[HCIP] 04 - 路由控制之策略路由

一、策略路由

二、PBR

PBR：Policy-Based-Route，基于策略的路由，该技术打破了路由表的传统选路规则，可根据管理员定义的策略条件来选择性的转发数据包。（忽视路由表，根据定义的策略进行转发。）

三、需求场景

1、不同网段走不同运营商

2、不同业务流量走不同网段

因为路由策略只会根据你三层的目标IP地址、查看路由信息然后转发数据；而不同的流量走的是传输层，所以路由策略无法影响他们的走向只能走策略路由。所以策略路由先制定策略：匹配IP、匹配协议、匹配MAC地址、选择出接口和下一跳。

四、路由策略和策略路由的区别

五、配置规则

详解： 通常使用策略路由指定下一跳和出接口，与路由策略相反，最后不用写一句空规则，没有匹配规则外的流量均正常转发。

六、策略配置实验

现实环境中，可使用dis int g0/0/0 查看端口发送数据包情况，可先清除端口计时器再观察是否发送接收，命令：reset counters int g0/0/0

1、本地策略路由配置实验

本地策略路由无法影响转发路由，无法影响到PC的流量，只能影响路由器本地。

测试目的：去往6.6.6.6路由走0/0/1，去往7.7.7.7 路由走0/0/0

policy-based-route test permit node 10    ##名为test条件为允许节点序号为10的本地策略路由
if-match acl 3000                         ##匹配 acl 3000
apply output-interface g0/0/1             ##应用出接口为0/0/1

policy-based-route test permit node 20    ##名为test条件为允许节点序号为20的本地策略路由
if-match acl 3001                         ##匹配 acl 3001
apply output-interface g0/0/0            ##应用出接口为0/0/0

acl 3000                                 ## 创建acl 3000
rule 0 permit ip destination 6.6.6.6 0   ##允许源为任意地址的流量访问6.6.6.6主机

acl 3000                                 ## 创建acl 3001
rule 0 permit ip destination 7.7.7.7 0   ##允许源为任意地址的流量访问7.7.7.7主机

ip local policy-based-route test         ##本地全局调用test策略

配置完环境后无法ping通可在ping前通过wireshark抓包根据arp请求包来确认。

关于无法ping通的原因：
华为网络设备写路由强烈推荐下一跳不推荐配置出接口，可能会导致无法通讯。

做个环境测试：
在AR1增加2条默认路由，一条为出接口，一条为下一跳查看路由表：
如果配置出接口，路由器会认为R1路由器通过0/0/0 10.0.0.1与地址10.0.0.0网段为直连口，所以会发送ARP请求（注：ARP请求时必须在同一个网段同一个广播域），但是1.0.0.1与10.0.0.0不在同一个广播域，所以拿不到MAC地址也没有办法封发ICMP的包，又因为R2路由器接口没有开通ARP代理，所以不通。

上图可以看到标记处只有一个D没有R，R为中继，中继会根据递归查找，查找下一跳找到出接口，但是最后一条没有R系统认为他是直连口，所以会发送ARP请求给目标。

如果要通可以在R2的G0/0/0和G0/0/1配置ARP代理（int g0/0/0 arp-proxy enable）或者直接在策略里把出接口更改为下一跳地址。

注:ACL2000只能访问源地址，访问目的地址要使用ACL3000;指定下一跳在appy-ip-address中配置

2、接口策略路由配置实验1

接口策略路由是通过流策略技术实现，流策略：将流分类和流行为关联，就是流策略，形成为“模块化”的配置方式，最大优点是可以节省配置，支持批量修改。

1、traffic classifier 配置流分类：用if-match 语句设定流分类的匹配规则；
2、traffice behavior 配置流行为：执行动作，例如重标记、重定向、负载分担、报文分片、流量限速、流量统计等；
3、traffic policy 将流分类和流行为关联，应用到流量的入接口。

测试环境：

测试目的：

把现链路流量走向：
192.168.1.1 访问172.16.30.1 HTTP走 0/0/0
更改为：
192.168.1.1 访问172.16.30.1 HTTP走 0/0/1

（下图实验前）

配置命令：

acl 3000
rule 1 permit tcp destination-port eq www
创建acl 3000，创建序号1 允许tcp协议目的端口为www的流量通过

traffic classifier http
if-match acl 3000
创建流分类为test，匹配acl3000

traffic behavior www
redirect ip-nexthop 1.0.0.2 
创建流行为为www，重定向下一跳地址为1.0.0.2

traffic policy test
classifier http behavior www
创建流策略名为test，使流分类http与流行为www做绑定

int g 0/0/2
traffic-policy test inbound
进入接口0/0/2，调用流策略test方向为引入

3、接口策略路由配置实验2