华为路由器路由策略和策略路由配置与管理
HuaWei路由器安全配置规范
HuaWei 路由器安全配置规范
【目的】系统应修改 SNMP 的 Community 默认通行字，通行字应符合口令强度 要求。
【具体配置】 snmp-agent community read XXXX01
2.6.3. SNMP 版本
【目的】系统应配置为 SNMPV2 或以上版本。 【具体配置】
snmp-agent sys-info version v3
2.1.5. 最小权限
【目的】在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权
限。
【具体配置】
aaa local-user 8011 password cipher 8011 local-user 8011 service-type telnet local-user 8011 level 0 # user-interface vty 0 4 authentication-mode aaa
2.1.4. 静态口令加密
【目的】静态口令必须使用不可逆加密算法加密后保存于配置文件中。 【具体配置】
Page 2 of 10
HuaWei 路由器安全配置规范
super password level 3 cipher N`C55QK<`=/Q=^Q`MAF4<1!! local-user 8011 password cipher N`C55QK<`=/Q=^Q`MAF4<1!!
Page 3 of 10
[Router-aaa-domain-default]radius-server shiva
2.2. 关闭不必要的服务
HuaWei 路由器安全配置规范
2.2.1. 关闭不必要的服务
【目的】关闭网络设备不必要的服务，比如 FTP、TFTP 服务等。 【具体配置】
路由策略与策略路由要点
set metric [+|-]<metric-value>
set metric-type { internal | external | type-1 | type-2 } set origin { igp | egp | incomplete } set tag <tag-value>
<本文中的所有信息归中兴通讯股份有限公司所有，未经允许，不得外传>
内部公开▲ 内部公开▲
学习内容
• 第一章 路由策略
第一节 路由策略的作用 第二节 路由策略的定义方法 第三节 常见的路由策略的应用
<本文中的所有信息归中兴通讯股份有限公司所有，未经允许，不得外传>
路由策略的定义方法(1)
内部公开▲
OSPF路由过滤器(filter)
仅针对OSPF协议，用于过滤Type-5、Type-7 LSA
OSPF区域过滤列表(area filter-list)
仅针对OSPF协议区域间路由过滤，过滤Type-3 LSA
<本文中的所有信息归中兴通讯股份有限公司所有，未经允许，不得外传>
route-map
内部公开▲
AS100
B路由器需要对A路由器发布的路由进行选 择，只接收20.1.1.1/32网段的路由，屏蔽 30.1.1.1/32网段的路由
20.1100域内产生的路 由，其他路由条目出于安全考虑，需要对 B屏蔽
10.1.1.2/30
20.1.1.2/30
用路由策略解决这些问题
问题一解决方案：
内部公开▲
AS100
Lo0:30.1.1.1/32 Lo1:20.1.1.1/32 10.1.1.1/30 10.1.1.2/30
华为S9300策略路由配置
华为S9300策略路由配置华为S9300策略路由配置华为S9300策略路由配置需求描述：公司目前有两条带宽，一条为AC设备，用于普通用户上网，一条为VPN设备，用户服务器对外发布，AC跟VPN均连到核心交换机上，核心上需配置默认数据走AC，服务器(192.168.0.12)数据走VPN1.创建ACL规则#需要策略路由的源地址acl number 2000rule 10 permit source 192.168.0.12 0#内网地址时不需要走策略路由acl number 3000rule 10 permit ip destination 192.168.0.0 0.0.255.255rule 15 permit ip destination 172.16.0.0 0.0.255.255rule 20 permit icmp destination 192.168.0.0 0.0.255.255rule 25 permit icmp destination 172.16.0.0 0.0.255.2552.创建behavior#指定策略网关（下一跳地址必须为直接可达，当不存在时，走系统默认路由）traffic behavior 2000redirect ip-nexthop 172.16.1.150#172.16.1.150为VPN内网地址#未定义时走默认路由traffic behavior 30003.创建classifiertraffic classifier 2000 operator or precedence 10if-match acl 2000traffic classifier 3000 operator or precedence 5 if-match acl 30004.创建策略traffic policy servervpnclassifier 3000 behavior 3000classifier 2000 behavior 20005.查找服务器对应的端口dis arp | in 192.168.0.12192.168.0.12s c81f-66dc-3a39 20 D-0 GE1/0/16 #显示IP对应的MAC及端口信息6.应用到指定的端口interface GigabitEthernet1/0/16traffic-policy servervpn inbound。
