目  錄

1 微分段

1.1 微分段簡介

1.1.1 基本概念

1.1.2 功能組成

1.1.3 運行機製

1.2 微分段配置限製和指導

1.3 微分段配置任務簡介

1.4 微分段配置準備

1.5 配置微分段

1.6 配置聚合微分段

1.7 配置ACL

1.8 配置GBP

1.8.1 配置策略路由

1.8.2 配置QoS策略

1.8.3 配置報文過濾

1.9 配置微分段的網段地址成員采用的匹配方式

1.10 開啟微分段模塊的告警功能

1.11 微分段顯示和維護

1.12 微分段典型配置舉例

1.12.1 IP網絡中的微分段配置舉例（使用QoS策略作為GBP）

 

1 微分段

1.1  微分段簡介

微分段（Microsegment），也叫基於精細分組的安全隔離，其實質就是基於對報文進行分組後的組標識來進行流量控製。例如，將數據中心網絡中的服務器按照一定的原則進行分組，然後基於分組來部署流量控製策略，從而達到簡化運維、安全管控的目的。

1.1.1  基本概念

1. 微分段

按照一定的原則對網絡終結點（例如一個或一組服務器）劃分的組。每個微分段都擁有一個全局唯一的ID。

2. GBP

GBP（Group Based Policy，組策略），基於微分段的流量控製策略，可以通過如下任意一個配置實現：

·     策略路由：一個策略路由節點對應一個GBP，通過策略路由中的apply動作對微分段間的互通進行控製。

·     QoS策略：QoS策略中的一個CB對對應一個GBP，通過流行為中的動作對微分段間的互通進行控製。

·     報文過濾：一個報文過濾對應一個GBP，通過ACL規則中的permit或deny動作對微分段間的互通進行控製。

有關策略路由的詳細介紹，請參見“三層技術-IP路由配置指導”中的“策略路由”。有關QoS策略的詳細介紹，請參見“ACL和QoS配置指導”中的“QoS策略”和“流量過濾”。有關報文過濾的詳細介紹，請參見“ACL和QoS配置指導”中的“ACL”。

1.1.2  功能組成

如圖1-1所示，微分段功能由配置微分段、ACL和GBP共同組成。其中，GBP可以選擇使用QoS策略、報文過濾或策略路由。

微分段功能不對微分段內成員間的互通進行控製，而對微分段間的互通進行控製。其控製策略生效的位置是分組流量轉發鏈路的源端設備，因此若需要對雙向流量進行控製，則需要在兩端設備上都部署微分段功能，中間節點則不需要。

圖1-1 微分段功能配置示意圖

 

 

1.1.3  運行機製

微分段功能在IP網絡的基本運行機製如圖1-2所示，本節以IP網絡中Host A至Host D的單向流為例，並選擇QoS策略作為GBP講述微分段功能的運行機製。

(1)     Device A收到Host A發送給Host D的報文後，從報文中獲取到源IP地址（192.168.1.2）和目的IP地址（192.168.1.5）。

(2)     Device A根據報文的源IP地址（192.168.1.2），按照最長匹配原則查找FIB表項，獲取源端Host A所屬的微分段ID（微分段1）。

(3)     Device A根據報文的目的IP地址（192.168.1.5），按照最長匹配原則查找FIB表項，獲取目的端Host D所屬的微分段ID（微分段2）。

(4)     Device A根據源端Host A所屬的微分段ID（微分段1）和目的端Host D所屬的微分段ID（微分段2）查找ACL規則，對命中ACL的報文執行QoS策略中指定的如下動作：

¡     filter permit，允許報文通過。

¡     filter deny，禁止報文通過。

圖1-2 三層報文在IP網絡中進行轉發示意圖

 

