Cisco-策略路由的概念、原理、配置實例

-.z.策略路由1策略路由概述21.1普通路由的概念21.2策略路由的概念21.2.1策略路由21.2.2路由策略52策略路由的實現(xiàn)原理52.1策略路由的好處52.2策略路由的流程52.3策略路由的處理流程62.3.1流模式和逐包模式62.3.2流模式流程圖62.3.2路由器流模式及逐包模式切換命令72.4Route-map原理與執(zhí)行72.4.1Route-map概念72.4.2理解Route-map72.4.3Route-map的執(zhí)行語句83策略路由的規(guī)劃設(shè)計93.1策略路由的適用環(huán)境93.2策略路由的配置103.2.1路由器基本配置103.2.2交換機基本配置143.3策略路由的驗證和調(diào)試154策略路由部署應(yīng)用案例174.1策略路由配置案例一174.1.1網(wǎng)絡(luò)拓撲174.1.2功能需求：174.1.3配置實現(xiàn)：184.2策略路由配置案例二184.2.1網(wǎng)絡(luò)拓撲184.2.2功能需求：194.2.3配置實現(xiàn)：194.3策略路由配置案例三204.3.1網(wǎng)絡(luò)拓撲204.3.2功能需求：214.3.3配置實現(xiàn)：214.3.4配置優(yōu)化：231策略路由概述1.1普通路由的概念普通路由轉(zhuǎn)發(fā)基于路由表進行報文的轉(zhuǎn)發(fā)；路由表的建立直聯(lián)路由、主機路由；靜態(tài)配置路由條目；動態(tài)路由協(xié)議學(xué)習生成；查看命令——showiproute對于同一目的網(wǎng)段，可能存在多條distance不等的路由條目1.2策略路由的概念策略路由所謂策略路由，顧名思義，即是根據(jù)一定的策略進行報文轉(zhuǎn)發(fā)，因此策略路由是一種比目的路由更靈活的路由機制。在路由器轉(zhuǎn)發(fā)一個數(shù)據(jù)報文時，首先根據(jù)配置的規(guī)則對報文進行過濾，匹配成功則按照一定的轉(zhuǎn)發(fā)策略進行報文轉(zhuǎn)發(fā)。這種規(guī)則可以是基于標準和擴展訪問控制列表，也可以基于報文的長度；而轉(zhuǎn)發(fā)策略則是控制報文按照指定的策略路由表進行轉(zhuǎn)發(fā)，也可以修改報文的IP優(yōu)先字段。因此，策略路由是對傳統(tǒng)IP路由機制的有效增強。策略路由能滿足基于源IP地址、目的IP址、協(xié)議字段，甚至于TCP、UDP的源、目的端口等多種組合進行選路。簡單點來說，只要IPstandard/e*tendedACL能設(shè)置的，都可以做為策略路由的匹配規(guī)則進行轉(zhuǎn)發(fā)。策略路由（PolicyRoute）是指在決定一個IP包的下一跳轉(zhuǎn)發(fā)地址或是下一跳缺省IP地址時，不是簡單的根據(jù)目的IP地址決定，而是綜合考慮多種因素來決定。如可以根據(jù)DSCP字段、源和目的端口號，源IP地址等來為數(shù)據(jù)包選擇路徑。策略路由可以在一定程度上實現(xiàn)流量工程，使不同服務(wù)質(zhì)量的流或者不同性質(zhì)的數(shù)據(jù)（語音、FTP）走不同的路徑?；诓呗缘穆酚蔀榫W(wǎng)絡(luò)管理者提供了比傳統(tǒng)路由協(xié)議對報文的轉(zhuǎn)發(fā)和存儲更強的控制能力。傳統(tǒng)上，路由器用從路由協(xié)議派生出來的路由表，根據(jù)目的地址進行報文的轉(zhuǎn)發(fā)。基于策略的路由比傳統(tǒng)路由能力更強，使用更靈活，它使網(wǎng)絡(luò)管理者不僅能夠根據(jù)目的地址而且能夠根據(jù)協(xié)議類型、報文大小、應(yīng)用或IP源地址來選擇轉(zhuǎn)發(fā)路徑。策略可以定義為通過多路由器的負載平衡或根據(jù)總流量在各線上進行報文轉(zhuǎn)發(fā)的服務(wù)質(zhì)量（QoS）。本交換機所支持的策略路由是與QOS的流分類標準相結(jié)合的。