华为交换机策略路由配置--产品实现
华为交换机策略路由配置--产品实现华为交换机策略路由配置1、本地策略路由具体配置1、创建策略路由和策略点[Huawei]policy-based-route 1 deny node 12、设置本地策略匹配规则[Huawei-policy-based-route-1-1]if-match ?acl Access control list #根据IP报文中的acl匹配packet-length Match packet length #根据IP报文长度匹配-----------[Huawei-policy-based-route-1-1]if-match packet-length ?INTEGER<0-65535> Minimum packet length #最短报文长度[Huawei-policy-based-route-1-1]if-match packet-length 100 ?INTEGER<1-65535> Maximum packet length#最长报文长度3、设置本地路由策略动作3.1、设置报文的出接口[Huawei-policy-based-route-1-1]apply output-interface ? #直接设定出接口Serial Serial interface--------[Huawei-policy-based-route-1-1]apply default output-interface ? #缺省出接口Serial Serial interface#报文的出接口，匹配成功后将从指定接口发出去。
接口不是能以太网等广播类型接口（改为P2P即可），因为多个下一跳可能导致报文转发不成功。
3.2、设置报文的下一跳[Huawei-policy-based-route-1-1]apply ip-address ?default Set default information #缺省下一跳，仅对在路由表中未查到的路由报文起作用next-hop Next hop address# 直接设定下一跳3.3、设置VPN转发实例[Huawei-policy-based-route-1-1]apply access-vpn vpn-instance ?STRING<1-31> VPN instance name3.4设置IP报文优先级[Huawei-policy-based-route-1-1]apply ip-precedence ?INTEGER<0-7> IP precedence valuecritical Set packet precedence to critical(5)（关键）flash Set packet precedence to flash(3)（闪速）flash-override Set packet precedence to flash override(4)（疾速）immediate Set packet precedence to immediate(2)（快速）internet Set packet precedence to Internet control(6)（网间）network Set packet precedence to network control(7)（网内）priority Set packet precedence to priority(1)（优先）routine Set packet precedence to routine(0)（普通）3.5设置本地策略路由刷新LSP信息时间间隔[Huawei]ip policy-based-route refresh-time ?INTEGER<1000-65535> Refresh time value (ms)3.6应用本地策略路由[Huawei]ip local policy-based-route ?STRING<1-19> Policy name#一台路由器只能使能一个本地策略路由（可以创建多条）2、接口策略路由具体配置1、设置流分类[Huawei]traffic classifier test1 operator ?#逻辑运算符and Rule of matching all of the statements #与关系or Rule of matching one of the statements # 或关系2.1、设置分类匹配规则[Huawei-classifier-test1]if-match ?8021p Specify vlan 802.1p to matchacl Specify ACL to matchany Specify any data packet to matchapp-protocol Specify app-protocol to matchcvlan-8021p Specify inner vlan 802.1p of QinQ packets to match.cvlan-id Specify inner vlan id of QinQ packets to match. #基于内层VLAN ID分类匹配规则destination-mac Specify destination MAC address to match dlci Specify a DLCI to matchdscp Specify DSCP (DiffServ CodePoint) to matchfr-de Specify FR DE to match.inbound-interface Specify an inbound interface to matchip-precedence Specify IP precedence to matchipv6 Specify IPv6l2-protocol Specify layer-2 protocol to matchmpls-exp Specify MPLS EXP value to matchprotocol Specify ipv4 or ipv6 packets to matchprotocol-group Specify protocol-group to matchpvc Specify a PVC to matchrtp Specify RTP port to matchsource-mac Specify source MAC address to matchtcp Specify TCP parameters to matchvlan-id Specify a vlan id to match #基于外出VLAN ID3、设置流重定向将符合流分类规则的报文重定向到指定的下一跳或指定接口。
