CISCO 策略路由(PBR)配置实例

38策略路由配置理解策略路由策略路由概述策略路由〔PBR：Policy-Based Routing〕提供了一种比基于目的地址进展路由转发更加灵敏的数据包路由转发机制。

策略路由可以根据IP/IPv6报文源地址、目的地址、端口、报文长度等内容灵敏地进展路由选择。

现有用户网络，常常会出现使用到多个ISP〔Internet Server Provider，Internet效劳提供商〕资源的情形，不同ISP申请到的带宽不一；同时，同一用户环境中需要对重点用户资源保证等目的，对这局部用户不可以再根据普通路由表进展转发，需要有选择的进展数据报文的转发控制，因此，策略路由技术即可以保证ISP资源的充分利用，又可以很好的满足这种灵敏、多样的应用。

IP/IPv6策略路由只会对接口接收的报文进展策略路由，而对于从该接口转发出去的报文不受策略路由的控制；一个接口应用策略路由后，将对该接口接收到的所有包进展检查，不符合路由图任何策略的数据包将按照普通的路由转发进展处理，符合路由图中某个策略的数据包就按照该策略中定义的操作进展转发。

一般情况下，策略路由的优先级高于普通路由，可以对IP/IPv6报文根据定义的策略转发；即数据报文先按照IP/IPv6策略路由进展转发，假如没有匹配任意一个的策略路由条件，那么再按照普通路由进展转发。

用户也可以配置策略路由的优先级比普通路由低，接口上收到的IP/IPv6报文那么先进展普通路由的转发，假如无法匹配普通路由，再进展策略路由转发。

用户可以根据实际情况配置设备转发形式，如选择负载平衡或者冗余备份形式，前者设置的多个下一跳会进展负载平衡，还可以设定负载分担的比重；后者是应用多个下一跳处于冗余形式，即前面优先生效，只有前面的下一跳无效时，后面次优的下一跳才会生效。

用户可以同时配置多个下一跳信息。

策略路由可以分为两种类型：一、对接口收到的IP报文进展策略路由。

该类型的策略路由只会对从接口接收的报文进展策略路由，而对于从该接口转发出去的报文不受策略路由的控制；二、对本设备发出的IP报文进展策略路由。

问题描述您可以定义自己的规则来进行数据包的路由而不仅仅由目的地地址所决定。

在这里您可以学到怎么使用基于策略路由的办法来解决这一问题。

在具体的应用中，基于策略的路由有：☆基于源IP地址的策略路由☆基于数据包大小的策略路由☆基于应用的策略路由☆通过缺省路由平衡负载这里，讲述了第一种情况的路由策略。

举例在这个例子中，防火墙的作用是：把10.0.0.0/8内部网地址翻译成可路由的172.16 .255.0/24子网地址。

下面的防火墙配置是为了完整性而加进去的，它不是策略路由配置所必需的。

在这里的防火墙可以被其它类似的产品代替，如PIX或其它类似防火墙设备。

这里的防火墙的配置如下：!ip nat pool net-10 172.16.255.1 172.16.255.254 prefix-length 24ip nat inside source list 1 pool net-10!interface Ethernet0ip address 172.16.20.2 255.255.255.0ip nat outside!interface Ethernet1ip address 172.16.39.2 255.255.255.0ip nat inside!router eigrp 1redistribute staticnetwork 172.16.0.0default-metric 10000 100 255 1 1500!ip route 172.16.255.0 255.255.255.0 Null0access-list 1 permit 10.0.0.0 0.255.255.255!end在我们的例子中，Cisco WAN路由器上运行策略路由来保证从10.0.0.0/8网络来的P数据包被发送到防火墙去。

配置中定义了两条net-10策略规则。

第一条策略就定义了从10.0.0.0/8网络来的IP数据包被发送到防火墙去（我们很快会看到这里的配置有问题）。

实训三十九、策略路由（PBR）配置一、实验目的1. 掌握策略路由的配置2. 理解策略路由的原理二、应用环境PBR 使得用户可以依据饿来进行路由，而不是路由协议，目前支持的策略是：ip 报文大小、源IP 地址。

