目  錄

1 策略路由

1.1 策略路由簡介

1.1.1 報文的轉發流程

1.1.2 策略路由類型

1.1.3 策略簡介

1.1.4 策略路由與Track聯動

1.1.5 策略路由配置限製和指導

1.2 策略路由配置任務簡介

1.3 配置策略

1.3.1 創建策略節點

1.3.2 配置策略節點的匹配規則

1.3.3 配置策略節點的動作

1.4 應用策略

1.4.1 對本地報文應用策略

1.4.2 對接口轉發的報文應用策略

1.5 開啟策略路由日誌信息功能

1.6 策略路由顯示和維護

1.6.1 顯示策略路由的配置

1.6.2 顯示策略的應用情況以及統計信息

1.6.3 清除策略路由的統計信息

1.7 策略路由典型配置舉例

1.7.1 基於報文協議類型的本地策略路由配置舉例

1.7.2 基於報文協議類型的轉發策略路由配置舉例

1.7.3 基於報文源地址的轉發策略路由配置舉例

1 策略路由

1.1  策略路由簡介

與單純依照IP報文的目的地址查找路由表進行轉發不同，策略路由是一種依據用戶製定的策略進行路由轉發的機製。策略路由可以對於滿足一定條件（ACL規則）的報文，執行指定的操作（設置報文的下一跳、出接口、缺省下一跳和缺省出接口等）。

1.1.1  報文的轉發流程

設備上，報文的基本轉發流程為：

(1)     首先根據配置的策略路由，查找滿足匹配條件的節點。

(2)     若找到了匹配的節點，並且該節點是permit（允許）模式：

a.     根據策略路由中配置的下一跳和出接口指導報文轉發。

b.     若節點未配置下一跳和出接口，或根據下一跳和出接口指導報文轉發失敗，則根據路由表中除缺省路由之外的路由來轉發報文。

c.     若未找到除缺省路由之外的路由，或路由轉發失敗，則根據策略路由中配置的缺省下一跳和缺省出接口指導報文轉發。

d.     若節點未配置缺省下一跳和缺省出接口，或根據缺省下一跳和缺省出接口指導報文轉發失敗，則根據缺省路由來轉發報文。

(3)     若找不到匹配的節點，或找到了匹配的節點，但該節點是deny（拒絕）模式，則根據路由表指導報文轉發。

1.1.2  策略路由類型

根據作用對象的不同，策略路由可分為以下類型：

·     本地策略路由：對設備本身產生的報文（比如本地發出的ping報文）起作用，指導其發送。

·     轉發策略路由：對接口接收的報文起作用，指導其轉發。

1.1.3  策略簡介

策略用來定義報文的匹配規則，以及對報文執行的操作。策略由節點組成。

一個策略可以包含一個或者多個節點。節點的構成如下：

·     每個節點由節點編號來標識。節點編號越小節點的優先級越高，優先級高的節點優先被執行。

·     每個節點的具體內容由if-match子句和apply子句來指定。if-match子句定義該節點的匹配規則，apply子句定義該節點的動作。

·     每個節點對報文的處理方式由匹配模式決定。匹配模式分為permit（允許）和deny（拒絕）兩種。

應用策略後，係統將根據策略中定義的匹配規則和操作，對報文進行處理：係統按照優先級從高到低的順序依次匹配各節點，如果報文滿足這個節點的匹配規則，就執行該節點的動作；如果報文不滿足這個節點的匹配規則，就繼續匹配下一個節點；如果報文不能滿足策略中任何一個節點的匹配規則，則根據路由表來轉發報文。

1. if-match子句關係

目前，策略路由支持通過if-match acl子句設置ACL匹配規則，在一個節點中隻能配置一條if-match acl子句。

2. apply子句關係

同一個節點中可以配置多條apply子句，但不一定都會執行。多條apply子句之間的關係請參見“1.3.3  配置策略節點的動作”。

3. 節點的匹配模式與節點的if-match子句、apply子句的關係

一個節點的匹配模式與這個節點的if-match子句、apply子句的關係如表1-1所示。

表1-1 節點的匹配模式、if-match子句、apply子句三者之間的關係

是否滿足所有if-match子句	節點匹配模式
	permit（允許模式）	deny（拒絕模式）
是	·     如果節點配置了apply子句，則執行此節點apply子句 ¡     如果節點指導報文轉發成功，則不再匹配下一節點 ¡     如果節點指導報文轉發失敗，則不再匹配下一節點 ·     如果節點未配置apply子句，則不會執行任何動作，且不再匹配下一節點，報文將根據路由表來進行轉發	不執行此節點apply子句，不再匹配下一節點，報文將根據路由表來進行轉發
否	不執行此節點apply子句，繼續匹配下一節點	不執行此節點apply子句，繼續匹配下一節點

