策略路由和路由策略原理 整理要点课件.ppt

策略路由与路由策略原理,-靳玉贞,第1章 策略路由原理策略路由概念策略路由的分类策略路由流程策略路由匹配原则第2章 路由策略原理,第1章 策略路由原理策略路由概念策略路由的分类策略路由流程策略路由匹配原则,策略路由的引入,普通的报文转发是依据报文的目的地址查询转发表来实现的。,display ip routing-table Routing Table: public netDestination/Mask Protocol Pre Cost Nexthop Interface0.0.0.0/0 RIP 100 1 200.200.203.2 GE11/1/00.0.0.0/32 RIP 100 1 200.200.203.2 GE11/1/01.0.0.0/8 STATIC 60 0 11.110.0.1 Ethernet12/2/04.4.4.0/24 DIRECT 0 0 4.4.4.4 Ethernet12/2/0.2004.4.4.4/32 DIRECT 0 0 127.0.0.1 InLoopBack05.0.0.0/8 RIP 100 1 200.200.203.2 GE11/1/0,策略路由的引入,普通路由转发基于路由表进行报文的转发：路由表的建立直联路由静态配置路由条目；动态路由协议学习生成；对于同一目的网段，可能存在多条distance不等的路由条目,直连路由：路由器接口所连接的子网的路由方式称为直连路由；非直连路由：通过路由协议从别的路由器学到的路由称为非直连路由；分为静态路由和动态路由； 直连路由是由链路层协议发现的，一般指去往路由器的接口地址所在网段的路径，该路径信息不需要网络管理员维护，也不需要路由器通过某种算法进行计算获得，只要该接口处于活动状态(Active)，路由器就会把通向该网段的路由信息填写到路由表中去，直连路由无法使路由器获取与其不直接相连的路由信息。,策略路由的引入(续),普通的报文转发是依据报文的目的地址查询转发表来实现的。但是遇到如下情况如何解决？ 1、根据源IP来控制报文转发。即控制来自PC1的报文通过接S1/0/0转发，来自PC2的报文通过接口E1/2/0转发口？2、根据报文的长度来控制报文转发。3、根据报文的其他属性来控制报文转发。,策略路由概念,所谓策略路由，顾名思义，即是根据一定的策略进行报文转发，因此策略路由是一种比目的路由更灵活的路由机制。在路由器转发一个数据报文时，首先根据配置的规则对报文进行过滤，匹配成功则按照一定的转发策略进行报文转发。这种规则可以是基于标准和扩展访问控制列表，也可以基于报文的长度；而转发策略则是控制报文按照指定的策略路由表进行转发，也可以修改报文的IP优先字段。因此，策略路由是对传统IP路由机制的有效增强。,策略路由使网络管理者能根据它提供的机制指定一个报文采取的具体路径。,Page 7,Page 8,针对流分类，可以根据到来的数据包的匹配的以下特征，来设定策略路由：,802.1p优先级VLAN ID源/目的MAC地址源/目的的IP地址（包括IP MASK部分）TCP/UDP源/目的端口号IP优先级DSCP的优先级IP的协议类型字段,VRP(Versatile Routing Platform),VRP是华为特有的策略路由平台，VRP策略路由支持基于acl包过滤、地址长度等信息灵活地指定路由。而acl报文过滤则可以根据报文的源ip、目的ip、协议、端口号、优先级、tos、时间段、vpn等各种丰富的信息将报文分类，然后控制将这些报文按照不同的路由转发出去。,Page 9,策略路由的优势,策略路由是一种依据用户制定的策略进行路由选择的机制，与单纯依照IP报文的目的地址查找路由表进行转发不同，可应用于安全、负载分担等目的。基于策略的路由为网络管理者提供了比传统路由协议对报文的转发和存储更强的控制能力。基于策略的路由比传统路由能力更强，使用更灵活，它使网络管理者不仅能够根据目的地址而且能够根据协议类型、报文大小、应用或I P源地址来选择转发路径。通过设置IP Precedence或Tos来实现QOS。实现负载均衡。,Page 10,策略路由的分类,1、按报文分类：分为单播策略路由（针对单播报文进行控制）和组播策略路由（只对组播报文进行控制）。,策略路由的分类（续）,2、策略路由既可以应用于被转不发的报文，又可以应用于路由器本地产生的报文。前者称为接口策略路由，后者称为本地策略路由。接口策略路由只对转发的报文起作用，对本地产生的报文（比如本地的ping报文）起作用。而本地策略路由只对本地产生的报文起作用，对转发的报文不起作用。接口策略路由配置在接口视图下。 本地产生的报文的策略路由配置在系统视图下。,注意：组播策略路由只支持转发的报文，不对路由器本机产生的报文进行策略路由。策略路由是设置在接收报文接口而不是发送接口，策略路由只对入口数据包有效。