- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
26-策略路由配置
本章節下載： 26-策略路由配置 (275.63 KB)
目 錄
與單純依照IP報文的目的地址查找路由表進行轉發不同，策略路由是一種依據用戶製定的策略進行路由轉發的機製。策略路由可以對於滿足一定條件（ACL規則）的報文，執行指定的操作（設置報文的下一跳、出接口、缺省下一跳和缺省出接口等）。
策略路由和路由策略的差異如下：
· 策略路由的操作對象是數據包。根據用戶需要對指定的報文執行指定的操作，不按照路由表轉發。如果策略路由轉發報文失敗，可繼續按照路由表轉發。
· 路由策略的操作對象是路由信息。路由策略主要實現了路由過濾和路由屬性設置等功能，通過改變路由屬性（包括可達性）來改變網絡流量的轉發路徑。
設備上，報文的基本轉發流程為：
(1) 首先根據配置的策略路由，查找滿足匹配條件的節點。
(2) 若找到了匹配的節點，並且該節點是permit（允許）模式：
a. 根據策略路由中配置的下一跳和出接口指導報文轉發。
b. 若節點未配置下一跳和出接口，或根據下一跳和出接口指導報文轉發失敗，則根據路由表中除缺省路由之外的路由來轉發報文。
c. 若未找到除缺省路由之外的路由，或路由轉發失敗，則根據策略路由中配置的缺省下一跳指導報文轉發。
d. 若節點未配置缺省下一跳和缺省出接口，或根據缺省下一跳和缺省出接口指導報文轉發失敗，則根據缺省路由來轉發報文。
(3) 若找不到匹配的節點，或找到了匹配的節點，但該節點是deny（拒絕）模式，則根據路由表指導報文轉發。
根據作用對象的不同，策略路由可分為以下二種類型：
· 本地策略路由：對設備本身產生的報文（比如本地發出的ping報文）起作用，指導其發送。
· 轉發策略路由：對接口接收的報文起作用，指導其轉發。
策略用來定義報文的匹配規則，以及對報文執行的操作。策略由節點組成。
一個策略可以包含一個或者多個節點。節點的構成如下：
· 每個節點由節點編號來標識。節點編號越小節點的優先級越高，優先級高的節點優先被執行。
· 每個節點的具體內容由if-match子句和apply子句來指定。if-match子句定義該節點的匹配規則，apply子句定義該節點的動作。
· 每個節點對報文的處理方式由匹配模式決定。匹配模式分為permit（允許）和deny（拒絕）兩種。
應用策略後，係統將根據策略中定義的匹配規則和操作，對報文進行處理。係統按照優先級從高到低的順序依次匹配各節點：
· 如果報文滿足這個節點的匹配規則，就執行該節點的動作。
· 如果報文不滿足這個節點的匹配規則，就繼續匹配下一個節點。
· 如果報文不能滿足策略中任何一個節點的匹配規則，則根據路由表來轉發報文。
目前，策略路由支持通過if-match acl子句設置ACL匹配規則，在一個節點中隻能配置一條if-match acl子句。
同一個節點中可以配置多條apply子句，但不一定都會執行。多條apply子句之間的關係請參見“1.4.3 配置策略節點的動作”。
一個節點的匹配模式與這個節點的if-match子句、apply子句的關係如表1-1所示。
表1-1 節點的匹配模式、if-match子句、apply子句三者之間的關係
|
· 如果節點配置了apply子句，則執行此節點apply子句 ¡ 如果節點指導報文轉發成功，則不再匹配下一節點 ¡ 如果節點指導報文轉發失敗且未配置apply continue子句，則不再匹配下一節點 ¡ 如果節點指導報文轉發失敗且配置了apply continue子句，則支持繼續匹配下一節點 · 如果節點未配置apply子句，則不會執行任何動作，且不再匹配下一節點，報文將根據路由表來進行轉發 |
||
如果一個節點中未配置任何if-match子句，則認為所有報文都滿足該節點的匹配規則，按照“報文滿足所有if-match子句”的情況進行後續處理。
策略路由通過與Track聯動，增強了應用的靈活性和對網絡環境變化的動態感知能力。
策略路由可以在配置報文的下一跳、出接口、缺省下一跳、缺省出接口時與Track項關聯，根據Track項的狀態來動態地決定策略的可用性。策略路由配置僅在關聯的Track項狀態為Positive或NotReady時生效。關於策略路由與Track聯動的詳細介紹和相關配置，請參見“可靠性配置指導”中的“Track”。
對於軟件轉發的設備，收到目的為本設備的IP報文後，即使策略路由匹配該報文，也不會處理。
對於硬件轉發的設備，收到某些目的為本設備的IP報文後，如果策略路由匹配該報文，會在報文上送CPU處理前先按策略節點動作處理。
策略路由配置任務如下：
(4) 配置策略
a. 創建策略節點
b. 配置策略節點的匹配規則
c. 配置策略節點的動作
(5) 應用策略
請選擇以下至少一項任務進行配置：
(6) （可選）開啟告警功能
(7) 進入係統視圖。
system-view
(8) 創建策略節點，並進入策略節點視圖。
policy-based-route policy-name [ deny | permit ] node node-number
(9) 進入係統視圖。
system-view
(10) 進入策略節點視圖。
policy-based-route policy-name [ deny | permit ] node node-number
(11) （可選）設置ACL匹配規則。