 

 

1.1.4  策略路由與Track聯動

策略路由通過與Track聯動，增強了應用的靈活性和對網絡環境變化的動態感知能力。

策略路由可以在配置報文的下一跳、出接口、缺省下一跳、缺省出接口時與Track項關聯，根據Track項的狀態來動態地決定策略的可用性。策略路由配置僅在關聯的Track項狀態為Positive或NotReady時生效。關於策略路由與Track聯動的詳細介紹和相關配置，請參見“可靠性配置指導”中的“Track”。

1.1.5  策略路由配置限製和指導

收到某些目的為本設備的IP報文後，如果策略路由匹配該報文，會在報文上送CPU處理前先按策略節點動作處理。

1.2  策略路由配置任務簡介

策略路由配置任務如下：

(1)     配置策略

a.     創建策略節點

b.     配置策略節點的匹配規則

c.     配置策略節點的動作

(2)     應用策略

請選擇以下至少一項任務進行配置：

¡     對本地報文應用策略

¡     對接口轉發的報文應用策略

(3)     （可選）開啟策略路由日誌信息功能

1.3  配置策略

1.3.1  創建策略節點

(1)     進入係統視圖。

system-view

(2)     創建策略節點，並進入策略節點視圖。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     （可選）設置當前策略節點的描述信息。

description text

缺省情況下，未設置當前策略節點的描述信息。

1.3.2  配置策略節點的匹配規則

1. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入策略節點視圖。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     設置匹配規則。

¡     設置ACL匹配規則。

if-match acl { acl-number | name acl-name }

缺省情況下，未設置ACL匹配規則。

策略路由僅支持匹配基本ACL和高級ACL。

設置ACL匹配規則時，對於ACL規則的permit/deny動作以及time-range指定的規則生效時間段等的處理機製不再生效。

1.3.3  配置策略節點的動作

1. 功能簡介

用戶通過配置apply子句指導策略節點的動作。

影響報文轉發路徑的apply子句有五條，優先級從高到低依次為：

(1)     apply access-vpn vpn-instance

(2)     apply next-hop

(3)     apply output-interface

(4)     apply default-next-hop

(5)     apply default-output-interface

apply子句的含義、執行優先情況和詳細說明如表1-2所示。

表1-2 apply子句的含義以及執行優先情況等說明

子句	含義	執行優先情況/詳細說明
apply precedence	設置IP報文的IP優先級	隻要配置了該子句，該子句就一定會執行
apply access-vpn vpn-instance	設置報文在指定VPN實例中進行轉發	報文如果匹配了其中一個VPN實例下的轉發表，報文將在該VPN實例中進行轉發
apply remark-vpn	重標記報文中的VPN實例	本命令必須和apply access-vpn命令同時使用
apply next-hop和apply output-interface	設置報文的下一跳、出接口	當兩條子句同時配置並且都有效時，係統隻會執行apply next-hop子句
apply default-next-hop和apply default-output-interface	設置報文的缺省下一跳、缺省出接口	當兩條子句同時配置並且都有效時，係統隻會執行apply default-next-hop子句 執行缺省下一跳和出接口的前提是：在策略中未配置下一跳或者出接口，或者配置的下一跳和出接口無效，並且在路由表中未找到與報文目的IP地址匹配的路由表項
apply statistics	設置策略節點統計匹配成功的次數和字節數	開啟本功能後，管理員可以通過display命令查看當前匹配成功的總次數和字節總數 策略節點中隻要配置了此動作，就一定會執行

‌

2. 配置限製和指導

策略路由通過查詢FIB表中是否存在下一跳或缺省下一跳地址對應的條目，判斷設置的報文轉發下一跳或缺省下一跳地址是否可用。策略路由周期性檢查FIB表，設備到下一跳的路徑發生變化時，策略路由無法及時感知，可能會導致通信發生短暫中斷。

