PBR(策略路由)的幾種使用方式

1、【簡(jiǎn)介】PBR（策略路由）以前是 CISCO 用來(lái)丟棄報(bào)文的一個(gè)主要手段。比如：設(shè)置 setinterfacenull0,按 CISCO 說(shuō)法這 1會(huì)比 ACL 的 deny 要節(jié)省一些開(kāi)銷(xiāo)。注:PBR（策略路由）以前是 CISCO 用來(lái)丟棄報(bào)文的一個(gè)主要手段。比如：設(shè)置 setinterfacenull0,按CISCO 說(shuō)法這 1會(huì)比 ACL 的 deny 要節(jié)省一些開(kāi)銷(xiāo)。這里我提醒：interfacenull0noipunreachable/加入這個(gè)命令這樣避免因?yàn)閬G棄大量的報(bào)文而導(dǎo)致很多 ICMP 的不可達(dá)消息返回。三層設(shè)備在轉(zhuǎn)發(fā)數(shù)據(jù)包時(shí)一般都基于數(shù)據(jù)包的目的地址（目的網(wǎng)絡(luò)進(jìn)行轉(zhuǎn)發(fā)）,那

2、么策略路由有什么特點(diǎn)呢？1、可以不僅僅依據(jù)目的地址轉(zhuǎn)發(fā)數(shù)據(jù)包，它可以基于源地址、數(shù)據(jù)應(yīng)用、數(shù)據(jù)包長(zhǎng)度等。這樣轉(zhuǎn)發(fā)數(shù)據(jù)包更靈活。2、為 QoS 服務(wù)。使用 route-map 及策略路由可以根據(jù)數(shù)據(jù)包的特征修改其相關(guān) QoS 項(xiàng)，進(jìn)行為 QoS 服務(wù)。3、負(fù)載平衡。使用策略路由可以設(shè)置數(shù)據(jù)包的行為，比如下一跳、下一接口等，這樣在存在多條鏈路的情況下，可以根據(jù)數(shù)據(jù)包的應(yīng)用不同而使用不同的鏈路，進(jìn)而提供高效的負(fù)載平衡能力。策略路由影響的只是本地的行為，所以可能會(huì)引起不對(duì)稱(chēng)路由”形式的流量。比如一個(gè)單位有兩條上行鏈路 A 與 B,該單位想把所有 HTTP 流量分擔(dān)到 A 鏈路，F(xiàn)TP 流量分擔(dān)到 B

3、鏈路，這是沒(méi)有問(wèn)題的，但在其上行設(shè)備上，無(wú)法保證下行的 HTTP 流量分擔(dān)到 A 鏈路，F(xiàn)TP 流量分擔(dān)到 B 鏈路。策略路由一般針對(duì)的是接口入（in）方向的數(shù)據(jù)包，但也可在啟用相關(guān)配置的情況下對(duì)本地所發(fā)出的數(shù)據(jù)包也進(jìn)行策略路由。本文就策略路由的以下四個(gè)方面做相關(guān)講解：1、啟用策略路由2、啟用 Fast-SwitchedPBR3、啟用 LocalPBR4、啟用 CEF-SwitchedPBR啟用策略路由：開(kāi)始配置 route-mapo 使用 route-mapmap-tagpermitdenysequence-number進(jìn)入 route-map 的配置模式。使用 match 語(yǔ)句定義感興趣的

4、流量，如果不定義則指全部流量。matchlengthminmaxand/ormatchipaddressaccess-list-numbernameaccess-list-numbername使用 set 命令設(shè)置數(shù)據(jù)包行為。setipprecedencenumbernamesetipnext-hopip-address.ip-addresssetinterfaceinterface-typeinterface-number.typenumbersetipdefaultnext-hopip-address.ip-addresssetdefaultinterfaceinterface-typei

5、nterface-number.type.number這里要注意 setipnext-hop 與 setipdefaultnext-hop、 setinterface 與 setdefaultinterface 這兩對(duì)語(yǔ)句的區(qū)別，不含 default 的語(yǔ)句，是不查詢(xún)路由表就轉(zhuǎn)發(fā)數(shù)據(jù)包到下一跳 IP 或接口，而含有 default 的語(yǔ)句是先查詢(xún)路由表，在找不到精確匹配的路由條目時(shí)，才轉(zhuǎn)發(fā)數(shù)據(jù)包到 default 語(yǔ)句指定的下一跳 IP 或接口。進(jìn)入想應(yīng)用策略路由的接口。interfacexxx應(yīng)用所定義的策略。注意必須在定義好相關(guān)的 route-map 后才能在接口上使用該route-map

