cisco双线双路网络路由器设置一，路由策略的优势：经常关注我们IT168网络频道的读者都知道之前我们介绍过如何从本地计算机的路由信息入手解决这种双线双路的实际网络问题，然而该方法只限于在单台计算机上操作，如果企业的员工计算机非常多，一台一台机器的设置肯定不太现实，这时我们就可以通过路由策略实现对企业网络路由器设置出口的统筹管理，将出口网络路由器设置合理的路由策略，从而让网络数据包可以根据不同需求转发到不同的线路。
总体说来路由策略各个命令只需要我们在企业连接网络外部出口的网络路由器设置即可，该路由器实际连接的是双线双路，即一个接口连接通往中国网通的网络，一个接口连接抵达中国电信的网络。
cisco双线双路网络路由器设置二，路由策略命令简单讲解：路由策略的意义在于他可以让路由器根据一定的规则选择下一跳路由信息，这样就可以自动的根据接收来的网络数据包的基本信息，判断其应该按照哪个路由表中的信息进行转发了。
通过路由策略我们可以为一台路由器指定多个下一跳转发路由地址。
下面我们来看一段路由策略指令，然后根据其后面的指示信息来了解他的意义。
(1)路由策略基本信息的设置：route-map src80 permit 10//建立一个策略路由，名字为src80，序号为10，规则为容许。
match ip address 151//设置match满足条件，意思是只有满足ip address符合访问控制列表151中规定的才进行后面的set操作，否则直接跳过。
set ip next-hop 10.91.31.254//满足上面条件的话就将这些数据的下一跳路由信息修改为10.91.31.254。
H3C基于源地址&目的地址策略路由
网络拓扑：设备接口IP情况：需求一：1、使用H3C Lab模拟器或者H3C LITO模拟器，搭建如上网络拓扑，配置接口IP地址。
2、Sw1作为企业内网出口设备，实现内网互联，vlan及实现双出口NAPT，双出口默认路由（备份作用）。
3、实现Area 0区域内的公网路由器互联。
需求二：sw1 实现基于源地址的策略路由，内网1走联通，内网2走电信，使用RT8的loopback 0地址作为测试地址。
同时配置NQA，电信线路或者联通线路断掉了，依然不影响上网业务。
需求三：删除原来的基于源地址的策略路由配置，实现基于目的地址的策略路由，访问7.7.7.7走联通线路，访问8.8.8.8走电信线路。
电信线路或者联通线路断掉了，依然不影响访问7.7.7.7和8.8.8.8。
注意：使用在h3c路由器使用tracert命令测试实际效果，需要开启路由跟踪。
命令：ip redirects enableip ttl-expires enableip unreachables enable需求一的配置：Sw1:System-veiwvlan 10vlan 20vlan 30vlan 40int vlan 10ip address 192.168.1.1 24int vlan 20ip address 192.168.2.1 24int vlan 30ip address 1.1.1.1 24int vlan 40ip address 2.2.2.1 24quitint et0/4/0port access vlan 30int et0/4/1port access vlan 40int et0/4/2port access vlan 10int et0/4/3port access vlan 20quitip redirects enableip ttl-expires enableip unreachables enableip route-static 0.0.0.0 0.0.0.0 Vlan-interface30 1.1.1.2 ip route-static 0.0.0.0 0.0.0.0 Vlan-interface40 2.2.2.2 nat address-group 0 1.1.1.1 1.1.1.1nat address-group 1 2.2.2.1 2.2.2.1int vlan 30nat outbound address-group 0int vlan 40nat outbound address-group 1quitSystem-viewint et0/0/0ip address 3.3.3.2 24int et0/0/1ip address 5.5.5.1 24quitRT2int et0/0/0ip address 4.4.4.2 24int et0/0/1ip address 6.6.6.1 24quitRT3int et0/0/0ip address 1.1.1.2 24int et0/0/1ip address 3.3.3.1 24quitRT4int