H3C策略路由配置实战

最新推荐文章于 2024-01-12 11:33:53 发布

闲云野叶

最新推荐文章于 2024-01-12 11:33:53 发布

阅读量1.1w

点赞数 8

文章标签：网络安全经验分享

本文链接：https://blog.csdn.net/weixin_44908768/article/details/115002149

版权

策略路由简介

1. 对本地报文应用策略

2. 对接口转发的报文应用策略

策略路由简介

与单纯依照IP报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对于满足一定条件（ACL规则、报文长度等）的报文，执行指定的操作（设置报文的下一跳、出接口、缺省下一跳和缺省出接口等）。

报文到达后，其后续的转发流程如下：

· 首先根据配置的策略路由转发。

· 若找不到匹配的节点或虽然找到了匹配的节点，但指导报文转发失败时，再根据路由表中除缺省路由之外的路由来转发报文。

· 若转发失败，则根据策略路由中配置的缺省下一跳和缺省出接口指导报文转发。

· 若转发失败，则再根据缺省路由来转发报文。

根据作用对象的不同，策略路由可分为本地策略路由和转发策略路由：

· 本地策略路由：对设备本身产生的报文（比如本地发出的ping报文）起作用，指导其发送。

· 转发策略路由：对接口接收的报文起作用，指导其转发。

1. 对本地报文应用策略

通过本配置，可以将已经配置的策略应用到本地，指导设备本身产生报文的发送。应用策略时，该策略必须已经存在，否则配置将失败。

对本地报文只能应用一个策略。应用新的策略前必须删除本地原来已经应用的策略。

若无特殊需求，建议用户不要对本地报文应用策略。否则，有可能会对本地报文的发送造成不必要的影响（如ping、telnet服务的失效）。

2. 对接口转发的报文应用策略

通过本配置，可以将已经配置的策略应用到接口，指导接口接收的所有报文的转发。应用策略时，该策略必须已经存在，否则配置将失败。

对接口转发的报文应用策略时，一个接口只能应用一个策略。应用新的策略前必须删除接口上原来已经应用的策略。

一个策略可以同时被多个接口应用。

实验拓扑

配置需求

1. 财务部访问互联网默认走电信链路；

2. 销售部访问互联网默认走移动链路；

3. 在默认链路故障时，访问互联网可以走另一条链路，保证业务可靠性。

配置步骤

在R1上配置访问控制列表3000、3001，匹配策略路由报文

acl advanced 3000 rule 0 permit ip source 192.168.1.0 0.0.0.255#acl advanced 3001 rule 0 permit ip source 192.168.2.0 0.0.0.255

2. 在R1上创建名称为xhg的策略路由，节点0匹配acl 3000，节点5匹配3001

policy-based-route xhg permit node 0 if-match acl 3000 apply next-hop 100.1.1.2#policy-based-route xhg permit node 5 if-match acl 3001 apply next-hop 200.1.1.2

3. 在R1的GigabitEthernet0/1调用策略路由

interface GigabitEthernet0/1 ip policy-based-route xhg

配置验证

<SW1>tracert -a 192.168.1.1 1.1.1.2traceroute to 1.1.1.2 (1.1.1.2) from 192.168.1.1, 30 hops at most, 40 bytes each packet, press CTRL_C to break 1  10.1.1.2 (10.1.1.2)  1.000 ms  0.000 ms  1.000 ms 2  100.1.1.2 (100.1.1.2)  1.000 ms  0.000 ms  1.000 ms 3 <SW1>tracert -a 192.168.2.1 1.1.1.2traceroute to 1.1.1.2 (1.1.1.2) from 192.168.2.1, 30 hops at most, 40 bytes each packet, press CTRL_C to break 1  10.1.1.2 (10.1.1.2)  0.000 ms  1.000 ms  0.000 ms 2  200.1.1.2 (200.1.1.2)  1.000 ms  1.000 ms  1.000 ms

附：

1.整体配置

R1:

# sysname R1# ip unreachables enable ip ttl-expires enable#policy-based-route xhg permit node 0 if-match acl 3000 apply next-hop 100.1.1.2#policy-based-route xhg permit node 5 if-match acl 3001 apply next-hop 200.1.1.2#interface GigabitEthernet0/0 port link-mode route combo enable copper ip address 100.1.1.1 255.255.255.0 nat outbound#interface GigabitEthernet0/1 port link-mode route combo enable copper ip address 10.1.1.2 255.255.255.252 ip policy-based-route xhg#interface GigabitEthernet0/2 port link-mode route combo enable copper ip address 200.1.1.1 255.255.255.0 nat outbound# ip route-static 0.0.0.0 0 100.1.1.2 ip route-static 0.0.0.0 0 200.1.1.2 ip route-static 192.168.1.0 24 10.1.1.1 ip route-static 192.168.2.0 24 10.1.1.1#acl advanced 3000 rule 0 permit ip source 192.168.1.0 0.0.0.255#acl advanced 3001 rule 0 permit ip source 192.168.2.0 0.0.0.255

R2:

# sysname R2# ip unreachables enable ip ttl-expires enable#interface GigabitEthernet0/0 port link-mode route combo enable copper ip address 100.1.1.2 255.255.255.0#interface GigabitEthernet0/1 port link-mode route combo enable copper ip address 1.1.1.1 255.255.255.0#interface GigabitEthernet0/2 port link-mode route combo enable copper ip address 200.1.1.2 255.255.255.0#

SW1配置：

# sysname SW1# ip unreachables enable ip ttl-expires enable#vlan 10#              vlan 20#interface Vlan-interface10 ip address 192.168.1.1 255.255.255.0#interface Vlan-interface20 ip address 192.168.2.1 255.255.255.0#interface GigabitEthernet1/0/1 port link-mode route combo enable fiber ip address 10.1.1.1 255.255.255.252# ip route-static 0.0.0.0 0 10.1.1.2#