华为策略路由配置实例

合集下载

华为CE交换机配置策略路由重定向到防火墙

[~SwitchA-acl4-advance-3002] commit
[~SwitchA-acl4-advance-3002] quit
[~SwitchA] traffic classifier c2 // c2
[~SwitchA-classifier-c2] if-match acl 3002 // ACL3002 Internet
[USG] firewall zone trust // Trust
[USG-zone-trust] add interface GigabitEthernet 1/0/3 // GigabitEthernet 1/0/3 Trust
[USG-zone-trust] quit
[USG] firewall zone untrust // untrust
[~SwitchA] commit
[~SwitchA] acl 3002 // ACL3002
[~SwitchA-acl4-advance-3002] rule 5 permit ip destination 192.168.1.2 24 // ACL3002 : 192.168.1.0
[~SwitchA-acl4-advance-3002] rule 10 permit ip destination 192.168.2.2 24 // ACL3002 : 192.168.2.0
[~HUAWEI] sysname SwitchA // SwitchA [~HUAWEI] commit [~SwitchA] vlan batch 100 200 300 400 500 // SwitchA VLAN100 VLAN200 VLAN300 VLAN400 VLAN500 [~SwitchA] commit [~SwitchA] interface 10ge 1/0/1 // SwitchA SwitchB [~SwitchA-10GE1/0/1] port link-type trunk // Trunk [~SwitchA-10GE1/0/1] port trunk allow-pass vlan 100 200 // VLAN100 VLAN200 VLAN100 VLAN200 [~SwitchA-10GE1/0/1] quit [~SwitchA] interface 10ge 1/0/2 // SwitchA Router [~SwitchA-10GE1/0/2] port default vlan 500 // Access VLAN500 [~SwitchA-10GE1/0/2] quit [~SwitchA] interface 10ge 1/0/3 // SwitchA [~SwitchA-10GE1/0/3] port default vlan 300 // Access VLAN300 [~SwitchA-10GE1/0/3] quit [~SwitchA] interface 10ge 1/0/4 // SwitchA [~SwitchA-10GE1/0/4] port default vlan 400 // Access VLAN400 [~SwitchA-10GE1/0/4] quit [~SwitchA] commit [~SwitchA] interface vlanif 100 [~SwitchA-Vlanif100] ip address 192.168.1.1 24 // VLANIF100 IP 192.168.1.1 24 [~SwitchA-Vlanif100] quit [~SwitchA] interface vlanif 200 [~SwitchA-Vlanif200] ip address 192.168.2.1 24 // VLANIF200 IP 192.168.2.1 24 [~SwitchA-Vlanif200] quit [~SwitchA] interface vlanif 300 [~SwitchA-Vlanif300] ip address 192.168.3.1 24 // VLANIF300 IP 192.168.3.1 24 [~SwitchA-Vlanif300] quit [~SwitchA] interface vlanif 400 [~SwitchA-Vlanif400] ip address 192.168.4.1 24 // VLANIF400 IP 192.168.4.1 24 [~SwitchA-Vlanif400] quit [~SwitchA] interface vlanif 500 [~SwitchA-Vlanif500] ip address 192.168.10.1 24 // VLANIF500 IP 192.168.10.1 24 [~SwitchA-Vlanif500] quit [~SwitchA] commit

华为S2700 S3700系列交换机 01-11 策略路由配置

11策略路由配置关于本章通过配置策略路由，可以用于提高网络的安全性能和负载分担。

11.1 配置策略路由配置策略路由可以将到达接口的转发报文重定向到指定的下一跳地址。

11.2 配置举例配置示例中包括组网需求和配置思路等。

11.1 配置策略路由配置策略路由可以将到达接口的转发报文重定向到指定的下一跳地址。

背景信息通过配置重定向，设备将符合流分类规则的报文重定向到指定的下一跳地址。

包含重定向动作的流策略只能在全局、接口或VLAN的入方向上应用。

说明对于S2700系列交换机，只有S2700-52P-EI和S2700-52P-PWR-EI交换机支持策略路由。

前置任务在配置策略路由前，需要完成以下任务：●配置相关接口的IP地址和路由协议，保证路由互通。

●如果使用ACL作为策略路由的流分类规则，配置相应的ACL。

操作步骤1.配置流分类a.执行命令system-view，进入系统视图。

b.执行命令traffic classifier classifier-name [ operator { and | or } ]，创建一个流分类并进入流分类视图，或进入已存在的流分类视图。