et0/0/0ip address 2.2.2.2 24int et0/0/1ip address 4.4.4.1 24quitRT5int et0/0/0ip address 192.168.1.10 24quitip route-static 0.0.0.0 0.0.0.0 Ethernet0/0/0 192.168.1.1RT6int et0/0/0ip address 192.168.2.10 24quitip route-static 0.0.0.0 0.0.0.0 Ethernet0/0/0 192.168.2.1int et0/0/0ip address 5.5.5.2 24int et0/0/1ip address 6.6.6.2 24int loopback 0ip address 8.8.8.8 32int loopback 1ip address 7.7.7.7 32quitOSPF的配置：RT2/3/4/8ospf 10area 0network 0.0.0.0 0.0.0.0quitquit需求二的配置：1、首先配置NQA，NQA用于检测链路可达性，实施策略路由，当策略路由有效的时候，执行转发的优先级绝对比其他路由协议高（无视直连路由），因此假设电信线路宕掉了，策略路由依然生效，这样会导致电信线路不通了，内网部分用户访问不了外网了，即便设置了默认路由作为备份路由也无济于事，因此需要一种机制来辅助策略路由是否有效，NQA就是用于检测线路的工具，它监视策略路由可达性，如果可达，策略路由依然生效，如果不可达了，那么它会让该策略路由失效，这个时候备份的默认路由就生效了，数据从联通出去，依然不影响上网业务。
Hillstone策略路由配置
目录
• 策略路由基本概念与原理 • Hillstone设备策略路由功能介绍 • 策略路由配置步骤详解
目录
• 典型应用场景分析：企业内外网访问控制 • 故障排查与性能优化方法论述 • 总结回顾与未来展望
01
策略路由基本概念与原理
策略路由定义及作用
定义
策略路由（Policy-Based Routing， PBR）是一种依据用户制定的策略进 行路由选择的技术，它可以根据数据 包的源/目的IP地址、端口号、协议类 型等特征，灵活选择出口路径。
RIP
支持RIP协议，实现基于距离矢 量的路由算法。
OSPF
支持OSPF协议，实现基于链路 状态的路由算法。
EIGRP
支持EIGRP协议，实现高级距 离矢量和链路状态混合路由算
法。
路由表项配置方法
命令行配置
01
通过设备的命令行接口进行路由表项的配置，提供灵活的配置
方式。
Web界面配置
02
通过设备的Web管理界面进行路由表项的配置，提供直观的配
配置日志记录参数，如记 录级别、存储位置等；
结合企业的审计要求，对 关键的网络访问行为进行 审计和追溯。
05
故障排查与性能优化方法 论述
常见故障现象及原因分析
路由表项不正确
可能是由于配置错误或网络拓扑变化导致，需要检查策略路由配置 和网络拓扑。
流量丢失或延迟
可能是由于网络设备故障、链路拥塞或路由环路等原因导致，需要 逐一排查。
AI驱动的策略路由优化
人工智能（AI）技术将在策略路由中发挥越来越重要的作 用，通过机器学习和数据分析来优化策略路由规则和算法 。
多云环境下的策略路由应用
策略路由格式
策略路由格式全文共四篇示例，供读者参考第一篇示例：策略路由（Policy-Based Routing）是一种网络路由技术，它允许管理员基于特定的规则或策略来选择路由路径。
传统的路由是基于最佳路径或最短路径算法来选择数据包的传输路径，而策略路由允许管理员根据不同的需求和条件来动态地选择数据包的传输路径。
策略路由格式是指策略路由配置文件中规定的格式和语法，通过定义特定的条件和动作来决定路由选择。
在网络中，不同的数据包可能需要根据不同的条件来选择不同的路径传输。
基于源IP地址、目的IP地址、应用类型、流量大小等条件来进行路由选择。
策略路由可以根据这些条件来确定数据包的传输路径，从而实现灵活的网络流量控制和优化。
策略路由格式通常由几个部分组成：匹配条件、策略动作、下一跳信息等。
匹配条件是指确定路由选择的条件，通常是一组规则或表达式，用于匹配数据包的不同属性。
策略动作是指根据匹配条件确定的路由选择动作，可以包括直接转发、丢弃、重定向等。
下一跳信息是指确定数据包传输路径的下一跳路由设备或地址。
策略路由格式的具体语法和规则可能会因不同的路由器或设备而有所不同。
一般来说，策略路由配置文件可以通过命令行或图形界面来进行配置。
管理员可以根据实际需求和网络拓扑来设计和配置策略路由规则，以实现网络流量的优化和控制。
策略路由的优点在于它能够根据具体需求和条件灵活地选择数据包的传输路径，从而实现网络流量的优化和控制。
