s10512交换机策略路由不生效的问题

您好，你这个策略路由不生效的核心原因是 ACL 规则的匹配顺序和目的地址的掩码配置问题，结合 H3C 设备的 ACL 匹配机制，具解决方法如下：

1. 修改 ACL 规则：限定源地址 + 调整匹配顺序

# 1. 先删除原有 ACL 3004（避免规则冲突） undo acl number 3004 # 2. 重新创建 ACL 3004，明确源地址 + 目的地址 acl number 3004 rule 10 deny ip source 10.14.8.2 0 destination 192.168.254.85 0 # 精准匹配 10.14.8.2→192.168.254.85 rule 20 permit ip source 10.14.8.0 0.0.0.255 # 允许该网段其他流量走策略路由 quit

2. 保持策略路由配置不变（无需修改）
policy-based-route 3004 permit node 50
if-match acl 3004
apply next-hop 192.168.250.106
quit
3. 重新在接口应用策略路由（可选，修改 ACL 后建议重启生效）
interface Vlan-interface10
undo ip policy-based-route 3004
ip policy-based-route 3004
quit

 策略路由简介

与单纯依照IP报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对于满足一定条件（ACL规则等）的报文，执行指定的操作（设置报文的下一跳、出接口、缺省下一跳和缺省出接口等）。

设备上，报文的基本转发流程为：

(1)     首先根据配置的策略路由，查找满足匹配条件的节点。

(2)     若找到了匹配的节点，并且该节点是permit（允许）模式：

a.     根据策略路由中配置的下一跳和出接口指导报文转发。

b.     若节点未配置下一跳和出接口，或根据下一跳和出接口指导报文转发失败，则根据路由表中除缺省路由之外的路由来转发报文。

c.     若未找到除缺省路由之外的路由，或路由转发失败，则根据策略路由中配置的缺省下一跳和缺省出接口指导报文转发。

d.     若节点未配置缺省下一跳和缺省出接口，或根据缺省下一跳和缺省出接口指导报文转发失败，则根据缺省路由来转发报文。

(3)     若找不到匹配的节点，或找到了匹配的节点，但该节点是deny（拒绝）模式，则根据路由表指导报文转发。

根据作用对象的不同，策略路由可分为本地策略路由和转发策略路由：

·     本地策略路由：对设备本身产生的报文（比如本地发出的ping报文）起作用，指导其发送。

·     转发策略路由：对接口接收的报文起作用，指导其转发。

1.1.2  策略简介

策略用来定义报文的匹配规则，以及对报文执行的操作。策略由节点组成。

一个策略可以包含一个或者多个节点。节点的构成如下：

·     每个节点由节点编号来标识。编号较小的节点优先被执行。

·     每个节点的具体内容由if-match子句和apply子句来指定。if-match子句定义该节点的匹配规则，apply子句定义该节点的动作。

·     每个节点对报文的处理方式由匹配模式决定。匹配模式分为permit（允许）和deny（拒绝）两种。

应用策略后，系统将根据策略中定义的匹配规则和操作，对报文进行处理：系统按照优先级从高到低的顺序依次匹配各节点，如果报文满足这个节点的匹配规则，就执行该节点的动作；如果报文不满足这个节点的匹配规则，就继续匹配下一个节点；如果报文不能满足策略中任何一个节点的匹配规则，则根据路由表来转发报文。

所以你的acl 里面应该用permit这个目的地址，

过滤这个地址在 policy-based-route 3004 deny node 50 这里体现

试试吧

acl写的不对，没命中

ACL"s step is 5, start ID is 0
 rule 6 deny ip destination 192.168.254.85 0 counting
 rule 100 permit ip

策略路由中的acl没有deny的说法，所以他命中的是rule 100这条

正确写法：

acl number 3004

rule 6 permit ip  source 10.14.8.2  0 destination 192.168.254.85 0 counting

#

policy-based-route 3004 deny node 50
 if-match acl 3004

#

policy-based-route 3004 permit node 60
 apply next-hop 192.168.250.106