Cisco思科策略路由的概念_原理_配置實例

1、策略路由1策略路由概述 31.1普通路由的概念 31.2策略路由的概念 41.2.1 策略路由 4路由策略 82策略路由的實現(xiàn)原理 82.1策略路由的好處 82.2策略路由的流程 82.3策略路由的處理流程 92.3.1 流模式和逐包模式 9232 流模式流程圖 9路由器流模式及逐包模式切換命令 92.4 Route-map原理與執(zhí)行 92.4.1 Route-map 概念 92.4.2 理解 Route-map 10243 Route-map 的執(zhí)行語句 103策略路由的規(guī)劃設(shè)計 123.1策略路由的適用環(huán)境 123.2策略路由的配置 123.2.1 路由器基本配置 12交換機(jī)基本配置 17

2、3.3策略路由的驗證和調(diào)試 194策略路由部署應(yīng)用案例 204.1策略路由配置案例一 204.1.1 網(wǎng)絡(luò)拓?fù)?20功能需求： 204.1.3 配置實現(xiàn)： 214.2策略路由配置案例二 224.2.1 網(wǎng)絡(luò)拓?fù)?224.2.2 功能需求： 224.2.3 配置實現(xiàn)： 224.3策略路由配置案例三 234.3.1 網(wǎng)絡(luò)拓?fù)?23功能需求： 244.3.3 配置實現(xiàn)： 244.3.4 配置優(yōu)化： 251策略路由概述1.1普通路由的概念普通路由轉(zhuǎn)發(fā)基于路由表進(jìn)行報文的轉(zhuǎn)發(fā)；路由表的建立直聯(lián)路由、主機(jī)路由；靜態(tài)配置路由條目；動態(tài)路由協(xié)議學(xué)習(xí)生成；查看命令show ip route對于同一目的網(wǎng)段，可能

3、存在多條 distanee不等的路由條目1.2 策略路由的概念1.2.1 策略路由所謂策略路由，顧名思義，即是根據(jù)一定的策略進(jìn)行報文轉(zhuǎn)發(fā)，因此策略路由是一種 比目的路由更靈活的路由機(jī)制。在路由器轉(zhuǎn)發(fā)一個數(shù)據(jù)報文時，首先根據(jù)配置的規(guī)則對報 文進(jìn)行過濾，匹配成功則按照一定的轉(zhuǎn)發(fā)策略進(jìn)行報文轉(zhuǎn)發(fā)。 這種規(guī)則可以是基于標(biāo)準(zhǔn)和 擴(kuò)展訪問控制列表，也可以基于報文的長度；而轉(zhuǎn)發(fā)策略則是控制報文按照指定的策略路 由表進(jìn)行轉(zhuǎn)發(fā)，也可以修改報文的 IP 優(yōu)先字段。 因此，策略路由是對傳統(tǒng) IP 路由機(jī)制的 有效增強(qiáng)。策略路由能滿足 基于源IP地址、目的IP址、協(xié)議字段，甚至于TCR UDP勺源、目的 端口等多種組

4、合進(jìn)行選路。 簡單點來說，只要 IP standard/extended ACL（IP 標(biāo)準(zhǔn)/擴(kuò)展 ACL） 能設(shè)置的，都可以做為策略路由的匹配規(guī)則進(jìn)行轉(zhuǎn)發(fā)。策略路由（ Policy Route ）是指在決定一個 IP 包的下一跳轉(zhuǎn)發(fā)地址或是下一跳缺省 IP 地址時，不是簡單的根據(jù)目的 IP 地址決定，而是綜合考慮多種因素來決定。如可以 根 據(jù)DSCF字段、源和目的端口號，源IP地址等來為數(shù)據(jù)包選擇路徑。 策略路由可以在一定 程度上實現(xiàn)流量工程，使不同服務(wù)質(zhì)量的流或者不同性質(zhì)的數(shù)據(jù)（語音、FTF）走不同的路徑。基于策略的路由為網(wǎng)絡(luò)管理者提供了比傳統(tǒng)路由協(xié)議對報文的轉(zhuǎn)發(fā)和存儲更強(qiáng)的控制 能力。傳

