目录
一,两种层面的解释
控制层面:路由协议传递路由信息的流量--对应的方向
数据层面:设备间具体访问时请求的流量--对应的方向
注意:控制层面方向与数据层面方向一定相反;
在控制层面流量进或出的接口上,抓取流量后,修改其中参数或删除该信息,最终起到影响路由器路由表的生成,从而实现干涉选路的作用;
二,抓取流量的技术:
- ACL ---访问控制列表设计初衷用于限制数据层面流量的进出;故在用于抓取控制层面流量时,可能无法精确匹配;
- 前缀列表 -- 专门设计用于抓取控制层面流量
[r1]ip ip-prefix aa permit 1.1.1.0 25
[r1]ip ip-prefix aa permit 1.1.2.0 24
一个名字(aa)为一张表;一张表中可以配置多条内容;匹配规则为至上而下逐一匹配,上条匹配按上条执行,不再查看下一条;末尾隐含拒绝所有;
[r1]display ip ip-prefix aa 查看步调
默认以10为步调,自动添加序列,便于插入和删除
[r1]ip ip-prefix aa index 15 permit 1.1.3.0 24 添加步调
[r1]undo ip ip-prefix aa index 10 删除抓取的流量
[r1]ip ip-prefix qq permit 2.2.2.0 24 less-equal 30 匹配网络号2.2.2.0 子网掩码长度24-30均可
[r1]ip ip-prefix qq permit 3.3.3.0 24 greater-equal 30 匹配网络号3.3.3.0 子网掩码长度为30-32
[r1]ip ip-prefix qq permit 4.4.4.0 24 greater-equal 26 less-equal 30
匹配网络号4.4.4.0 掩码长度26-30
[r1]ip ip-prefix qq permit 0.0.0.0 0 less-equal 32 允许所有
数值规则:length<=ge<=le
三,路由策略
修改或删除流量 -- 路由策略(偏移列表、分发列表、route-map)
1.cisco的偏移列表
在cisco体系中算一种路由策略,在华为体系中不是策略;而是RIP这样的距离矢量协议专用,修改度量的操作;在cisco中偏移列表也只能在RIP和eigrp这样的距离矢量协议中使用,华为也一样;在cisco下只能用ACL为其服务;华为下,acl和前缀列表都可以;
[r1]ip ip-prefix aa permit 2.2.2.0 24 使用前缀列表抓取;ACL也可
[r1]interface GigabitEthernet 0/0/1 控制层面流量传输的接口
[r1-GigabitEthernet0/0/1]rip metricin ip-prefix aa 2 流量入,匹配前缀列表aa度量加2
metricout 2000 2 流量出,匹配acl 2000,度量加2
该策略为逐跳行为,意思可以叠加操作;整段路径中流量经过的多个接口均配置了度量增加,最终为总增加度量;
2)cisco下的分发列表; 华为为过滤策略;
先使用ACL或前缀列表,匹配流量;然后在控制层面流量的入或出接口上限制路由条目的传递;
[r2]ip ip-prefix qq deny 2.2.2.0 24
[r2]ip ip-prefix qq permit 0.0.0.0 0 less-equal 32 允许所有
[r2]rip 1
[r2-rip-1]filter-policy ip-prefix qq ?
export Specify an export policy 出方向
import Specify an import policy 入方向
[r2-rip-1]filter-policy ip-prefix qq import GigabitEthernet 0/0/0
切记:若使用ACL定义流量,正常华为acl末尾允许所有,但在过滤策略中一定手工配置允许所有命令;
注:在OSPF协议中正常无法出方向调用,因为ospf使用的拓扑更新,在同一个区域内不可以限制拓扑的传递;正常只能在入向调用,不影响数据库的同步,仅仅是不将LSA计算所得的路由加载到路由表;若想出口调用,可以在ABR/ASBR上针对3/4/5/7类lsa进行;
3)cisco的route-map 华为路由策略
「1」抓流量—acl和前缀列表均可
抓取流量
[r2]acl 2000
[r2-acl-basic-2000]rule 1 permit source 1.1.1.0 0.0.0.0
[r2-acl-basic-2000]q
[r2]acl 2001
[r2-acl-basic-2001]rule permit source 1.1.2.0 0.0.0.0
[r2-acl-basic-2001]q
[r2]ip ip-prefix a permit 3.3.3.0 24
[r2]ip ip-prefix b permit 4.4.4.0 24
路由策略
[r2]route-policy huawei deny node 10 创建名为huawei的路由策略,大动作为拒绝,序号为10
[r2-route-policy]if-match acl 2000 匹配一张ACL
[r2-route-policy]q
[r2]route-policy huawei permit node 20 列表huawei序号20,大动作为允许
[r2-route-policy]if-match acl 2001 匹配一张ACL
[r2-route-policy]apply cost-type type-1 定义小动作为修改度量类型,为类型1;
[r2-route-policy]q
[r2]route-policy huawei permit node 30
[r2-route-policy]if-match ip-prefix a 匹配前缀列表
[r2-route-policy]apply cost 7
[r2-route-policy]q
[r2]route-policy huawei permit node 40
[r2-route-policy]if-match ip-prefix b
[r2-route-policy]apply cost-type type-1
[r2-route-policy]apply cost 8
[r2-route-policy]q
[r2]route-policy huawei permit node 50 空表,允许所有流量;
[r2-route-policy]q
重发布时调用
[r2]ospf 1
[r2-ospf-1]import-route rip 1 route-policy huawei
查看route-map表
display route-policy 表名
四,配置指南:
- 即便要拒绝一个流量,在抓取时也必须使用允许,之后在路由策略来拒绝;
- 至上而下逐一匹配,上条匹配按上条执行,不再查看下条,末尾隐含拒绝所有,所以最后要做一个空表来匹配所有
- 在一条规则中,若没有进行流量匹配那就是匹配所有;若没有应用那么仅对匹配流量进行当大动作;
因此大动作为允许的空表代表允许所有;
- 或 与 关系
或关系为每个站点(每个序号)间为或关系;
序号10没匹配到流量,再序号20;
[r3]ip ip-prefix a permit 1.1.1.0 24
[r3]acl 2000
[r3-acl-basic-2000]rule permit sou 12.1.1.2 0.0.0.0
route-policy huawei permit node 10
if-match ip-prefix a
if-match ip next-hop acl 2000 与关系—被匹配流量必须同时满足这两个条件;
apply cost 10
apply cost-type type-1 与关系,同时执行两种操作
以上为路由条目目标网络号1.1.1.0/24 同时该条目的下一跳为12.1.1.2;
总结或与关系:
条目基于站点号(序号)至上而下逐一匹配,上条匹配按上条执行,不查看下条--或关系
在每一个序号中,同时匹配所有流量,同时执行所有小动作---与关系