如何在交换机里做ACL或策略路由能实现--------某个地址或者网段走某个特定的出口

您好，请知：

需要配置ACL，绑定特定的网段。然后创建策略路由，调用ACL，最后制定下一跳地址或出口。

以下是具体的策略路由案例，请参考：

1.6  策略路由典型配置举例

1.6.1  基于报文协议类型的本地策略路由配置举例

1. 组网需求

通过策略路由控制Router A产生的报文：

·     所有TCP报文均通过串口Serial2/0发送；

·     其它报文仍然按照查找路由表的方式进行转发。

其中，Router A分别与Router B和Router C直连。

2. 组网图

图1-1 基于报文协议类型的本地策略路由的配置举例组网图

3. 配置步骤

(1)     配置Router A

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

<RouterA> system-view

[RouterA] acl number 3101

[RouterA-acl-adv-3101] rule permit tcp

[RouterA-acl-adv-3101] quit

# 定义5号节点，使TCP报文被发往串口Serial2/0。

[RouterA] policy-based-route aaa permit node 5

[RouterA-pbr-aaa-5] if-match acl 3101

[RouterA-pbr-aaa-5] apply output-interface serial 2/0

[RouterA-pbr-aaa-5] quit

# 在Router A上应用本地策略路由。

[RouterA] ip local policy-based-route aaa

# 配置Serial接口的IP地址。

[RouterA] interface serial 2/0

[RouterA-Serial2/0] ip address 1.1.2.1 255.255.255.0

[RouterA-Serial2/0] quit

[RouterA] interface serial 2/1

[RouterA-Serial2/1] ip address 1.1.3.1 255.255.255.0

(2)     配置Router B

# 配置Serial接口的IP地址。

<RouterB> system-view

[RouterB] interface serial 2/0

[RouterB-Serial2/0] ip address 1.1.2.2 255.255.255.0

(3)     配置Router C

# 配置Serial接口的IP地址。

<RouterC> system-view

[RouterC] interface serial 2/1

[RouterC-Serial2/1] ip address 1.1.3.2 255.255.255.0

[RouterC-Serial2/1] quit

(4)     验证配置结果

从Router A上Telnet Router B（1.1.2.2/24），结果成功。

从Router A上Telnet Router C（1.1.3.2/24），结果失败。

从Router A上ping Router C（1.1.3.2/24），结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：Router A产生的TCP报文均从串口Serial2/0发送，串口Serial2/1不发送TCP报文，但可以发送非TCP报文，策略路由设置成功。