6、,在接口啟用 route-map 策略的命令為：ippolicyroute-mapmap-tag啟用 Fast-SwitchedPBR在 CiscoIOSRelease12.0 之前，策略路由只能通過(guò)進(jìn)程轉(zhuǎn)發(fā)”來(lái)轉(zhuǎn)發(fā)數(shù)據(jù)包，這樣數(shù)據(jù)包的轉(zhuǎn)發(fā)效率是非常低的，在不同的平臺(tái)上，基本在每秒 1000 到 10,000 個(gè)數(shù)據(jù)包。隨著緩存轉(zhuǎn)發(fā)技術(shù)的出現(xiàn)，Cisco 實(shí)現(xiàn)了 Fast-SwitchedPBR,大大提升了數(shù)據(jù)包的轉(zhuǎn)發(fā)速度。啟用方法即在接口中使用 iproute-cachepolicy 命令。注意：Fast-switchedPBR 支持所有的 match 語(yǔ)句及大多數(shù)的 set 語(yǔ)句，但其有下

7、面的兩個(gè)限制：不支持 setipdefaultnext-hop 與 setdefaultinterface 命令。如果在 route-cache 中不存在 set 中指定的接口相關(guān)的項(xiàng)，那么僅在 point-to-point 時(shí) setinterface 命令才能夠 Fast-switchedPBR。而且，在進(jìn)行進(jìn)程轉(zhuǎn)發(fā)”時(shí)，系統(tǒng)還會(huì)先查詢(xún)路由條目查看該 interface 是不是一個(gè)合理的路徑。而在 fastswitching 時(shí)，系統(tǒng)不會(huì)對(duì)此進(jìn)行檢查。啟用 LocalPBR默認(rèn)情況下，路由器自身所產(chǎn)生的數(shù)據(jù)包不會(huì)被策略路由，如果想對(duì)路由器自身產(chǎn)生的數(shù)據(jù)包也進(jìn)行策略路由，那么需要在全局模式下

8、使用如下命令來(lái)啟用：iplocalpolicyroute-mapmap-tag啟用 CEF-SwitchedPBR在支持 CEF 的平臺(tái)上， 系統(tǒng)可以使用 CEF-SwitchedPBR 來(lái)提高 PBR 的轉(zhuǎn)發(fā)速度， 其轉(zhuǎn)發(fā)速度比Fast-SwitchedPBR 更快！只要你在啟用 PBR 的路由器上啟用了 CEF,那么 CEF-SwitchedPBR 會(huì)自動(dòng)啟用。注：iproute-cachepolicy 僅僅適用于 Fast-SwitchedPBR,在 CEF-SwitchedPBR 中并不需要，如果你在啟用了 CEF 的路由器上使用 PBR 時(shí)，這個(gè)命令沒(méi)有任何作用，系統(tǒng)會(huì)忽略此命令的存

9、在。PBR 配置案例:案例 1:路由器通過(guò)兩條不同的鏈路連接至兩 ISP,對(duì)于從 async1 接口進(jìn)入的流量，在沒(méi)有精確路由”匹配的情況下，把源地址為 的數(shù)據(jù)包使用策略路由轉(zhuǎn)發(fā)至 ,源地址為 的數(shù)據(jù)包轉(zhuǎn)發(fā)至 7.777,其它數(shù)據(jù)全部丟棄。配置如下：access-list1permitipaccess-list2permitipinterfaceasync1ippolicyroute-mapequal-accessmatchipaddress1setipdefaultnext-hoproute-mapequ

10、al-accesspermit20matchipaddress2setipdefaultnext-hoproute-mapequal-accesspermit30setdefaultinterfacenull0案例 2在路由器針對(duì)不同流量，修改其 precedencebit,并設(shè)置下一跳地址。對(duì)于 產(chǎn)生的流量，設(shè)置 precedencebit 為 priority,并設(shè)置其下一跳轉(zhuǎn)發(fā)地址為 ;對(duì)于 產(chǎn)生的流量，設(shè)置precedencebit 為 critical,并設(shè)置其下一跳轉(zhuǎn)發(fā)地址為 。配置如下：access-list1permitipaccess-list2permitip!interfaceethernet1ip