网络工程 | Cisco 策略路由(PBR)概念和案例 - THRFUR

网络工程 | Cisco 策略路由(PBR)概念和案例

NaN

概念

应用策略路由，必须要指定策略路由使用的路由图，并且要创建路由图。一个路由图由很多条策略组成，每个策略都定义了1 个或多个的匹配规则和对应操作。一个接口应用策略路由后，将对该接口接收到的所有包进行检查，不符合路由图任何策略的数据包将按照通常的路由转发进行处理，符合路由图中某个策略的数据包就按照该策略中定义的操作进行处理。

策略路由可以使数据包按照用户指定的策略进行转发。对于某些管理目的，如QoS需求或VPN拓扑结构，要求某些路由必须经过特定的路径，就可以使用策略路由。例如，一个策略可以指定从某个网络发出的数据包只能转发到某个特定的接口。

种类

大体上分为两种：

根据路由的目的地址来进行的策略称为：目的地址路由；
根据路由源地址来进行策略实施的称为：源地址路由！
随着策略路由的发展有了第三种路由方式：智能均衡的策略方式！

特点

可以不仅仅依据目的地址转发数据包，它可以基于源地址、数据应用、数据包长度等。这样转发数据包更灵活。
为QoS服务。使用route-map及策略路由可以根据数据包的特征修改其相关QoS项，进行为QoS服务。
负载平衡。使用策略路由可以设置数据包的行为，比如下一跳、下一接口等，这样在存在多条链路的情况下，可以根据数据包的应用不同而使用不同的链路，进而提供高效的负载平衡能力。

级别

策略路由比所有路由的级别都高，其中包括直连路由。

配置命令

基于源地址的策略路由：

access-list 1 permit host 192.168.1.2 //用ACL标出策略路由允许通过的主机地址（也可以是一个网段）
access-list 2 permit host 192.168.1.3
route-map thrfur permit 10 //创建路由表并命名为thrfur和标上编号10
match ip address 1 //关联ACL 1 的IP地址
set ip next-hop 192.168.2.2 //符合ACL 1中的IP地址经过这个路由器后下一跳的IP地址为192.168.2.2

route-map thrfur2 permit 20 //创建路由表并命名为thrfur2和标上编号20
match ip address 2 //关联ACL 2 的IP地址
set ip next-hop 192.168.3.2 //符合ACL 2中的IP地址经过这个路由器后下一跳的IP地址为192.168.3.2

效果：IP为192.168.1.2则走192.168.2.2的路由，IP为192.168.1.3则走192168.3.2 的路由

基于目的地址的策略路由：

access-list 111 permit tcp any host 192.168.200.1 //用扩展ACL标出所有IP到主机192.168.200.1的数据流
access-list 112 permit tcp any host 192.168.201.1 //用扩展ACL标出所有IP到主机192.168.201.1的数据流
route-map thrfur permit 10 //创建路由表并命名为thrfur和标上编号10
match ip address 111 //关联ACL 111 的IP地址
set ip next-hop 192.168.2.6 //目的地址符合ACL 111 的数据流下一跳为192.168.2.6
route-map thrfur2 permit 20 //创建路由表并命名为thrfur2和标上编号20
match ip address 112 //关联ACL 112 的IP地址
set ip next-hop 192.168.3.6 //目的地址符合ACL 112 的数据流下一跳为192.168.3.6

基于报文长度的策略路由：

route-map thrfur permit 10 //创建路由表并命名位thrfur，标上序号10
match length 0 100 //表示报文大小在0-100之内的数据流
set ip next-hop 192.168.1.1 //下一跳的IP地址为192.168.1.1

路由策略与策略路由的区别

主要区别在于它们的主体不同。路由策略管路由，策略路由管数据。

路由策略对符合条件的路由通过修改路由属性来执行相应的策略动作，如：允许通过、拒绝通过等。

策略路由对符合条件的数据报文(源地址、目的地址、数据报文等)按照设置的策略规定来执行相应的动作，如下一跳等。

NaN

R1#conf t
R1(config)#inter f0/0
R1(config-if)#ip add 192.168.34.254 255.255.255.0
R1(config-if)#no shut
R1(config-if)#exit
R1(config)#inter s0/0
R1(config-if)#ip add 192.34.1.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#exit
R1(config)#inter s0/1
R1(config-if)#ip add 192.134.1.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#exit
R1(config)#router ospf 1
R1(config-router)#network 192.168.34.0 0.0.0.255 area 0
R1(config-router)#network 192.34.1.0 0.0.0.255 area 0
R1(config-router)#network 192.134.1.0 0.0.0.255 area 0
R1(config-router)#end

