华为路由器路由策略和策略路由配置与管理.docx

1、华为路由器路由策略和策略路由配置与管理路由策略和策略路由配置管理一、路由策略简介路由策略主要实现了路由过滤和路由属性设置等功能，它通过改变路由属性包括可达性来改变网络流量所 经过的路 径。路由协议在发布、接收和引入路由信息时，根据实际组网需求实施一些策略，以便对路由信息进行过滤和改变路由信息的 属性，如：1、 控制路由的接收和发布只发布和接收必要、合法的路由信息，以控制路由表的容量，提高网络的平安性。2、 控制路由的引入在一种路由协议在引入其它路由协议发现的路由信息丰富自己的路由信息时，只引入一局部满足条件的路由信息。3、 设置特定路由的属性修改通过路由策略过滤的路由的属性，满足自身需要。路由

2、策略具有以下价值：通过控制路由器的路由表规模，节约系统资源；通过控制路由的接收、发布和引入，提高网络平安性；通过修 改路由属 性，对网络数据流量进行合理规划，提高网络性能。、根本原理路由策略使用不同的匹配条件和匹配模式选择路由和改变路由属性。在特定的场景中，路由策略的 6种过滤器 也能单独使用，实现路由过滤。假设设备支持BGP to IGP功能，还能在IGP引入BGP路由时，使用BGP私有属性作为匹配条 件。RoutingpolicyI 厂 F仝部V , If match(Ncxje If match 血扯模加邨dPermit APPApplyDony图1路由策略原理图如图1，一个路由策略中包

3、含N N=1个节点Node。路由进入路由策略后，各个节按节点序号从小到大依次检查点是否匹配。匹配条件由lf-match子句定义，涉及路由信息的属性和路由策略的 6种过滤器。匹配模式分permit和deny两种：permit :路由将被允许通过并且执行该节点的Apply子句对路由信息的一些属性进行设置。deny :路由将被拒绝通过。当路由与该节点的任意一个lf-match子句匹配失败后，进入下一节点。如果和所有节点都匹配失败，路由信息将被拒绝通 过。过滤器路由策略中lf-match子句中匹配的6种过滤器包括访问控制列表ACL (Access Control List)、地址前缀列表、AS路径过滤

4、 器、团体属性过滤器、扩展团体属性过滤器和RD属性过滤器。这6种过滤器具有各自的匹配条件和匹配模式，因此这6种过滤器在以下的特定情况中可以单独使用，实现路由过滤。1、 ACLACL是将报文中的入接口、源或目的地址、协议类型、源或目的端口号作为匹配条件的过滤器，在各路由协议发布、接收路 由时单独使用。在Route-Policy的lf-match子句中只支持根本ACL。2、 地址前缀列表(IP Prefix Lis)t地址前缀列表将源地址、目的地址和下一跳的地址前缀作为匹配条件的过滤器，可在各路由协议发布和接收路由时单独使 用。每个地址前缀列表可以包含多个索引(index)，每个索引对应一个节点。

5、路由按索引号从小到大依次检查各个节点是否匹配， 任意一个节点匹配成功，将不再检查其他节点。假设所有节点都匹配失败，路由信息将被过滤。根据匹配的前缀不同，前缀过滤列表可以进行精确匹配，也可以进行在一定掩码长度范围内匹配。说明：当IP地址为0.0.0.0时表示通配地址，表示掩码长度范围内的所有路由都被 Permit或Deny。3、 AS 路径过滤器(AS_Path Filte)AS路径过滤器是将BGP中的AS_Path属性作为匹配条件的过滤器，在 BGP发布、接收路由时单独使用。AS_Path属性记录了 BGP路由所经过的所有AS编号。4、 团体属性过滤器(Community Filter)团体属