if-match acl { acl-number | name acl-name }
缺省情況下，未設置ACL匹配規則。
策略路由不支持匹配二層信息的ACL匹配規則。
用戶通過配置apply子句指導策略節點的動作。
影響報文轉發路徑的apply子句有四條，優先級從高到低依次為：
(1) apply next-hop
(2) apply output-interface
(3) apply default-next-hop
(4) apply default-output-interface
apply子句的含義、執行優先情況和詳細說明如表1-2所示。
表1-2 apply子句的含義以及執行優先情況等說明
|
子句 |
含義 |
執行優先情況/詳細說明 |
|
apply precedence |
設置IP報文的IP優先級 |
隻要配置了該子句，該子句就一定會執行 |
|
apply ip-df df-value |
設置IP報文的DF（Don’t Fragment，不分片）標誌 |
隻要配置了該子句，該子句就一定會執行 |
|
apply loadshare { default-next-hop | default-output-interface | next-hop | output-interface } |
設置指導報文轉發的下一跳、出接口、缺省下一跳和缺省出接口的工作模式為負載分擔模式 |
下一跳、出接口、缺省下一跳和缺省出接口的工作模式有兩種：主備模式、負載分擔模式。以多個下一跳為例： · 主備模式：按照配置順序，以下一跳作為主用下一跳，指導報文轉發。當主用下一跳失效時，按配置順序選擇後續的第一個可用的下一跳指導報文轉發 · 負載分擔模式：多個下一跳均用於指導報文轉發。如果不匹配快速轉發表，則按照配置順序逐包輪流選擇可用的下一跳指導報文轉發；如果匹配快速轉發表，則按照配置順序逐流輪流選擇可用的下一跳指導報文轉發 缺省情況下，工作模式為主備模式 負載分擔模式隻對策略路由配置的多個下一跳、出接口、缺省下一跳、缺省出接口生效 |
|
apply next-hop和apply output-interface |
設置報文的下一跳和出接口 |
如果配置了多條有效的子句，係統隻會執行優先級最高的一條 |
|
apply default-next-hop和apply default-output-interface |
設置報文的缺省下一跳和缺省出接口 |
如果配置了多條有效的子句，係統隻會執行優先級最高的一條 執行缺省下一跳和缺省出接口的前提是：在策略中未配置下一跳和出接口，或者配置的下一跳和出接口無效，並且在路由表中未找到與報文目的IP地址匹配的路由表項 |
|
apply continue |
設置匹配成功的當前節點轉發失敗後繼續進行後續節點的處理 |
如果當前節點中未配置影響報文轉發路徑的七個apply子句，或者配置了這七個子句中的一個或多個，但配置的子句都失效（下一跳不可達、出接口down不可用、）且查找普通路由表也轉發失敗時，會進行下一節點的處理 |
在設置報文轉發的下一跳時，對於配置接口出方向策略路由，僅支持直連下一跳，且僅支持一個下一跳。
策略路由通過查詢FIB表中是否存在下一跳或缺省下一跳地址對應的條目，判斷設置的報文轉發下一跳或缺省下一跳地址是否可用。策略路由周期性檢查FIB表，設備到下一跳的路徑發生變化時，策略路由無法及時感知，可能會導致通信發生短暫中斷。
(5) 進入係統視圖。
system-view
(6) 進入策略節點視圖。
policy-based-route policy-name [ deny | permit ] node node-number
(7) 配置動作。
¡ 設置IP報文的IP優先級。
apply precedence { type | value }
缺省情況下，未設置IP報文的優先級。
¡ 設置IP報文頭中的DF標誌。
apply ip-df df-value
缺省情況下，未設置IP報文頭中的DF標誌。
(8) 進入係統視圖。
system-view
(9) 進入策略節點視圖。
policy-based-route policy-name [ deny | permit ] node node-number
(10) 配置動作。
¡ 設置報文轉發的下一跳。
apply next-hop { ip-address [ direct ] [ track track-entry-number ] }&<1-4>
缺省情況下，未設置報文轉發的下一跳。
用戶通過一次或多次配置本命令可以同時配置多個下一跳，每個節點最多可以配置16個下一跳，這些下一跳起到主備或負載分擔的作用。
當配置了多個下一跳做主備，且多個下一跳地址屬於同一個網段時，當主下一跳匹配失敗後，設備會先匹配主下一跳對應的網段路由轉發報文，當網段路由匹配失敗後，再匹配配置的備下一跳。
¡ 設置指導報文轉發的多個下一跳工作在負載分擔模式。
apply loadshare next-hop
缺省情況下，多個下一跳工作在主備模式。
¡ 設置指導報文轉發的出接口。
apply output-interface { interface-type interface-number [ track track-entry-number ] }&<1-4>
缺省情況下，未設置指導報文轉發的出接口。