三、实验设备1. DCR-2611 两台2. PC 机两台四、实验拓扑五、实验要求配置要求六、实验步骤第一步：参照实验三，配置所有接口地址和PC 地址，并测试连通性第二步：配置路由器ARouter-A_config#ip access-list standard net1 ！定义ACLRouter-A_config_std_nacl#permit 192.168.0.10 255.255.255.255！设置需要进行策略路由的源地址Router-A_config_std_nacl#exitRouter-A_config#route-map pbr 10 permit ！定义route-mapRouter-A_config_route_map#match ip address net1 ！设定源地址Router-A_config_route_map#set ip next-hop 192.168.1.2 ！设置下一跳地址Router-A_config_route_map#exitRouter-A_config#int f0/0 ！进入源地址的路由器接口Router-A_config_f0/0#ip policy route-map pbr ！绑定route-map第三步：配置路由器B 的路由表Router-B#confRouter-B_config#ip route 192.168.0.0 255.255.255.0 192.168.1.1第四步：查看路由器A、B 的路由表Router-A#show ip routeCodes: C - connected, S - static, R - RIP, B - BGP, BC - BGP connectedD - BEIGRP, DEX - external BEIGRP, O - OSPF, OIA - OSPF inter areaON1 - OSPF NSSA external type 1, ON2 - OSPF NSSA external type 2OE1 - OSPF external type 1, OE2 - OSPF external type 2DHCP - DHCP type, L1 - IS-IS level-1, L2 - IS-IS level-2VRF ID: 0C 192.168.0.0/24 is directly connected, FastEthernet0/0C 192.168.1.0/24 is directly connected, Serial0/3！注意到没有192.168.2.0 的路由Router-B#show ip routeCodes: C - connected, S - static, R - RIP, B - BGP, BC - BGP connectedD - BEIGRP, DEX - external BEIGRP, O - OSPF, OIA - OSPF inter areaON1 - OSPF NSSA external type 1, ON2 - OSPF NSSA external type 2OE1 - OSPF external type 1, OE2 - OSPF external type 2DHCP - DHCP type, L1 - IS-IS level-1, L2 - IS-IS level-2VRF ID: 0S 192.168.0.0/24 [1,0] via 192.168.1.1(on Serial0/3) ！返回的数据包的路由C 192.168.1.0/24 is directly connected, Serial0/3C 192.168.2.0/24 is directly connected, FastEthernet0/0第五步：测试第六步：查看配置Router-A#show ip policyInterface Route-mapFastEthernet0/0 pbrRouter-A#show route-mapRoute-map pbr, permit, sequence 10Match clauses:match ip address net1Set clauses:set ip next-hop 192.168.1.2Exit policy:Policy routing matches: 142 packets, 10366 bytes七、注意事项和排错1. 注意是源地址匹配的路由2. 绑定在源数据包的接口上八、共同思考1. 策略路由与路由协议进行的路由有什么区别？2. 为什么在路由器B 上要配置静态路由？3. 如果源地址是192.168.0.2/24，那么策略还有效吗？九、课后练习请将源地址改为192.168.0.2/24 重复以上实验。

思科Cisco策略路由与路由策略实例详解本⽂讲述了思科Cisco策略路由与路由策略。

分享给⼤家供⼤家参考，具体如下：⼀、策略路由1. 路由策略与策略路由2. 策略路由的特点3.策略路由的配置3.1 接⼝下配置3.2 全局配置3.3 策略路由的冗余设置3.4 default语句3.5 为流量打ToS标记⼆、路由策略1.抓取流量的列表1.1 ACL访问控制列表1.2 prefix-list前缀列表2. 路由策略⼯具2.1 distribute-list分发列表2.2 route-map路由镜像2.3 OSPF filter-list⼀、策略路由1. 路由策略与策略路由路由策略是对路由信息本⾝的参数进⾏修改、控制等，最终影响路由表的⽣成，说⽩了路由策略就是告诉设备怎么学，⼀般与BGP结合使⽤⽐较多。