6、性过滤器是将BGP中的团体属性作为匹配条件的过滤器，在 BGP发布、接收路由时单独使用。BGP的团体属性是用来标识一组具有共同性质的路由。5、 扩展团体属性过滤器(Extcommunity Filter)扩展团体属性过滤器是将BGP中的扩展团体属性作为匹配条件的过滤器，可在 VPN配置中利用VPN Target区分路由时单独使用。目前，扩展团体属性过滤器仅应用于对 VPN中的VPN Target属性的匹配。VPN Target属性在BGP/MPLS IP VPN网络中控制VPN路由信息在各Site之间的发布和接收。6、 RD 属性过滤器(Route Distinguisher Filte)rR

7、D团体属性过滤器是将VPN中的RD属性作为匹配条件的过滤器，可在 VPN配置中利用RD属性区分路由时单独使用。VPN实例通过路由标识符RD实现地址空间独立，区分使用相同地址空间的前缀。BGP to IGP 功能BGP to IGP功能使IGP能够识别BGP路由的Community、Extcommunity、AS-Path等私有属性。在IGP引入BGP路由时，可以应用路由策略。只有当设备支持 BGP to IGP功能时，路由策略中才可以使用 BGP私有属性作为匹配条件。如果设备不支持 BGPto IGP功能，那么IGP就不能够识别BGP路由的私有属性，将导致匹配条件失效。三、配置路由策略1、配置

8、过滤器1、配置地址前缀列表当需要根据路由的目的地址控制路由的发布和接收时，配置地址前缀列表。如果地址前缀列表不与路由策 略中if-match语句配合使用，地址前缀列表中至少配置一个节点的匹配模式是permit，否那么所有路由将都被过滤。具体配置Huaweiip ip-prefix 1 permit 10.1.0.0 16 ?greater-equal Set the greater-than-or-equal-to value of the mask length# 掩码长度可以匹配范围的下限值 less-equal Set the less-than-or-equal-to value of

9、 the mask length #掩码长度可以匹配范围的上限值 2、配置AS属性过滤器AS路径过滤器是利用BGP路由携带的AS-Path列表对路由进行过滤。AS在不希望接收某些AS的路由时，可以利用如 路径过滤器对携带这些AS号的路由进行过滤。当网络环境比拟复杂时，路由，果利用ACL或者地址前缀列表过滤BGPAS路 那么需要定义多个ACL或者前缀列表，配置比拟繁琐。这时也可以使用 径过滤器。具体配置Huaweiip as-path-filter 1 deny ?TEXT A regular-expression of 1 to 255 characters for matching AS_P

10、ath attributes # 用正那么表达式来表示 正那么表达式的使用见 正那么表达式章节3、 配置团体属性过滤器团体属性可以标识具有相同特征的路由，而不用考虑零散路由前缀和繁多的 AS号。团体属性过滤器与团体属性配合使用，可以在不便使用地址前缀列表和 AS属性过滤器时，降低路由管理难度。例如某公司一国外分部只需要接收国内总部和邻国分部的路由，不需要接收其他国外分部的路由。此时只需为各国分局部配 不同的团体属性，就可以方便的实现路由管理，而不用去考虑每个国家内零散的路由前缀和繁多的 AS号。团体属性过滤器有两种类型：根本团体属性过滤器和高级团体属性过滤器。高级团体属性过滤器支持正那么表达式

11、，比根本团 体属性过滤器匹配团体属性更灵活。具体配置1、 根本团体属性过滤Huaweiip community-filter basic 1 permit ?INTEGER Specify community numberSTRING Specify aa:nninternet lnternet(well-know n comm unity attributes)#缺省情况下所有路由都具有此属性，可以被通告给所有的 BGP对等体no-advertise Do not advertise to any peer (well-know n comm unity attributes)#具有此属性的

12、路由在收到后不能被通告给任何其他的 BGP对等体no-export Do not export to external peers(wellknown community attributes)#具有此属性的路由在收到后不能被发布到本地 AS之外no-export-subconfed Do not send outside a sub-confederation(well-known community attributes)#具有此属性的路由在收到后不能被发布到本地 AS之外，也不能发布到联盟中的其他子 AS2、 高级团体属性过滤Huaweiip community-filter advan