1.6.2  基于报文协议类型的转发策略路由配置举例

1. 组网需求

通过策略路由控制从Router A的以太网接口Ethernet1/1接收的报文：

·     所有TCP报文均通过串口Serial2/0发送；

·     其它报文仍然按照查找路由表的方式进行转发。

2. 组网图

图1-2 基于报文协议类型的转发策略路由的配置举例组网图

3. 配置步骤

(1)     配置Router A

# 定义访问控制列表ACL 3101，用来匹配TCP报文。

<RouterA> system-view

[RouterA] acl number 3101

[RouterA-acl-adv-3101] rule permit tcp

[RouterA-acl-adv-3101] quit

# 定义5号节点，使TCP报文被发往串口Serial2/0。

[RouterA] policy-based-route aaa permit node 5

[RouterA-pbr-aaa-5] if-match acl 3101

[RouterA-pbr-aaa-5] apply output-interface serial 2/0

[RouterA-pbr-aaa-5] quit

# 在以太网接口Ethernet1/1上应用转发策略路由，处理此接口接收的报文。

[RouterA] interface ethernet 1/1

[RouterA-Ethernet1/1] ip address 10.110.0.10 255.255.255.0

[RouterA-Ethernet1/1] ip policy-based-route aaa

[RouterA-Ethernet1/1] quit

# 配置Serial接口的IP地址。

[RouterA] interface serial 2/0

[RouterA-Serial2/0] ip address 1.1.2.1 255.255.255.0

[RouterA-Serial2/0] quit

[RouterA] interface serial 2/1

[RouterA-Serial2/1] ip address 1.1.3.1 255.255.255.0

(2)     配置Router B

# 配置到网段10.110.0.0/24的静态路由。

<RouterB> system-view

[RouterB] ip route-static 10.110.0.0 24 1.1.2.1

# 配置Serial接口的IP地址。

[RouterB] interface serial 2/0

[RouterB-Serial2/0] ip address 1.1.2.2 255.255.255.0

(3)     配置Router C

# 配置到网段10.110.0.0/24的静态路由。

<RouterC> system-view

[RouterC] ip route-static 10.110.0.0 24 1.1.3.1

# 配置Serial接口的IP地址。

[RouterC] interface serial 2/1

[RouterC-Serial2/1] ip address 1.1.3.2 255.255.255.0

(4)     验证配置结果

将Host A的IP地址配置为10.110.0.20/24，网关地址配置为10.110.0.10。

从Host A上Telnet Router B，结果成功。

从Host A上Telnet Router C，结果失败。

从Host A上ping Router C，结果成功。

由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：从Router A的以太网接口Ethernet1/1接收的TCP报文均从串口Serial2/0转发，串口Serial2/1不转发TCP报文，但可以转发非TCP报文，策略路由设置成功。

1.6.3  基于报文长度的转发策略路由配置举例

1. 组网需求

通过策略路由控制从Router A的以太网接口Ethernet1/1接收的报文：

·     长度为64～100字节的报文以150.1.1.2/24作为下一跳IP地址；

·     长度为101～1000字节的报文以151.1.1.2/24作为下一跳IP地址；

·     所有其它长度的报文都按照查找路由表的方式转发。

2. 组网图

图1-3 基于报文长度的转发策略路由的配置举例组网图

3. 配置步骤

(1)     配置Router A

# 配置动态路由协议RIP。

<RouterA> system-view

[RouterA] rip

[RouterA-rip-1] network 192.1.1.0

[RouterA-rip-1] network 150.1.0.0

[RouterA-rip-1] network 151.1.0.0

[RouterA-rip-1] quit

# 配置策略lab1，将长度为64～100字节的报文转发到下一跳150.1.1.2，而将长度为101～1000字节的报文转发到下一跳151.1.1.2。

[RouterA] policy-based-route lab1 permit node 10

[RouterA-pbr-lab1-10] if-match packet-length 64 100

[RouterA-pbr-lab1-10] apply ip-address next-hop 150.1.1.2

[RouterA-pbr-lab1-10] quit

[RouterA] policy-based-route lab1 permit node 20

[RouterA-pbr-lab1-20] if-match packet-length 101 1000

[RouterA-pbr-lab1-20] apply ip-address next-hop 151.1.1.2

[RouterA-pbr-lab1-20] quit

# 在以太网接口Ethernet1/1上应用定义的策略lab1，处理此接口接收的报文。

[RouterA] interface ethernet 1/1

[RouterA-Ethernet1/1] ip address 192.1.1.1 255.255.255.0

[RouterA-Ethernet1/1] ip policy-based-route lab1

[RouterA-Ethernet1/1] quit

# 配置Serial接口的IP地址。

[RouterA] interface serial 2/0

[RouterA-Serial2/0] ip address 150.1.1.1 255.255.255.0

[RouterA-Serial2/0] quit

[RouterA] interface serial 2/1

[RouterA-Serial2/1] ip address 151.1.1.1 255.255.255.0

[RouterA-Serial2/1] return

(2)     配置Router B

# 配置动态路由协议RIP。

<RouterB> system-view

[RouterB] rip

[RouterB-rip-1] network 10.0.0.0

[RouterB-rip-1] network 150.1.0.0

[RouterB-rip-1] network 151.1.0.0

# 配置Serial接口的IP地址。

[RouterB] interface serial 2/0

[RouterB-Serial2/0] ip address 150.1.1.2 255.255.255.0

[RouterB-Serial2/0] quit

[RouterB] interface serial 2/1

[RouterB-Serial2/1] ip address 151.1.1.2 255.255.255.0

[RouterB-Serial2/1] quit

# 配置Loopback接口的IP地址。

[RouterB] interface loopback 0

[RouterB-LoopBack0] ip address 10.1.1.1 32

(3)     验证配置结果

# 在Router A上用debugging ip policy-based-route命令监视策略路由。

<RouterA> debugging ip policy-based-route

<RouterA> terminal debugging

<RouterA> terminal monitor

# 从Host A上Ping Router B的Loopback0，并将报文数据字段长度设为80字节。

C:\>ping -l 80 10.1.1.1

Pinging 10.1.1.1 with 80 bytes of data:

