第17章 路由過濾

1、路由過濾路由過濾H3C大規(guī)模網(wǎng)絡(luò)路由技術(shù) 1.0杭州華三通信技術(shù)有限公司 版權(quán)所有，未經(jīng)授權(quán)不得使用與傳播n 路由器在發(fā)布與接收路由信息時，可能需要對路由路由器在發(fā)布與接收路由信息時，可能需要對路由信息進行過濾。信息進行過濾。n 常用的路由過濾工具有常用的路由過濾工具有ACL、地址前綴列表等。、地址前綴列表等。引入引入n 了解路由過濾的目的和作用了解路由過濾的目的和作用n 掌握路由過濾的原理掌握路由過濾的原理n 掌握過濾工具的種類和特點掌握過濾工具的種類和特點n 掌握地址前綴列表的配置掌握地址前綴列表的配置n 掌握掌握filter-policy 的配置和應(yīng)用的配置和應(yīng)用課程目標課程目標學(xué)習(xí)完本

2、課程，您應(yīng)該能夠：學(xué)習(xí)完本課程，您應(yīng)該能夠：n 路由過濾概述路由過濾概述n 配置靜默接口過濾路由配置靜默接口過濾路由n 地址前綴列表地址前綴列表n Filter-policy目錄目錄4路由過濾的作用路由過濾的作用l控制路由的傳播與生成控制路由的傳播與生成l節(jié)省設(shè)備和鏈路資源消耗，保護網(wǎng)絡(luò)安全節(jié)省設(shè)備和鏈路資源消耗，保護網(wǎng)絡(luò)安全10.0.0.0/2410.0.1.0/2410.0.0.0/2410.0.1.0/2410.0.2.0/2410.0.2.0/24RTARTBISP10.0.0.0/24路由過濾實施5路由過濾方法路由過濾方法l過濾路由協(xié)議報文過濾路由協(xié)議報文l過濾路由協(xié)議報文中攜帶的路

3、由信息過濾路由協(xié)議報文中攜帶的路由信息l對對LSDB計算出的路由信息進行過濾計算出的路由信息進行過濾 RIP路由表路由表OSPF路由表路由表接口接口接口接口RIP路由信息路由信息Hello報文報文計算出的路由信息過濾協(xié)議報文中路由信息過濾路由協(xié)議報文過濾LSDB路由引入過濾OSPF進程進程6路由過濾工具路由過濾工具l靜默接口靜默接口l過濾器過濾器訪問控制列表地址前綴列表filter-policyRoute-policy n 路由過濾概述路由過濾概述n 配置靜默接口過濾路由配置靜默接口過濾路由n 地址前綴列表地址前綴列表n Filter-policy目錄目錄8配置靜默接口配置靜默接口過濾全部路由

4、過濾全部路由lRIP協(xié)議中，靜默接口不發(fā)送路由更新協(xié)議中，靜默接口不發(fā)送路由更新lOSPF協(xié)議中，靜默接口不發(fā)送協(xié)議中，靜默接口不發(fā)送HELLO報文報文 10.0.0.0/2410.0.1.0/2410.0.0.0/2410.0.1.0/2410.0.2.0/2410.0.2.0/24RTARTBISP靜默接口n 路由過濾概述路由過濾概述n 配置靜默接口過濾路由配置靜默接口過濾路由n 地址前綴列表地址前綴列表n Filter-policy目錄目錄10地址前綴列表匹配流程地址前綴列表匹配流程l如果所有表項都是如果所有表項都是deny模式，則任何路由都不能模式，則任何路由都不能通過該過濾列表通過該

5、過濾列表 匹配第一條表項路由信息匹配第二條表項匹配最后一條表項不能通過通過PermitPermitDenyPermitDenyDeny路由信息接收或發(fā)送NoNoN11配置地址前綴列表配置地址前綴列表Router ip ip-prefix ip-prefix-name index index-number permit | deny ip-address mask-length greater-equal min-mask-length less-equal max-mask-length 配置配置結(jié)果結(jié)果Permit 10.0.0.0 24僅匹配僅匹配10.0.0.0/24，不匹配任何其它網(wǎng)絡(luò)

6、，不匹配任何其它網(wǎng)絡(luò)Permit 10.0.0.0 24 greater-equal 25匹配匹配10.0.0.0/24區(qū)間內(nèi)的掩碼大于等于區(qū)間內(nèi)的掩碼大于等于25位的網(wǎng)絡(luò)，如位的網(wǎng)絡(luò)，如10.0.0.0/26、 10.0.0.16/28、 10.0.0.5/32等等Permit 10.0.0.0 24 greater-equal 25 less-equal 30匹配匹配10.0.0.0/24區(qū)間內(nèi)的掩碼大于等于區(qū)間內(nèi)的掩碼大于等于25位但小于等于位但小于等于30位的網(wǎng)絡(luò)，如位的網(wǎng)絡(luò)，如10.0.0.0/26、 10.0.0.16/28等等Permit 0.0.0.0 0 greater-eq

