HCIP(华为高级网络安全工程师)(第十天)(重发布/路由策略)

目录

重发布

作用

条件

规则

配置

单点重发布

1、RIP

A -> B

静态 -> B

直连 -> B

2、OSPF

A -> B

静态 -> B

直连 -> B

双点重发布

路由策略

1,抓取流量(控制层流量)

配置命令


重发布

作用

在一个网络种,若运行多种路由协议或者相同协议的不同进程;因为协议之间不能直接沟通计算,进程之间也是独立进行转发和运算的,所以,需要使用重发布来实现路由下共享。

条件

1,必须存在ASBR。 --- 同时连接两种协议或者同时运行两个进程,同时学到两边的路由,之后进行路由共享。

2,必须关注种子度量值 --- 起始度量 --- A协议和B协议的度量计算逻辑不同,无法直接使用。故在将A协议重发布到B协议时,ASBR将不携带A协议原先所设定的开销值。而是在共享到B协议时,由ASBR在路由中添加一个新的起始度量值。

规则

1,将A协议重发布到B协议时,在ASBR上的B协议种进行配置。

2,将A协议发布到B协议上,是将ASBR上所有通过A协议学习到的ASBR上宣告在A协议的所有直连网段的路由,全部共享到B协议中。

单点 --- 两个协议或两个进程之间存在1个ASBR

双点 --- 两个协议或两个进程之间存在2个ASBR

多点 --- 两个协议或两个进程之间存在多个ASBR

单向 --- 仅将A协议路由共享到B协议当中

双向 --- A/B协议的路由均互相共享

配置

A -> B --- 一种动态路由协议共享到另一种动态路由协议中

静态 -> B --- 将ASBR上的静态路由共享到动态路由协议中

直连 -> B --- 将ASBR上的直连路由共享到动态路由协议中

单点重发布

1、RIP

A -> B

[r2-rip-1]import-route ospf 1

结论:RIP在重发布获取其他协议的路由后,会将其种子度量值设置为0。

RIP中修改种子度量值的方法

1,[r2-rip-1]default-cost 2 --- 在ASBR进程中修改默认种子度量值。

注意,这个修改将影响所有往RIP进程中重发布的路由信息

2,[r2-rip-1]import-route ospf 1 cost 3 --- 在ASBR上执行重发布时修改种子度量值

注意,这个修改仅影响本次重发布路由的种子度量值

注意,当两条命令存在冲突时,将以命令匹配的更精确的这条命令来执行。

静态 -> B

[r2-rip-1]import-route static

结论:

1,缺省路由无法直接通过重发布导入到B协议中。只能自己配。

2,种子度量值也默认为0。修改方法同上。

直连 -> B

[r2-rip-1]import-route direct

结论:

1,除了R1是直连路由外,其他三条直连网段都会导入。

2,直连导入的默认种子度量值0。

3,若ASBR进行了A->B的重发布,同时进行了直连路由到B的重发布,并且,里面包含相同的路由信息,则优先选择直连重发布的路由信息而不看开销值。

2、OSPF

A -> B

[r2-ospf-1]import-route rip 1

结论:

OSPF重发布获取其他协议路由时,会将其种子度量值设为1,度量值类型设备类型2。

修改种子度量值和开销值类型的方法:

[r2-ospf-1]default cost ? --- 在ASBR的OSPF进程中,修改默认种子度量值(全局修改)

INTEGER Cost value

[r2-ospf-1]default type ? --- 在ASBR的OSPF进程中,修改默认的开销值类型

INTEGER Type value

注意:以上两种方法修改将影响所有导入OSPF进程中的路由的初始种子度量值和开销值类型。

[r2-ospf-1]import-route rip 1 cost ?

INTEGER 24-bit cost value

[r2-ospf-1]import-route rip 1 type ?