Reply from 10.1.1.1: bytes=80 time<1ms TTL=255

Reply from 10.1.1.1: bytes=80 time<1ms TTL=255

Reply from 10.1.1.1: bytes=80 time<1ms TTL=255

Reply from 10.1.1.1: bytes=80 time<1ms TTL=255

Ping statistics for 10.1.1.1:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 0ms, Average = 0ms

从Router A上显示的策略路由调试信息如下：

<RouterA>

*Jun  7 12:04:33:519 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 10, next-hop : 150.1.1.2

*Jun  7 12:04:34:518 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 10, next-hop : 150.1.1.2

*Jun  7 12:04:35:518 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 10, next-hop : 150.1.1.2

*Jun  7 12:04:36:518 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 10, next-hop : 150.1.1.2

以上策略路由信息显示，Router A在接收到报文后，根据策略路由确定的下一跳为150.1.1.2，也就是说将报文从接口Serial2/0转发出去。

# 从Host A上Ping Router B的Loopback0，并将报文数据字段长度设为200字节。

C:\>ping -l 200 10.1.1.1

Pinging 10.1.1.1 with 200 bytes of data:

Reply from 10.1.1.1: bytes=200 time<1ms TTL=255

Reply from 10.1.1.1: bytes=200 time<1ms TTL=255

Reply from 10.1.1.1: bytes=200 time<1ms TTL=255

Reply from 10.1.1.1: bytes=200 time<1ms TTL=255

Ping statistics for 10.1.1.1:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 0ms, Average = 0ms

从Router A上显示的策略路由调试信息如下：

<RouterA>

*Jun  7 12:06:47:631 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 20, next-hop : 151.1.1.2

*Jun  7 12:06:48:630 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 20, next-hop : 151.1.1.2

*Jun  7 12:06:49:627 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 20, next-hop : 151.1.1.2

*Jun  7 12:06:50:627 2009 RouterA PBR/7/POLICY-ROUTING: IP policy based routing

success : POLICY_ROUTEMAP : lab1, Node : 20, next-hop : 151.1.1.2

以上策略路由信息显示，Router A在接收到报文后，根据策略路由确定的下一跳为151.1.1.2，也就是说将报文从接口Serial2/1转发出去。

1.6.4  指定出接口和下一跳的本地策略路由配置举例

1. 组网需求

·     Router的下行口连接主机，上行口Ethernet1/1连接到Internet。

·     Router的子接口Ethernet1/1.1通过DHCP方式获取IP地址。

要求：Router上的管理报文SNMP和SNMP Trap通过子接口Ethernet1/1.1进行转发。

2. 组网图

图1-4 指定出接口和下一跳的本地策略路由配置举例组网图

3. 配置步骤

# 配置子接口Ethernet1/1.1的地址获取方式为DHCP。

<Router> system-view

[Router] interface ethernet 1/1.1

[Router-Ethernet1/1.1] ip address dhcp-alloc

[Router-Ethernet1/1.1] vlan-type dot1q vid 1

[Router-Ethernet1/1.1] quit

# 定义ACL 3000匹配管理报文（SNMP和SNMP Trap报文）。

[Router] acl number 3000

[Router-acl-adv-3000] rule 0 permit udp source-port eq snmp

[Router-acl-adv-3000] rule 5 permit udp destination-port eq snmptrap

[Router-acl-adv-3000] quit

# 定义策略，使管理报文从Ethernet1/1.1接口转发（由于该子接口使用DHCP方式获取地址，配置时不知道下一跳地址，因此需要将下一跳配置为通过DHCP学到的网关地址）。

[Router] policy-based-route management permit node 1

[Router-pbr-management-1] if-match acl 3000

[Router-pbr-management-1] apply output-interface ethernet 1/1.1 ip-address next-hop dhcpc

[Router-pbr-management-1] quit

# 在Router上应用本地策略路由。

[Router] ip local policy-based-route management