F100-C-G3

可以做策略路由实现

配置策略路由就可以

您好，请知：

可以使用策略路由实现特定网段走特定出口。

以下是策略路由的配置说明，请参考：

1.4  配置策略

1.4.1  创建策略节点

(1)     进入系统视图。

system-view

(2)     创建策略节点，并进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

1.4.2  配置策略节点的匹配规则

(1)     进入系统视图。

system-view

(2)     进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置匹配规则。

¡     设置ACL匹配规则。

if-match acl { acl-number | name acl-name }

缺省情况下，未设置ACL匹配规则。

策略路由不支持匹配二层信息的ACL匹配规则。

¡     设置IP报文长度匹配规则。

if-match packet-length min-len max-len

缺省情况下，未设置IP报文长度匹配规则。

¡     设置报文源地址匹配规则。

if-match source-ip { interface interface-type interface-number | [ vpn-instance vpn-instance-name ] ip-address }

缺省情况下，未设置报文源地址匹配规则。

¡     设置应用组匹配规则。

if-match app-group app-group-name&<1-6>

缺省情况下，未设置应用组匹配规则。

应用组匹配规则只对转发策略路由生效，对本地策略路由不生效。

应用组的详细介绍，请参见“安全配置指导”中的“APR”。

¡     设置服务对象组匹配规则。

if-match object-group service object-group-name&<1-6>

缺省情况下，未设置服务对象组匹配规则。

服务对象组的详细介绍，请参见“安全配置指导”中的“对象组”。

1.4.3  配置策略节点的动作

1. 功能简介

用户通过配置apply子句指导策略节点的动作。

影响报文转发路径的apply子句有五条，优先级从高到低依次为：

(1)     apply access-vpn

(2)     apply next-hop

(3)     apply output-interface

(4)     apply default-next-hop

(5)     apply default-output-interface

apply子句的含义、执行优先情况和详细说明如表1-2所示。

表1-2 apply子句的含义以及执行优先情况等说明

‌

2. 配置限制和指导

在设置报文转发的下一跳时，对于配置接口出方向策略路由，仅支持直连下一跳，且仅支持一个下一跳。

策略路由通过查询FIB表中是否存在下一跳或缺省下一跳地址对应的条目，判断设置的报文转发下一跳或缺省下一跳地址是否可用。策略路由周期性检查FIB表，设备到下一跳的路径发生变化时，策略路由无法及时感知，可能会导致通信发生短暂中断。

3. 配置修改报文字段类动作

(1)     进入系统视图。

system-view

(2)     进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     配置动作。

¡     设置IP报文的IP优先级。

apply precedence { type | value }

缺省情况下，未设置IP报文的优先级。

¡     设置IP报文头中的DF标志。

apply ip-df df-value

缺省情况下，未设置IP报文头中的DF标志。

4. 配置指导报文转发类动作

(1)     进入系统视图。

system-view

(2)     进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     配置动作。

¡     设置报文在公网或指定VPN实例中进行转发。

apply access-vpn { public | vpn-instance vpn-instance-name&<1-4> }

缺省情况下，设备根据路由表在公网或VPN内转发报文。

每个节点最多可以配置公网和4个VPN实例。当满足匹配规则后，将根据配置顺序在公网或第一个可用的VPN实例转发表进行转发。

¡     重标记报文所属的VPN。

apply remark-vpn

缺省情况下，未重标记报文所属的VPN。

¡     设置报文转发的下一跳。

apply next-hop [ vpn-instance vpn-instance-name | inbound-vpn ] { ip-address [ direct ] [ track track-entry-number ] [ weight weight-value ] }&<1-4>

缺省情况下，未设置报文转发的下一跳。

用户通过一次或多次配置本命令可以同时配置多个下一跳，每个节点最多可以配置4个下一跳，这些下一跳起到主备或负载分担的作用。

当配置了多个下一跳做主备，且多个下一跳地址属于同一个网段时，当主下一跳匹配失败后，设备会先匹配主下一跳对应的网段路由转发报文，当网段路由匹配失败后，再匹配配置的备下一跳。

¡     设置指导报文转发的多个下一跳工作在负载分担模式。

apply loadshare next-hop

缺省情况下，多个下一跳工作在主备模式。

¡     设置指导报文转发的出接口。

apply output-interface { interface-type interface-number [ track track-entry-number ] }&<1-4>

缺省情况下，未设置指导报文转发的出接口。

用户通过一次或多次配置本命令可以同时配置多个出接口，每个节点最多可以配置4个出接口，这些出接口起到主备或负载分担的作用。

¡     设置指导报文转发的多个出接口工作在负载分担模式。

apply loadshare output-interface

缺省情况下，多个出接口工作在主备模式。

¡     设置指导报文转发的缺省下一跳。

apply default-next-hop [ vpn-instance vpn-instance-name | inbound-vpn ] { ip-address [ direct ] [ track track-entry-number ] }&<1-4>

缺省情况下，未设置指导报文转发的缺省下一跳。

用户通过一次或多次配置本命令可以同时配置多个缺省下一跳，每个节点最多可以配置4个缺省下一跳，这些缺省下一跳起到主备或负载分担的作用。

¡     设置指导报文转发的多个缺省下一跳工作在负载分担模式。

apply loadshare default-next-hop

缺省情况下，多个缺省下一跳工作在主备模式。

¡     设置指导报文转发的缺省出接口。

apply default-output-interface { interface-type interface-number [ track track-entry-number ] }&<1-4>

缺省情况下，未设置指导报文转发的缺省出接口。

用户通过一次或多次配置本命令可以同时配置多个缺省出接口，每个节点最多可以配置4个缺省出接口，这些缺省出接口起到主备或负载分担的作用。

¡     设置指导报文转发的多个缺省出接口工作在负载分担模式。

apply loadshare default-output-interface

缺省情况下，多个缺省出接口工作在主备模式。

5. 设置当前节点指定转发路径失败后继续进行后续节点处理

(1)     进入系统视图。

system-view

(2)     进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置匹配成功的当前节点指定转发路径失败后继续进行后续节点的处理。

apply continue

缺省情况下，匹配成功的当前节点指定转发路径失败后不再进行下一节点的匹配。

本命令仅在策略节点的匹配模式为permit时生效。

1.5  应用策略

1.5.1  对本地报文应用策略

1. 功能简介

通过本配置，可以将已经配置的策略应用到本地，指导设备本身产生报文的发送。应用策略时，该策略必须已经存在，否则配置将失败。

2. 配置限制和指导

·     对本地报文只能应用一个策略。应用新的策略前必须删除本地原来已经应用的策略。

·     若无特殊需求，建议用户不要对本地报文应用策略。否则，有可能会对本地报文的发送造成不必要的影响（如ping、telnet服务的失效）。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     对本地报文应用策略。

ip local policy-based-route policy-name

缺省情况下，未对本地报文应用策略。