對於跨設備轉發流量也是同理，這裏不再贅述。

1.2  微分段配置限製和指導

僅FD係列接口板支持微分段功能。

配置微分段功能，需要注意的是：

·     請在網絡部署起始階段配置本功能，否則路由條數太多，可能會導致微分段功能使能失敗。

·     本功能對組播報文不生效。

·     對設備網關地址應用微分段功能不生效。

·     使用微分段對VLAN中的流量進行控製時，僅普通VLAN支持微分段功能。

·     對於設備出方向上匹配到ACL規則的流量，無法應用微分段功能。

·     將用戶配置的缺省路由添加到微分段（通過member命令）後，設置指導報文轉發的缺省下一跳功能（通過命令apply default-next-hop命令）不可用。

使用微分段對跨VPN互訪的流量進行控製時，為了保證單向的流量正常轉發，需要注意的是：

·     當指導流量轉發的路由是網段路由時，需要在流量入VPN的設備（即源端PE）上，將網段路由的目的IP也作為成員加入微分段中。

·     當指導流量轉發的路由是主機路由時，需要在流量出VPN的設備（即目的端PE）上，將主機路由的目的IP也作為成員加入微分段中。

1.3  微分段配置任務簡介

微分段配置任務如下：

(1)     配置微分段

(2)     （可選）配置聚合微分段

(3)     配置ACL

(4)     配置GBP

請選擇以下一項任務進行配置：

¡     配置策略路由

¡     配置QoS策略

¡     配置報文過濾

(5)     （可選）配置微分段的網段地址成員采用的匹配方式

(6)     開啟微分段模塊的告警功能

1.4  微分段配置準備

微分段功能可以應用在IP網絡中，有關各自網絡的基礎配置，本模塊的配置步驟中略。

1.5  配置微分段

1. 配置限製和指導

對雙向流量都進行控製時，對於IP網絡，需要在兩端設備上都配置微分段，且微分段的配置需完全一致。

當配置了空閑內存告警的門限值，且剩餘空閑內存到達了告警門限後，無法創建微分段，也無法進入已創建的微分段。已配置的微分段功能可以正常使用。

2. 配置步驟

操作	命令	說明
進入係統視圖	system-view	-
創建微分段，並進入微分段視圖	microsegment microsegment-id [ name microsegment-name ]	缺省情況下，不存在微分段
向微分段中添加成員	member ipv4 ipv4-address { mask | mask-length } [ vpn-instance vpn-instance-name ] member ipv6 ipv6-address prefix-length [ vpn-instance vpn-instance-name ]	缺省情況下，微分段中不存在成員
退回係統視圖	quit	-
開啟微分段功能	microsegment enable	缺省情況下，微分段功能處於關閉狀態

 

1.6  配置聚合微分段

1. 功能簡介

普通微分段是對網絡終結點（例如IP地址）進行的分組，而聚合微分段是在此基礎上對普通微分段進行的二次分組，以實現更加精細化的分組管理。一個聚合微分段是通過掩碼對ID連續的多個普通微分段進行聚合後生成的新的微分段，它的ID是被聚合的普通微分段ID中的最小值。

如圖1-3所示，微分段8～15這8個微分段間兩兩互通。在此基礎上，如需禁止微分段12與14互通、微分段13與14互通，采用重新規劃微分段相關配置會很繁瑣，直接使用聚合微分段會更加便捷。聚合微分段的配置思路為：將普通微分段12與13進行聚合，生成聚合微分段（ID為12），並新建GBP禁止聚合微分段12與普通微分段14互通。

圖1-3 聚合微分段示意圖

 

2. 配置步驟

操作	命令	說明
進入係統視圖	system-view	-
創建聚合微分段	microsegment aggregation aggregation-id mask-length mask-length [ name aggregation-name ]	缺省情況下，不存在聚合微分段

 

1.7  配置ACL

1. 配置限製和指導

配置ACL時需要注意：

·     對雙向流量都進行控製時，兩端設備上都需要配置ACL，且ACL規則中指定的源、目的微分段互為相反。

·     如果使用策略路由或QoS策略作為GBP實現對流量的控製，則ACL規則中的動作需配置為permit，表示命中該規則的報文會執行策略路由中對應的apply動作或QoS策略中對應的流行為動作。

