目  錄

1 IPv6策略路由

1.1 IPv6策略路由簡介

1.1.1 IPv6報文的轉發流程

1.1.2 IPv6策略路由類型

1.1.3 IPv6策略簡介

1.1.4 策略路由與Track聯動

1.2 IPv6策略路由配置限製和指導

1.3 IPv6策略路由配置任務簡介

1.4 配置IPv6策略

1.4.1 創建IPv6策略節點

1.4.2 配置IPv6策略節點的匹配規則

1.4.3 配置IPv6策略節點的動作

1.5 應用IPv6策略

1.5.1 對本地報文應用IPv6策略

1.5.2 在指定接口應用IPv6轉發策略

1.5.3 全局應用IPv6轉發策略

1.6 IPv6策略路由顯示和維護

1.7 IPv6策略路由典型配置舉例

1.7.1 基於報文協議類型的IPv6本地策略路由配置舉例

1.7.2 基於報文協議類型的IPv6轉發策略路由配置舉例

1.7.3 基於報文協議類型的IPv6全局策略路由配置舉例

 

1 IPv6策略路由

1.1  IPv6策略路由簡介

與單純依照IPv6報文的目的地址查找路由表進行轉發不同，策略路由是一種依據用戶製定的策略進行路由轉發的機製。策略路由可以對於滿足一定條件（ACL規則）的報文，執行指定的操作（設置報文的下一跳、出接口、缺省下一跳和缺省出接口等）。

1.1.1  IPv6報文的轉發流程

設備上，IPv6報文的基本轉發流程為：

(1)     首先根據配置的IPv6策略路由，查找滿足匹配條件的節點。

(2)     若找到了匹配的節點，並且該節點是permit（允許）模式：

a.     根據策略路由中配置的下一跳和出接口指導報文轉發。

b.     若節點未配置下一跳和出接口，或根據下一跳和出接口指導報文轉發失敗，則根據路由表中除缺省路由之外的路由來轉發報文。

c.     若未找到除缺省路由之外的路由，或路由轉發失敗，則根據策略路由中配置的缺省下一跳和缺省出接口指導報文轉發。

d.     若節點未配置缺省下一跳和缺省出接口，或根據缺省下一跳和缺省出接口指導報文轉發失敗，則根據缺省路由來轉發報文。

(3)     若找不到匹配的節點，或找到了匹配的節點，但該節點是deny（拒絕）模式，則根據路由表指導報文轉發。

1.1.2  IPv6策略路由類型

根據作用對象的不同，策略路由可分為本地策略路由和轉發策略路由：

·     本地策略路由：對設備本身產生的報文（比如本地發出的ping報文）起作用，指導其發送。

·     轉發策略路由：對接口接收的報文起作用，指導其轉發。

1.1.3  IPv6策略簡介

IPv6策略用來定義報文的匹配規則，以及對報文執行的操作。IPv6策略由節點組成。

一個IPv6策略可以包含一個或者多個節點。節點的構成如下：

·     每個節點由節點編號來標識。編號越小的節點優先被執行。

·     每個節點的具體內容由if-match子句和apply子句來指定。if-match子句定義該節點的匹配規則，apply子句定義該節點的動作。

·     每個節點對報文的處理方式由匹配模式決定。匹配模式分為permit（允許）和deny（拒絕）兩種。

應用IPv6策略後，係統將根據IPv6策略中定義的匹配規則和操作，對報文進行處理：係統按照優先級從高到低的順序依次匹配各節點，如果報文滿足這個節點的匹配規則，就執行該節點的動作；如果報文不滿足這個節點的匹配規則，就繼續匹配下一個節點；如果報文不能滿足IPv6策略中任何一個節點的匹配規則，則根據路由表來轉發報文。