华为交换机策略路由配置--产品实现
华为交换机策略路由配置1、本地策略路由具体配置1、创建策略路由和策略点[Huawei]policy-based-route 1 deny node 12、设置本地策略匹配规则[Huawei-policy-based-route-1-1]if-match ?acl Access control list #根据IP报文中的acl匹配packet-length Match packet length #根据IP报文长度匹配-----------[Huawei-policy-based-route-1-1]if-match packet-length ?INTEGER<0-65535> Minimum packet length #最短报文长度[Huawei-policy-based-route-1-1]if-match packet-length 100 ?INTEGER<1-65535> Maximum packet length#最长报文长度3、设置本地路由策略动作3.1、设置报文的出接口[Huawei-policy-based-route-1-1]apply output-interface ? #直接设定出接口Serial Serial interface--------[Huawei-policy-based-route-1-1]apply default output-interface ? #缺省出接口Serial Serial interface#报文的出接口，匹配成功后将从指定接口发出去。
接口不是能以太网等广播类型接口（改为P2P即可），因为多个下一跳可能导致报文转发不成功。
3.2、设置报文的下一跳[Huawei-policy-based-route-1-1]apply ip-address ?default Set default information #缺省下一跳，仅对在路由表中未查到的路由报文起作用next-hop Next hop address# 直接设定下一跳3.3、设置VPN转发实例[Huawei-policy-based-route-1-1]apply access-vpn vpn-instance ?STRING<1-31> VPN instance name3.4设置IP报文优先级[Huawei-policy-based-route-1-1]apply ip-precedence ?INTEGER<0-7> IP precedence valuecritical Set packet precedence to critical(5)（关键）flash Set packet precedence to flash(3)（闪速）flash-override Set packet precedence to flash override(4)（疾速）immediate Set packet precedence to immediate(2)（快速）internet Set packet precedence to Internet control(6)（网间）network Set packet precedence to network control(7)（网内）priority Set packet precedence to priority(1)（优先）routine Set packet precedence to routine(0)（普通）3.5设置本地策略路由刷新LSP信息时间间隔[Huawei]ip policy-based-route refresh-time ?INTEGER<1000-65535> Refresh time value (ms)<cr>3.6应用本地策略路由[Huawei]ip local policy-based-route ?STRING<1-19> Policy name#一台路由器只能使能一个本地策略路由（可以创建多条）2、接口策略路由具体配置1、设置流分类[Huawei]traffic classifier test1 operator ?