·     如果使用報文過濾作為GBP實現對流量的控製，則ACL規則中的動作可以配置為permit或deny，表示允許或禁止命中規則的報文通過。

2. 配置步驟

操作	命令	說明
進入係統視圖	system-view	-
創建IPv4或IPv6高級ACL，並進入IPv4或IPv6高級ACL視圖。請選擇其中一項進行配置	·     acl [ ipv6 ] number acl-number [ name acl-name ] [ match-order { auto | config } ] ·     acl [ ipv6 ] { advanced | basic } { acl-number | name acl-name } [ match-order { auto | config } ]	-
創建規則	具體配置ACL規則的命令，請參見“ACL和QoS命令參考”中“ACL”中的rule命令	rule命令中的destination microsegment microsegment-id和source microsegment microsegment-id必須指定，其他關鍵字請按需配置

 

1.8  配置GBP

1.8.1  配置策略路由

1. 功能簡介

在策略路由中引用ACL，並指定策略節點的apply動作為具體下一跳（表示允許流量通過）或出接口NULL0（表示禁止流量通過），就能實現控製微分段間是否可以互通的目的。

2. 配置限製和指導

對雙向流量都進行控製時，兩端設備上都需要配置策略路由。

3. 配置步驟

操作	命令	說明
進入係統視圖	system-view	-
創建策略節點，並進入策略節點視圖	policy-based-route policy-name [ permit ] node node-number	不指定permit時，缺省的匹配模式即為permit
設置匹配ACL的規則	if-match acl { acl-number | name acl-name }	缺省情況下，未設置ACL匹配規則
配置策略節點的動作	下麵的方法互斥，請選擇其中一項進行配置 ·     設置報文轉發的下一跳 apply next-hop ip-address ·     設置報文轉發的出接口為NULL0 apply output-interface null0	缺省情況下，未配置策略節點的動作
退回係統視圖	quit	-
進入接口視圖	interface interface-type interface-number	-
對接口轉發的報文應用策略路由	ip policy-based-route policy-name	缺省情況下，未對接口轉發的報文應用策略

 

1.8.2  配置QoS策略

1. 功能簡介

在QoS策略的流分類中引用ACL，並配置對應流行為中的動作為流量過濾，就能實現控製微分段間是否可以互通的目的。

2. 配置限製和指導

QoS策略可以應用在流量入接口的入方向或流量出接口的出方向，建議采用前者。

3. 配置步驟

操作	命令	說明
進入係統視圖	system-view	-
創建一個類，並進入類視圖	traffic classifier classifier-name [ operator { and | or } ]	-
定義匹配數據包的規則	if-match acl [ ipv6 ] { acl-number | name acl-name }	缺省情況下，未定義匹配數據包的規則 僅支持引用IPv4或IPv6高級ACL
退回係統視圖	quit	-
創建一個流行為，並進入流行為視圖	traffic behavior behavior-name	-
配置流量過濾動作	filter { deny | permit }	缺省情況下，未配置流量過濾動作
退回係統視圖	quit	-
創建策略並進入策略視圖	qos policy policy-name	-
在策略中為類指定采用的流行為	classifier classifier-name behavior behavior-name	缺省情況下，未指定類對應的流行為
退回係統視圖	quit	-
進入接口視圖	interface interface-type interface-number	-
在接口上應用已創建的QoS策略	qos apply policy policy-name { inbound | outbound }	缺省情況下，未在接口上應用QoS策略

 