1. if-match子句關係

在一個節點中可以配置多條if-match子句，同一類型的if-match子句最多隻能有一條，最新的配置生效。

同一個節點中的各if-match子句之間是“與”的關係，即報文必須滿足該節點的所有if-match子句才算滿足這個節點的匹配規則。

2. apply子句關係

同一個節點中可以配置多條apply子句，但不一定都會執行。多條apply子句之間的關係請參見“1.4.3  配置IPv6策略節點的動作”。

3. 節點的匹配模式與節點的if-match子句、apply子句的關係

一個節點的匹配模式與這個節點的if-match子句、apply子句的關係如表1-1所示。

表1-1 節點的匹配模式、if-match子句、apply子句三者之間的關係

是否滿足所有if-match子句	節點匹配模式
	permit（允許模式）	deny（拒絕模式）
是	·     如果節點配置了apply子句，則執行此節點apply子句，不再匹配下一節點 ¡     如果節點指導報文轉發成功，則不再匹配下一節點 ¡     如果節點指導報文轉發失敗，則繼續匹配下一節點 ·     如果節點未配置apply子句，則不會執行任何動作，且不再匹配下一節點，報文將根據路由表來進行轉發	不執行此節點apply子句，不再匹配下一節點，報文將根據路由表來進行轉發
否	不執行此節點apply子句，繼續匹配下一節點	不執行此節點apply子句，繼續匹配下一節點

 

 

1.1.4  策略路由與Track聯動

策略路由通過與Track聯動，增強了應用的靈活性和對網絡環境變化的動態感知能力。

策略路由可以在配置報文的下一跳、出接口、缺省下一跳、缺省出接口時與Track項關聯，根據Track項的狀態來動態地決定策略的可用性。策略路由配置僅在關聯的Track項狀態為Positive或NotReady時生效。關於策略路由與Track聯動的詳細介紹和相關配置，請參見“可靠性配置指導”中的“Track”。

1.2  IPv6策略路由配置限製和指導

設備收到某些目的為本設備的IPv6報文後，如果IPv6策略路由匹配該報文，會在報文上送CPU處理前先按IPv6策略節點動作處理。

1.3  IPv6策略路由配置任務簡介

IPv6策略路由配置任務如下：

(1)     配置IPv6策略

a.     創建IPv6策略節點

b.     配置IPv6策略節點的匹配規則

c.     配置IPv6策略節點的動作

(2)     應用IPv6策略

請選擇以下至少一項任務進行配置：

¡     對本地報文應用IPv6策略

¡     對接口轉發的報文應用IPv6策略

-     在指定接口應用IPv6轉發策略

-     全局應用IPv6轉發策略

1.4  配置IPv6策略

1.4.1  創建IPv6策略節點

(1)     進入係統視圖。

system-view

(2)     創建IPv6策略節點，並進入IPv6策略節點視圖。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     （可選）設置當前IPv6策略節點的描述信息。

description text

缺省情況下，未設置當前IPv6策略節點的描述信息。

1.4.2  配置IPv6策略節點的匹配規則

(1)     進入係統視圖。

system-view

(2)     進入IPv6策略節點視圖。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     設置匹配規則。

¡     設置ACL匹配規則。

if-match acl { ipv6-acl-number | name ipv6-acl-name }

缺省情況下，未設置ACL匹配規則。

IPv6策略路由不支持匹配二層信息的ACL匹配規則。

設置ACL匹配規則時，對於ACL規則的permit/deny動作以及time-range指定的規則生效時間段等的處理機製不再生效。

¡     設置服務鏈匹配規則。

if-match service-chain path-id service-path-id [ path-index service-patch-index ]

缺省情況下，未設置服務鏈匹配規則。

需要注意的是：

-     如果在三層以太網接口和三層以太網聚合接口上應用策略路由，策略節點不能同時配置if-match service-chain和apply default-next-hop子句。