針對簡單流分類和復(fù)雜流分類，可以根據(jù)到來的數(shù)據(jù)包的匹配的以下特征，來設(shè)定策略路由：802.1p優(yōu)先級VLANID源/目的MAC地址源/目的的IP地址（包括IPMASK部分）TCP/UDP源/目的端口號IP優(yōu)先級DSCP的優(yōu)先級IP的協(xié)議類型字段可以對匹配以上特征的流，設(shè)定以下兩種策略路由：下一跳IP地址:這條配置命令標示了那些符合匹配語句的輸出報文將進行下一跳IP地址。下一跳缺省IP地址:這條配置命令設(shè)定缺省的下一跳。如果路由表中沒有明確的路徑，則路由器使用缺省的下一跳。這個過程經(jīng)常應(yīng)用于在兩個不同的服務(wù)提供商之間進行負載平衡。當使用這條命令時，也是首先用路由表進行路由。如果路由表中沒有明確的路徑，則路由器根據(jù)制定的策略使用缺省值。策略路由使網(wǎng)絡(luò)管理者能根據(jù)它提供的機制指定一個報文采取的具體路徑。而在當今高性能的網(wǎng)絡(luò)中，這種選擇的自由性是很需要的。需要明確策略路由是設(shè)置在接收報文接口而不是發(fā)送接口。當在接收報文的接口設(shè)定了策略路由后，交換機在該接口，檢測到來的數(shù)據(jù)報文，當檢測到有匹配相應(yīng)流分類特征的數(shù)據(jù)數(shù)據(jù)報文經(jīng)過時，就查找相應(yīng)的策略路由表項，按照策略路由表項所指定的下一跳IP地址或是缺省路由IP地址，來選擇轉(zhuǎn)發(fā)路徑。策略路由功能是與流分類和流策略緊密相關(guān)的，關(guān)于流分類和流策略的基本配置命令見QOS配置部分。路由策略路由策略通過路由策略控制路由的接收、發(fā)布、引入的方法，實現(xiàn)對路由的優(yōu)化2策略路由的實現(xiàn)原理2.1策略路由的好處基于源的路由可以使不同的用戶選擇不同的ISP通過設(shè)置IPPrecedence或Tos來實現(xiàn)QOS實現(xiàn)負載均衡2.2策略路由的流程使用Route-map來配置策略路由的流程策略路由只對入口數(shù)據(jù)包有效。應(yīng)用策略路由，必須要指定策略路由使用的路由映射，并且要創(chuàng)建路由映射。一個路由映射由很多條策略組成，每個策略都定義了1個或多個的匹配規(guī)則和對應(yīng)操作。一個接口應(yīng)用策略路由后，將對該接口接收到的所有包進行檢查，不符合路由映射任何策略的數(shù)據(jù)包將按照通常的路由轉(zhuǎn)發(fā)進行處理，符合路由映射中*個策略的數(shù)據(jù)包就按照該策略中定義的操作進行處理。策略路由對報文的發(fā)送接口、下一跳的配置是基于多轉(zhuǎn)發(fā)表實現(xiàn)的。2.3策略路由的處理流程流模式和逐包模式流模式第一個包查路由轉(zhuǎn)發(fā)表，如果存在路由，將該路由項以source、dest、tos、入接口等索引放置到cache中，以后同樣的流就可以直接查cache對于低端路由器，所有操作由CPU＋存處理對于中高端設(shè)備，一般由NP和Asic芯片完成處理逐包模式每個包都進行查表后才進行轉(zhuǎn)發(fā)流模式流程圖2.3.2路由器流模式及逐包模式切換命令iproute-cachepolicy開啟快速交換策略路由就是流模式noiproute-cachepolicy關(guān)閉該功能就是逐包模式2.4Route-map原理與執(zhí)行Route-map概念route-map是由一組match字句和set字句構(gòu)成，他實際上是訪問控制列表的一個超集。當需做策略路由的報文匹配route-map中的match字句定義的規(guī)則時，將按照set字句的配置決定該報文的路由方式，包括設(shè)置報文的優(yōu)先權(quán)字段，設(shè)置報文的下一跳，設(shè)置報文的發(fā)送接口理解Route-map類似于復(fù)雜的Access-list自頂向下地處理，一旦有一條匹配，則立刻結(jié)束route-map查找Route-map每個條目都被賦予編號，可以任意地插入或刪除條目當使用策略路由時，首先定義重分布路由映射，一個路由映射可以由很多策略組成，策略按序號大小排列，只要符合了前面策略，就退出路由映射的執(zhí)行。由于路由映射中每個策略都有其編號，故可以方便的插入或刪除。Route-map的執(zhí)行語句route-maptestpermit10