可以根据业务需求将特定流量优先经过高速链路传输，提高传输效率；也可以根据流量大小将大流量分流到多条路径上，避免网络拥堵。
策略路由也存在一些挑战和限制。
策略路由的配置相对复杂，需要管理员对网络拓扑和业务需求有深入了解才能进行合理配置。
过多的策略路由规则可能会导致路由器性能下降或配置异常，影响网络的稳定性和可靠性。
在实际应用中，管理员需要根据网络规模、业务需求和性能要求来合理设计和配置策略路由规则。
通过合理配置策略路由，可以实现网络流量的灵活控制和优化，提高网络性能和用户体验。
2017年5月软考网络工程师下午案例分析真题答案解析(2017年软考网工真题+答案)
试题一（共20分） 阅读以下说明，回答问题1至问题4。 某企业网络拓扑如图1-1所示，中国电信和中国移动双链路接入，采用硬件设备实现 链路负载均衡，主磁盘阵列的数据通过备份服务器到备份磁盘阵列。请结合下图， 回答相关问题。
试题1：
问题1（共6分） 图1-1中，设备①处部署（1），设备②处部署（ 2），设备③处部署（ 3 ）。 （1）~（3）备选答案（每个选项限选一次）。 A. 入侵防御系统（IPS） B. 交换机 C. 负载均衡
解析：
(1)负载均衡（又称为负载分担），英文名称为Load Balance，其意思就是将负载 （工作任务）进行平衡、分摊到多个操作单元上进行执行，例如Web服务器、 FTP服务器、企业关键应用服务器和其它关键任务服务器等，从而共同完成工作 任务。 负载均衡按照应用的网络层次（指OSI参考模型）来分： 链路聚合技术（第二层负载均衡）将多条物理链路当作一条单一的聚合逻辑链路 使用。 第三层负载均衡，可以用路由协议实现。如EIGRP，BGP通过配置，允许多链路负 载分担。 第四层负载均衡将一个Internet上合法注册的IP地址映像为多个内部服务器的IP地 址，对每次TCP连接请求动态使用其中一个内部IP地址，达到负载均衡的目的。 第七层负载均衡控制应用层服务的内容，提供了一种对访问流量的高层控制方式， 适合对HTTP服务器群的应用。（把数据流量引向相应内容的服务器来处理）
试题二（共20分） 阅读以下说明，回答问题1至问题3。 某公司的网络拓扑结构图如图2-1所示。
试题2：
问题1（共5分） 为了保障网络安全，该公司安装了一款防火墙，对内部网络、服务器以及外部 网络进行逻辑隔离，其网络结构如图2-1所示。 包过滤防火墙使用ACL实现过滤功能，常用的ACL分为两种，编号为（ 1 ）的ACL 根据IP报文的（ 2 ）域进行过滤，称为（ 3 ）；编号为（ 4 ）的ACL根据IP报文 中的更多域对数据包进行控制，称为（5 ）。 （1）~（5）备选项： A. 标准访问控制列表 B. 扩展访问控制列表 C.基于时间的访问控制列表 D. 1-99 E. 0-99 F. 100-199 G. 目的IP地址 H.源IP地址 I. 源端口 J.目的端口
思科Cisco策略路由（policyroute）详细介绍
思科Cisco策略路由（policyroute）详细介绍注:PBR以前是CISCO⽤来丢弃报⽂的⼀个主要⼿段。
⽐如：设置set interface null 0，按CISCO说法这样会⽐ACL的deny要节省⼀些开销。
这⾥我提醒：interface null 0no ip unreachable //加⼊这个命令这样避免因为丢弃⼤量的报⽂⽽导致很多ICMP的不可达消息返回。
三层设备在转发数据包时⼀般都基于数据包的⽬的地址（⽬的⽹络进⾏转发），那么策略路由有什么特点呢？1、可以不仅仅依据⽬的地址转发数据包，它可以基于源地址、数据应⽤、数据包长度等。
这样转发数据包更灵活。
2、为QoS服务。
使⽤route-map及策略路由可以根据数据包的特征修改其相关QoS项，进⾏为QoS服务。
3、负载平衡。
使⽤策略路由可以设置数据包的⾏为，⽐如下⼀跳、下⼀接⼝等，这样在存在多条链路的情况下，可以根据数据包的应⽤不同⽽使⽤不同的链路，进⽽提供⾼效的负载平衡能⼒。
策略路由影响的只是本地的⾏为，所以可能会引起“不对称路由”形式的流量。
⽐如⼀个单位有两条上⾏链路A与B，该单位想把所有HTTP流量分担到A 链路，FTP流量分担到Ｂ链路，这是没有问题的，但在其上⾏设备上，⽆法保证下⾏的HTTP流量分担到Ａ链路，FTP流量分担到Ｂ链路。
策略路由⼀般针对的是接⼝⼊(in)⽅向的数据包，但也可在启⽤相关配置的情况下对本地所发出的数据包也进⾏策略路由。
本⽂就策略路由的以下四个⽅⾯做相关讲解：１、启⽤策略路由２、启⽤Fast-Switched PBR３、启⽤Local PBR４、启⽤CEF-Switched PBR启⽤策略路由：开始配置route-map。
使⽤route-map map-tag [permit | deny] [sequence-number]进⼊route-map的配置模式。