-     三層以太網子接口和三層以太網聚合子接口不支持服務鏈功能。

1.4.3  配置IPv6策略節點的動作

1. 功能簡介

用戶通過配置apply子句指導IPv6策略節點的動作。

影響報文轉發路徑的apply子句有四條，優先級從高到低依次為：

(1)     apply next-hop

(2)     apply output-interface

(3)     apply default-next-hop

(4)     apply default-output-interface

apply子句的含義、執行優先情況和詳細說明如表1-2所示。

表1-2 apply子句的含義以及執行優先情況等說明

子句	含義	執行優先情況/詳細說明
apply precedence	設置IPv6報文的IP優先級	隻要配置了該子句，該子句就一定會執行
apply next-hop和apply output-interface	設置報文的下一跳、出接口	apply next-hop的優先級高於apply output-interface。當兩條子句同時配置並且都有效時，係統隻會執行apply next-hop子句
apply service-chain	設置IPv6報文的服務鏈規則	本子句必須在應用可達的VXLAN隧道的下一跳才生效
apply default-next-hop和apply default-output-interface	設置報文的缺省下一跳、缺省出接口	apply default-next-hop的優先級高於apply default-output-interface。當兩條子句同時配置並且都有效時，係統隻會執行apply default-next-hop子句 執行缺省下一跳和出接口的前提是：在策略中未配置下一跳或者出接口，或者配置的下一跳和出接口無效，並且在路由表中未找到與報文目的IPv6地址匹配的路由表項
apply statistics	設置策略節點統計匹配成功的次數	開啟本功能後，管理員可以通過display命令查看當前匹配成功的總次數 策略節點中隻要配置了此動作，就一定會執行

‌

2. 配置限製和指導

IPv6策略路由通過查詢FIB表中是否存在下一跳或缺省下一跳地址對應的條目，判斷設置的報文轉發下一跳或缺省下一跳地址是否可用。IPv6策略路由周期性檢查FIB表，設備到下一跳的路徑發生變化時，IPv6策略路由無法及時感知，可能會導致通信發生短暫中斷。

報文匹配IPv6報文的服務鏈規則進入的VXLAN隧道必須是IPv4 VXLAN隧道。

3. 修改報文IP優先級

(1)     進入係統視圖。

system-view

(2)     進入IPv6策略節點視圖。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     設置IPv6報文的IP優先級。

apply precedence { type | value }

缺省情況下，未設置IPv6報文的優先級。

4. 配置指導報文轉發類動作

(1)     進入係統視圖。

system-view

(2)     進入IPv6策略節點視圖。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     配置動作。

¡     設置報文轉發的下一跳。

apply next-hop [ vpn-instance vpn-instance-name ] { ipv6-address [ direct ] [ track track-entry-number ] [ service-chain path-id service-path-id [ path-index service-patch-index ] ] } &<1-4>

缺省情況下，未設置報文轉發的下一跳。

用戶通過一次或多次配置本命令可以同時配置多個下一跳，每個節點最多可以配置4個下一跳，這些下一跳起到主備的作用。

當配置了多個下一跳做主備，且多個下一跳地址屬於同一個網段時，當主下一跳匹配失敗後，設備會先匹配主下一跳對應的網段路由轉發報文，當網段路由匹配失敗後，再匹配配置的備下一跳。

¡     設置指導報文轉發的出接口。

apply output-interface null 0 [ track track-entry-number ]

缺省情況下，未設置指導報文轉發的出接口。

¡     設置指導報文轉發的缺省下一跳。

apply default-next-hop [ vpn-instance vpn-instance-name ] { ipv6-address [ direct ] [ track track-entry-number ] [ service-chain path-id service-path-id [ path-index service-path-index ] ] }&<1-4>

缺省情況下，未設置指導報文轉發的缺省下一跳。

用戶通過一次或多次配置本命令可以同時配置多個缺省下一跳，每個節點最多可以配置4個缺省下一跳，這些缺省下一跳起到主備的作用。

¡     設置指導報文轉發的缺省出接口。

apply default-output-interface null 0 [ track track-entry-number ]

缺省情況下，未設置指導報文轉發的缺省出接口。

¡     設置報文的服務鏈規則。

apply service-chain path-id service-path-id [ path-index service-path-index ]