1.8.3  配置報文過濾

1. 功能簡介

在ACL規則中配置動作為permit或deny，然後將此ACL應用在接口上進行報文過濾，就能實現控製微分段間是否可以互通的目的。

2. 配置限製和指導

報文過濾可以配置在流量入接口的入方向或流量出接口的出方向，建議采用前者。

3. 配置步驟

操作	命令	說明
進入係統視圖	system-view	-
進入接口視圖	interface interface-type interface-number	-
在接口上應用ACL進行報文過濾	packet-filter [ ipv6 ] { acl-number | name acl-name } { inbound | outbound }	缺省情況下，未配置接口的報文過濾

 

1.9  配置微分段的網段地址成員采用的匹配方式

1. 功能簡介

報文在不同微分段間轉發時，設備會根據GBP中的ACL規則來匹配報文的源地址和目的地址所屬的微分段。匹配方式有以下兩種：

·     精確匹配：報文源和目的地址的掩碼長度與微分段成員的地址掩碼長度一致。例如報文源地址為10.10.10.1/24則隻能匹配到微分段的成員10.10.10.0/24，而無法匹配到微分段的成員10.10.10.0/23。

·     最長匹配：報文源和目的地址的掩碼長度可以大於等於微分段成員的地址掩碼長度。例如報文源地址為10.10.10.1/24可以匹配到微分段的成員10.10.10.0/16。

如果報文的源地址或目的地址是一個網段地址，即IPv4掩碼長度為1～31位、IPv6前綴長度為1～127位的地址，則缺省情況下，設備使用精確匹配的原則來匹配其歸屬的微分段，因此使用member命令向微分段中添加某一網段路由時，必須精確指定網段地址及其掩碼長度，否則報文的源和目的可能無法匹配到歸屬的微分段。當存在大量網段地址加入同一微分段時，必須逐個將網段地址加入到微分段中，配置較複雜。通過采用最長匹配方式匹配報文源和目的所歸屬的微分段，可以簡化配置。例如不同報文源端地址分別屬於10.10.10.0/24、10.10.20.0/24、10.10.30.0/24網段，要求這三個網段地址都匹配到微分段1，隻需配置member ipv4 10.10.10.0/16即可。

不同掩碼長度地址匹配微分段的方式不同：

·     對於主機地址（IPv4掩碼長度為32位、IPv6為128位），按照最長匹配原則進行匹配；

·     對於缺省路由（0.0.0.0/0或0::0/0，即掩碼長度為0位），按照精確匹配的原則進行匹配；

·     對於除缺省路由外的其他網段地址，執行本命令後按最長匹配原則進行匹配，否則按精確匹配進行匹配。

2. 配置步驟

圖1-4 配置微分段的網段地址成員采用的匹配方式

操作	命令	說明
進入係統視圖	system-view	-
配置微分段的網段地址成員采用的匹配方式為最長匹配	microsegment subnet-match longest	缺省情況下，網段地址采用精確匹配方式來匹配歸屬微分段

 

1.10  開啟微分段模塊的告警功能

1. 功能簡介

開啟微分段模塊的告警功能後，該模塊會生成告警信息，用於報告該模塊的重要事件。生成的告警信息將發送到設備的SNMP模塊，通過設置SNMP中告警信息的發送參數，來決定告警信息輸出的相關屬性。

有關告警信息的詳細介紹，請參見“網絡管理和監控配置指導”中的“SNMP”。

2. 配置步驟

表1-1 開啟微分段模塊的告警功能

操作	命令	說明
進入係統視圖	system-view	-
開啟微分段模塊的告警功能	snmp-agent trap enable microsegment	缺省情況下，微分段模塊的告警功能處於關閉狀態

 

1.11  微分段顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示微分段的運行情況，通過查看顯示信息驗證配置的效果。

表1-2 微分段顯示和維護

操作	命令
顯示聚合微分段的配置信息	display microsegment aggregation [ aggregation-id | name aggregation-name ]
顯示微分段的配置	display microsegment [ microsegment-id | name microsegment-name ]

 

1.12  微分段典型配置舉例

1.12.1  IP網絡中的微分段配置舉例（使用QoS策略作為GBP）

1. 組網需求

Host A與Host B由Device A接入三層網絡，General Server與File Server由Device D接入三層網絡。現通過配置微分段功能，實現如下需求：