3. 配置修改報文字段類動作

(1)     進入係統視圖。

system-view

(2)     進入策略節點視圖。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     配置動作。

¡     設置IP報文的IP優先級。

apply precedence { type | value }

缺省情況下，未設置IP報文的優先級。

4. 配置指導報文轉發類動作

(1)     進入係統視圖。

system-view

(2)     進入策略節點視圖。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     配置動作。

¡     設置報文在指定VPN實例中進行轉發。

apply access-vpn vpn-instance vpn-instance-name&<1-n>

缺省情況下，未設置報文在指定VPN實例中進行轉發。

每個節點最多可以配置n個VPN實例。當滿足匹配規則後，將根據第一個可用的VPN實例轉發表進行轉發。

本功能和開啟在VPN實例中查找路由失敗時到公網中查找路由功能互斥，不能同時配置。即在策略節點配置了本命令後，不能在VPN實例視圖下配置redirect public enable命令。有關開啟在VPN實例中查找路由失敗時到公網中查找路由功能的詳細介紹，請參見“MPLS配置指導”中的“MPLS L3VPN”。

僅R5111及以上版本支持本命令。

¡     重標記報文所屬的VPN。

apply remark-vpn

缺省情況下，未重標記報文所屬的VPN。

僅R5111及以上版本支持本命令。

¡     設置報文轉發的下一跳。

apply next-hop [ vpn-instance vpn-instance-name ] { ip-address [ direct ] [ track track-entry-number ] }&<1-2>

缺省情況下，未設置報文轉發的下一跳。

用戶通過一次或多次配置本命令可以同時配置多個下一跳，每個節點最多可以配置2個下一跳，這些下一跳起到主備的作用。

¡     設置指導報文轉發的出接口。

apply output-interface { interface-type interface-number [ track track-entry-number ] }

缺省情況下，未設置指導報文轉發的出接口。

通過本命令設置的出接口不能是自動創建的Tunnel接口。

¡     設置指導報文轉發的缺省下一跳。

apply default-next-hop [ vpn-instance vpn-instance-name | inbound-vpn ] { ip-address [ direct ] [ track track-entry-number ] }&<1-2>

缺省情況下，未設置指導報文轉發的缺省下一跳。

用戶通過一次或多次配置本命令可以同時配置多個缺省下一跳，每個節點最多可以配置2個缺省下一跳，這些缺省下一跳起到主備的作用。

¡     設置指導報文轉發的缺省出接口。

apply default-output-interface { interface-type interface-number [ track track-entry-number ]

缺省情況下，未設置指導報文轉發的缺省出接口。

通過本命令設置的缺省出接口不能是自動創建的Tunnel接口。

5. 設置統計類動作

(1)     進入係統視圖。

system-view

(2)     進入策略節點視圖。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     設置策略節點統計匹配成功的次數和字節數。

apply statistics

缺省情況下，未配置策略節點統計匹配成功的次數和字節數。

配置了本命令後，在對接口轉發的報文應用策略時，不支持通過share-mode參數開啟資源共享模式。

1.4  應用策略

1.4.1  對本地報文應用策略

1. 功能簡介

通過本配置，可以將已經配置的策略應用到本地，指導設備本身產生報文的發送。應用策略時，該策略必須已經存在，否則配置將失敗。

2. 配置限製和指導

·     對本地報文隻能應用一個策略。應用新的策略前必須刪除本地原來已經應用的策略。

·     若無特殊需求，建議用戶不要對本地報文應用策略。否則，有可能會對本地報文的發送造成不必要的影響（如ping、telnet服務的失效）。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     對本地報文應用策略。

ip local policy-based-route policy-name

缺省情況下，未對本地報文應用策略。

1.4.2  對接口轉發的報文應用策略

1. 功能簡介

通過本配置，可以將已經配置的策略應用到接口，指導接口接收的所有報文的轉發。應用策略時，該策略必須已經存在，否則配置將失敗。

2. 配置限製和指導

·     對接口轉發的報文應用策略時，一個接口隻能應用一個策略。應用新的策略前必須刪除接口上原來已經應用的策略。

·     一個策略可以同時被多個接口應用。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     對接口轉發的報文應用策略。

ip policy-based-route policy-name [ share-mode ]

缺省情況下，未對接口轉發的報文應用策略。

如果在策略中配置了apply statistics子句，則本命令不支持指定share-mode參數。

1.5  開啟策略路由日誌信息功能

1. 功能簡介

策略路由日誌是為了滿足管理員審計需求。設備生成策略路由日誌信息會交給信息中心模塊處理，信息中心模塊的配置將決定日誌信息的發送規則和發送方向。關於信息中心的詳細描述請參見“設備管理配置指導”中的“信息中心”。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     開啟策略路由日誌信息功能。

ip policy-based-route-log enable

缺省情況下，策略路由日誌信息功能處於關閉狀態。

1.6  策略路由顯示和維護

1.6.1  顯示策略路由的配置

可在任意視圖下執行以下命令，顯示已經配置的策略。

display ip policy-based-route [ policy policy-name ]