缺省情況下，未設置報文的服務鏈規則。

5. 設置統計類動作

(1)     進入係統視圖。

system-view

(2)     進入IPv6策略節點視圖。

ipv6 policy-based-route policy-name [ deny | permit ] node node-number

(3)     設置策略節點統計匹配成功的次數。

apply statistics

缺省情況下，未配置策略節點統計匹配成功的次數。

1.5  應用IPv6策略

1.5.1  對本地報文應用IPv6策略

1. 功能簡介

通過本配置，可以將已經配置的IPv6策略應用到本地，指導設備本身產生IPv6報文的發送。應用IPv6策略時，該IPv6策略必須已經存在，否則配置將失敗。

2. 配置限製和指導

對本地報文隻能應用一個IPv6策略。應用新的IPv6策略前必須刪除本地原來已經應用的IPv6策略。

若無特殊需求，建議用戶不要對本地報文應用IPv6策略。否則，有可能會對本地報文的發送造成不必要的影響（如ping、telnet服務的失效）。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     對本地報文應用IPv6策略。

ipv6 local policy-based-route policy-name

缺省情況下，未對本地報文應用IPv6策略。

1.5.2  在指定接口應用IPv6轉發策略

1. 功能簡介

通過本配置，可以將已經配置的IPv6策略應用到接口，指導接口接收的所有IPv6報文的轉發。應用IPv6策略時，該IPv6策略必須已經存在，否則配置將失敗。

2. 配置限製和指導

對接口轉發的報文應用IPv6策略時，一個接口隻能應用一個IPv6策略。應用新的IPv6策略前必須刪除接口上原來已經應用的IPv6策略。

一個IPv6策略可以同時被多個接口應用。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     對接口轉發的報文應用IPv6策略。

ipv6 policy-based-route policy-name

缺省情況下，未對接口轉發的報文應用IPv6策略。

1.5.3  全局應用IPv6轉發策略

1. 功能簡介

通過本配置，可以將已經配置的IPv6策略應用到所有接口，指導這些接口接收的所有報文的轉發。

2. 配置限製和指導

應用IPv6策略時，該IPv6策略必須已經存在，否則配置將失敗。

一台設備隻能應用一條IPv6全局策略，應用新的IPv6全局策略前必須通過執行undo ipv6 global policy-based-route命令取消應用的IPv6全局策略。

如果設備上同時應用了IPv6全局策略和IPv6轉發策略，則接口優先使用接口的IPv6轉發策略處理報文；如果接口上的報文不匹配IPv6轉發策略，則使用IPv6全局策略處理報文。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     對接口轉發的報文應用IPv6全局策略。

ipv6 global policy-based-route policy-name

缺省情況下，未對接口轉發的報文應用IPv6全局策略。

1.6  IPv6策略路由顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示IPv6策略路由配置後的運行情況，通過查看顯示信息驗證配置的效果。

在用戶視圖下，用戶可以執行reset命令可以清除IPv6策略路由的統計信息。

表1-3 IPv6策略路由顯示和維護

操作	命令
顯示已經配置的IPv6策略	display ipv6 policy-based-route [ policy policy-name ]
顯示IPv6全局策略路由的配置信息和統計信息	display ipv6 policy-based-route global [ slot slot-number ]
顯示接口下IPv6轉發策略路由的配置信息和統計信息	display ipv6 policy-based-route interface interface-type interface-number [ slot slot-number ]
顯示IPv6本地策略路由的配置信息和統計信息	display ipv6 policy-based-route local [ slot slot-number ]
顯示已經應用的IPv6策略路由信息	display ipv6 policy-based-route setup
清除IPv6策略路由的統計信息	reset ipv6 policy-based-route statistics [ policy policy-name ]

 