·     Host A、Host B和General Server可以訪問File Server。

·     Host A和General Server、Host B和General Server之間不可以互訪。

2. 組網圖

‌

3. 配置思路

(1)     將Host A和Host B加入微分段1。

(2)     將General Server加入微分段2，File Server加入微分段3。

(3)     配置QoS策略，允許微分段1和微分段3互通，允許微分段2和微分段3互通，禁止微分段1和微分段2互通。

4. 配置準備

配置前請確保各設備間路由可達。

5. 配置Device A

(1)     配置微分段

# 創建微分段1，將Host A和Host B的IP地址添加為微分段1的成員。

<DeviceA> system-view

[DeviceA] microsegment 1 name EPG1

[DeviceA-microsegment-1] member ipv4 192.168.1.1 32

[DeviceA-microsegment-1] member ipv4 192.168.2.1 32

[DeviceA-microsegment-1] quit

# 創建微分段2，將General Server的IP地址添加為微分段2的成員。

[DeviceA] microsegment 2 name EPG2

[DeviceA-microsegment-2] member ipv4 192.168.3.1 32

[DeviceA-microsegment-2] quit

# 創建微分段3，將File Server的IP地址添加為微分段3的成員。

[DeviceA] microsegment 3 name EPG3

[DeviceA-microsegment-3] member ipv4 192.168.4.1 32

[DeviceA-microsegment-3] quit

# 開啟微分段功能。

[DeviceA] microsegment enable

(2)     配置ACL

# 創建名為EPG1-EPG3的IPv4高級ACL，並配置規則：協議類型為ip，源微分段為微分段1，目的微分段為微分段3。

[DeviceA] acl advanced name EPG1-EPG3

[DeviceA-acl-ipv4-adv-EPG1-EPG3] rule 0 permit ip source microsegment 1 destination microsegment 3

[Device-acl-ipv4-adv-EPG1-EPG3] quit

# 創建名為EPG1-EPG2的IPv4高級ACL，並配置規則：協議類型為ip，源微分段為微分段1，目的微分段為微分段2。

[DeviceA] acl advanced name EPG1-EPG2

[DeviceA-acl-ipv4-adv-EPG1-EPG2] rule 0 permit ip source microsegment 1 destination microsegment 2

