pbr配置在流量入接口，可以对bgpevpn学来的vpn实例流量进行引流吗？

## 核心结论

❌ **在 Aggregation‑Group10（BGP 邻居互联接口）配置入接口 PBR，无法对 BGP‑EVPN 学习过来的 vpn1/vpn2 转发流量生效**。

### 原理拆解

1. **接口入 PBR（`ip policy‑based‑route`）生效对象：本接口收到的**数据平面业务报文**，只处理**报文进入本接口**那一刻的流量。它**不对控制平面 BGP 学习进来的路由条目生效 **H3C。
2. BGP‑EVPN 邻居建立在 Agg‑Group10：
- BGP EVPN 报文属于**控制平面报文**，从 Agg‑Group10 收到，学习生成 vpn1、vpn2 的私网路由，**路由存入 VPN 实例路由表**；
- 后续 vpn1/vpn2 业务转发流量，**并不是从 Agg‑Group10 进入 RX8800**；而是 RX8800 其它接口收到业务报文，查 vpn1/vpn2 路由表，再从 Agg‑Group10 往外转发。

>
> 👉Agg‑Group10 只是**路由学习的控制平面入口，不是业务流量的入接口**，所以该接口上配置的入方向 PBR 碰不到 vpn1/vpn2 转发流量。

>
> 通俗讲：PBR 是管 “报文刚进接口”；BGP EVPN 只是在这里拿到路由表，业务流量不从这个接口进来，接口入 PBR 不会触发。

## 两种正确实现方案（RX8800 Comware V7）

### 方案 1：业务流量真实入接口应用 PBR（推荐）

如果 vpn1/vpn2 业务报文是从接口 G1/0/X 进入 RX8800，**PBR 要配置在业务真实入接口，而不是 BGP 邻居互联聚合口 Agg‑Group10**。

```
#在业务流量进来的接口下应用pbr
interface GigabitEthernet 1/0/X
ip policy‑based‑route PBR‑VPN‑TEST
```

>
> 注意：PBR 策略内部，如果要把流量导入指定 VPN 实例转发，需要使用`apply access‑vpn vpn‑instance xxx`；如果跨 VPN 下一跳，使用`apply next‑hop vpn‑instance <vrf> x.x.x.x`H3C。

### 方案 2：路由策略控制路由下一跳（控制平面，适合对全部该 VPN 路由统一改下一跳）

如果需求是：**所有从 BGP‑EVPN 学来 vpn1/vpn2 的路由，全部修改转发下一跳**，不要用 PBR，使用 BGP 的`route‑policy import`，在 BGP EVPN 地址族接收路由的时候修改路由下一跳。

```
route‑policy VPN‑MOD‑NEXT permit node 10
apply ip‑address next‑hop x.x.x.x

bgp 65000
address‑family l2vpn evpn
peer x.x.x.x route‑policy VPN‑MOD‑NEXT import
```

>
> 优点：控制平面直接修改路由表，所有匹配该路由的业务转发自动走新下一跳；
> 缺点：**对路由条目生效，所有设备访问该网段全部强制改下一跳，粒度是路由前缀，不能基于源 IP 等报文字段匹配**。

## 关键区分：PBR vs BGP import route‑policy

表格

| 项目 | 接口入 PBR (ip policy‑based‑route) | BGP import route‑policy |
| --- | --- | --- |
| 作用层面 | **数据平面报文，基于报文属性（源 / 目的、ACL）** | **控制平面路由条目，修改 BGP 学到路由的属性（下一跳、RT 等）** |
| 触发时机 | 报文进入接口瞬间 | 接收 BGP EVPN 路由更新的时候 |
| 匹配条件 | ACL 可以匹配源 IP、目的 IP 等报文 | 只能匹配路由前缀、团体属性等路由属性 |
| 适用场景 | 部分流量特殊引流（同一网段，部分流走 A 下一跳，部分流走 B） | 整条 BGP 路由统一修改下一跳 |

## 排查验证命令

```
#查看接口是否应用PBR
display this interface Aggregation‑Group 10
#查看pbr策略匹配计数，确认有没有报文命中（这里计数永远为0，验证本问题现象）
display policy‑based‑route PBR‑VPN‑TEST statistics
#查看BGP EVPN学到的vpn实例路由
display bgp vpnv4 vpn‑instance vpn1 routing‑table
```

>
> 如果 Agg‑Group10 下的 PBR 统计计数始终为 0，就代表没有任何业务报文命中该 PBR。

## 常见误区澄清

❌ “BGP 邻居建在哪个接口，就在哪个接口配入 PBR 处理对应 VPN 流量”
BGP 邻居接口只接收**BGP 控制报文**；VPN 业务数据报文不一定从该接口进入设备，入接口 PBR 不会对这些 VPN 路由的转发流量生效。

一句话总结：Agg‑Group10 是 BGP‑EVPN 邻居控制平面互联口，vpn1/vpn2 业务流量不从该接口入设备，**该接口配置入方向 PBR 无法引流 VPN 业务流量**；业务报文从哪个接口进入设备，PBR 就配置在哪个入接口；若希望对 BGP 学习的整条路由统一改下一跳，使用 BGP 地址族下`route‑policy import`。