,Page 13,策略路由的处理流程,1、流模式和逐包模式流模式第一个包查路由转发表，如果存在路由，将该路由项以source、dest、tos、入接口等索引放置到cache中，以后同样的流就可以直接查cache对于低端路由器，所有操作由CPU内存处理对于中高端设备，一般由NP 和Asic芯片完成处理逐包模式每个包都进行查表后才进行转发,Page 14,策略路由的处理流程,2、流模式流程图,Page 15,策略路由匹配原则概述,不管是单播还是组播策略路由配置需要做两方面的工作，一是定义那些需要使用策略路由的报文，二是为这些报文指定路由，和路由策略一样，这可以通过对一个Route-policy的定义来实现。 if-match子句定义了那些需要使用策略路由的报文 当报文满足route-policy中的if-match子句时，则执行策略中的apply子句，以完成报文的转发,策略路由匹配原则概述,Route-policy : route_policy_name permit 10 : if-match acl 3000 if-match packet-length 100 500 apply output-interface Ethernet1/1/0 /有多个匹配项 deny 20 : if-match acl 2000 /只有匹配项 permit 30 : if-match acl 3100 permit 40 : apply output-interface Ethernet1/1/0 /只有操作项 permit 50 : apply output-interface Ethernet1/1/0 deny 60 : /匹配项和操作项都没有 permit 70 : permit 80 : if-match acl 3000 apply output-interface Ethernet1/1/0 serial1/0/0 apply ip-address next-hop 1.1.1.1 /有多个操作项,匹配项,匹配项就是if-match语句，根据这些匹配项将报文按照某个规则进行分类，分为满足规则和不满足规则两类。,注意：1、只有满足所有的ifmatch，才算匹配，即各匹配条件是与的关系。2、“匹配退出，不匹配继续”的原则。即只要任意一个节点满足匹配， 则不再继续往下匹配，如果不匹配则继续匹配下一个节点。,操作项,操作项就是apply语句，也就是满足匹配项的报文将怎么处理、从哪个接口转发出去。,一个单播报文只能转发一次，即只能从某个接口转发出去,转发接口的优先级,策略路由的出接口,策略路由的下一跳,路由表中下一跳,策略路由的缺省出接口,策略路由的缺省下一跳,低,高,转发优先级,以上只针对单播报文，不包括组播报文。当配置有优先级高的策略，则优先级低的配置将被忽略。单播策略路由可以同时配置两个下一跳或设置两个出接口，报文转发将采用负载分担的方式进行。,报文匹配的其它策略,注意事项：1、如果只添加一个节点而没有任何匹配项和设置操作项，则所有报文都匹配，不再继续往下匹配。但是策略路由的统计数字不改变。2、如果添加一个节点，只有匹配项，没有设置操作项，则进行匹配，但不执行相应的操作，不再继续往下匹配。但是策略路由的统计数字不改变。3、如果添加一个节点，没有匹配项，有设置操作项，则所有报文都匹配，根据permit/deny执行相应的操作，不再继续往下匹配。但是策略路由的统计数字改变。,Page 22,4、如果匹配项中使用的acl根本不存在，则缺省是不匹配任何报文。5、当直接出接口指定为本地的以太网接口、子接口、Virtual-Template接口时，虽然从指定接口转发，但不能正常通信，因为这几个接口是广播域，不能确定下一跳，因此必须指定为下一跳。 6、当配置deny的节点时，对于单播策略路由来说，节点的apply 命令行等于没配置一样，数据包将走正常单播路由表转发，因此没有deny的调试信息以及相应的统计信息；对于组播策略路由来说，数据包将直接丢弃，不查询组播路由表，有deny的调试信息以及相应的统计信息。,单播报文转发流程,组播策略路由,和单播策略路由的区别：1、报文不一样。单播报文就是以A、B、C类ip地址为目的地址的报文，组播报文就是以224.0.0.0239.255.255.255 为目的地址的报文。2、配置不一样。组播策略路由的配置中apply必须包含acl。3、配置作用域不一样。单播策略路由的配置仅对单播报文起作用，组播策略路由的配置仅对组播报文起作用。即apply中包含有acl的对组播报文起作用，对单播报文不起作用； apply中不包含有acl的对单播报文起作用，对组播报文不起作用。4、当单播同时配置有出接口和下一跳时，则只从出接口转发，不从下一跳转发。当组播同时配置有出接口和下一跳时，则既从各个出接口转发（可能有多个），也从各个下一跳转发（也可能有多个），但是最多只能从64个接口转发。,组播转发边界,当一个接口配置了组播转发边界以后，从该接口接收的报文和从该接口发出的报文（包括本机发出的报文）都将按照配置的acl策略进行过滤。其中，对于从该接口接收的报文，先按照组播转发边界进行过滤，再执行可能的组播策略路由处理。