5、統(tǒng)上，路由器用從路由協(xié)議派生出來的路由表，根據(jù)目的地址進(jìn)行報文的轉(zhuǎn)發(fā)。 基于策略的路由比傳統(tǒng)路由能力更強(qiáng)，使用更靈活，它使網(wǎng)絡(luò)管理者不僅能夠 根據(jù)目的地 址而且能夠根據(jù)協(xié)議類型、報文大小、應(yīng)用或 I P 源地址來選擇轉(zhuǎn)發(fā)路徑。 策略可以定義為通過多路由器的負(fù)載平衡或根據(jù)總流量在各線上進(jìn)行報文轉(zhuǎn)發(fā)的服務(wù)質(zhì)量（Q o S ）本交換機(jī)所支持的策略路由是與 QOS勺流分類標(biāo)準(zhǔn)相結(jié)合的。針對簡單流分類和復(fù)雜流分類，可以根據(jù)到來的數(shù)據(jù)包的匹配的以下特征，來設(shè)定策略路由：802.1p優(yōu)先級VLAN ID源/目的MA(地址源/目的的IP地址(包括IP MASK部分)TCP/UDPS/目的端口號IP優(yōu)先級DSC

6、P的優(yōu)先級*編輯本詞條缺少信息欄、名片圖，補(bǔ)充相關(guān)內(nèi)容使詞條更完整，還能快速升級，趕緊來編輯吧！DSCP差分服務(wù)代碼點(Differentiated Services Code Point )，IETF 于 1998 年 12 月發(fā)布了 Diff-Serv( Differentiated Service )的QoS分類標(biāo)準(zhǔn)。它在每個數(shù)據(jù)包IP頭部的服務(wù)類別TOS標(biāo)識字節(jié)中，利用已使用的6比特和未使用的2比特，通過編碼值來區(qū) 分優(yōu)先級簡介編輯DSCP差分服務(wù)代碼點(Differentiated Services Code Point ), IETF 于 1998 年 12 月發(fā)布了 Diff-S

7、erv(Differentiated Service )的QoS分類標(biāo)準(zhǔn)。它在每個數(shù)據(jù)包IP頭部的服務(wù)類別TOS標(biāo)識字節(jié)中，利用已使用的6比特和未使用的2比特，通過編碼值來區(qū) 分優(yōu)先級.DSCP使用 6個bit，DSCP勺值得范圍為063。DSCP是“IP優(yōu)先”和“服務(wù)類型”字段的組合。 為了利用只支持“IP優(yōu)先”的舊路 由器，會使用DSCP值，因為DSCP值與“IP優(yōu)先”字段兼容。每一個DSCP編碼值都被映射到一個已定義的 PHB( Per-Hop-Behavior )標(biāo)識碼。通過鍵入DSCPS，電話、Windows客戶和服務(wù)器等終端設(shè)備也可對流量進(jìn)行標(biāo)識。支持設(shè)備編輯大部分ONU/MDU/

8、OL設(shè)備都會支持。四種PHB的分類編輯1、Default PHB (FIFO,tail drop) DSCP 值為 02、Expedited Forwarding PHB(急速轉(zhuǎn)發(fā)，提供延時的保證)主要針對于延時PQDSCP勺默認(rèn)為前3個bit為101,后3個bit為1103、 Assured Forwarding PHB(確保轉(zhuǎn)發(fā)，提供帶寬保證)確保帶寬，用于帶寬保證。CBWFQAF1 001 dd 0每個AF的大類中有會分為3個小類，dd中定義的類型，dd為丟棄概率，值越大丟棄率越高。三個小類為(AF11 01 LOW，AF12 10 Medium, AF13 11 High)4、 cla

9、ss-selector(ipprecede nee) PHB用于和老的優(yōu)先級做兼容，后 3個bit都為*IP的協(xié)議類型字段可以對匹配以上特征的流，設(shè)定以下兩種策略路由：下一跳I P地址：這條配置命令標(biāo)示了那些符合匹配語句的輸出報文將進(jìn)行下一跳 I P地址。下一跳缺省I P地址：這條配置命令設(shè)定缺省的下一跳。如果路由表中沒有明確的路 徑，則路由器使用缺省的下一跳。這個過程 經(jīng)常應(yīng)用于在兩個不同的服務(wù)提供商之間進(jìn)行 負(fù)載平衡。當(dāng)使用這條命令時，也是首先用路由表進(jìn)行路由。如果路由表中沒有明確的路 徑，則路由器根據(jù)制定的策略使用缺省值。策略路由使網(wǎng)絡(luò)管理者能根據(jù)它提供的機(jī)制指定一個報文采取的具體路徑。