13、eed 1 permit ?TEXT A regular-expression of 1 to 255 characters for matchi ng community attributes #正贝!表达式4、 配置扩展团体属性过滤器当VPN场景中需要根据RT属性进行过滤时，可以使用扩展团体属性过滤器。Huaweiip exteommunity-filter ?INTEGER Extended community-filter number (basic)INTEGER Extended community-filter number (advanced)advaneed Advaneed

14、 exteommunity-filterbasic Basic exteommunity-filter5、配置RD属性过滤器当VPN场景中需要根据RD属性进行过滤时，可以使用扩展团体属性过滤器。 Huaweiip rd-filter 1 ?deny Specify a deny rulepermit Specify a permit rule2、配置路由策略Route-Policy的每个节点由一组if-match子句和apply子句组成。if-match :定义节点匹配规那么，即路由信息通过当前路由策略所需满足的条件。apply :路由策略动作，即满足if-match子句后所执行的一些属性配置

15、动作，对路由的某些属性进行修改。1、 创立 Route-PolicyRoute-Policy中可以包含多个匹配条件和操作动作。Route-Policy中至少配置一个节点的匹配模式是permit，否那么所有路由将都被过滤。具体配置Huaweiroute-policy 1 permit node ?INTEGER Index of the node2、 配置If-match子句可选If-match子句用来定义路由策略的匹配条件，匹配对象是路由策略过滤器和路由信息的一些属性。在一个路由策略节点中， 如果不配置if-match子句，那么表示路由信息在该节点匹配成功。如果配置一条或多条if-match子

16、句，那么各个if-match子句之间是 “与的矢系，即路由信息必须同时满足所有if-match子句，才算该节点匹配成功。但命令 if-match as-path-filter if-match community-filter if-match exteomm un ity-filter if-match in terface 和 if-match route-type除外，这五个命令的各自if-match子句间是“或的尖系，与其它命令的if-match子句间仍是“与的矢系。例如在一个节点中配置多条if-match as-path-filter子句，那么if-match as-path-fil

17、ter子句间是“或的尖系，与其它命令的 if-match子句间仍是“与的矢系。说明：if-match子句匹配未配置的过滤器时，默认该if-match子句匹配成功。对于同一个路由策略节点命令if-match acl和命令if-match ip-prefix不能同时配置，后配置的命令会覆盖先配置 的命 令。修改包括多条if-match子句相互配合的路由策略时，建议配置路由策略生效时间，否那么不完整的策略会造成路由振荡。具体配置：1、创立路策略视图Huaweiroute-policy testl permit node 1if-match 子句Huawei-route-policy以下命令之间是并列

18、尖系，请根据实际 情况配置路由策略中的2、设置匹配规那么 Huawei-route-policyif-match ?aclas-path-filterSpecify an ACL#基于acl的匹断1规那么BGP AS path list#基于as路径过滤器Match BGP community filter#基于团体属性过滤器community-filter cost Match metric of route# 基于路由开销extcomm un ity-filter interface ip ip-prefix ipv6 mpls-label rd-filter route-type tag

19、Match BGP/VPN extended community filterSpecify the in terface matching the first hop of routes# 基于出接口IP informationSpecify an address prefix-list# 基于 IP 第前缀列表IPv6 InformationGive the Label# 基 于 mpls 标签Route-distinguisher filter# 基于 RD 属性Match route-type of route# 基于 is-is 路由类型Match tag of route#基于路由

20、信息标记Huawei-route-policyif-match community-filter 1 ? INTEGER Specify Community-filter number(basic)INTEGER Specify Community-filter number(advanced) whole-matchDo exact matching of communities # 要求完全匹配Huawei-route-policyif-match ip ?group-address Match group address of route# 组播 IP 地址 next-hop Match

21、 next-hop address of routeroute-source Match advertising source address of routeHuawei-route-policyif-match route-typeexternal-typel exter naltype1or2 external-type2 internal is-is-level- 1 is-is-level-2OSPF External Type 1 routesOSPF External routes (OSPF type 1/2)OSPF External Type 2 routesInterna