组播转发边界可配置在所有支持组播报文转发的接口上。在入接口和出接口都进行检查。,组播转发边界配置在接口视图下：multicast packet-boundary acl-number 3000打开debug multicast forwarding 可以察看报文的丢弃信息。,组播转发报文的最小TTL值,在接口上配置组播转发报文的最小TTL值后，当要将一个报文从该接口转发出去时（包括本机发出的报文），对接口上配置的最小TTL值进行检查，若报文TTL值（报文TTL已在本路由器内减1）大于接口上配置的最小TTL值，则转发该报文；若报文TTL值小于或等于接口上配置的最小TTL值，则丢弃该报文。组播转发TTL值可配置在所有支持组播报文转发的接口上。ttl检测只有在出接口进行。,组播转发报文的最小TTL值 在接口视图下：multicast minimum-ttl 200打开debug multicast forwarding 可以察看报文的丢弃信息。,组播报文策略路由的流程,问题,请简要描述单播报文转发流程。请简要描述组播报文策略路由流程。,第1章 策略路由原理第2章 路由策略原理,第2章 路由策略原理路由策略概念策略相关的五种过滤器策略路由流程策略路由匹配原则,路由策略,简单的来说，就是路由发布和接收的策略。其实，在选择路由协议时，也是一种路由策略。因为相同的网络结构，不同的路由协议因为实现的机制不同、开销计算规则不同、优先级定义不同等可能会产生不同的路由表。 通常所说的路由策略指的是，在正常的路由协议之上，根据某种规则、通过改变某些参数或者设置某种控制方式来改变路由产生、发布、选择的结果,路由策略的作用,过滤路由信息的手段发布路由信息时只发送部分信息接收路由信息时只接收部分信息进行路由引入时引入满足特定条件的信息支持等值路由设置路由协议引入的路由属性,Page 33,路由的发布、接收和引入,如何有选择性的发布、接收和引入路由？,对邻居发布路由,从邻居接收路由,OSPF,BGP,不同路由协议间引入路由,Page 34,IP路由策略,路由器在发布与接收路由信息时，可能需要实施一些策略，以便对路由信息进行过滤，比如只接收或发布一部分满足给定条件的路由信息； 路由器在引入其它路由协议的路由信息时，可能需要只引入一部分满足条件的路由信息，并对所引入的路由信息的某些属性进行设置或修改，以使其满足本协议的要求。 为实现路由策略，首先要定义将要实施路由策略的路由信息的特征，即定义一组匹配规则，可以以路由信息中的不同属性作为匹配依据进行设置，如目的地址、发布路由信息的路由器地址等。,策略相关的五种过滤器,路由策略（routing policy）设定匹配条件，属性匹配后进行设置，由if-match和apply字句组成访问列表（access-list）用于匹配路由信息的目的网段地址或下一跳地址，过滤不符合条件的路由信息前缀列表（prefix-list）匹配对象为路由信息的目的地址或直接作用于路由器对象（gateway）自治系统路径信息访问列表（aspath-list）仅用于BGP协议，匹配BGP路由信息的自治系统路径域团体属性列表（community-list）仅用于BGP协议，匹配BGP路由信息的自治系统团体域,36,1、访问控制列表（ACL）,访问控制列表分为三类： Advanced：表示高级访问控制列表； Basic：表示基本访问控制列表；Interface：表示基于接口的访问控制列表； 在对路由信息过滤时，一般使用基本访问列表和高级访问控制列表。 使用基本访问控制列表，在定义访问列表时指定一个源IP地址或子网的范围，用于匹配路由信息的源地址。 使用高级访问列表，则可以使用协议类型、源/目的地址或端口号等多种参数匹配路由信息。,37,2、前缀列表（ip-prefix）,前缀列表（ip-prefix）通过IP地址以及掩码长度范围来定义一定的IP前缀范围。,注意：地址前缀列表的各表项之间的过滤关系是“或”的关系，即通过一条表项的过滤就意味着通过该地址前缀列表的过滤。若没有通过任一表项的过滤，则通不过该地址前缀列表的过滤。,38,前缀列表（ip-prefix）配置举例,实际匹配的掩码长度范围817，实际匹配的网段为：10.0.0.0/8或10.0.0.0/9或10.0.0.0/16或10.0.128.0/17,# 定义一条名称为p1的地址前缀列表，只允许10.0.192.0/8网段的，掩码长度为小于17路由通过。,Quidway ip ip-prefix p1 permit 10.0.192.0 8 less-equal 17,39,3、自治系统路径信息访问列表（as-path list）,AS-path，也就是自治系统路径信息，是BGP路由的重要属性之一。而自治系统路径信息访问列表（as-path list）则主要利用正则表达式的方式来定义一组用于匹配AS-path列表的规则。,ip as-path-acl aspath-acl-number permit | deny as-regular-expression,正则表达式是按照一定的模板来匹配字符串的公式。