[DeviceA-acl-ipv4-adv-EPG1-EPG2] quit

(3)     配置QoS策略

# 創建流分類CLASSIFIER-GBP13，引用ACL EPG1-EPG3。

[DeviceA] traffic classifier CLASSIFIER-GBP13

[DeviceA-classifier-CLASSIFIER-GBP13] if-match acl name EPG1-EPG3

[DeviceA-classifier-CLASSIFIER-GBP13] quit

# 創建流行為BEHAVIOR-GBP13，配置流量過濾動作為permit。

[DeviceA] traffic behavior BEHAVIOR-GBP13

[DeviceA-behavior-BEHAVIOR-GBP13] filter permit

[DeviceA-behavior-BEHAVIOR-GBP13] quit

# 創建流分類CLASSIFIER-GBP12，引用ACL EPG1-EPG2。

[DeviceA] traffic classifier CLASSIFIER-GBP12

[DeviceA-classifier-CLASSIFIER-GBP12] if-match acl name EPG1-EPG2

[DeviceA-classifier-CLASSIFIER-GBP12] quit

# 創建流行為BEHAVIOR-GBP12，配置流量過濾動作為deny。

[DeviceA] traffic behavior BEHAVIOR-GBP12

[DeviceA-behavior-BEHAVIOR-GBP12] filter deny

[DeviceA-behavior-BEHAVIOR-GBP12] quit

# 創建QoS策略GBP1，為流分類CLASSIFIER-GBP13指定流行為BEHAVIOR-GBP13，為流分類CLASSIFIER-GBP12指定流行為BEHAVIOR-GBP12。

[DeviceA] qos policy GBP1

[DeviceA-qospolicy-GBP1] classifier CLASSIFIER-GBP13 behavior BEHAVIOR-GBP13

[DeviceA-qospolicy-GBP1] classifier CLASSIFIER-GBP12 behavior BEHAVIOR-GBP12

[DeviceA-qospolicy-GBP1] quit

# 將QoS策略GBP1應用在接口GigabitEthernet1/0/2入方向上。

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA-GigabitEthernet1/0/2] qos apply policy GBP1 inbound

[DeviceA-GigabitEthernet1/0/2] quit

# 將QoS策略GBP1應用在接口GigabitEthernet1/0/3入方向上。

[DeviceA] interface gigabitethernet 1/0/3

[DeviceA-GigabitEthernet1/0/3] qos apply policy GBP1 inbound

[DeviceA-GigabitEthernet1/0/3] quit

6. 配置Device D

(1)     配置微分段

# 創建微分段1，將Host A和Host B的IP地址添加為微分段1的成員。

<DeviceD> system-view

[DeviceD] microsegment 1 name EPG1

[DeviceD-microsegment-1] member ipv4 192.168.1.1 32

[DeviceD-microsegment-1] member ipv4 192.168.2.1 32

[DeviceD-microsegment-1] quit

# 創建微分段2，將General Server的IP地址添加為微分段2的成員。

[DeviceD] microsegment 2 name EPG2

[DeviceD-microsegment-2] member ipv4 192.168.3.1 32

[DeviceD-microsegment-2] quit

# 創建微分段3，將File Server的IP地址添加為微分段3的成員。

[DeviceD] microsegment 3 name EPG3

[DeviceD-microsegment-3] member ipv4 192.168.4.1 32

[DeviceD-microsegment-3] quit

# 開啟微分段功能。

[DeviceD] microsegment enable

(2)     配置ACL

# 創建名為EPG3-EPG1的IPv4高級ACL，並配置規則：協議類型為ip，源微分段為微分段3，目的微分段為微分段1。

<DeviceD> system-view

[DeviceD] acl advanced name EPG3-EPG1

[DeviceD-acl-ipv4-adv-EPG3-EPG1] rule 0 permit ip source microsegment 3 destination microsegment 1

[DeviceD-acl-ipv4-adv-EPG3-EPG1] quit

# 創建名為EPG2-EPG1的IPv4高級ACL，並配置規則：協議類型為ip，源微分段為微分段2，目的微分段為微分段1。

[DeviceD] acl advanced name EPG2-EPG1

[DeviceD-acl-ipv4-adv-EPG2-EPG1] rule 0 permit ip source microsegment 2 destination microsegment 1

[DeviceD-acl-ipv4-adv-EPG2-EPG1] quit

# 創建名為EPG2-EPG3的IPv4高級ACL，並配置規則：協議類型為ip，源微分段為微分段2，目的微分段為微分段3。

[DeviceD] acl advanced name EPG2-EPG3

[DeviceD-acl-ipv4-adv-EPG2-EPG3] rule 0 permit ip source microsegment 2 destination microsegment 3

[DeviceD-acl-ipv4-adv-EPG2-EPG3] quit

# 創建名為EPG3-EPG2的IPv4高級ACL，並配置規則：協議類型為ip，源微分段為微分段3，目的微分段為微分段2。

[DeviceD] acl advanced name EPG3-EPG2

[DeviceD-acl-ipv4-adv-EPG3-EPG2] rule 0 permit ip source microsegment 3 destination microsegment 2