match*yz

matcha

setb

setc

route-maptestpermit20

matchq

setr

denyall(系統(tǒng)隱含)If(*oryorz)anda

thenset(bandc)

elseifq

thensetr

elsesetnothingroute-map-name給路由圖定義一個便于記憶的名字。redistribute路由進程配置命令是通過該名字引用路由圖的。一個路由圖可以定義多個路由圖策略，一個路由圖策略對應(yīng)一個序號。permit（可選）如果定義了permit關(guān)鍵字，又符合match定義的匹配規(guī)則。則set命令對重分布路由進行控制；對于策略路由，set命令將對數(shù)據(jù)包轉(zhuǎn)發(fā)進行控制。并退出路由圖的操作。如果定義了permit關(guān)鍵字，而不符合match定義的匹配規(guī)則。則將進入第二個路由圖策略進行操作。直到最終執(zhí)行了set命令。deny（可選）如果定義了deny關(guān)鍵字，又符合match定義的匹配規(guī)則。則不會執(zhí)行任何操作，該路由圖策略不允許進行路由重分布或策略路由，而且退出路由圖操作。如果定義了deny關(guān)鍵字，而不符合match定義的匹配規(guī)則。則將進入下一個路由圖策略進行操作。直到最終執(zhí)行了set命令。sequence-number路由圖策略對應(yīng)的序號。低序號的策略優(yōu)先得到使用，因此需要注意序號的設(shè)置。3策略路由的規(guī)劃設(shè)計3.1策略路由的適用環(huán)境多出口情況下——校園網(wǎng)（internet網(wǎng)、教育網(wǎng)）；——企業(yè)網(wǎng)（雙出口上網(wǎng)）；旁路組網(wǎng)需要修改報文TOS、dscp；3.2策略路由的配置路由器基本配置.1路由器配置步驟1）定義重分布路由圖，一個路由圖可以由好多策略組成，策略按序號大小排列，只要符合了前面策略，就退出路由圖的執(zhí)行；Router(config)*route-maproute-map-name[permit|deny]sequence定義路由圖Router(config)*noroute-maproute-map-name{[permit|deny]sequence}刪除路由圖2）定義路由圖每個策略的匹配規(guī)則或條件；定義匹配規(guī)則，只有符合規(guī)則的數(shù)據(jù)包才進行策略路由，如果沒有配置匹配規(guī)則，則所有數(shù)據(jù)包都符合規(guī)則。要定義策略的匹配規(guī)則，在路由圖配置模式中執(zhí)行以下Route(config-route-map)*matchipaddressaccess-list-number匹配訪問列表中的地址Route(config-route-map)*matchlengthmin-lengthma*-length匹配數(shù)據(jù)包大小圍3）定義滿足匹配規(guī)則后，路由器對符合規(guī)則的數(shù)據(jù)包進行IP優(yōu)先值和下一跳的設(shè)置。要定義匹配規(guī)則后的操作，在路由圖配置模式中執(zhí)行以下命令：Router(config-route-map)*setdefaultinterfaceinterface-typeinterface-number設(shè)置數(shù)據(jù)包的輸出接口，Router(config-route-map)*setipdefaultne*t-hopip-address設(shè)置數(shù)據(jù)包的下一跳IP地址，Router(config-route-map)*setipne*t-hopip-address設(shè)置數(shù)據(jù)包的下一跳IP地址Router(config-route-map)*setipprecedence{precedence|critical|flash|flash-override|immediate|internet|network|priority|routine}設(shè)置數(shù)據(jù)包IP優(yōu)先值setipne*t-hop和setipdefaultne*t-hop命令十分類似，但是操作的順序完全不同。setipne*t-hop命令使得路由器首先檢查策略路由，不符合策略后使用路由表進行數(shù)據(jù)包轉(zhuǎn)發(fā)處理；setipdefaultne*t-hop命令使得路由器首先檢查路由表，若發(fā)現(xiàn)沒有明確路由則使用策略路由進行數(shù)據(jù)包轉(zhuǎn)發(fā)處理。IP數(shù)據(jù)包報頭優(yōu)先值的設(shè)置，網(wǎng)絡(luò)流量大時，優(yōu)先值高的流量可以得到優(yōu)先處理。缺省情況下，RGNOS是不對IP報頭的優(yōu)先值進行修改的，會保持其原有的值。在應(yīng)用策略路由時，可以對IP報頭的優(yōu)先值進行設(shè)置。當這些攜帶一定優(yōu)先值的數(shù)據(jù)包到達其它路由器時，如果該路由器啟用了隊列機制，優(yōu)先值高的數(shù)據(jù)包會得到優(yōu)先處理，其服務(wù)質(zhì)量就得到了保證。如果沒有啟用隊列機制，優(yōu)先值將沒有任何意義，所有數(shù)據(jù)包的發(fā)送按照FIFO（先進先出）的方式進行處理。