INTEGER Type value

注意:以上两种方法,仅影响本次重发布进来的路由的种子度量值和开销值类型。

静态 -> B

[r2-ospf-1]import-route static

结论:

1,缺省路由无法直接通过重发布导入到B协议中。只能自己配

2,种子度量值也默认为1,开销值类型为类型2。修改方法同上

display ospf 1 routing --- 查看OSPF进程路由信息

[r2-ospf-1]default-route-advertise --- 改命令的实质是将路由表中的缺省路由重发布到OSPF进程中。

直连 -> B

[r2-ospf-1]import-route direct

结论:

1,处理R3是直连路由外,其他三条直连网段都会导入

2,种子度量值也默认为1,开销值类型为类型2

3,若ASBR进行了A->B的重发布,同时进行了直连路由到B的重发布,并且,里面包含相同的路由信息,则优先选择直连重发布的路由信息而不看开销值。

双点重发布

在每台路由器上创建一个环回接口,在AR2上将2.2.2.2环回接口在RIP当中进行宣告,在AR4上将4.4.4.4环回接口在OSPF当中进行宣告。

默认RIP和OSPF协议若进行双点重发布,由于两者的优先级不同,故第一台ASBR的重发布动作结束后,将影响其他ASBR设备的路由表。使得路由可能被传回到源协议,发生路由回馈。

路由回馈--- A协议的路由重发布到B协议后,又被B协议重发布回A协议。

路由回馈可能造成选路不佳,甚至出现环路。

所以需要消除路由回馈,华为设备的消除方法是将OSPF协议内部路由的默认优先级设计为10,但是重发布进来的路由(5类/7类LSA学到的)的优先级设置为150。--- 150的优先级大于所有IGP协议的优先级。通过这种方法,可以避免路由回馈的产生。

在多点的重发布中,由于重发布技术的种子度量值问题,将必然导致选路不佳;只能依赖路由策略来人为干涉选路。

控制层流量 --- 路由协议发送路由信息时产生的流量。

数据层流量 --- 设备访问目标地址时产生的流量。

路由策略

在控制层流量转发的过程中,截取流量,之后,修改流量中的参数或直接不转发,最终影响路由器路由表的生成,以达到干涉选路的目的。

1,抓取流量(控制层流量)

        1,通过ACL列表进行抓取 --- 本身用于限制数据层流量的进出,也可以用于抓取控制层流量,但由于通配符的设计,导致其无法精确匹配控制层流量。

        2,通过前缀列表进行抓取 --- IP-Prefix

[r1]ip ip-prefix aa permit 192.168.1.0 24 --- 网段信息,包含网络号和掩码信息

              前缀列表的名称

[r1]display ip ip-prefix aa --- 查看前缀列表的规则

前缀列表的规则默认是以10为步调自动添加。便于插入和删除规则

前缀列表的匹配规则 --- 自上而下,逐一匹配,一旦匹配上将按照该规则执行,而不再向下匹配,末尾隐含拒绝所有。

配置命令

[r1]ip ip-prefix aa index 15 permit 192.168.3.0 24 --- 通过序号插入规则。

[r1]undo ip ip-prefix aa index 15 --- 通过序号删除规则。

前缀列表还可以进行范围匹配

[r1]ip ip-prefix aa permit 192.168.3.0 24 less-equal 28 --- 匹配路由的掩码范围在24 ~ 28之间。

[r1]ip ip-prefix aa permit 192.168.4.0 24 greater-equal 28 --- 前后如果矛盾,则见按照后面的为准,前面的数字含有将不再代表掩码长度,而代表前24为固定。

[r1]ip ip-prefix aa permit 192.168.5.0 24 greater-equal 28 less-equal 30 --- 匹配前24位固定,掩码长度在28到30之间的路由信息。

[r1]ip ip-prefix aa permit 192.168.6.0 24 greater-equal 28 less-equal 28 --- 匹配前24位固定,掩码长度必须为28位的路由网段。