[DeviceD-acl-ipv4-adv-EPG3-EPG2] quit

(3)     配置QoS策略

# 創建流分類CLASSIFIER-GBP23，引用ACL EPG2-EPG3。

[DeviceD] traffic classifier CLASSIFIER-GBP23

[DeviceD-classifier-CLASSIFIER-GBP23] if-match acl name EPG2-EPG3

[DeviceD-classifier-CLASSIFIER-GBP23] quit

# 創建流行為BEHAVIOR-GBP23，配置流量過濾動作為permit。

[DeviceD] traffic behavior BEHAVIOR-GBP23

[DeviceD-behavior-BEHAVIOR-GBP23] filter permit

[DeviceD-behavior-BEHAVIOR-GBP23] quit

# 創建流分類CLASSIFIER-GBP21，引用ACL EPG2-EPG1。

[DeviceD] traffic classifier CLASSIFIER-GBP21

[DeviceD-classifier-CLASSIFIER-GBP21] if-match acl name EPG2-EPG1

[DeviceD-classifier-CLASSIFIER-GBP21] quit

# 創建流行為BEHAVIOR-GBP21，配置流量過濾動作為deny。

[DeviceD] traffic behavior BEHAVIOR-GBP21

[DeviceD-behavior-BEHAVIOR-GBP21] filter deny

[DeviceD-behavior-BEHAVIOR-GBP21] quit

# 創建QoS策略GBP2，為流分類CLASSIFIER-GBP23指定流行為BEHAVIOR-GBP23，為流分類CLASSIFIER-GBP21指定流行為BEHAVIOR-GBP21。

[DeviceD] qos policy GBP2

[DeviceD-qospolicy-GBP2] classifier CLASSIFIER-GBP23 behavior BEHAVIOR-GBP23

[DeviceD-qospolicy-GBP2] classifier CLASSIFIER-GBP21 behavior BEHAVIOR-GBP21

[DeviceD-qospolicy-GBP2] quit

# 將QoS策略GBP2應用在接口GigabitEthernet1/0/2入方向上。

[DeviceD] interface gigabitethernet 1/0/2

[DeviceD-GigabitEthernet1/0/2] qos apply policy GBP2 inbound

[DeviceD-GigabitEthernet1/0/2] quit

# 創建流分類CLASSIFIER-GBP31，引用ACL EPG3-EPG1。

[DeviceD] traffic classifier CLASSIFIER-GBP31

[DeviceD-classifier-CLASSIFIER-GBP31] if-match acl name EPG3-EPG1

[DeviceD-classifier-CLASSIFIER-GBP31] quit

# 創建流行為BEHAVIOR-GBP31，配置流量過濾動作為permit。

[DeviceD] traffic behavior BEHAVIOR-GBP31

[DeviceD-behavior-BEHAVIOR-GBP31] filter permit

[DeviceD-behavior-BEHAVIOR-GBP31] quit

# 創建流分類CLASSIFIER-GBP32，引用ACL EPG3-EPG2。

[DeviceD] traffic classifier CLASSIFIER-GBP32

[DeviceD-classifier-CLASSIFIER-GBP32] if-match acl name EPG3-EPG2

[DeviceD-classifier-CLASSIFIER-GBP32] quit

# 創建流行為BEHAVIOR-GBP32，配置流量過濾動作為permit。

[DeviceD] traffic behavior BEHAVIOR-GBP32

[DeviceD-behavior-BEHAVIOR-GBP32] filter permit

[DeviceD-behavior-BEHAVIOR-GBP32] quit

# 創建QoS策略GBP3，為流分類CLASSIFIER-GBP31指定流行為BEHAVIOR-GBP31，為流分類CLASSIFIER-GBP32指定流行為BEHAVIOR-GBP32。

[DeviceD] qos policy GBP3

[DeviceD-qospolicy-GBP3] classifier CLASSIFIER-GBP31 behavior BEHAVIOR-GBP31

[DeviceD-qospolicy-GBP3] classifier CLASSIFIER-GBP32 behavior BEHAVIOR-GBP32

[DeviceD-qospolicy-GBP3] quit

# 將QoS策略GBP3應用在接口GigabitEthernet1/0/3入方向上。

[DeviceD] interface gigabitethernet 1/0/3

[DeviceD-GigabitEthernet1/0/3] qos apply policy GBP3 inbound

[DeviceD-GigabitEthernet1/0/3] quit

7. 驗證配置

# 分別在Host A和Host B上檢查到General Server是否可達。

C:\> ping 192.168.3.1

 