優(yōu)先值的設(shè)置可以用名字或者數(shù)字，名字命名來自RFC791，其對應(yīng)關(guān)系如下0Routing1Priority2Immediate3Flash4flash-override5Critical6Internet7Network4）在指定接口中應(yīng)用路由圖。要配置到達路由器接口數(shù)據(jù)包的策略路由，在接口配置模式中執(zhí)行以下命令：Router(config-if)*ippolicyroute-maproute-map在接口應(yīng)用策略路由說明路由器本身產(chǎn)生的數(shù)據(jù)包，通常是不要應(yīng)用策略路由，如果路由器本身產(chǎn)生的數(shù)據(jù)包也要應(yīng)用策略路由，在全局配置模式中執(zhí)行以下命令：Router(config)*iplocalpolicyroute-maproute-map應(yīng)用本地策略路由接口上應(yīng)用策略時，缺省情況下，IP報文快速轉(zhuǎn)發(fā)也支持策略路由轉(zhuǎn)發(fā)。如果要關(guān)閉策略路由的快速轉(zhuǎn)發(fā)功能，可以有以下命令：Router(config-if)*noiproute-cachepolicy在接口上關(guān)閉策略路由快速轉(zhuǎn)發(fā)功能。.2路由器配置舉例.0ISPA..0ISPB.RouterA(config)*access-list1permitiRouterA(config)*access-list2permitiRouterA(config)*route-mapaccesspermit10（序列號從低開始匹配）RouterA(config-route-map)*matchipaddress1（匹配列表1）RouterA(config-route-map)*setipdefaultne*t-ho.6（指向下一跳地址）RouterA(config-route-map)*route-mapaccesspermit20RouterA(config-route-map)*matchipaddress2RouterA(config-route-map)*setipdefaultne*t-ho.7RouterA(config-route-map)*route-mapaccesspermit30RouterA(config-route-map)*setdefaultinterfacenull0（沒有匹配1和2的都丟棄）RouterA(config)*interfaceethernet0RouterA(config-if)*ipaddressRouterA(config-if)*ippolicyroute-mapaccessRouterA(config)*interfaceserial0RouterA(config-if)*ipaddressRouterA(config)*interfaceserial1RouterA(config-if)*ipaddress交換機基本配置.1交換機配置步驟1）定義重分布路由圖，一個路由圖可以由好多策略組成，策略按序號大小排列，只要符合了前面策略，就退出路由圖的執(zhí)行；2）定義路由圖每個策略的匹配規(guī)則或條件；3）定義滿足匹配規(guī)則后，路由器對符合規(guī)則的數(shù)據(jù)包進行IP優(yōu)先值和下一跳的設(shè)置4）在指定接口中應(yīng)用路由圖。.2交換機配置舉例在f0/0口上配置策略路由,使得所有進入的報文都轉(zhuǎn)發(fā)到下一跳為的設(shè)備Ruijie(config)*access-list1permitanyRuijie(config)*route-mapnameRuijie(config-route-map)*matchipaddress1Ruijie(config-route-map)*intf0/0Ruijie(config-if)*ippolicyroute-mapname.3交換機配置建議S6000E系列的交換機使用多業(yè)務(wù)子卡可實現(xiàn)策略路由。一個接口最多只能配置一個路由圖，在同一個接口上多次配置路由圖會相互覆蓋。在使用策略路由時，每個子路由圖建議只配置一個ACL；如果配置的子路由圖中只有ne*thop而沒有配置ACL，則等價于所有報文都匹配；如果子路由圖中只有ACL而沒有ne*thop則匹配的報文普通轉(zhuǎn)發(fā)；如果子路由圖中即沒有ACL也沒有ne*thop,則等價所有報文普通轉(zhuǎn)發(fā)。策略路由只支持配置ACL號,不支持ACL名字配置如果配置了ACL號但是該ACL不存在，等價所有報文都匹配3.3策略路由的驗證和調(diào)試顯示IP策略應(yīng)用情況router*showippolicyInterfaceRoutemapFastEthernet2testDebugippolicyIP:s=.2(FastEthernet1/1),d=50(<NULL>),len=60,precedence=0,policymatchRouteMaptest,item=10,permitIP:s=.2(FastEthernet1/1),d=50(FastEthernet1/0),len=60,precedence=0,policyrouted顯示所有或指定路由映射的信息server_r1*showroute-map<word>