使⽤match语句定义感兴趣的流量，如果不定义则指全部流量。
策略路由的配置详解和实例
策略路由的配置详解和实例Routemap和ACL很类似,它可以用于路由的再发布和策略路由,还经常使用在BGP中.策略路由(policyroute)实际上是复杂的静态路由,静态路由是基于数据包的目标地址并转发到指定的下一跳路由器,策略路由还利用和扩展IPACL链接,这样就可以提供更多功能的过滤和分类。
策略路由配置实例：ROUTEA:Verion11.2Noerviceudp-mall-erverNoervicetcp-mall-erverHotnamerouterAInterfaceethernet0Ipaddre192.1.1.1255.255.255.0econdaryIpaddre192.1.1.2255.255.255.0econdaryIpaddre192.1.1.3255.255.255.0econdaryIpaddre192.1.1.10255.255.255.0Ippolicyroute-maplab1//策略路由应用于E0口interfaceerial0ipaddr150.1.1.1255.255.255.0interfaceerial1ipaddr151.1.1.1255.255.255.0routerripnetwork192.1.1.0network150.1.0.0network151.1.0.0iplocalpolicyroute-maplab1//使路由器策略路由本地产生报文noipclaleacce-lit1permit192.1.1.1acce-lit2permit192.1.1.2route-maplab1permit10//定义策略路由图名称：LAB1，10为序号，用来标明被匹配的路由顺序。
Matchipaddre1//匹配地址为访问列表1Setinterfaceerial0//匹配下一跳为S0Route-maplab1permit20Matchipaddre2Setinterfaceerial1Linecon0Lineau某0Linevty04LoginEnd路由器B为标准配置略。
ME60 配置IP单播策略路由
Quidway ME60 配置指南-IP 业务
6 配置 IP 单播策略路由
某些报文通过指定的下一跳或出接口，就需要配置 IP 单播策略路由。 如果要对路由器本身产生的报文进行策略路由，就需要配置本地策略路由。
前置任务
在配置 IP 单播策略路由之前，需完成以下任务：
z 配置路由器与其他设备连接的接口。 z 配置接口的链路层协议。 z 配置用于匹配报文的 ACL。 z 如果希望报文进入 VPN，则需要预先配置 VPN。
文档版本 02 (2007-08-30)
华为技术有限公司
i
6 配置 IP 单播策略路由
Quidway ME60 配置指南-IP 业务
插图目录
图 6-1 配置基于源地址的策略路由组网图.....................................................................................................6-7 图 6-2 配置基于报文长度的策略路由组网图.................................................................................................6-9
6.2.3 定义策略路由的动作
请在 ME60 上进行以下配置。
步骤 1 执行命令 system-view，进入系统视图。
步骤 2 执行命令 policy-based-route policy-name { deny | permit } node node-id，创建策略或一 个策略节点。
步骤 3 执行命令 apply ip-precedence precedence，设置报文优先级（可选）。
策略路由配示例
基于源地址的策略路由配置示例组网需求如图14-1所示，定义策略mypolicy，控制所有从GigabitEthernet0/2接口接收的TCP报文使用接口GigabitEthernet0/0发送，其他报文仍然按照查找路由表的方式进行转发：●5号节点用于匹配ACL 3101规则的报文将被发往接口GigabitEthernet0/0。
●10号节点用于匹配ACL 3102规则的任何报文不做策略路由处理。
来自GigabitEthernet0/2的报文将依次试图匹配5、10号节点的if-match子句。
如果匹配了permit语句的节点，执行相应的apply子句；如果匹配了deny语句的节点，拒绝通过该节点的过滤，并且不会进行下一个节点的测试，退出策略路由处理。