and表示流分类中各规则之间关系为“逻辑与”，指定该逻辑关系后：▪当流分类中有ACL规则时，报文必须匹配其中一条ACL规则以及所有非ACL规则才属于该类；▪当流分类中没有ACL规则时，则报文必须匹配所有非ACL规则才属于该类。

or表示流分类各规则之间是“逻辑或”，即报文只需匹配流分类中的一个或多个规则即属于该类。

缺省情况下，流分类中各规则之间的关系为“逻辑与”。

c.请根据实际情况定义流分类中的匹配规则。

d.执行命令quit，退出流分类视图。

2.配置流行为a.执行命令traffic behavior behavior-name，创建一个流行为，进入流行为视图。

b.请根据实际需要进行如下配置：▪执行命令redirect ip-nexthop ip-address &<1-4> [ forced ]，将符合流分类的报文重定向到下一跳。

策略路由和NAT实现负载均衡实例(华为防火墙)

acl number3001
rule0permit ip source10.0.0.0 0.255.255.255
acl number3002
rule0permit ip source20.0.0.0 0.255.255.255
#
nat address-group100NAT1100.0.0.1 100.0.0.100
注：方便起见，图中文字的接口用IP地址来表示具体三层接口。
从上图中，我们就可以知道，根据不同的下一跳接口，可以分类出两种不
同的域间策略，这时我们就可以在不同的域间进行不同NAT，实现了实验要求
的NAT需求。那么第二个实验要求能不能实现呢？
答案是确定能实现的。我们可以仔细思考一下，利用策略路由我们可以实
nat实际上在防火墙中也属于域间策略的一种即从上图中我们可以知道nat是在路由选路后进行的而nat的配置很简单只是将匹配的地址acl进行一个地址转换的操作如果不选nopat方式还包括端口所以我们不可能从nat上进行某种操作来实现冗余
一、组网需求:
1.正常情况下10.0.0.2从出口12.12.12.0NAT转化成100.0.0.0的地址，20.0.0.2从出口13.13.13.0NAT转化成200.0.0.0的地址，实现负载均衡。
ip route-static0.0.0.0 0.0.0.0 13.13.13.2
ip route-static 0.0.0.0 0.0.0.0 12.12.12.2
五、实现原理
按照实验要求，如果我们用传统的NAT，将10.0.0.2 nat成
100.0.0.0/24网段，将20.0.0.2 nat成200.0.0.0/24网段，这种方法是实现不了当FW双线上连线路任意断掉一条业务不断的实验要求。那么我们应如何解决这个问题呢？首先我们要了解防火墙的处理流程，如下图：