1.6.2  顯示策略的應用情況以及統計信息

可在任意視圖下執行以下命令：

·     顯示已經應用的策略路由信息。

display ip policy-based-route setup

·     顯示本地策略路由的配置信息和統計信息。

display ip policy-based-route local [ slot slot-number ]

·     顯示接口下轉發策略路由的配置信息和統計信息。

display ip policy-based-route interface interface-type interface-number [ slot slot-number ]

1.6.3  清除策略路由的統計信息

請在用戶視圖下執行以下命令，清除策略路由的統計信息。

reset ip policy-based-route statistics [ policy policy-name ]

1.7  策略路由典型配置舉例

1.7.1  基於報文協議類型的本地策略路由配置舉例

1. 組網需求

Router A分別與Router B和Router C直連（保證Router B和Router C之間路由完全不可達）。通過策略路由控製Router A產生的報文：

·     指定所有TCP報文的下一跳為1.1.2.2；

·     其它報文仍然按照查找路由表的方式進行轉發。

2. 組網圖

圖1-1 基於報文協議類型的本地策略路由的配置舉例組網圖

‌

3. 配置步驟

 

(1)     配置Router A

# 配置GigabitEthernet接口的IP地址。

<RouterA> system-view

[RouterA] interface hundredgige 1/0/1

[RouterA-HundredGigE1/0/1] ip address 1.1.2.1 24

[RouterA-HundredGigE1/0/1] quit

[RouterA] interface hundredgige 1/0/2

[RouterA-HundredGigE1/0/2] ip address 1.1.3.1 24

[RouterA-HundredGigE1/0/2] quit

# 定義訪問控製列表ACL 3101，用來匹配TCP報文。

[RouterA] acl advanced 3101

[RouterA-acl-ipv4-adv-3101] rule permit tcp

[RouterA-acl-ipv4-adv-3101] quit

# 定義5號節點，指定所有TCP報文的下一跳為1.1.2.2。

[RouterA] policy-based-route aaa permit node 5

[RouterA-pbr-aaa-5] if-match acl 3101

[RouterA-pbr-aaa-5] apply next-hop 1.1.2.2

[RouterA-pbr-aaa-5] quit

# 在Router A上應用本地策略路由。

[RouterA] ip local policy-based-route aaa

(2)     配置Router B

# 配置GigabitEthernet接口的IP地址。

<RouterB> system-view

[RouterB] interface hundredgige 1/0/1

[RouterB-HundredGigE1/0/1] ip address 1.1.2.2 24

(3)     配置Router C

# 配置GigabitEthernet接口的IP地址。

<RouterC> system-view

[RouterC] interface hundredgige 1/0/2

[RouterC-HundredGigE1/0/2] ip address 1.1.3.2 24

4. 驗證配置

從Router A上通過Telnet方式登錄Router B（1.1.2.2/24），結果成功。

從Router A上通過Telnet方式登錄Router C（1.1.3.2/24），結果失敗。

從Router A上ping Router C（1.1.3.2/24），結果成功。

由於Telnet使用的是TCP協議，ping使用的是ICMP協議，所以由以上結果可證明：Router A產生的TCP報文的下一跳為1.1.2.2，接口HundredGigE1/0/2不發送TCP報文，但可以發送非TCP報文，策略路由設置成功。

1.7.2  基於報文協議類型的轉發策略路由配置舉例

1. 組網需求

Router A分別與Router B和Router C直連（保證Router B和Router C之間路由完全不可達）。通過策略路由控製從Router A的以太網接口HundredGigE1/0/1接收的報文：

·     指定所有TCP報文的下一跳為1.1.2.2；

·     其它報文仍然按照查找路由表的方式進行轉發。

2. 組網圖

圖1-2 基於報文協議類型的轉發策略路由的配置舉例組網圖

‌

3. 配置準備

 

