当前位置:文档之家› 路由过滤命令详解route

路由过滤命令详解route

路由过滤命令详解route-map

网络学习 2009-01-16 18:26 阅读555 评论0

字号:大中小

(一)Route Maps 特性:

Route Maps类似于access lists,不同之处在于Route Maps可以改变Packets/Routes的部

分属性。

用途:

Route Maps主要用于Redistribution和Policy Routing及BGP的实现。

实现:

Policy Routing发送Packets到Route Maps实现策略路由转发。

Redistribution发送Routes到Route Maps实现路由条目的过滤。

配置说明:

Route Maps如果没有指定Action及Sequence Number属性,默认:

Action: permit

Sequence Number: 10

且Sequence Number不会自动增加。

即如果在使用Route Maps语句时不指定Sequence Number,则覆盖Sequence Number为1

0的默认条目。

Route Maps Deny Action:

Redistribution:特定路由条目不会被重分布。

Policy Routing:特定的Packets不会按策略路由转发,但会梗概正常的路由表条目转发。

Case Study:Policy Routing

注:(1)Policy Routing只影响入流量。

(2)可以使用Standard及Extended ACL.

(3)全局配置ip local policy route-map sense可将策略路由应用于Router本身发送的Pack

ets.

<1> Standard ACL

<2> Extended ACL

<3> Length of the Packets

<4> Router's Packets

注:如果没有第一个route-map条目,router本身的Packets及OSPF的Packets都会由于后

两个route-map语句被转发到错误的地址。

Case Study:Policy Routing and Quality of Service Routing Policy Routing结合ip包头的Precedence和Type of Service(TOS)可以实现基于QOS的策略路由。

注:Precedence和TOS的配置既可使用Number字段,也可以使用Keyword.

用途:

用于双向重分布时标识特定Domain的路由,以防路由被重分布回起源Domain.

使用方案:

通告路由条目的边缘Router在重分布时给路由条目加上Tag标识,做为Transi t Network的Domain,不需要使用和识别Tag,仅仅需要将它传递到它的外部网络即可。

路由协议相关:Support:RIPv2,EIGRP,IS-IS,OSPF,BGP

Not Support:RIPV1,IGRP

Packets Format:

RIPv2:支持16-bit tags 表示为十进制:0 ~ 65535

EIGRP external route TLVs:支持32-bit tags 表示为十进制:0 ~ 4294

967295

OSPF type 5 LSAs:支持32-bit tags 表示为十进制:0 ~ 4294967295

配置实例:

(二)Distribute-list

作用:

<1> 控制路由条目的分发,及路由的重分布。

<2> 建立一个"route firewall"

关于路由协议:

Distance Vector Routing Protocol:Route Filtering可以控制其通告/接收的

路由条目,及重分布的路由条目。

Link-State Routing Protocol:Route Filtering只可以控制其在重分布时的路

由条目。

注:LS Routing Protocol的一个基本的要求就是在一个area内所有Routers 的Link State Database必须一致,所以如果Route Filtering能过滤掉LS Routing Prot

ocol的LSA通告,就违背了LS Routing Protocol的规范。

注:

distribute-list 命令用于Link-State Routing Protocol时:

与接口联用:只能使用in参数

与路由进程联用:只能使用out参数

两种方案效果相同。与接口联用的方案在抑制route feedback上效果比较好;与路由进程联用的方案在抑制route feedback时,由于在过滤时,相应的路由条目已经进行了路由表,所以失效。<1> 与接口联

<2> 与路由进程联用:

(三)Prefix-list 功能:

过滤特定路由协议分发的Routes,主要用与BGP.

特性:

与ACL相比,具有相对较强的灵活性。在掩码匹配上,也比较容易理解。

Case Study:Standard Syntax

ip prefix-list {list-name | list-number} [seq number] {deny network/length | permit network/length} [ge ge-length] [le le-length]

no ip prefix-list {list-name | list-number} [seq number] {deny network/lengt

h | permit network/length} [ge ge-length] [le le-length]

注:

<1> ip prefix-list使用最长匹配规则。

<2> 如果不指定seq number,则默认为5,且每增加一个条目自动增加5.

即如果你指定第一条目seq number为2,则下一个不指定seq number的条目

的seq number自动变为7.

<3>自动增加seq number功能可以用命令:no ip prefix-list sequence-numb

er取消。

<4> length < ge-length < le-length <= 32

<5> ip prefix-list不能与Route Maps的match ip next-hop语句联用;只以与

match ip address语句联用。

Case Study:ip prefix-list description

Syntax:

(四)ip as-path access-list 功能:

根据BGP的AS-PATH属性过滤BGP的分发路由条目。

Case Study:Syntax

ip as-path access-list acl-number permit | deny regexp

no ip as-path access-list acl-number

注:acl-number有效值为0 ~ 500.

Case Study:Configuration Guide

<1> 过滤所有的私有AS的Routes更新

ip as-path access-list 1 deny (_64[6-9][0-9][0-9]_|_65[0-9][0-9][0-9]_)

ip as-path access-list 1 permit .*

<2> 应用实例

(五)以上过滤命令的执行顺序:

<1> inbound

route-map->filter-list->prefix-list,distribute-list

<2> outbound

prefix-list,distribute-list->filter-list-> route-map

prefix-list,distribute-list用于邻居在一个方向上每次只能用其中的一个

——————————————————————————————————

——————

总结:

其实这些过滤命令都不是太难,关键是一个过滤的理念。

它们都是很灵活的东西,运用的好,它会有很大的作用;运用得不好,也有可能

会有反作用的。

所以说,在配置这些过滤命令的时候,要仔细的斟酌。每一个过滤都要思考一下,当安放到现有的网络会有什么样的效用,这样才不至于等到安放到路由器上以后才认识到

过滤的漏洞,才不至于引发安全隐患。

相关主题
相关文档 最新文档