华为AR1200路由器策略路由配置

华为AR1200路由器策略路由配置华为AR1200 路由器策略路由配置[Huawei]display current-configuration[V200R007C00SPC900]#drop illegal-mac alarm#l2tp enable#ipv6#ip load-balance hash src-ip#dns resolvedns server 219.141.136.10dns server 219.141.140.10dns proxy enable#vlan batch 2#dhcp enable#pki realm defaultenrollment self-signed#ssl policy default_policy type serverpki-realm default#aclnumber 2999rule 5 permit source 172.16.10.0 0.0.1.255#acl number 3000 1;创建用于策略路由的ACLrule 5 permit ip source 192.168.1.0 0.0.0.255acl number 3001 用于策略路由及默认路由两个网段之间互通的ACLrule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.1.1 0rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.10.0 0.0.1.255#traffic classifier 2 operator or 2;创建traffic classifier 匹配acl 两个网段互通if-match acl 3001traffic classifier 1 operator or创建traffic classifier 匹配acl策略路由if-match acl 3000#traffic behavior 2 3创建流行为网段互通不做任何行为traffic behavior 1流行为策略路由重定向吓一跳redirect ip-nexthop 172.16.201.145#traffic policy 1 4：创建流策略绑定traffic classifier 与流行为classifier 2 behavior 2默认生效优先级按顺序来classifier 1 behavior 1注意：策略路由与网段互通必须是网段互通在前否则网段互通策略不生效#aaaauthentication-scheme defaultauthorization-scheme defaultaccounting-scheme defaultdomain defaultdomain default_adminlocal-user admin password irreversible-cipher %^%#>GaX7&}u@XhKK_N|+BPYHB|'&(|*K+fdf)C8]CsCZ3 5JIRYkI5{ qq1J+r~*U%^%#local-user admin privilege level 15local-user admin service-type telnet terminal ssh httplocal-user admin1 password irreversible-cipher %^%#44VeXSBB2MGdR2*R)Y'(TQ15+Q_5*Lx3gD(C#<6$. nB[AHyOo&WU}7>!W%^0%^%#local-user admin1 privilege level 15local-user admin1 service-type telnet terminal ssh ftp x25-pad http#firewall zone Localpriority 16#interface Vlanif1ip address 172.16.10.1 255.255.254.0dhcp select interfacedhcp server excluded-ip-address 172.16.10.2dhcp server dns-list 219.141.136.10 219.141.140.10#interface Vlanif2ip address 192.168.1.1 255.255.255.0traffic-policy 1 inbound 5：接口inbound 方向应用流策略dhcp select interfacedhcp server dns-list 219.141.136.10 8.8.8.8#interface GigabitEthernet0/0/0#interface GigabitEthernet0/0/1port link-type accessport default vlan 2#interface GigabitEthernet0/0/2 port link-type accessport default vlan 2#interface GigabitEthernet0/0/3 port link-type accessport default vlan 2#interface GigabitEthernet0/0/4 port link-type accessport default vlan 2#interface GigabitEthernet0/0/5 port link-type accessport default vlan 2#interface GigabitEthernet0/0/6 port link-type access#interface GigabitEthernet0/0/7port link-type access#interface GigabitEthernet0/0/8tcp adjust-mss 1200ip address 222.249.226.138 255.255.255.248 nat outbound 2999#interface GigabitEthernet0/0/9tcp adjust-mss 1200ip address 172.16.201.146 255.255.255.252 nat outbound 3000#interface GigabitEthernet0/0/10description VirtualPort#interface Cellular0/0/0#interface Cellular0/0/1#interface NULL0#snmp-agent local-engineid 800007DB03F02FA78A2C38 #ssh user admin authentication-type allssh client first-time enablestelnet server enabletelnet server enable#http secure-server ssl-policy default_policyhttp server enablehttp secure-server enable#ip route-static 0.0.0.0 0.0.0.0 222.249.226.137#user-interface con 0authentication-mode aaauser-interface vty 0authentication-mode aaa user privilege level 15 protocol inbound ssh user-interface vty 1 4 authentication-mode aaa protocol inbound ssh#wlan ac #ops# autostart #return。

华为S9300策略路由配置

华为S9300策略路由配置华为S9300策略路由配置华为S9300策略路由配置需求描述：公司目前有两条带宽，一条为AC设备，用于普通用户上网，一条为VPN设备，用户服务器对外发布，AC跟VPN均连到核心交换机上，核心上需配置默认数据走AC，服务器(192.168.0.12)数据走VPN1.创建ACL规则#需要策略路由的源地址acl number 2000rule 10 permit source 192.168.0.12 0#内网地址时不需要走策略路由acl number 3000rule 10 permit ip destination 192.168.0.0 0.0.255.255rule 15 permit ip destination 172.16.0.0 0.0.255.255rule 20 permit icmp destination 192.168.0.0 0.0.255.255rule 25 permit icmp destination 172.16.0.0 0.0.255.2552.创建behavior#指定策略网关（下一跳地址必须为直接可达，当不存在时，走系统默认路由）traffic behavior 2000redirect ip-nexthop 172.16.1.150#172.16.1.150为VPN内网地址#未定义时走默认路由traffic behavior 30003.创建classifiertraffic classifier 2000 operator or precedence 10if-match acl 2000traffic classifier 3000 operator or precedence 5 if-match acl 30004.创建策略traffic policy servervpnclassifier 3000 behavior 3000classifier 2000 behavior 20005.查找服务器对应的端口dis arp | in 192.168.0.12192.168.0.12s c81f-66dc-3a39 20 D-0 GE1/0/16 #显示IP对应的MAC及端口信息6.应用到指定的端口interface GigabitEthernet1/0/16traffic-policy servervpn inbound。

华三F100系列、华为USG6300系列防火墙策略路由配置实例

华三F100系列、华为USG6300系列防⽕墙策略路由配置实例策略路由，是⼀种⽐基于⽬标⽹络进⾏路由更加灵活的数据包路由转发机制，路由器将通过路由图决定如何对需要路由的数据包进⾏处理，路由图决定了⼀个数据包的下⼀跳转发路由器。