route-maptest,permit,sequence10Matchclauses:ipaddress(access-lists):1Setclauses:defaultinterfaceFastEthernet0Policyroutingmatches:42packets,2520bytesroute-maptest,permit,sequence20Matchclauses:ipaddress(access-lists):2Setclauses:ipne*t-ho.3Policyroutingmatches:12packets,720bytes顯示所有或指定路由映射的信息4策略路由部署應(yīng)用案例4.1策略路由配置案例一網(wǎng)絡(luò)拓撲功能需求：OICQ應(yīng)用全走電信出口/24數(shù)據(jù)流通過教育網(wǎng)上網(wǎng)/24訪問教育網(wǎng)走教育網(wǎng)非教育網(wǎng)流量走電信配置實現(xiàn)：route-maptestpermit10matchipaddress103route-maptestpermit20matchipaddress105ipaccess-liste*tended10310permittcpanyanyeq800020permitudpanyanyeq8000//OICQ端口ipaccess-liste*tended10510permitip.255any30permitipany55省略…//.教育網(wǎng)地址段

intge1/3ippolicyroute-maptest//應(yīng)用到入接口4.2策略路由配置案例二網(wǎng)絡(luò)拓撲功能需求：OICQ應(yīng)用全走電信出口/24數(shù)據(jù)流通過教育網(wǎng)上網(wǎng)/24訪問教育網(wǎng)走教育網(wǎng)非教育網(wǎng)流量走電信配置實現(xiàn)：route-maptestpermit10matchipaddress103route-maptestpermit20matchipaddress105ipaccess-liste*tended10310permittcpanyanyeq800020permitudpanyanyeq8000//OICQ端口ipaccess-liste*tended10510denyipany.25520denyipany.25530permitip.255any40permitipany55省略…//.教育網(wǎng)地址段

intrangeg