10、而在當(dāng)今高性能的網(wǎng)絡(luò)中，這種選擇的自由性是很需要的。需要明確策略路由是設(shè)置在接收報文接口而不是發(fā)送接口。當(dāng)在接收報文的接口設(shè)定了策略路由后，交換機(jī)在該接口，檢測到來的數(shù)據(jù)報文，當(dāng) 檢測到有匹配相應(yīng)流分類特征的數(shù)據(jù)數(shù)據(jù)報文經(jīng)過時，就查找相應(yīng)的策略路由表項，按照 策略路由表項所指定的下一跳IP地址或是缺省路由IP地址，來選擇轉(zhuǎn)發(fā)路徑。策略路由功能是與流分類和流策略緊密相關(guān)的，關(guān)于流分類和流策略的基本配置命令 見QOSE置部分。1.2.2 路由策略路由策略通過路由策略控制路由的接收、發(fā)布、引入的方法，實現(xiàn)對路由的優(yōu)化2 策略路由的實現(xiàn)原理2.1 策略路由的好處基于源的路由可以使不同的用戶選擇不同的

11、ISP通過設(shè)置 IP Precedence 或 Tos 來實現(xiàn) QOS實現(xiàn)負(fù)載均衡2.2 策略路由的流程使用 Route-map 來配置策略路由的流程策略路由只對入口數(shù)據(jù)包有效。應(yīng)用策略路由，必須要指定策略路由使用的路由映射，并且要創(chuàng)建路由映射。一個路 由映射由很多條策略組成，每個策略都定義了 1 個或多個的匹配規(guī)則和對應(yīng)操作。一個接 口應(yīng)用策略路由后，將對該接口接收到的所有包進(jìn)行檢查，不符合路由映射任何策略的數(shù) 據(jù)包將按照通常的路由轉(zhuǎn)發(fā)進(jìn)行處理，符合路由映射中某個策略的數(shù)據(jù)包就按照該策略中 定義的操作進(jìn)行處理。策略路由對報文的發(fā)送接口、下一跳的配置是基于多轉(zhuǎn)發(fā)表實現(xiàn)的2.3 策略路由的處理流

12、程2.3.1 流模式和逐包模式流模式第一個包查路由轉(zhuǎn)發(fā)表，如果存在路由，將該路由項以source 、 dest 、tos 、入接口等索引放置到 cache 中，以后同樣的流就可以直接查 cache對于低端路由器，所有操作由 CPU內(nèi)存處理對于中高端設(shè)備，一般由 NP 和 Asic 芯片完成處理逐包模式每個包都進(jìn)行查表后才進(jìn)行轉(zhuǎn)發(fā)2.3.2 流模式流程圖2.3.2 路由器流模式及逐包模式切換命令ip route-cache policy開啟快速交換策略路由就是流模式no ip route-cache policy關(guān)閉該功能就是逐包模式2.4 Route-map 原理與執(zhí)行2.4.1 Route-

13、map 概念route-map 是由一組 match 字句和 set 字句構(gòu)成，他實際上是訪問控制列表的一個超 集。當(dāng)需做策略路由的 報文匹配 route-map 中的 match 字句定義的規(guī)則時，將按照 set 字 句的配置決定該報文的路由方式，包括設(shè)置報文的優(yōu)先權(quán)字段，設(shè)置報文的下一跳，設(shè)置報文的發(fā)送接口2.4.2 理解 Route-map類似于復(fù)雜的 Access-list自頂向下地處理，一旦有一條匹配，則立刻結(jié)束 route-map 查找Route-map每個條目都被賦予編號，可以任意地插入或刪除條目當(dāng)使用策略路由時，首先定義重分布路由映射，一個路由映射可以由很多策略組成， 策略按序

