单击此处编辑母版标题样式,安徽财经大学信息工程学院,Page,*,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,谢谢,单击此处编辑母版标题样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,单击此处编辑母版文本样式,此处编辑母版单击标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,策略路由与路由策略原理,策略路由与路由策略原理,如何对报文转发的路径进行有效控制,?,如何对发布、接收、引入的路由信息进行有效控制，提高网络安全性,?,学完本课程之后您将会找到满意的答案。,前 言,Page 1,如何对报文转发的路径进行有效控制?如何对发布、接收、引入的路,参考资料,操作手册,、,命令手册,Page 2,参考资料操作手册、命令手册,目标,学习完此课程，您将会：,掌握策略路由基本原理,掌握路由策略基本原理,Page 3,目标学习完此课程，您将会：,内容介绍,第,1,章 策略路由原理,第,2,章 路由策略原理,Page 4,内容介绍第1章 策略路由原理,策略路由的引入,普通的报文转发是依据报文的目的地址查询转发表来实现的。,display ip routing-table,Routing Table:public net,Destination/Mask Protocol Pre Cost Nexthop Interface,0.0.0.0/0 RIP 100 1 200.200.203.2 GE11/1/0,0.0.0.0/32 RIP 100 1 200.200.203.2 GE11/1/0,1.0.0.0/8 STATIC 60 0 11.110.0.1 Ethernet12/2/0,4.4.4.0/24 DIRECT 0 0 4.4.4.4 Ethernet12/2/0.200,4.4.4.4/32 DIRECT 0 0 127.0.0.1 InLoopBack0,5.0.0.0/8 RIP 100 1 200.200.203.2 GE11/1/0,PC1,PC2,RTA,RTB,RTC,RTD,S1/0/0,E1/2/0,Page 5,策略路由的引入普通的报文转发是依据报文的目的地址查询转发表来,策略路由的引入,(,续,),普通的报文转发是依据报文的目的地址查询转发表来实现的。,但是遇到如下情况如何解决？,1,、根据源,IP,来控制报文转发。即控制来自,PC1,的报文通过接口,S1/0/0,转发，来自,PC2,的报文通过接口,E1/2/0,转发口？,2,、根据报文的长度来控制报文转发。,3,、根据报文的其他属性来控制报文转发。,PC1,PC2,RTA,RTB,RTC,RTD,S1/0/0,E1/2/0,Page 6,策略路由的引入(续)普通的报文转发是依据报文的目的地址查询转,策略路由概念,策略路由是一种依据用户制定的策略进行路由选择的机制，与单纯依照,IP,报文的目的地址查找路由表进行转发不同，可应用于安全、负载分担等目的。,VRP,策略路由支持基于,acl,包过滤、地址长度等信息，灵活地指定路由。而,acl,报文过滤则可以根据报文的源,ip,、目的,ip,、协议、端口号、优先级、,tos,、时间段、,vpn,等各种丰富的信息将报文分类，然后控制将这些报文按照不同的路由转发出去。,Page 7,策略路由概念策略路由是一种依据用户制定的策略进行路由选择的机,策略路由的分类,按报文分类：分为单播策略路由（针对单播报文进行控制）和组播策略路由（只对组播报文进行控制）。,单播报文,RTA,RTB,RTC,RTD,RTF,RTE,我,是组播策略，组播报文听我指挥，该报文从接口,e1/0,和,s0/0,转发,我,是单播策略，单播报文听我指挥，该报文从接口,e0/0,转发,组播报文,Page 8,策略路由的分类按报文分类：分为单播策略路由（针对单播报文进行,策略路由的分类（续）,策略路由既可以应用于被转发的报文，又可以应用于路由器本地产生的报文。前者称为接口策略路由，后者称为本地策略路由。,接口策略路由只对转发的报文起作用，对本地产生的报文（比如本地的,ping,报文）不起作用。而本地策略路由只对本地产生的报文起作用，对转发的报文不起作用。,接口策略路由配置在接口视图下。,本地产生的报文的策略路由配置在系统视图下。,注意：组播策略路由只支持转发的报文，不对路由器本机产生的报文进行策略路由。,Page 9,策略路由的分类（续）策略路由既可以应用于被转发的报文，又可以,匹配原则概述,Route-policy:route_policy_name,permit 10:if-match acl 3000,if-match packet-length 100 500,apply output-interface Ethernet1/1/0,/,有多个匹配项,deny 20:if-match acl 2000,/,只有匹配项,permit 30:if-match acl 3100,permit 40:,apply output-interface Ethernet1/1/0,/,只有操作项,permit 50:,apply output-interface Ethernet1/1/0,deny 60:,/,匹配项和操作项都没有,permit 70:,permit 80:if-match acl 3000,apply output-interface Ethernet1/1/0 serial1/0/0,apply ip-address next-hop 1.1.1.1,/,有多个操作项,Page 10,匹配原则概述Route-policy:route_pol,匹配项,匹配项就是,if-match,语句，根据这些匹配项将报文按照某个规则进行分类，分为满足规则和不满足规则两类。,定义什么节点？