策略路由的应⽤：1、可以不仅仅依据⽬的地址转发数据包，它可以基于源地址、数据应⽤、数据包长度等。

这样转发数据包更灵活。

2、为QoS服务。

使⽤route-map及策略路由可以根据数据包的特征修改其相关QoS项，进⾏为QoS服务。

3、负载平衡。

使⽤策略路由可以设置数据包的⾏为，⽐如下⼀跳、下⼀接⼝等，这样在存在多条链路的情况下，可以根据数据包的应⽤不同⽽使⽤不同的链路，进⽽提供⾼效的负载平衡能⼒。

在实际的⽹络场景中，普通静态或动态路由，已可满⾜⼤部分⽹络场景。

但⽹段和业务⼀旦复杂起来，普通的路由就难以胜任了，如以下场景：公司有⽹段A，做A业务，需要通过A⽹关进⾏通信。

同时⼜有B⽹段，做B业务，需要通过B⽹关进⾏通信。

如果A,B两个业务，同时都需要访问10.0.0.0/8⽹段。

因普通路由，⽆法对源地址进⾏区分与分别路由，此时如果仅⽤普通路由进⾏配置，那么⽹段A与⽹段B ，都只能选择⼀个下⼀跳⽹关，造成其中⼀个业务⽆法正常开展。

此时就需要使⽤策略路由，对源IP地址进⾏匹配，并根据源IP地址分别进⾏路由。

※华三F100系列防⽕墙策略路由配置：acl advanced 3860 ----配置ACL ，⽤户源IP地址的匹配rule 5 permit ip source 10.*.*.* 0rule 10 permit ip source 10.*.*.* 0rule 15 permit ip source 10.*.*.* 0rule 20 permit ip source 10.*.*.* 0.......----配置策略路由规则policy-based-route management permit node 1 -----management是⾃定义名称，node 1为序号。

01-16 策略路由配置

Quidway Eudemon 300/500/1000配置指南网际互联分册目录目录16 策略路由配置...........................................................................................................................16-116.1 策略路由简介..........................................................................................................................................16-216.2 配置策略路由..........................................................................................................................................16-216.2.1 建立配置任务.................................................................................................................................16-216.2.2 配置策略路由的匹配规则.............................................................................................................16-216.2.3 配置策略路由的动作.....................................................................................................................16-316.2.4 应用策略路由.................................................................................................................................16-316.2.5 配置流量监管特性.........................................................................................................................16-316.2.6 检查配置结果.................................................................................................................................16-416.3 配置策略路由的注意事项......................................................................................................................16-416.4 维护策略路由..........................................................................................................................................16-516.5 策略路由配置示例..................................................................................................................................16-5插图目录Quidway Eudemon 300/500/1000配置指南网际互联分册插图目录图16-1 策略路由配置组网图.........................................................................................................................16-6配置指南网际互联分册表格目录表格目录表16-1 检查策略路由配置结果.....................................................................................................................16-4表16-2 维护策略路由....................................................................................................................................16-5策略路由配置配置指南网际互联分册 1616 策略路由配置关于本章本章描述内容如下表所示。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

华为策略路由配置实例1、组网需求图1 策略路由组网示例图如上图1所示，公司用户通过Switch双归属到外部网络设备。

其中，一条是低速链路，网关为10.1.20.1/24；另外一条是高速链路，网关为10.1.30.1/24。

公司希望上送外部网络的报文中，IP优先级为4、5、6、7的报文通过高速链路传输，而IP优先级为0、1、2、3的报文则通过低速链路传输。

2、配置思路1、创建VLAN并配置各接口，实现公司和外部网络设备互连。

2、配置ACL规则，分别匹配IP优先级4、5、6、7，以及IP优先级0、1、2、3。

3、配置流分类，匹配规则为上述ACL规则，使设备可以对报文进行区分。

4、配置流行为，使满足不同规则的报文分别被重定向到10.1.20.1/24和10.1.30.1/24。

5、配置流策略，绑定上述流分类和流行为，并应用到接口GE2/0/1的入方向上，实现策略路由。

3、操作步骤3.1、创建VLAN并配置各接口# 在Switch上创建VLAN100和VLAN200。

<HUAWEI> system-view[HUAWEI] sysname Switch[Switch] vlan batch 100 200# 配置Switch上接口GE1/0/1、GE1/0/2和GE2/0/1的接口类型为Trunk，并加入VLAN100和VLAN200。