14、號大小排列，只要符合了前面策略，就退出路由映射的執(zhí)行。 由于路由映射中每 個策略都有其編號，故可以方便的插入或刪除。2.4.3 Route-map 的執(zhí)行語句route-map test permit 10match x y zmatch aset bset croute-map test permit 20match qset rdeny all（ 系統(tǒng)隱含 ）If （x or y or z） and athen set （b and c）else if qthen set relse set nothingroute-map-name給路由圖定義一個便于記憶的名字。 Redistribut

15、e （重新分配）路由進(jìn)程配置命令是 通過該名字引用路由圖的。 一個路由圖可以定義多個路由圖策略，一個路由圖策略對應(yīng)一 個序號。Permit（可選）如果定義了 permit 關(guān)鍵字，又符合 match 定義的匹配規(guī)則。則 set 命令對重 分布路由進(jìn)行控制；對于策略路由， set 命令將對數(shù)據(jù)包轉(zhuǎn)發(fā)進(jìn)行控制。并退出路由圖的 操作。如果定義了 permit 關(guān)鍵字，而不符合 match 定義的匹配規(guī)則。 則將進(jìn)入第二個路由圖 策略進(jìn)行操作。直到最終執(zhí)行了 set 命令。deny（可選）如果定義了 deny 關(guān)鍵字，又符合 match 定義的匹配規(guī)則。則不會執(zhí)行任何操 作，該路由圖策略不允許進(jìn)行路由

16、重分布或策略路由，而且退出路由圖操作。如果定義了 deny關(guān)鍵字，而不符合match定義的匹配規(guī)則。則將進(jìn)入下一個路由圖策 略進(jìn)行操作。直到最終執(zhí)行了 set 命令。sequence-number路由圖策略對應(yīng)的序號。低序號的策略優(yōu)先得到使用，因此需要注意序號的設(shè)置。3 策略路由的規(guī)劃設(shè)計3.1 策略路由的適用環(huán)境多出口情況下校園網(wǎng)（ internet 網(wǎng)、教育網(wǎng)）；企業(yè)網(wǎng)（雙出口上網(wǎng)） ；旁路組網(wǎng)需要修改報文 TOS、dscp；3.2 策略路由的配置3.2.1 路由器基本配置3.2.1.1 路由器配置步驟1）定義重分布路由圖，一個路由圖可以由好多策略組成，策略按序號大小排列，只要符合了前面策

17、略，就退出路由圖的執(zhí)行；Router(config)#route-map route-map-name permit | deny sequence定義路由圖Router(config)#no route-map route-map-name permit | deny sequence刪除路由圖2) 定義路由圖每個策略的匹配規(guī)則或條件； 定義匹配規(guī)則，只有符合規(guī)則的數(shù)據(jù)包才進(jìn)行策略路由，如果沒有配置匹配規(guī)則， 則所有數(shù)據(jù)包都符合規(guī)則。要定義策略的匹配規(guī)則，在路由圖配置模式中執(zhí)行以下Route(config-route-map)#match ip address access-list-num

18、ber 匹配訪問列表中的地址Route(config-route-map)#match length min-length max-length 匹配數(shù)據(jù)包大小范圍3) 定義滿足匹配規(guī)則后， 路由器對符合規(guī)則的數(shù)據(jù)包進(jìn)行 IP 優(yōu)先值和下一跳的設(shè)置。 要定義匹配規(guī)則后的操作，在路由圖配置模式中執(zhí)行以下命令： Router(config-route-map)#set default interface interface-type interface-number設(shè)置數(shù)據(jù)包的輸出接口，Router(config-route-map)#set ip default next-hop ip-addr

19、ess設(shè)置數(shù)據(jù)包的下一跳 IP 地址，Router(config-route-map)#set ip next-hop ip-address設(shè)置數(shù)據(jù)包的下一跳 IP 地址Router(config-route-map)#set ip precedenceprecedence| critical | flash | flash-override |immediate | internet | network | priority |routine 設(shè)置數(shù)據(jù)包 IP 優(yōu)先值set ip next-hop 和 set ip default next-hop 命令十分類似，但是操作的順序完全 不同。

