8500系列以太网交换机策略路由典型应用案例

8500系列以太网交换机策略路由典型应用案例

网络规划：

1、两个出口分别连接教育网(CerNet)和电信(ChinaTel)；

2、访问服务器2.2.2.2的数据要求从电信返回；

3、校内用户要求能够直接访问服务器；

 

分析：

针对以上要求，需要在8512连接服务器的接口上配置重定向。（全文配置以ICMP为例）

首先做一条规则：

acl number 3336

 rule 0 permit icmp

然后在端口上下发：

[8500-Ethernet4/1/2]traffic-redirect inbound ip-group 3336 ne 3.3.3.3

做测试发现，访问2.2.2.2的报文都能从3.3.3.3出去。

但是出现一个新的问题：

校内用户1.1.1.1访问2.2.2.2也从3.3.3.3返回。

因此更改acl：

acl number 3336

 rule 0 deny icmp source 2.2.2.2  0 destination 1.1.1.1 0

rule 1 permit icmp

再在端口上下发但是提示：

[8500-Ethernet4/1/2]traffic-redirect inbound ip-group 3336 ne 3.3.3.3

 Applying Acl 3336 rule 0 failed! Reason: Can not apply actions with the "deny" acl!

原因是对于deny规则，是无法做重定向。

于是决定做两个重定向：

做acl规则

acl number 3335

rule 0 permit icmp source 2.2.2.2 0 destination 1.1.1.1 0

acl number 3336

 rule 0 permit icmp

在端口上下发：

interface Ethernet4/1/2

 traffic-redirect inbound ip-group 3335 rule 0 system-index 20 next-hop 1.1.1.1

 traffic-redirect inbound ip-group 3336 rule 0 system-index 18 next-hop 3.3.3.3

测试结果能实现组网需求。

但是发现校内用户ping时延很大。

于是想到对于校内用户正确的做法是不让其匹配到重定向这条规则就行，可以先配置一个包过虑，如果匹配上就不往下匹配重定向这条规则了。做如下配置：

acl number 3335

rule 0 permit icmp source 2.2.2.2 0 destination 1.1.1.1 0

acl number 3336

 rule 0 permit icmp

interface Ethernet4/1/2

 packet-filter inbound ip-group 3335 rule 0 system-index 18

 traffic-redirect inbound ip-group 3336 rule 0 system-index 20 next-hop 3.3.3.3

经测试能够实现组网需求，校内用户ping时延正常。

（以上配置以VRP3为例，最新的命令行变化请参考网站上最新公布的产品操作手册和命令手册）