#逻辑运算符and Rule of matching all of the statements #与关系or Rule of matching one of the statements # 或关系2.1、设置分类匹配规则[Huawei-classifier-test1]if-match ?8021p Specify vlan 802.1p to matchacl Specify ACL to matchany Specify any data packet to matchapp-protocol Specify app-protocol to matchcvlan-8021p Specify inner vlan 802.1p of QinQ packets to match.cvlan-id Specify inner vlan id of QinQ packets to match. #基于内层VLAN ID分类匹配规则destination-mac Specify destination MAC address to matchdlci Specify a DLCI to matchdscp Specify DSCP (DiffServ CodePoint) to matchfr-de Specify FR DE to match.inbound-interface Specify an inbound interface to matchip-precedence Specify IP precedence to matchipv6 Specify IPv6l2-protocol Specify layer-2 protocol to matchmpls-exp Specify MPLS EXP value to matchprotocol Specify ipv4 or ipv6 packets to matchprotocol-group Specify protocol-group to matchpvc Specify a PVC to matchrtp Specify RTP port to matchsource-mac Specify source MAC address to matchtcp Specify TCP parameters to matchvlan-id Specify a vlan id to match #基于外出VLAN ID3、设置流重定向将符合流分类规则的报文重定向到指定的下一跳或指定接口。
华为路由器设置
华为路由器设置
华为路由器是一种功能强大、性能稳定的网络设备，可以为家庭或办公室提供稳定、高速的网络连接。
华为路由器的设置非常简单，只需要按照以下步骤进行即可：
1. 首先，将华为路由器连接到电源，并使用网线将其连接到宽带调制解调器。
2. 使用电脑或手机连接到华为路由器的无线网络信号。
3. 打开浏览器，输入默认的路由器管理界面地址（通常是192.168.1.1或192.168.3.1），然后按下回车键。
4. 输入默认的管理账号和密码（通常是admin/admin），然后
点击登录。
5. 登录后，您可以看到路由器的管理界面，其中包含了各种设置选项。
6. 首先，在无线设置中，您可以设置无线网络的名称（SSID）和密码，以确保只有授权用户可以连接到您的网络。
7. 然后，在宽带设置中，您可以选择您的宽带类型以及相应的接入方式。
8. 在路由器设置中，您可以配置LAN口的IP地址和子网掩码，以及DHCP设置。
9. 如果您希望在家庭或办公室中设置访客网络，您可以在访客网络设置中进行配置。
10. 此外，您还可以继续设置路由器的安全性和其他高级设置，以满足个人需求。
11. 最后，确保保存您的设置，然后重新启动路由器，以使设
置生效。
通过以上步骤，您就可以成功设置华为路由器，并享受到高速、稳定的网络连接了。
如果您对某些具体设置选项不确定，可以参考华为路由器的用户手册或在华为官方网站上查找相关的技术支持信息。
华为AR系列路由器 01-12 策略路由配置
12策略路由配置关于本章通过配置策略路由，可以用于提高网络的安全性能和负载分担。
12.1 策略路由简介介绍策略路由的定义和作用。
12.2 策略路由原理描述介绍策略路由的实现原理。
12.3 策略路由应用介绍策略路由的应用场景。
12.4 策略路由配置任务概览设备不仅支持基于到达报文的源地址、报文长度等信息进行路由选择的本地策略路由和接口策略路由，还支持基于链路质量信息为业务数据流选择优选链路的智能策略路由SPR（Smart Policy Routing）。
12.5 策略路由配置注意事项介绍策略路由在使用和配置过程中的注意事项。
12.6 配置本地策略路由通过配置本地策略路由，可以控制本机下发的报文通过指定的出口进行发送。
本地策略路由只对主机面下发的数据生效。
12.7 配置接口策略路由配置接口策略路由可以将到达接口的三层报文重定向到指定的下一跳地址。
12.8 配置智能策略路由根据业务对链路质量的需求情况配置智能策略路由SPR（Smart Policy Routing）可以实现随链路质量变化情况动态切换业务数据的传输链路。
12.9 策略路由配置举例配置示例中包括组网需求和配置思路等。
12.1 策略路由简介介绍策略路由的定义和作用。
定义策略路由PBR（Policy-Based Routing）是一种依据用户制定的策略进行路由选择的机制，分为本地策略路由、接口策略路由和智能策略路由SPR（Smart PolicyRouting）。
说明●策略路由与路由策略（Routing Policy）存在以下不同：●策略路由的操作对象是数据包，在路由表已经产生的情况下，不按照路由表进行转发，而是根据需要，依照某种策略改变数据包转发路径。
●路由策略的操作对象是路由信息。
路由策略主要实现了路由过滤和路由属性设置等功能，它通过改变路由属性（包括可达性）来改变网络流量所经过的路径。
路由策略的详细内容请参见10 路由策略配置。
目的传统的路由转发原理是首先根据报文的目的地址查找路由表，然后进行报文转发。
H3C 路由策略与策略路由的详细讲解
访问控制列表（ACL）
访问控制列表分为三类：
Advanced：表示高级访问控制列表； Basic：表示基本访问控制列表；
Interface：表示基于接口的访问控制列表；
在对路由信息过滤时，一般使用基本访问列表和高级访问控制列表。
使用基本访问控制列表，在定义访问列表时指定一个源IP地址或子网的
对邻居发布路由
从邻居接收路由
不同路由协议间引入路由 OSPF BGP
如何有选择性的发布、接收和引入路由？
8
IP路由策略
路由器在发布与接收路由信息时，可能需要实施一些策略，以 便对路由信息进行过滤，比如只接收或发布一部分满足给定条 件的路由信息；