,40,常见的正则表达式符号,41,正则表达式的用法举例,AS70,AS30,OK！,ip as-path-acl 2 permit _30 .+ 70$ （接受从AS70始发的路由但是要经过AS30） ip as-path-acl 2 permit _30 70$ （有可能AS30与AS70直接相连）ip as-path-acl 2 deny 70$ （拒绝从AS70始发的路由） ip as-path-acl 2 permit .* （允许其他AS的路由）,42,4、团体属性列表（community-list）,团体属性是BGP的重要属性之一，通过定义团体属性列表，我们可以很灵活的对一定数量的路由进行操作。ip community-list命令则是用来配置一个BGP团体列表的匹配规则，以方便我们对携带团体属性的BGP路由进行过滤,ip community-list stand-comm-list-number permit | deny aa:nn | internet | no-export-subconfed | no-advertise | no-export ip community-list ext-comm-list-number permit | deny as-regular-expression,43,团体属性列表（community-list）参数介绍,团体属性列表可分为标准以及扩展两种。标准团体属性列表参数：aa:nn ：团体号，aa一般为自治系统号，nn为赋值internet ：通告所有路由。（缺省属性）no-export-subconfed：不向本地自治系统外发送匹配路由 no-advertise：为不向任何同伴发送匹配路由 no-export：不向自治系统外部通告路由，但发布给其它子自治系统 扩展团体属性列表参数：as-regular-expression：正则表达式格式的团体属性 （以正则表达式进行团体属性值的匹配）,44,团体属性列表配置举例,# 定义一个团体属性列表，匹配团体号65400:10,Quidwayip community-list 1 permit 65400:10,# 定义一个团体属性列表，匹配团体号65400:10，不向本地自治系统外通告具有该团体属性的路由,Quidwayip community-list 1 permit 65400:10 no-export-subconfed,45,利用团体属性列表实现路由发布和接收策略,在BGP邻居进行接收和发布路由过滤时，团体属性列表不能像前面介绍的访问控制列表，前缀列表和as-path list一样单独使用，而必须和Route-policy一起使用（作为Route-policy中的匹配条件）对特定的BGP路由赋予团体属性值，也是Route-policy的动作之一。,46,5、Route-policy,Route-policy是最强大的路由策略工具，前面介绍的访问控制列表，前缀列表，as-path list和团体属性列表都可以作为Route-policy的匹配规则，以实现灵活的路由匹配和过滤Route-policy不仅可以实现路由的过滤（permit or deny），还可以对符合规则的路由增加或修改相关的路由属性。Route-policy可以用于在接收和发布路由时的路由策略，同时也是唯一的可用于路由引入时的路由策略工具。,Page 47,路由策略的选择,Page 48,Route-policy的执行规则,策略路由与路由策略的联系和区别,1、联系：双方都是为了转发数据包而进行路径选择的策略，都是根据某种规则改变某些参数或控制手段来设置不同的转发路径。,Page 49,策略路由与路由策略的区别,路由策略是路由发现规则，策略路由是数据包转发规则。实路由器中存在两种类型和层次的表，一个是路由表(routing-table)，另一个是转发表(forwording-table)。转发表是由路由表映射过来的，策略路由直接作用于转发表，路由策略直接作用于路由表。路由策略是在路由发现的时候产生作用，是根据一些规则，使用某种策略改变规则中影响路由发布、接收或路由选择的参数而改变路由发现的结果，最终改变的是路由表的内容。策略路由是在数据包转发的时候发生作用、不改变路由表中任何内容，它可以通过设置的规则影响数据报文的转发。 。,策略路由与路由策略的区别,路由策略是控制层面的行为，操作的对象是路由条目，匹配的是路由，具体是指目标网段、掩码、下一跳、度量值、Tag、Community等由于转发在底层，路由在高层，所以转发的优先级比路由的优先级高策略路由的优先级比路由策略高，当路由器接收到数据包，并进行转发的时候，会优先根据策略路由的规则进行匹配，如果能匹配上，则根据策略路由来转发，否则按照路由表中转发路径来进行转发。,问题,路由策略有何作用?常见策略过滤器有哪些?各有什么作用?路由策略执行的规则是怎样的?,谢 谢 ！,Page 53,