配置前請確保Router B和Host A，Router C和Host A之間路由可達。

4. 配置步驟

(1)     配置Router A

# 配置接口HundredGigE1/0/2和HundredGigE1/0/3的IP地址。

<RouterA> system-view

[RouterA] interface hundredgige 1/0/2

[RouterA-HundredGigE1/0/2] ip address 1.1.2.1 24

[RouterA-HundredGigE1/0/2] quit

[RouterA] interface hundredgige 1/0/3

[RouterA-HundredGigE1/0/3] ip address 1.1.3.1 24

[RouterA-HundredGigE1/0/3] quit

# 定義訪問控製列表ACL 3101，用來匹配TCP報文。

[RouterA] acl advanced 3101

[RouterA-acl-ipv4-adv-3101] rule permit tcp

[RouterA-acl-ipv4-adv-3101] quit

# 定義5號節點，指定所有TCP報文的下一跳為1.1.2.2。

[RouterA] policy-based-route aaa permit node 5

[RouterA-pbr-aaa-5] if-match acl 3101

[RouterA-pbr-aaa-5] apply next-hop 1.1.2.2

[RouterA-pbr-aaa-5] quit

# 在以太網接口HundredGigE1/0/1上應用轉發策略路由，處理此接口接收的報文。

[RouterA] interface hundredgige 1/0/1

[RouterA-HundredGigE1/0/1] ip address 10.110.0.10 24

[RouterA-HundredGigE1/0/1] ip policy-based-route aaa

[RouterA-HundredGigE1/0/1] quit

5. 驗證配置

從Host A上通過Telnet方式登錄Router B，結果成功。

從Host A上通過Telnet方式登錄Router C，結果失敗。

從Host A上ping Router C，結果成功。

由於Telnet使用的是TCP協議，ping使用的是ICMP協議，所以由以上結果可證明：從Router A的以太網接口HundredGigE1/0/1接收的TCP報文的下一跳為1.1.2.2，接口HundredGigE1/0/3不轉發TCP報文，但可以轉發非TCP報文，策略路由設置成功。

1.7.3  基於報文源地址的轉發策略路由配置舉例

1. 組網需求

Router A分別與Router B和Router C直連（保證Router B和Router C之間路由完全不可達）。通過策略路由控製從Router A的以太網接口HundredGigE1/0/1接收的報文：

·     源地址為192.168.10.2的報文以4.1.1.2/24作為下一跳IP地址；

·     其它源地址的報文以5.1.1.2/24作為下一跳IP地址。

2. 組網圖

圖1-3 基於報文源地址的轉發策略路由的配置舉例組網圖

‌

3. 配置準備

 

配置前請確保Router B和Host A/Host B，Router C和Host A/Host B之間路由可達。

4. 配置步驟

(1)     配置Router A

# 配置接口HundredGigE1/0/2和HundredGigE1/0/3的IP地址。

<RouterA> system-view

[RouterA] interface hundredgige 1/0/2

[RouterA-HundredGigE1/0/2] ip address 4.1.1.1 24

[RouterA-HundredGigE1/0/2] quit

[RouterA] interface hundredgige 1/0/3

[RouterA-HundredGigE1/0/3] ip address 5.1.1.1 24

[RouterA-HundredGigE1/0/3] quit

# 定義訪問控製列表ACL 2000，用來匹配源地址為192.168.10.2的報文。

[RouterA] acl basic 2000

[RouterA-acl-ipv4-basic-2000] rule 10 permit source 192.168.10.2 0

[RouterA-acl-ipv4-basic-2000] quit

# 定義0號節點，指定所有源地址為192.168.10.2的報文的下一跳為4.1.1.2。

[RouterA] policy-based-route aaa permit node 0

[RouterA-pbr-aaa-0] if-match acl 2000

[RouterA-pbr-aaa-0] apply next-hop 4.1.1.2

[RouterA-pbr-aaa-0] quit

[RouterA] policy-based-route aaa permit node 1

[RouterA-pbr-aaa-1] apply next-hop 5.1.1.2

[RouterA-pbr-aaa-1] quit

# 在以太網接口HundredGigE1/0/1上應用轉發策略路由，處理此接口接收的報文。

[RouterA] interface hundredgige 1/0/1

[RouterA-HundredGigE1/0/1] ip address 192.168.10.1 24

[RouterA-HundredGigE1/0/1] ip policy-based-route aaa

[RouterA-HundredGigE1/0/1] quit

5. 驗證配置

從Host A上ping Router B，結果成功。

從Host B上ping Router B，結果失敗。

從Host A上ping Router C，結果失敗。

從Host B上ping Router C，結果成功。

以上結果可證明：從Router A的以太網接口HundredGigE1/0/1接收的源地址為192.168.10.2的報文的下一跳為4.1.1.2，所以Host A能ping通Router B，源地址為192.168.10.3的下一跳5.1.1.2，所以Host B能ping通Router C，由此表明策略路由設置成功。