20、set ip next-hop命令使得路由器首先檢查策略路由，不符合策略后使用路由表進(jìn)行數(shù)據(jù)包轉(zhuǎn)發(fā)處理； set ip default next-hop 命令使得路由器首先檢查路由表，若發(fā)現(xiàn) 沒有明確路由則使用策略路由進(jìn)行數(shù)據(jù)包轉(zhuǎn)發(fā)處理。IP 數(shù)據(jù)包報頭優(yōu)先值的設(shè)置，網(wǎng)絡(luò)流量大時，優(yōu)先值高的流量可以得到優(yōu)先處理。缺省情況下，RGNO是不對IP報頭的優(yōu)先值進(jìn)行修改的，會保持其原有的值。在應(yīng)用策略路由時， 可以對 IP 報頭的優(yōu)先值進(jìn)行設(shè)置。 當(dāng)這些攜帶一定優(yōu)先值的數(shù)據(jù) 包到達(dá)其它路由器時， 如果該路由器啟用了隊列機(jī)制， 優(yōu)先值高的數(shù)據(jù)包會得到優(yōu)先處理， 其服務(wù)質(zhì)量就得到了保證。如果沒有啟用隊列機(jī)

21、制，優(yōu)先值將沒有任何意義，所有數(shù)據(jù)包的發(fā)送按照FIFO （先進(jìn)先出）的方式進(jìn)行處理優(yōu)先值的設(shè)置可以用名字或者數(shù)字，名字命名來自RFC 791，其對應(yīng)關(guān)系如下0 Routing1 Priority2 Immediate3 Flash4 flash-override5 Critical6 Internet7 Network4）在指定接口中應(yīng)用路由圖。要配置到達(dá)路由器接口數(shù)據(jù)包的策略路由，在接口配置模式中執(zhí)行以下命令：Router（config-if）#ip policy route-map route-map 在接口應(yīng)用策略路由 說明路由器本身產(chǎn)生的數(shù)據(jù)包，通常是不要應(yīng)用策略路由，如果路由器本身產(chǎn)

22、生的數(shù)據(jù)包也要應(yīng)用策略路由，在全局配置模式中執(zhí)行以下命令：Router(config)#ip local policy route-map route-map應(yīng)用本地策略路由接口上應(yīng)用策略時，缺省情況下， IP 報文快速轉(zhuǎn)發(fā)也支持策略路由轉(zhuǎn)發(fā)。如果要關(guān)閉 策略路由的快速轉(zhuǎn)發(fā)功能，可以有以下命令：Router(config-if)#no ip route-cache policy在接口上關(guān)閉策略路由快速轉(zhuǎn)發(fā)功能。3.2.1.2 路由器配置舉例1.1.0.0 ? ISP A.1.2.0.0 ? ISP B.RouterA(config)# access-list 1 permit ip Route

23、rA(config)# access-list 2 permit ip RouterA(config)# route-map access permit10 (序列號從低開始匹配)RouterA(config-route-map)# match ip address1 (匹配列表 1 )RouterA(config-route-map)# set ip default next-hop 6.6.6.6 (指向下一跳地址)RouterA(config-route-map)# route-map access permit 20RouterA(config-route-map)# match ip

24、 address 2RouterA(config-route-map)# set ip default next-hop RouterA(config-route-map)# route-map access permit 30RouterA(config-route-map)# set default interface null0( 沒有匹配 1 和 2 的都丟棄)RouterA(config)# interface ethernet 0RouterA(config-if)# ip address RouterA(config-if)# ip policy route-map access

25、RouterA(config)# interface serial 0RouterA(config-if)# ip address RouterA(config)# interface serial 1RouterA(config-if)# ip address 3.2.2 交換機(jī)基本配置3.2.2.1 交換機(jī)配置步驟1) 定義重分布路由圖，一個路由圖可以由好多策略組成，策略按序號大小排列，只要符合了前面策略，就退出路由圖的執(zhí)行；2) 定義路由圖每個策略的匹配規(guī)則或條件；3) 定義滿足匹配規(guī)則后，路由器對符合規(guī)則的數(shù)據(jù)包進(jìn)行IP 優(yōu)先值和下一跳的設(shè)置4）在指定接口中應(yīng)用路由圖3.2.2.2 交

26、換機(jī)配置舉例在 f 0/0 口上配置策略路由 , 使得所有進(jìn)入的報文都轉(zhuǎn)發(fā)到下一跳為 192.168.5.5 的 設(shè)備Ruijie(config)# access-list 1 permit anyRuijie(config)# route-map nameRuijie(config-route-map)# match ip address 1Ruijie(config-route-map)# set ip next-hop Ruijie(config-route-map)# int f 0/0Ruijie(config-if)# ip policy route-map name3.2.2.3