,匹配否？,Permit,Deny,Match,（所有条件都满足）,执行退出,不执行退出,Not match,（任意一个不满足）,不执行继续,不执行继续,注意：,1,、只有满足所有的,if,match,，才算匹配，即各匹配条件是与的关系。,2,、“匹配退出，不匹配继续”的原则。即只要任意一个节点满足匹配，,则不再继续往下匹配，如果不匹配则继续匹配下一个节点。,Page 11,匹配项匹配项就是if-match语句，根据这些匹配项将报文按,操作项,操作项就是,apply,语句，也就是满足匹配项的报文将怎么处理、从哪个接口转发出去。,route-policy n permit node 0,if-match acl 2000,if-match packet-length 100 500,apply ip-precedence priority,apply output-interface Serial1/0/0 Ethernet1/1/0,apply default output-interface Serial1/0/0,apply ip-address next-hop 1.1.1.1,apply ip-address default next-hop 2.2.2.2 3.3.3.3,一个单播报文只能转发一次，,即只能从某个接口转发出去,Page 12,操作项操作项就是apply语句，也就是满足匹配项的报文将怎么,转发接口的优先级,策略路由的出接口,策略路由的下一跳,路由表中下一跳,策略路由的缺省出接口,策略路由的缺省下一跳,低,高,转发优先级,以上只针对单播报文，不包括组播报文。,当配置有优先级高的策略，则优先级低的配置将被忽略。,单播策略路由可以同时配置两个下一跳或设置两个出接口，报文转发将采用负载分担的方式进行。,Page 13,转发接口的优先级策略路由的出接口策略路由的下一跳路由表中下一,报文匹配的其它策略,注意事项：,1,、如果只添加一个节点而没有任何匹配项和设置操作项，则所有报文都匹配，不再继续往下匹配。但是策略路由的统计数字不改变。,2,、如果添加一个节点，只有匹配项，没有设置操作项，则进行匹配，但不执行相应的操作，不再继续往下匹配。但是策略路由的统计数字不改变。,3,、如果添加一个节点，没有匹配项，有设置操作项，则所有报文都匹配，根据,permit/deny,执行相应的操作，不再继续往下匹配。但是策略路由的统计数字改变。,4,、如果匹配项中使用的,acl,根本不存在，则缺省是不匹配任何报文。,5,、当直接出接口指定为本地的以太网接口、子接口、,Virtual-Template,接口时，虽然从指定接口转发，但不能正常通信，因为这几个接口是广播域，不能确定下一跳，因此必须指定为下一跳。,6,、当配置,deny,的节点时，对于单播策略路由来说，节点的,apply,命令行等于没配置一样，数据包将走正常单播路由表转发，因此没有,deny,的调试信息以及相应的统计信息；对于组播策略路由来说，数据包将直接丢弃，不查询组播路由表，有,deny,的调试信息以及相应的统计信息。,Page 14,报文匹配的其它策略 注意事项：4、如果匹配项中使用的acl根,单播报文转发流程,Y,Y,Y,Y,Y,Y,Y,策略路由配置有出接口吗？,策略路由配置有下一跳吗？,路由表中有下一跳吗？,策略路由配置有缺省接口吗？,策略路由配置有缺省下一跳吗？,策略路由有设置优先级吗？,丢弃该报文，,发,ICMP_UNREACH,配置有本地策略路由吗？,本地报文发送流程,按正常流程发送报文,根据策略设置报文优先级,发送报文到该出接口,发送报文到该下一跳,发送报文到该下一跳,发送报文到该缺省下一跳,结束,发送报文到该缺省接口,对来自外部的转发报文首先判断有接口策略路由吗,Page 15,单播报文转发流程YYYYYYY策略路由配置有出接口吗？策略路,组播策略路由,和单播策略路由的区别：,1,、报文不一样。单播报文就是以,A,、,B,、,C,类,ip,地址为目的地址的报文，组播报文就是以,224.0.0.0239.255.255.255,为目的地址的报文。,2,、配置不一样。组播策略路由的配置中,apply,必须包含,acl,。,3,、配置作用域不一样。单播策略路由的配置仅对单播报文起作用，组播策略路由的配置仅对组播报文起作用。即,apply,中包含有,acl,的对组播报文起作用，对单播报文不起作用；,apply,中不包含有,acl,的对单播报文起作用，对组播报文不起作用。,4,、当单播同时配置有出接口和下一跳时，则只从出接口转发，不从下一跳转发。当组播同时配置有出接口和下一跳时，则既从各个出接口转发（可能有多个），也从各个下一跳转发（也可能有多个），但是最多只能从,64,个接口转发。,Page 16,组播策略路由和单播策略路由的区别：,组播转发边界,当一个接口配置了组播转发边界以后，从该接口接收的报文和从该接口发出的报文（包括本机发出的报文）都将按照配置的,acl,策略进行过滤。其中，对于从该接口接收的报文，先按照组播转发边界进行过滤，再执行可能的组播策略路由处理。,组播转发边界可配置在所有支持组播报文转发的接口上。在入接口和出接口都进行检查。,组播转发边界配置,在接口视图下：,multicast packet-boundary acl-number 3000,打开,debug multicast forwarding,可以察看报文的丢弃信息。,Page 17,组播转发边界当一个接口配置了组播转发边界以后，从该接口接收的,组播转发报文的最小,TTL,值,在接口上配置组播转发报文的最小,TTL,值后，当要将一个报文从该接口转发出去时（包括本机发出的报文），对接口上配置的最小,TTL,值进行检查，若报文,TTL,值（报文,TTL,已在本路由器内减,1,）大于接口上配置的最小,TTL,值，则转发该报文；若报文,TTL,值小于或等于接口上配置的最小,TTL,值，则丢弃该报文。,组播转发,TTL