路由器在引入其它路由协议的路由信息时，可能需要只引入一
部分满足条件的路由信息，并对所引入的路由信息的某些属性 进行设置或修改，以使其满足本协议的要求。
为实现路由策略，首先要定义将要实施路由策略的路由信息的
特征，即定义一组匹配规则，可以以路由信息中的不同属性作 为匹配依据进行设置，如目的地址、发布路由信息的路由器地
址等。
9
五种常见的路由过滤方法
访问控制列表（ACL） 前缀列表（ip-prefix） 自治系统路径信息访问列表（as-path
只发布和接收10.0.128.0/17或10.0.192.0/18 网段的路由
[Quidway] ip ip-prefix p1 permit 10.0.192.0 8 greater-equal 17 less-equal 18 [Quidway]bgp 65400 [Quidway-bgp]filter-policy ip-prefix p1 import [Quidway-bgp]filter-policy ip-prefix p1 export
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
路由策略和策略路由配置管理一、路由策略简介路由策略主要实现了路由过滤和路由属性设置等功能，它通过改变路由属性（包括可达性）来改变网络流量所经过的路径。
路由协议在发布、接收和引入路由信息时，根据实际组网需求实施一些策略，以便对路由信息进行过滤和改变路由信息的属性，如：1、控制路由的接收和发布只发布和接收必要、合法的路由信息，以控制路由表的容量，提高网络的安全性。
2、控制路由的引入在一种路由协议在引入其它路由协议发现的路由信息丰富自己的路由信息时，只引入一部分满足条件的路由信息。
3、设置特定路由的属性修改通过路由策略过滤的路由的属性，满足自身需要。
路由策略具有以下价值：通过控制路由器的路由表规模，节约系统资源；通过控制路由的接收、发布和引入，提高网络安全性；通过修改路由属性，对网络数据流量进行合理规划，提高网络性能。
二、基本原理路由策略使用不同的匹配条件和匹配模式选择路由和改变路由属性。
在特定的场景中，路由策略的6种过滤器也能单独使用，实现路由过滤。
若设备支持BGP to IGP功能，还能在IGP引入BGP路由时，使用BGP私有属性作为匹配条件。
图1 路由策略原理图如图1，一个路由策略中包含N（N>=1）个节点（Node）。
路由进入路由策略后，按节点序号从小到大依次检查各个节点是否匹配。
匹配条件由If-match子句定义，涉及路由信息的属性和路由策略的6种过滤器。
当路由与该节点的所有If-match子句都匹配成功后，进入匹配模式选择，不再匹配其他节点。
匹配模式分permit和deny两种：permit：路由将被允许通过，并且执行该节点的Apply子句对路由信息的一些属性进行设置。
deny：路由将被拒绝通过。
当路由与该节点的任意一个If-match子句匹配失败后，进入下一节点。
如果和所有节点都匹配失败，路由信息将被拒绝通过。
过滤器路由策略中If-match子句中匹配的6种过滤器包括访问控制列表ACL（Access Control List）、地址前缀列表、AS 路径过滤器、团体属性过滤器、扩展团体属性过滤器和RD属性过滤器。
这6种过滤器具有各自的匹配条件和匹配模式，因此这6种过滤器在以下的特定情况中可以单独使用，实现路由过滤。
1、ACLACL是将报文中的入接口、源或目的地址、协议类型、源或目的端口号作为匹配条件的过滤器，在各路由协议发布、接收路由时单独使用。
在Route-Policy的If-match子句中只支持基本ACL。
2、地址前缀列表（IP Prefix List）地址前缀列表将源地址、目的地址和下一跳的地址前缀作为匹配条件的过滤器，可在各路由协议发布和接收路由时单独使用。
每个地址前缀列表可以包含多个索引（index），每个索引对应一个节点。
路由按索引号从小到大依次检查各个节点是否匹配，任意一个节点匹配成功，将不再检查其他节点。
若所有节点都匹配失败，路由信息将被过滤。
根据匹配的前缀不同，前缀过滤列表可以进行精确匹配，也可以进行在一定掩码长度范围内匹配。
说明：当IP地址为0.0.0.0时表示通配地址，表示掩码长度范围内的所有路由都被Permit或Deny。
3、AS路径过滤器（AS_Path Filter）AS路径过滤器是将BGP中的AS_Path属性作为匹配条件的过滤器，在BGP发布、接收路由时单独使用。
AS_Path属性记录了BGP路由所经过的所有AS编号。
4、团体属性过滤器（Community Filter）团体属性过滤器是将BGP中的团体属性作为匹配条件的过滤器，在BGP发布、接收路由时单独使用。
BGP的团体属性是用来标识一组具有共同性质的路由。
5、扩展团体属性过滤器（Extcommunity Filter）扩展团体属性过滤器是将BGP中的扩展团体属性作为匹配条件的过滤器，可在VPN配置中利用VPN Target区分路由时单独使用。
目前，扩展团体属性过滤器仅应用于对VPN中的VPN Target属性的匹配。
VPN Target属性在BGP/MPLS IP VPN 网络中控制VPN路由信息在各Site之间的发布和接收。
6、RD属性过滤器（Route Distinguisher Filter）RD团体属性过滤器是将VPN中的RD属性作为匹配条件的过滤器，可在VPN配置中利用RD属性区分路由时单独使用。
VPN实例通过路由标识符RD实现地址空间独立，区分使用相同地址空间的前缀。
BGP to IGP功能BGP to IGP功能使IGP能够识别BGP路由的Community、Extcommunity、AS-Path等私有属性。
在IGP引入BGP路由时，可以应用路由策略。