27、 交換機(jī)配置建議S6000E系列的交換機(jī)使用多業(yè)務(wù)子卡可實現(xiàn)策略路由。一個接口最多只能配置一個路由圖，在同一個接口上多次配置路由圖會相互覆蓋。 在使用策略路由時，每個子路由圖建議只配置一個 ACL； 如果配置的子路由圖中只有nexthop而沒有配置ACL則等價于所有報文都匹配； 如果子路由圖中只有ACL而沒有nexthop則匹配的報文普通轉(zhuǎn)發(fā)；如果子路由圖中即沒有 ACL也沒有nexthop,則等價所有報文普通轉(zhuǎn)發(fā)策略路由只支持配置 ACL號,不支持ACL名字配置如果配置了 ACL號但是該ACL不存在，等價所有報文都匹配3.3 策略路由的驗證和調(diào)試顯示 IP 策略應(yīng)用情況router#show

28、 ip policyInterface Route mapFastEthernet2 testDebug ip policylen=60,len=60,IP: s=1.1.1.2 (FastEthernet 1/1),d=192.168.2.250(<NULL>),precedence=0, policy match RouteMap test, item = 10, permitIP: s=1.1.1.2 (FastEthernet 1/1), d=192.168.2.250(FastEthernet 1/0), precedence=0, policy routed顯示所有或指

29、定路由映射的信息server_r1#show route-map <word> route-map test, permit, sequence 10Match clauses: ip address (access-lists): 1Set clauses: default interface FastEthernet0Policy routing matches: 42 packets, 2520 bytesroute-map test, permit, sequence 20Match clauses:ip address (access-lists): 2Set claus

30、es:ip next-hop Policy routing matches: 12 packets, 720 bytes 顯示所有或指定路由映射的信息4 策略路由部署應(yīng)用案例4.1 策略路由配置案例一4.1.1 網(wǎng)絡(luò)拓?fù)?.1.2 功能需求：OICQ應(yīng)用全走電信出口 數(shù)據(jù)流通過教育網(wǎng)上網(wǎng)訪問教育網(wǎng)走教育網(wǎng) 非教育網(wǎng)流量走電信4.1.3 配置實現(xiàn)：route-map test permit 10match ip address 103set ip next-hop route-map test permit 20match ip address 105set ip next-hop ip acc

31、ess-list extended 10310 permit tcp any any eq 8000端口省略/.教育網(wǎng)地址段20 permit udp any any eq 8000 /OICQ ip access-list extended 10510 permit ip 222.200.80.1 0.0.0.255 any20 permit ip any 58.192.0.0 0.1.255.255 30 permit ip any int ge 1/3 ip policy route-map test / 應(yīng)用到入接口4.2 策略路由配置案例二網(wǎng)絡(luò)拓?fù)涔δ苄枨螅篛ICQ應(yīng)用全走電信出口數(shù)

32、據(jù)流通過教育網(wǎng)上網(wǎng)訪問教育網(wǎng)走教育網(wǎng)非教育網(wǎng)流量走電信配置實現(xiàn)：route-map test permit 10 match ip address 103 set ip next-hop route-map test permit 20 match ip address 105set ip next-hop ip access-list extended 10310 permit tcp any any eq 800020 permit udp any any eq 8000 /OICQ 端口ip access-list extended 10510 deny ip any 20 deny i

33、p any 30 permit ip 222.200.80.1 0.0.0.255 any40 permit ip any 58.192.0.0 0.1.255.255省略/.教育網(wǎng)地址段int range ge 1/3-4ip policy route-map test /應(yīng)用到入接口4.3 策略路由配置案例三4.3.1 網(wǎng)絡(luò)拓?fù)湔f明：用戶使用NBR2000乍為網(wǎng)吧出口路由器，接入線路共3條，兩條電信線路，-條網(wǎng)通線路。由于NBR200C只有2個WANq,因此兩條電信線路通過一臺二層交換機(jī)連接 到NBR200啲 WAN 0口上，WAN 0口配置兩個IP地址（其中一個為 seco nd ip），