22、l route (including OSPF intra/inter area)IS-IS Level-1 routesIS-IS Level-2 routesnssa-external-type1 n ssa-external-type1 or2 n ssa-external-type2OSPF NSSA External Typel routesOSPF NSSA External Typel and Type2 routesOSPF NSSA External Type2 routes3、配置Apply子句可选Apply子句用来为路由策略指定动作，用来设置匹配成功的路由的属性。在一个节

23、点中，如果没有配置apply子句，那么该节点仅起过滤路由的作用。如果配置一个或多个apply子句，那么通过节点 匹配的路由将执行所有apply子句。具体配置：1、设置 BGP 路由的 AS_Path 属性动作Huawei-route-policyapply as-path 200 10 10 ?additiveoverwriteAppend to original As Number#在原有的路径前面添加 as号Overwrite original As Number# 覆盖原有 as 号2、设置备份出接口apply backup-nexthop 命令酉己主要用于IP FR (快速重路由)场景

24、，手动为路由配置一个备份出接口，一般需要与 合使用，除了 P2P链路外都需要设置下一跳。Huawei-route-policyapply backup-interface ?Ether net Ether net in terfaceGigabitEther net GigabitEthernet in terfaceNULL NULL interfaceSerial Serial interface3、 设置备份出接口下一跳动作Huawei-route-policyapply backupnexthop ?X.X.X.X Specify IP-addressauto Find backup

25、nexthop address automatic4、 删除指定的BGP路由的团体属当需要删除几个团体属性时，可通过一条ip community-filter命令仅配置一个团体属性的方法，将需要删除的团体属性都分 条配置到一个团体属性过滤器，最后应用包含apply comm-filter delete命令的路由策略删除该团体属性过滤器中的所有团体属 性。Huawei-route-policyapply comm-filter 2 delete 5、删除全部BGP团体属性或改变BGP团体属性Huawei-route-policyapply community ?INTEGER Specify c

26、ommunity numberSTRING internet no-advertise no-export no-export- subc onfed noneSpecify aa:nnIntern et(well-k nown comm unity attributes) # 改变为 in ternet 类型、卜同Do not advertise to any peer (well-known community attributes) # 改变为 no-advertise 类型Do not export to external peers(well-k nown comm unity at

27、tributes)Do not send outside a sub-confederation(well-k nown comm unity attributes)No community attribute #删除所有团体属性6、设置路由的开销值Huawei-route-policyapply cost ?+ Add metric #原有根底上增加 Subtract metricINTEGER Specify metric value #直接设定7、设置开销类型Huawei-route-policyapply cost-type ?external IS-IS external metri

28、cinternal IS-IS internal metric/Set BGP MED to IGP metric of nexthop type-1 OSPF External Type 1 routestype-2 OSPF External Type 2 routes&设置EBGP路由的衰减参数Huawei-route-policyapply dampening ?INTEGER Half-life period for a route, in minutes9、设置 BGP 路由的扩展团体属性(Route-Target) Huawei-route-policyapply extcomm

29、unity rt ?STRING IP:NNor AS:NN orAS.v065535:NNv065535 10、设置 IPv4 路由的下一跳地址Huawei-route-policyapply ip-address next-hop ?X.X.X.X Specify IP-address peer-address Peer address11、 设置ISIS的路由级别Huawei-route-policyapply isis ?level-1 Import into a level-1 arealevel-1-2 Import into level-1 and level-2level-2

30、Import into level-2 sub-domain12、 设置 BGP 路由的本地优先级Huawei-route-policyapply local-preference ?INTEGER Specify a local preference value13、 设置路由MPLS标签Huawei-route-policyapply mpls-label14、 设置BGP路由的Origin属性Huawei-route-policyapply origin ?egp Remote EGP #路由信息源为EGP优先级中等igp Local IGP #优先级最高incomplete Unknown heritage # 未知，优先级最低15、 设置路由引入到OSPF的特定区域Huawei-route-policyjapply ospf ?backbone Import into OSPF backbone area #骨干区域stub-area Import into OSPF NSSA area# stub 区域16、 设置路由协议的优先级Huawei-route-policyapply