图14-1 基于源地址的策略路由配置组网图配置步骤配置基于源地址的策略路由，需要进行如下操作。
步骤1配置ACL规则# 创建ACL 3101，并定义ACL规则。
<USG3000> system-view[USG3000] acl number 3101[USG3000-acl-adv-3101] rule permit tcp[USG3000-acl-adv-3101] quit# 创建ACL 3102，并定义ACL规则。
[USG3000] acl number 3102[USG3000-acl-adv-3102] rule permit ip[USG3000-acl-adv-3102] quit步骤2配置策略路由的if-match和apply# 定义5号节点。
[USG3000] route-policy mypolicy permit node 5# 使匹配ACL 3101的任何TCP报文被发往接口GigabitEthernet 0/0。
[USG3000-route-policy-mypolicy-5] if-match acl 3101[USG3000-route-policy-mypolicy-5] apply output-interfaceGigabitEthernet 0/0[USG3000-route-policy-mypolicy-5] quit# 定义10号节点。
ROS配置指南
ROS配置指南一．概述1．RouerOS 宽带接入服务器的网络接口类型2．RouerOS 宽带接入服务器具有以下网络功能二．基本的配置管理系统的缺省帐号登录方式命令行配置的基本操作远程管理-权限管理日志管理系统时间设置系统热启动三．物理接口的配置管理四．查看当前配置查看全部配置查看子项配置五. IP 参数配置路径功能配置IP 地址及路由配置Firewall配置IP Service，限定远程管理RouerOS 的地址和方式配置Hotspot（WEB 认证）配置IP Pool启用NAT 后的策略路由配置六．配置ppp 参数配置PPP 模板配置Radius-client七．PPPoE 配置八．HOTSPOT 配置九．VLAN 配置十．VPN 配置PPTP VPNEOIP VPN十一．DHCP 配置DHCP ServerMAC 地址(及IP 地址)与端口绑定十二．防火墙配置防“冲击波”病毒十三. 配置文件的备份与恢复显示文件系统备份配置文件恢复配置文件配置文件上载与下载配置复位查看系统资源状况监视端口流量Reference一．概述RouerOS 宽带接入服务器是基于嵌入式专用网络操作系统而设计的，具有丰富的网络接口，具备多数常见的网络设备功能，处理能力超群，运行十分稳健，性价比极高。
1．RouerOS 宽带接入服务器的网络接口类型1.1 四个10/100M 以太网接口，可选10/100/1000M 接口，四个RJ45 以太网接口机箱上标注名称分别为“ETH0”、“ETH1”、“ETH2”、“ETH3”，在系统中对应名称为“ETH0”、“ETH1”、“ETH2”、“ETH3”。
由于物理接口较多，虚拟接口（如VLAN、PVC 等）更多，因此不像一般防火墙上用“内网接口”、“外网接口”、“停火区接口”等作为标示。
在配置防火墙功能或其它网络功能时由用户灵活运用。
可选以下接口：※ 无线网络（Wireless LAN）接口（2.4G,5.2G,5.8G 无线网）；※ MOXA C101 同步接口；※ MOXA C502 同步接口；※ 串行异步接口；※ IP 电话接口；※ ISDN 接口；※ 帧中继PVC 接口；※ E1/T1 接口。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
基于源地址的策略路由
实验目的：
在这个实验中，源地址为211.141.1.0/24的数据必须经由R2的F0/0流出，经过R3再到达VMware PC 192.168.2.1；
在这个实验中，源地址为172.16.1.0/24的数据必须经由R2的F0/1流出，进过R1再到达VMware PC 192.168.2.1。
Router1 F0/0 <----> Router2 F0/1
Router3 F0/0 <----> Router2 F0/0
VPCS V0/1 <----> Router2 E1/0 VPCS V0/2 <----> Router2 E1/1 Router1 F0/1 <----> Switch1 F0/14 Router3 F0/1 <----> Switch1 F0/15 XPC P0/0 <----> Switch1 F0/0
路由器R1的配置信息：
R1# sh run
Building configuration...