用戶通過一次或多次配置本命令可以同時配置多個出接口，每個節點最多可以配置16個出接口，這些出接口起到主備或負載分擔的作用。
¡ 設置指導報文轉發的多個出接口工作在負載分擔模式。
apply loadshare output-interface
缺省情況下，多個出接口工作在主備模式。
¡ 設置指導報文轉發的缺省下一跳。
apply default-next-hop { ip-address [ direct ] [ track track-entry-number ] }&<1-4>
缺省情況下，未設置指導報文轉發的缺省下一跳。
用戶通過一次或多次配置本命令可以同時配置多個缺省下一跳，每個節點最多可以配置16個缺省下一跳，這些缺省下一跳起到主備或負載分擔的作用。
¡ 設置指導報文轉發的多個缺省下一跳工作在負載分擔模式。
apply loadshare default-next-hop
缺省情況下，多個缺省下一跳工作在主備模式。
¡ 設置指導報文轉發的缺省出接口。
apply default-output-interface { interface-type interface-number [ track track-entry-number ] }&<1-4>
缺省情況下，未設置指導報文轉發的缺省出接口。
用戶通過一次或多次配置本命令可以同時配置多個缺省出接口，每個節點最多可以配置16個缺省出接口，這些缺省出接口起到主備或負載分擔的作用。
¡ 設置指導報文轉發的多個缺省出接口工作在負載分擔模式。
apply loadshare default-output-interface
缺省情況下，多個缺省出接口工作在主備模式。
(11) 進入係統視圖。
system-view
(12) 進入策略節點視圖。
policy-based-route policy-name [ deny | permit ] node node-number
(13) 設置匹配成功的當前節點指定轉發路徑失敗後繼續進行後續節點的處理。
apply continue
缺省情況下，匹配成功的當前節點指定轉發路徑失敗後不再進行下一節點的匹配。
本命令僅在策略節點的匹配模式為permit時生效。
通過本配置，可以將已經配置的策略應用到本地，指導設備本身產生報文的發送。應用策略時，該策略必須已經存在，否則配置將失敗。
· 對本地報文隻能應用一個策略。應用新的策略前必須刪除本地原來已經應用的策略。
· 若無特殊需求，建議用戶不要對本地報文應用策略。否則，有可能會對本地報文的發送造成不必要的影響（如ping、telnet服務的失效）。
(14) 進入係統視圖。
system-view
(15) 對本地報文應用策略。
ip local policy-based-route policy-name
缺省情況下，未對本地報文應用策略。
通過本配置，可以將已經配置的策略應用到接口，指導接口接收的所有報文的轉發。應用策略時，該策略必須已經存在，否則配置將失敗。
· 對接口轉發的報文應用策略時，一個接口隻能應用一個策略。應用新的策略前必須刪除接口上原來已經應用的策略。
· 一個策略可以同時被多個接口應用。
(16) 進入係統視圖。
system-view
(17) 進入接口視圖。
interface interface-type interface-number
(18) 對接口轉發的報文應用策略。
ip policy-based-route policy-name
缺省情況下，未對接口轉發的報文應用策略。
開啟策略路由模塊的告警功能後，當下一跳的狀態由有效變為無效時，該模塊會生成包含下一跳地址的告警信息，用於報告該模塊的重要事件。生成的告警信息將發送到設備的SNMP模塊，通過設置SNMP中告警信息的發送參數，來決定告警信息輸出的相關屬性。
有關告警信息的詳細介紹，請參見“網絡管理和監控配置指導”中的“SNMP”。
(19) 進入係統視圖。
system-view
(20) 開啟策略路由模塊的告警功能。
snmp-agent trap enable policy-based-route
缺省情況下，策略路由模塊的告警功能處於開啟狀態。
在完成上述配置後，在任意視圖下執行display命令可以顯示配置策略路由後的運行情況，通過查看顯示信息驗證配置的效果。
在用戶視圖下執行reset命令可以清除策略路由的統計信息。
表1-3 策略路由顯示和維護
|
操作 |
命令 |
|
顯示已經配置的策略 |
display ip policy-based-route [ policy policy-name ] |
|
顯示接口下轉發策略路由的配置信息和統計信息 |
display ip policy-based-route interface interface-type interface-number |
|
顯示本地策略路由的配置信息和統計信息 |
display ip policy-based-route local |
|
顯示已經應用的策略路由信息 |
display ip policy-based-route setup |
|
清除策略路由的統計信息 |
reset ip policy-based-route statistics [ policy policy-name ] |
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