只有当设备支持BGP to IGP功能时，路由策略中才可以使用BGP 私有属性作为匹配条件。
如果设备不支持BGP to IGP功能，那么IGP就不能够识别BGP路由的私有属性，将导致匹配条件失效。
三、配置路由策略1、配置过滤器1、配置地址前缀列表当需要根据路由的目的地址控制路由的发布和接收时，配置地址前缀列表。
如果地址前缀列表不与路由策略中if-match语句配合使用，地址前缀列表中至少配置一个节点的匹配模式是permit，否则所有路由将都被过滤。
具体配置[Huawei]ip ip-prefix 1 permit 10.1.0.0 16 ?greater-equal Set the greater-than-or-equal-to value of the mask length#掩码长度可以匹配范围的下限值less-equal Set the less-than-or-equal-to value of the mask length #掩码长度可以匹配范围的上限值<cr>2、配置AS属性过滤器AS路径过滤器是利用BGP路由携带的AS-Path列表对路由进行过滤。
在不希望接收某些AS的路由时，可以利用AS路径过滤器对携带这些AS号的路由进行过滤。
当网络环境比较复杂时，如果利用ACL或者地址前缀列表过滤BGP 路由，则需要定义多个ACL或者前缀列表，配置比较繁琐。
这时也可以使用AS路径过滤器。
具体配置[Huawei]ip as-path-filter 1 deny ?TEXT A regular-expression of 1 to 255 characters for matching AS_Path attributes # 用正则表达式来表示正则表达式的使用见正则表达式章节3、配置团体属性过滤器团体属性可以标识具有相同特征的路由，而不用考虑零散路由前缀和繁多的AS号。
团体属性过滤器与团体属性配合使用，可以在不便使用地址前缀列表和AS属性过滤器时，降低路由管理难度。
例如某公司一国外分部只需要接收国内总部和邻国分部的路由，不需要接收其他国外分部的路由。
此时只需为各国分部分配不同的团体属性，就可以方便的实现路由管理，而不用去考虑每个国家内零散的路由前缀和繁多的AS 号。
团体属性过滤器有两种类型：基本团体属性过滤器和高级团体属性过滤器。
高级团体属性过滤器支持正则表达式，比基本团体属性过滤器匹配团体属性更灵活。
具体配置1、基本团体属性过滤[Huawei]ip community-filter basic 1 permit ?INTEGER<0-4294967295> Specify community numberSTRING<3-11> Specify aa<0-65535>:nn<0-65535>internet Internet(well-known community attributes)#缺省情况下所有路由都具有此属性，可以被通告给所有的BGP对等体no-advertise Do not advertise to any peer (well-known community attributes)#具有此属性的路由在收到后不能被通告给任何其他的BGP对等体no-export Do not export to external peers(well-known community attributes)#具有此属性的路由在收到后不能被发布到本地AS之外no-export-subconfed Do not send outside a sub-confederation(well-known community attributes)#具有此属性的路由在收到后不能被发布到本地AS之外，也不能发布到联盟中的其他子AS<cr>2、高级团体属性过滤[Huawei]ip community-filter advanced 1 permit ?TEXT A regular-expression of 1 to 255 characters for matching community attributes #正则表达式4、配置扩展团体属性过滤器当VPN场景中需要根据RT属性进行过滤时，可以使用扩展团体属性过滤器。
[Huawei]ip extcommunity-filter ?INTEGER<1-199> Extended community-filter number (basic)INTEGER<200-399> Extended community-filter number (advanced)advanced Advanced extcommunity-filterbasic Basic extcommunity-filter5、配置RD属性过滤器当VPN场景中需要根据RD属性进行过滤时，可以使用扩展团体属性过滤器。
[Huawei]ip rd-filter 1 ?deny Specify a deny rulepermit Specify a permit rule2、配置路由策略Route-Policy的每个节点由一组if-match子句和apply子句组成。
if-match：定义节点匹配规则，即路由信息通过当前路由策略所需满足的条件。
apply：路由策略动作，即满足if-match子句后所执行的一些属性配置动作，对路由的某些属性进行修改。
1、创建Route-PolicyRoute-Policy中可以包含多个匹配条件和操作动作。
Route-Policy中至少配置一个节点的匹配模式是permit，否则所有路由将都被过滤。
具体配置[Huawei]route-policy 1 permit node ?INTEGER<0-65535> Index of the node2、配置If-match子句（可选）If-match子句用来定义路由策略的匹配条件，匹配对象是路由策略过滤器和路由信息的一些属性。