Pinging 192.168.3.1 with 32 bytes of data:

 

Request timed out

Request timed out

Request timed out

Request timed out

 

Ping statistics for 192.168.3.1:

    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

Host A和Host B無法ping通General Server。

# 分別在Host A、Host B上檢查到Filer Server是否可達。

C:\> ping 192.168.4.1

 

Pinging 192.168.40.100 with 32 bytes of data:

 

Reply from 192.168.10.100: bytes=32 time=1ms TTL=255

Reply from 192.168.10.100: bytes=32 time<1ms TTL=255

Reply from 192.168.10.100: bytes=32 time<1ms TTL=255

Reply from 192.168.10.100: bytes=32 time<1ms TTL=255

 

Ping statistics for 192.168.10.100:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 1ms, Average = 0ms

Host A和Host B可以ping通Filer Server。

# 查看Device A上各微分段的配置信息。

[DeviceA] display microsegment 1

Microsegment ID    : 1

Microsegment name  : EPG1

  IPv4 member:

    192.168.1.1/32

    192.168.2.1/32

[DeviceA] display microsegment 2

Microsegment ID    : 2

Microsegment name  : EPG2

  IPv4 member:

    192.168.3.1/32

[DeviceA] display microsegment 3

Microsegment ID    : 3

Microsegment name  : EPG3

  IPv4 member:

    192.168.4.1/32

# 查看Device A上微分段的概要和狀態信息。

[DeviceA] display microsegment

Microsegment status: Enabled

Total microsegments: 3

Microsegment list  :

  Microsegment ID  Members  Microsegment name

  1                2        EPG1

  2                1        EPG2

  3                1        EPG3

# 查看Device A上ACL的配置信息。

[DeviceA] display acl all

Advanced IPv4 ACL named EPG1-EPG2, 1 rule,

ACL's step is 5, start ID is 0

 rule 0 permit ip source microsegment 1 destination microsegment 2

 

Advanced IPv4 ACL named EPG1-EPG3, 1 rule,

ACL's step is 5, start ID is 0

 rule 0 permit ip source microsegment 1 destination microsegment 3

# 查看Device A接口上QoS策略的配置信息和運行情況。

[DeviceA] display qos policy interface

Interface: GigabitEthernet1/0/2

  Direction: Inbound

  Policy: GBP1

   Classifier: CLASSIFIER-GBP13

     Matched : 0 (Packets) 0 (Bytes)

     Operator: AND

     Rule(s) :

      If-match acl name EPG1-EPG3

     Behavior: BEHAVIOR-GBP13

      Filter enable: Permit

   Classifier: CLASSIFIER-GBP12

     Matched : 0 (Packets) 0 (Bytes)

     Operator: AND

     Rule(s) :

      If-match acl name EPG1-EPG2

     Behavior: BEHAVIOR-GBP12

      Filter enable: Deny

 

Interface: GigabitEthernet1/0/3

  Direction: Inbound

  Policy: GBP1

   Classifier: CLASSIFIER-GBP13

     Matched : 0 (Packets) 0 (Bytes)

     Operator: AND

     Rule(s) :

      If-match acl name EPG1-EPG3

     Behavior: BEHAVIOR-GBP13

      Filter enable: Permit

   Classifier: CLASSIFIER-GBP12

     Matched : 0 (Packets) 0 (Bytes)

     Operator: AND

     Rule(s) :

      If-match acl name EPG1-EPG2

     Behavior: BEHAVIOR-GBP12

      Filter enable: Deny

# 查看Device D上微分段、ACL和策略路由的相關配置信息略。