R2#conf t
R2(config)#inter s0/0
R2(config-if)#ip add 192.34.1.2 255.255.255.0
R2(config-if)#no shut
R2(config-if)#exit
R2(config)#inter f0/0
R2(config-if)#ip add 192.34.2.254 255.255.255.0
R2(config-if)#no shut
R2(config-if)#exit
R2(config)#inter f0/1
R2(config-if)#ip add 192.234.1.1 255.255.255.0
R2(config-if)#no shut
R2(config-if)#exit
R2(config)#router ospf 1
R2(config-router)#network 192.34.1.0 0.0.0.255 area 0
R2(config-router)#network 192.34.2.0 0.0.0.255 area 0
R2(config-router)#network 192.234.1.0 0.0.0.255 area 0
R2(config-router)#end

R3#conf t
R3(config)#inter s0/1
R3(config-if)#ip add 192.134.1.2 255.255.255.0
R3(config-if)#no shut
R3(config-if)#exit
R3(config)#inter f0/1
R3(config-if)#ip add 192.234.1.2 255.255.255.0
R3(config-if)#no shut
R3(config-if)#exit
R3(config)#inter f0/0
R3(config-if)#ip add 192.134.2.254 255.255.255.0
R3(config-if)#no shut
R3(config-if)#exit
R3(config)#router ospf 1
R3(config-router)#network 192.134.1.0 0.0.0.255 area 0
R3(config-router)#network 192.234.1.0 0.0.0.255 area 0
R3(config-router)#network 192.134.2.0 0.0.0.255 area 0
R3(config-router)#end

PC-1 ping PC-3

PC1> ping 192.134.2.1
192.134.2.1 icmp_seq=1 timeout
84 bytes from 192.134.2.1 icmp_seq=2 ttl=62 time=93.601 ms
84 bytes from 192.134.2.1 icmp_seq=3 ttl=62 time=93.600 ms
84 bytes from 192.134.2.1 icmp_seq=4 ttl=62 time=187.201 ms
84 bytes from 192.134.2.1 icmp_seq=5 ttl=62 time=93.601 ms

PC-1 trace PC-3

PC1> trace 192.134.2.1
trace to 192.134.2.1, 8 hops max, press Ctrl+C to stop
 1   192.168.34.254   46.800 ms  46.801 ms  46.800 ms
 2   192.134.1.2   46.800 ms  46.800 ms  46.801 ms
 3   *192.134.2.1   78.000 ms (ICMP type:3, code:3, Destination port unreachable)

R1和R2分别修改S0/0端口的带宽为6000

R1(config)#inter s0/0
R1(config-if)#bandwidth 6000

R2(config)#inter s0/0
R2(config-if)#bandwidth 6000

再查看PC-1 trace PC-3

PC1> trace 192.134.2.1
trace to 192.134.2.1, 8 hops max, press Ctrl+C to stop
 1   192.168.34.254   46.800 ms  46.800 ms  46.800 ms
 2   192.34.1.2   46.800 ms  46.800 ms  93.600 ms
 3   192.234.1.2   124.800 ms  140.400 ms  187.200 ms
 4   *192.134.2.1   187.200 ms (ICMP type:3, code:3, Destination port unreachable)

可以看到修改了带宽为6000以后，PC-1 trace PC-3 走的路线为 192.168.34.254 -> 192.34.1.2 -> 192.234.1.2 -> 192.134.2.1(目的地)。在未修改前走的是 192.168.34.254 -> 192.134.1.2 -> 192.134.2.1(目的地)。

为什么修改带宽？把路线调整一下，然后通过配置策略路由使效果生效。

配置策略路由

R1(config-if)#access-list 100 permit ip any 192.34.0.0 0.0.255.255
R1(config)#route-map thrfur permit 10
R1(config-route-map)#match ip address 100
R1(config-route-map)#set ip next-hop 192.34.1.2
R1(config-route-map)#exit
R1(config)#route-map thrfur permit 20
R1(config-route-map)#set ip next-hop 192.134.1.2
R1(config-route-map)#exit
R1(config)#inter f0/0
R1(config-if)#ip policy route-map thrfur

再查看PC-1 trace PC-3

PC1> trace 192.134.2.1
trace to 192.134.2.1, 8 hops max, press Ctrl+C to stop
 1   192.168.34.254   46.799 ms  31.199 ms  31.200 ms
 2   192.134.1.2   109.198 ms  124.798 ms  77.998 ms
 3   *192.134.2.1   140.398 ms (ICMP type:3, code:3, Destination port unreachable)

PC1>