1.7  IPv6策略路由典型配置舉例

1.7.1  基於報文協議類型的IPv6本地策略路由配置舉例

1. 組網需求

Switch A分別與Switch B和Switch C直連（保證Switch B和Switch C之間路由完全不可達）。通過策略路由控製Switch A產生的報文：

·     指定所有TCP報文的下一跳為1::2；

·     其它IPv6報文仍然按照查找路由表的方式進行轉發。

2. 組網圖

圖1-1 基於報文協議類型的本地策略路由的配置舉例組網圖

 

3. 配置步驟

(1)     配置Switch A

# 創建VLAN 10和VLAN 20。

<SwitchA> system-view

[SwitchA] vlan 10

[SwitchA-vlan10] quit

[SwitchA] vlan 20

[SwitchA-vlan20] quit

# 配置接口Vlan-interface10和Vlan-interface20的IPv6地址。

[SwitchA] interface vlan-interface 10

[SwitchA-Vlan-interface10] ipv6 address 1::1 64

[SwitchA-Vlan-interface10] quit

[SwitchA] interface vlan-interface 20

[SwitchA-Vlan-interface20] ipv6 address 2::1 64

[SwitchA-Vlan-interface20] quit

# 定義訪問控製列表ACL 3001，用來匹配TCP報文。

[SwitchA] acl ipv6 advanced 3001

[SwitchA-acl-ipv6-adv-3001] rule permit tcp

[SwitchA-acl-ipv6-adv-3001] quit

# 定義5號節點，指定所有TCP報文的下一跳為1::2。

[SwitchA] ipv6 policy-based-route aaa permit node 5

[SwitchA-pbr6-aaa-5] if-match acl 3001

[SwitchA-pbr6-aaa-5] apply next-hop 1::2

[SwitchA-pbr6-aaa-5] quit

# 在Switch A上應用本地策略路由。

[SwitchA] ipv6 local policy-based-route aaa

(2)     配置Switch B

# 創建VLAN 10

<SwitchB> system-view

[SwitchB] vlan 10

[SwitchB-vlan10] quit

# 配置接口Vlan-interface10的IP地址。

[SwitchB] interface vlan-interface 10

[SwitchB-Vlan-interface10] ipv6 address 1::2 64

(3)     配置Switch C

#創建VLAN 20

<SwitchC> system-view

[SwitchC] vlan 20

[SwitchC-vlan20] quit

# 配置接口Vlan-interface20的IP地址。

[SwitchC] interface vlan-interface 20

[SwitchC-Vlan-interface20] ipv6 address 2::2 64

4. 驗證配置

從Switch A上通過Telnet方式登錄Switch B（1::2/64），結果成功。

從Switch A上通過Telnet方式登錄Switch C（2::2/64），結果失敗。

從Switch A上ping Switch C（2::2/64），結果成功。

由於Telnet使用的是TCP協議，ping使用的是ICMP6協議，所以由以上結果可證明：Switch A發出的TCP報文的下一跳為1::2，接口Vlan-interface20不發送TCP報文，但可以發送非TCP報文，策略路由設置成功。

1.7.2  基於報文協議類型的IPv6轉發策略路由配置舉例

1. 組網需求

Switch A分別與Switch B和Switch C直連（保證Switch B和Switch C之間路由完全不可達）。通過策略路由控製從Switch A的接口Vlan-interface11接收的報文：

·     指定所有TCP報文的下一跳為1::2；

·     其它IPv6報文仍然按照查找路由表的方式進行轉發。

2. 組網圖

圖1-2 基於報文協議類型的IPv6轉發策略路由配置舉例組網圖

 