7、ual 16 less-equal 24匹配掩碼大于等于匹配掩碼大于等于16但小于等于但小于等于24位的任位的任意網(wǎng)絡(luò)意網(wǎng)絡(luò)Permit 0.0.0.0 0僅匹配缺省路由僅匹配缺省路由Permit 0.0.0.0 0 less-equal 32匹配所有路由匹配所有路由12配置地址前綴列表示例配置地址前綴列表示例配置配置結(jié)果結(jié)果ip ip-prefix test permit 10.0.0.0 24 less-equal 32所有所有10.0.0.0/24范圍內(nèi)的路由通過過濾，范圍內(nèi)的路由通過過濾，其它路由不能通過其它路由不能通過ip ip-prefix test index 10 permit

8、 10.0.0.0 24ip ip-prefix test index 20 permit 11.0.0.0 16 只有路由只有路由10.0.0.0/24和和11.0.0.0/16能夠通能夠通過過濾，其它路由都不能通過過過濾，其它路由都不能通過ip ip-prefix test index 10 deny 10.0.0.0 24ip ip-prefix test index 20 permit 0.0.0.0 0 less-equal 32只有只有10.0.0.0/24路由不能通過過濾。其它路由不能通過過濾。其它所有路由能夠通過所有路由能夠通過ip ip-prefix test index 1

9、0 deny 10.0.0.0 30ip ip-prefix test index 20 permit 10.0.0.0 24 less-equal 32除了除了10.0.0.0/30外，外，10.0.0.0/24區(qū)間內(nèi)的區(qū)間內(nèi)的其它路由通過過濾。其它路由通過過濾。10.0.0.0/24區(qū)間外的區(qū)間外的路由不能通過路由不能通過n 路由過濾概述路由過濾概述n 配置靜默接口過濾路由配置靜默接口過濾路由n 地址前綴列表地址前綴列表n Filter-policy目錄目錄14filter-policyl通過與通過與ACL、地址前綴列表結(jié)合使用，、地址前綴列表結(jié)合使用，filter-policy可對路由信

10、息進行過濾可對路由信息進行過濾 10.0.0.0/2410.0.1.0/2410.0.0.0/2410.0.2.0/24RTARTB用filter-policy過濾從RTA發(fā)來的路由信息RTCRTD11.0.0.1/2411.0.0.2/2411.0.0.3/2410.0.1.0/2410.0.2.0/2410.0.1.0/2410.0.2.0/24ISP15用用filter-policy過濾過濾RIP路由路由l接收路由過濾接收路由過濾對進入RIP路由表的路由信息進行過濾l發(fā)送路由過濾發(fā)送路由過濾對所發(fā)送的RIP路由信息進行過濾RIP路由表路由表IP路由表路由表接口接口接口接口路由信息路由信息

11、路由信息路由信息接收路由過濾發(fā)送路由過濾16配置配置filter-policy過濾過濾RIP路由路由Router-rip-1 filter-policy acl-number | gateway ip-prefix-name | ip-prefix ip-prefix-name gateway ip-prefix-name import interface-type interface-number l對接收的路由進行過濾對接收的路由進行過濾l對發(fā)送的路由進行過濾對發(fā)送的路由進行過濾Router-rip-1 filter-policy acl-number | ip-prefix ip-pre

12、fix-name export protocol process-id interface-type interface-number 17filter-policy過濾接收路由示例過濾接收路由示例RTB ip ip-prefix abc index 10 deny 10.0.1.0 24RTB ip ip-prefix abc index 20 deny 10.0.2.0 24RTB ip ip-prefix abc index 30 permit 0.0.0.0 0 less-equal 32RTB rip 100RTB-rip-100 filter-policy ip-prefix ab

13、c import10.0.0.0/2410.0.1.0/2410.0.0.0/2410.0.1.0/2410.0.2.0/2410.0.2.0/24RTARTBISP10.0.0.0/18filter-policy過濾發(fā)送路由示例過濾發(fā)送路由示例10.0.0.0/2410.0.1.0/2410.0.0.0/2410.0.1.0/2410.0.2.0/2410.0.2.0/24RTARTBISP10.0.0.0/24RTB acl number 2000RTB-acl-basic-2000 rule deny source 10.0.1.0 0.0.0.255RTB-acl-basic-2000

14、 rule deny source 10.0.2.0 0.0.0.255RTB-acl-basic-2000 rule permitRTB rip 100RTB-rip-100 filter-policy 2000 19用用filter-policy過濾過濾OSPF和和IS-IS路由路由l過濾計算出的路由，而非過濾過濾計算出的路由，而非過濾LSA對OSPF或IS-IS計算出來的路由進行過濾，只有通過過濾的路由才被添加到路由表中LSDB路由表路由表接口接口接口接口LSALSA入路由表過濾20l對對OSPF計算出的路由進行過濾計算出的路由進行過濾l對對IS-IS計算出的路由進行過濾計算出的路由進行過濾配置配置filter-policy過濾過濾OSPF及及IS-IS路由路由Router-ospf-1 filter-policy acl-number gateway ip-prefix-name | gateway ip-prefix-name | ip-prefix ip-prefix-name gateway ip-prefix-name import Router-isis-1 filter-