策略路由PBR，策略基于路由重点在路由，就是通过策略控制数据包的转发⽅向。

也有⼈把策略路由称之为⼀个复杂的静态路由。

⼀般来讲，策略路由是先于路由表执⾏的。

即设备在转发报⽂时，⾸先将报⽂与策略路由的匹配规则进⾏⽐较。

若符合匹配条件，则按策略路由进⾏转发；如果报⽂⽆法匹配策略路由的条件，再按照普通路由进⾏转发。

策略路由在转化层⾯不如路由表。

原因是匹配的东西过多，底层芯⽚处理⽀持有限。

使⽤原则是能不⽤就不⽤。

如果出现⾮⽬的地址的转发策略，果断⽤。

2. 策略路由的特点传统的路由表转发只能通过数据的⽬标地址做决策；策略路由可以根据源地址、⽬的地址、源端⼝、⽬的端⼝、协议、TOS等流量特征来做策略提供路由，灵活性⾼。

为QoS服务。

使⽤route-map及策略路由可以根据数据包的特征修改其相关QoS项，进⾏为QoS服务。

负载均衡。

使⽤策略路由可以设置数据包的⾏为，⽐如下⼀跳、下⼀接⼝等，这样在存在多条链路的情况下，可以根据数据包的应⽤不同⽽使⽤不同的链路，进⽽提供⾼效的负载均衡能⼒。

策略路由PBR默认只对穿越流量⽣效，不能处理本路由器产⽣流量3.策略路由的配置3.1 接⼝下配置接⼝下只能捕获该接⼝的⼊接⼝流量做策略（不能处理本路由器产⽣流量）R1(config)#access-list 100 permit ip host 1.1.1.1 any //⽤ACL捕获流量R1(config)#route-map pbr permit 10 //定义route-mapR1(config-route-map)#match ip add 100 //调⽤被ACL捕获的流量R1(config-route-map)#set ip next-hop 10.1.1.1 //设置下⼀跳R1(config-route-map)#exitR1(config)#int f0/0R1(config-if)#ip policy route-map pbr //接⼝下调⽤3.2 全局配置能够捕获所有⼊接⼝流量以及本路由器产⽣的流量（源地址是本路由器流量）R1(config)#access-list 100 permit ip host 1.1.1.1 any //⽤ACL捕获流量R1(config)#route-map pbr permit 10 //定义route-mapR1(config-route-map)#match ip add 100 //调⽤被ACL捕获的流量R1(config-route-map)#set ip next-hop 10.1.1.1 //设置下⼀跳R1(config-route-map)#exitR1(config)#ip local policy route-map pbr //全局下调⽤3.3 策略路由的冗余设置R1(config)#route-map PBR permit 10R1(config-route-map)#set ip next-hop verify-availability 10.1.24.2 1 track 1 //设置track监控，若track监控成功，执⾏该语句；若失败，则转为执⾏下条语句R1(config-route-map)#set ip next-hop 10.1.34.3R1(config-route-map)#exitR1(config)#ip local policy route-map PBRR1(config)#track 1 ip sla 1 //定义⼀个track监控 sla的探测结果R1(config-track)#ip sla 1 //定义⼀个slaR1(config-ip-sla)#icmp-echo 10.1.12.1 source-ip 10.4.4.4 //设置其探针R1(config)#ip sla schedule 1 life forever start-time now //设置sla 1的执⾏时间3.4 default语句在route-map的set ip default这个位置输⼊，定义为被捕获的流量先查路由表，如果能精确匹配（如果抓的为10.5.5.5，路由表中有10.5.5.5/24这不叫精确匹配；如果10.5.5.5/32则叫精确匹配）就执⾏路由表；如果不能则执⾏策略路由。