3. 配置步驟

(1)     配置IPv6地址和單播路由協議，確保Switch B和Host A，Switch C和Host A之間路由可達，具體配置過程略。

(2)     配置Switch A

# 定義訪問控製列表ACL 3001，用來匹配TCP報文。

[SwitchA] acl ipv6 advanced 3001

[SwitchA-acl-ipv6-adv-3001] rule permit tcp

[SwitchA-acl-ipv6-adv-3001] quit

# 定義5號節點，指定所有TCP報文的下一跳為1::2。

[SwitchA] ipv6 policy-based-route aaa permit node 5

[SwitchA-pbr6-aaa-5] if-match acl 3001

[SwitchA-pbr6-aaa-5] apply next-hop 1::2

[SwitchA-pbr6-aaa-5] quit

# 在接口Vlan-interface11上應用轉發策略路由，處理此接口接收的報文。

[SwitchA] interface vlan-interface 11

[SwitchA-Vlan-interface11] ipv6 policy-based-route aaa

4. 驗證配置

在Host A上安裝IPv6協議棧，並將IPv6地址配置為10::3。

C:\>ipv6 install

Installing...

Succeeded.

C:\>ipv6 adu 4/10::3

從Host A上通過Telnet方式登錄Router B，結果成功。

從Host A上通過Telnet方式登錄Router C，結果失敗。

從Host A上ping Router C，結果成功。

由於Telnet使用的是TCP協議，ping使用的是ICMP協議，所以由以上結果可證明：從Switch A的接口Vlan-interface11接收的TCP報文的下一跳為1::2，接口Vlan-interface20不轉發TCP報文，但可以轉發非TCP報文，策略路由設置成功。

1.7.3  基於報文協議類型的IPv6全局策略路由配置舉例

1. 組網需求

Switch D分別與Switch A、Switch B、Switch C、Switch E和Switch F直連（保證Switch E到Switch F之間路由不可達）。通過全局策略路由控製從Switch D的所有接口接收的報文：

·     指定所有TCP報文的下一跳為4::2；

·     其它報文仍然按照查找路由表的方式進行轉發。

2. 組網圖

圖1-3 基於報文協議類型的IPv6全局策略路由的配置舉例組網圖

‌

3. 配置步驟

(1)     如圖1-3所示，配置各設備接口的IPv6地址，配置步驟略。

(2)     確保Switch A和Switch E，Switch A和Switch F，Switch B和Switch E，Switch B和Switch F，Switch C和Switch E，Switch C和Switch F之間路由可達。

(3)     配置Switch D

# 定義訪問控製列表IPv6 ACL 3101，用來匹配從1::0/64，2::0/64和3::0/64網段中的源設備發來的TCP報文。

<SwitchD> system-view

[SwitchD] acl ipv6 advanced 3101

[SwitchD-acl-ipv6-adv-3101] rule permit tcp source 1::0 64

[SwitchD-acl-ipv4-adv-3101] rule permit tcp source 2::0 64

[SwitchD-acl-ipv4-adv-3101] rule permit tcp source 3::0 64

[SwitchD-acl-ipv4-adv-3101] quit

# 配置IPv6策略路由aaa，定義5號節點，指定所有TCP報文的下一跳為4::2。

[SwitchD] ipv6 policy-based-route aaa permit node 5

[SwitchD-pbr6-aaa-5] if-match acl 3101

[SwitchD-pbr6-aaa-5] apply next-hop 4::2

[SwitchD-pbr6-aaa-5] quit

# 在Switch D上應用IPv6全局策略路由aaa，處理Switch D上所有接口接收的IPv6報文。

[SwitchD] ipv6 global policy-based-route aaa

4. 驗證配置

從Switch A上通過Telnet方式登錄Switch E，結果成功，登錄Switch F，結果失敗。

從Switch B上通過Telnet方式登錄Switch E，結果成功，登錄Switch F，結果失敗。

從Switch C上通過Telnet方式登錄Switch E，結果成功，登錄Switch F，結果失敗。

從Switch A上ping Router F，結果成功。

從Switch B上ping Router F，結果成功。

從Switch C上ping Router F，結果成功。

由於Telnet使用的是TCP協議，ping使用的是ICMP協議，所以由以上結果可證明：從Switch D的VLAN接口1、VLAN接口2和VLAN接口3接收的TCP報文的下一跳為4::2，IPv6全局策略路由設置成功。