匹配所有的主机路由

[r1]ip ip-prefix aa permit 0.0.0.0 0 greater-equal 32 --- 这个0代表前面所有位没有固定长度

匹配所有

[r1]ip ip-prefix aa permit 0.0.0.0 0 less-equal 32

匹配缺省路由

[r1]ip ip-prefix aa permit 0.0.0.0 0

2,路由策略

1,RIP的merticin和merticout --- 偏移列表

只能应用在距离矢量型协议上,链路状态型协议是无法使用的。

[r1]ip ip-prefix aa permit 23.0.0.0 24 --- 通过前缀列表抓取目标网段的流量

[r1-GigabitEthernet0/0/1]rip metricin ip-prefix aa 10 --- 在路由器接口上做入方向的偏移列表

2,filter-policy --- 过滤列表/过滤策略

[r1]ip ip-prefix bb deny 34.0.0.0 24 --- 因为过滤列表本身并不具备过滤功能,所以,在进行流量抓取时,需要使用抓取流量列表的过滤功能。

[r1]ip ip-prefix bb permit 0.0.0.0 0 less-equal 32

[r1-rip-1]filter-policy ip-prefix bb import GigabitEthernet 0/0/0 --- 在进程中调用过滤列表,注意,按需求确认是否需要选择作用的接口

过滤列表 --- 可以在距离矢量型协议上使用,也可以在链路状态型协议中使用。但是注意,在链路状态型协议中使用时,在一个区域内,因为他没有办法过滤拓扑信息,所以,只能在入方向进行调用,用来影响自身,并且只是在路由加表时不向路由表中加表,并不是将拓扑信息过滤掉。当然,如果想在出方向进行调用,可以在ABR或者ASBR上针对三类,五类,七类LSA进行过滤。

3,Route-policy 路由策略

在AR1上创建四个环回接口,分别是1.1.1.1 / 2.2.2.2 / 3.3.3.3 / 4.4.4.4 ,对四个环回接口做不同的策略,对环回接口1进行过滤操作,对环回接口2进行将接口类型2修改为接口类型1,对环回接口3进行将COST值改为10,对环回接口4进行TAG和接口类型的修改。

1,先抓取流量

Basic ACL 2000, 1 rule

Acl's step is 5

rule 5 permit source 1.1.1.0 0

Basic ACL 2001, 1 rule

Acl's step is 5 

rule 5 permit source 2.2.2.0 0

ip ip-prefix aa index 10 permit 3.3.3.0 24

ip ip-prefix bb index 10 permit 4.4.4.0 24

2,路由策略

[r2]route-policy aa deny node 10 --- 加了一个列表的条目序号,我们一般也是以10为步调手工添加路由策略的名称

[r2]route-policy aa deny node 10

[r2-route-policy]if-match acl 2000 --- 如果匹配到ACL2000抓取到的流量

[r2]route-policy aa permit node 20

Info: New Sequence of this List.

[r2-route-policy]if-match acl 2001

[r2-route-policy]apply cost-type type-1

[r2]route-policy aa permit node 30

[r2-route-policy]if-match ip-prefix aa

[r2-route-policy]apply cost 10

[r2]route-policy aa permit node 40

Info: New Sequence of this List.

[r2-route-policy]if-match ip-prefix bb

[r2-route-policy]apply cost-type type-1 --- 单条规则中如果讯在多个小动作(apply)或者匹配规则(if-match),则他们之间将按照“与”关系来执行。而规则之间则按照匹配原则,满足“或”关系即可。

[r2-route-policy]apply tag 6666

[r2]route-policy aa permit node 50 --- 放通所有流量

路由策略的匹配规则 --- 自上而下,逐一匹配,一旦匹配上将按照该规则执行,而不再向下匹配。末尾隐含拒绝所有。

3,在重发布中进行调用

[r2-ospf-1]import-route rip 1 route-policy aa

ROUTE-POLICY的配置指南

1,即便要拒绝一个流量,在抓取时也使用允许,之后在路由策略中进行拒绝。

2,在一条规矩中,若没有进行流量匹配的动作,则代表匹配所有流量;如果没有相应的应用(小动作),则仅对匹配的流量执行大动作即可;因此,大动作为允许的空列表,在表允许所有。

  • 0
    点赞
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

努力学IT的小徐

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值