Current configuration:
!
version 12.1
service timestamps debug uptime service timestamps log uptime
no service password-encryption
!
hostname R1
!
!
memory-size iomem 15
ip subnet-zero
no ip domain-lookup
!
!
interface FastEthernet0/0
ip address 172.17.1.1 255.255.255.0 duplex auto
speed auto
!
interface FastEthernet0/1
ip address 192.168.2.2 255.255.255.0 speed 100
full-duplex
!
router rip
version 2
network 172.17.0.0
network 192.168.2.0
no auto-summary
!
ip classless
no ip http server
!
!
line con 0
exec-timeout 0 0
logging synchronous
transport input none
line aux 0
line vty 0 4
!
no scheduler allocate
end
路由器R2的主要配置（大家应该重点看看这里哦）：R2#sh run
Building configuration...
Current configuration:
!
version 12.1
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname R2
!
!
memory-size iomem 15
ip subnet-zero
no ip domain-lookup
!
!
interface FastEthernet0/0
ip address 172.17.2.1 255.255.255.0
duplex auto
speed auto
!
interface FastEthernet0/1
ip address 172.17.1.2 255.255.255.0
duplex auto
speed auto
!
interface Ethernet1/0
ip address 211.141.1.254 255.255.255.0
ip policy route-map ISP_R3 （将ROUTE-MAP应用在这个接口上，在该接
!
interface Ethernet1/1
ip address 172.16.1.254 255.255.255.0
ip policy route-map ISP_R1 （将ROUTE-MAP应用在这个接口上，在该接口上检测源IP并将其从特定端口发送出去）
!
interface Ethernet1/2
no ip address
shutdown
!
interface Ethernet1/3
no ip address
shutdown
!
router rip
version 2
network 172.16.0.0
network 172.17.0.0
network 211.141.1.0
no auto-summary
!
ip classless
no ip http server
!
验中使用“标准”型，1-99）
access-list 2 permit 172.16.1.0 0.0.0.255
route-map ISP_R3 permit 10 （定义路由映射表route-map，permit表示满足下列条件执行）
match ip address 1
set interface FastEthernet0/0
!
route-map ISP_R1 permit 20
match ip address 2
set interface FastEthernet0/1
!
!
line con 0
exec-timeout 0 0
logging synchronous
transport input none
line aux 0
line vty 0 4
!
no scheduler allocate
end
路由器R3的配置：
R3#sh run
Building configuration...
Current configuration:
!
version 12.1
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname R3
!
!
memory-size iomem 15
ip subnet-zero
no ip domain-lookup
!
!
interface FastEthernet0/0
ip address 172.17.2.2 255.255.255.0 duplex auto
speed auto
!
interface FastEthernet0/1
ip address 192.168.2.3 255.255.255.0 speed 100
full-duplex
!
router rip
version 2
network 172.17.0.0
network 192.168.2.0
no auto-summary
!
ip classless
no ip http server
!
!
line con 0
exec-timeout 0 0
logging synchronous
transport input none
line aux 0
line vty 0 4
!
no scheduler allocate
end
模拟器自带VPC的配置信息：
桥接VMware虚拟机的配置信息：
实验结果检验：
1.在R2上看策略的配置情况，命令sh ip policy
R2#sh ip policy
Interface Route map
Ethernet1/0 ISP_R3
Ethernet1/1 ISP_R1
2.对比使用策略前后，VPC1和VPC2使用命令tracert到桥接虚拟机192.168.2.1的所行路径状况：
使用策略前：
使用策略后：
实验后记：
在配置完ROUTE-MAP后，要在源接口处进行应用才能生效，命令ip policy route-map map-tag。
tracert本地机就可以了。