PBR(基于策略的路由)通常我们在路由器上启用动态路由协议动态地学习网络拓扑，这样我们可能会遇到这样的安全问题，当一台非授权的网络设备接入网络，并发布路由协议更新时，有可能会使网络内的设备动态的产生错误的路由条目，从而造成数据包的丢失或者被路由到了错误的地方。

本文就来为大家介绍基于策略的路由(PBR)PBR(基于策略的路由)概述基于策略的路由(PBR)是一种灵活的数据包路由转发机制。

通过在路由器上应用策略路由，使路由器根据路由映射（route-map）决定经过路由器的数据包如何处理。

路由映射决定了一个数据包的下一跳转发路由器。

在路由器上应用策略路由，必须要指定策略路由使用的路由映射（route-map），并且要创建路由映射。

一个路由映射由很多条策略组成，每个策略都定义了1个或多个匹配规则和对应操作。

一个接口应用策略路由后，将对该接口收到的所有包进行检查，不符合路由映射中所定义的数据包将会被按照正常路由转发进行处理，符合路由映射中的策略的数据包，就按照策略中定义的操作进行处理。

策略路由主要应用在企业路由表复杂或者需要对路由进行控制的情况下，特别是当企业网络出口有两条，需要对不同服务和应用或者不同客户端的路由进行控制时，当然企业内部运行两个网络或者更多的网络时也经常要用到路由策略；另外，策略路由除了应用在非正常的路由选路之外，它还可以用来防止病毒或黑客的攻击，使用条件语句将病毒或攻击的特征码匹配出来，然后再指定一个安全策略（如使用黑洞路由）将攻击阻断.黑洞路由是对动态路由选择协议的一个补充。

黑洞路由可以将不想要的流量转发到一个称为null0的接口中去。

我们可以建立一条或一些静态路由，将精确匹配这些路由的流量丢弃。

和ACL不同的是，Cisco IOS的所有交换过程，包括CEF，都能处理黑洞路由，而不降低性能。

需要注意的是，PBR技术不支持配置了PBR的路由器始发流量和到达该路由器的流量。

PBR(基于策略的路由)实例解析下面我们就以一个试验来描述策略路由的阻断流量的功能。

【简介】PBR（策略路由）以前是CISCO用来丢弃报文的一个主要手段。

比如：设置set interface null 0，按CISCO说法这样会比ACL的deny要节省一些开销。

注:PBR（策略路由）以前是CISCO用来丢弃报文的一个主要手段。

比如：设置set interface null 0，按CISCO说法这样会比ACL的deny要节省一些开销。

这里我提醒：interface null 0no ip unreachable//加入这个命令这样避免因为丢弃大量的报文而导致很多ICMP的不可达消息返回。

三层设备在转发数据包时一般都基于数据包的目的地址（目的网络进行转发），那么策略路由有什么特点呢？1、可以不仅仅依据目的地址转发数据包，它可以基于源地址、数据应用、数据包长度等。

这样转发数据包更灵活。

2、为QoS服务。

使用route-map及策略路由可以根据数据包的特征修改其相关QoS项，进行为QoS服务。

3、负载平衡。

使用策略路由可以设置数据包的行为，比如下一跳、下一接口等，这样在存在多条链路的情况下，可以根据数据包的应用不同而使用不同的链路，进而提供高效的负载平衡能力。

策略路由影响的只是本地的行为，所以可能会引起“不对称路由”形式的流量。

比如一个单位有两条上行链路A与B，该单位想把所有HTTP流量分担到A链路，FTP流量分担到Ｂ链路，这是没有问题的，但在其上行设备上，无法保证下行的HTTP流量分担到Ａ链路，FTP流量分担到Ｂ链路。

策略路由一般针对的是接口入(in)方向的数据包，但也可在启用相关配置的情况下对本地所发出的数据包也进行策略路由。

本文就策略路由的以下四个方面做相关讲解：１、启用策略路由２、启用Fast-Switched PBR３、启用Local PBR４、启用CEF-Switched PBR启用策略路由：开始配置route-map。

使用route-map map-tag [permit deny] [sequence-number]进入route-map的配置模式。