[Switch] interface gigabitethernet 1/0/1[Switch-GigabitEthernet1/0/1] port link-type trunk[Switch-GigabitEthernet1/0/1] port trunk allow-pass vlan 100 200 [Switch-GigabitEthernet1/0/1] quit[Switch] interface gigabitethernet 1/0/2[Switch-GigabitEthernet1/0/2] port link-type trunk[Switch-GigabitEthernet1/0/2] port trunk allow-pass vlan 100 200 [Switch-GigabitEthernet1/0/2] quit[Switch] interface gigabitethernet 2/0/1[Switch-GigabitEthernet2/0/1] port link-type trunk[Switch-GigabitEthernet2/0/1] port trunk allow-pass vlan 100 200 [Switch-GigabitEthernet2/0/1] quit配置LSW与Switch对接的接口为Trunk类型接口，并加入VLAN100和VLAN200。

# 创建VLANIF100和VLANIF200，并配置各虚拟接口IP地址。

[Switch] interface vlanif 100[Switch-Vlanif100] ip address 10.1.20.2 24[Switch-Vlanif100] quit[Switch] interface vlanif 200[Switch-Vlanif200] ip address 10.1.30.2 24[Switch-Vlanif200] quit3.2、配置ACL规则# 在Switch上创建编码为3001、3002的高级ACL，规则分别为允许IP优先级0、1、2、3和允许IP优先级4、5、6、7的报文通过。

[Switch] acl 3001[Switch-acl-adv-3001] rule permit ip precedence 0[Switch-acl-adv-3001] rule permit ip precedence 1[Switch-acl-adv-3001] rule permit ip precedence 2[Switch-acl-adv-3001] rule permit ip precedence 3[Switch-acl-adv-3001] quit[Switch] acl 3002[Switch-acl-adv-3002] rule permit ip precedence 4[Switch-acl-adv-3002] rule permit ip precedence 5[Switch-acl-adv-3002] rule permit ip precedence 6[Switch-acl-adv-3002] rule permit ip precedence 7[Switch-acl-adv-3002] quit3.3、配置流分类在Switch上创建流分类c1、c2，匹配规则分别为ACL 3001和ACL 3002。

[Switch] traffic classifier c1 operator and[Switch-classifier-c1] if-match acl 3001[Switch-classifier-c1] quit[Switch] traffic classifier c2 operator and[Switch-classifier-c2] if-match acl 3002[Switch-classifier-c2] quit3.4、配置流行为# 在Switch上创建流行为b1、b2，并分别指定重定向到网段10.1.20.1/24和10.1.30.1/24的动作。

[Switch] traffic behavior b1[Switch-behavior-b1] redirect ip-nexthop 10.1.20.1[Switch-behavior-b1] quit[Switch] traffic behavior b2[Switch-behavior-b2] redirect ip-nexthop 10.1.30.1[Switch-behavior-b2] quit3.5、配置流策略并应用到接口上# 在Switch上创建流策略p1，将流分类和对应的流行为进行绑定。

[Switch] traffic policy p1[Switch-trafficpolicy-p1] classifier c1 behavior b1[Switch-trafficpolicy-p1] classifier c2 behavior b2[Switch-trafficpolicy-p1] quit# 将流策略p1应用到接口GE2/0/1的入方向上。

[Switch] interface gigabitethernet 2/0/1[Switch-GigabitEthernet2/0/1] traffic-policy p1 inbound [Switch-GigabitEthernet2/0/1] return3.6、验证配置结果# 查看ACL规则的配置信息。

<Switch> display acl 3001Advanced ACL 3001, 4 rulesAcl's step is 5rule 5 permit ip precedence routine (match-counter 0)rule 10 permit ip precedence priority (match-counter 0)rule 15 permit ip precedence immediate (match-counter 0)rule 20 permit ip precedence flash (match-counter 0)<Switch> display acl 3002Advanced ACL 3002, 4 rulesAcl's step is 5rule 5 permit ip precedence flash-override (match-counter 0) rule 10 permit ip precedence critical (match-counter 0)rule 15 permit ip precedence internet (match-counter 0)rule 20 permit ip precedence network (match-counter 0)# 查看流分类的配置信息。

<Switch> display traffic classifier user-definedUser Defined Classifier Information:Classifier: c1Precedence: 5Operator: ANDRule(s) : if-match acl 3001Classifier: c2Precedence: 10Operator: ANDRule(s) :if-match acl 3002Total classifier number is 2# 查看流策略的配置信息。

<Switch> display traffic policy user-defined p1 User Defined Traffic Policy Information: Policy: p1Classifier: c1Operator: ANDBehavior: b1Redirect: no forcedRedirect ip-nexthop10.1.20.1Classifier: c2Operator: ANDBehavior: b2Redirect: no forcedRedirect ip-nexthop10.1.30.14、配置文件Switch的配置文件sysname Switch#vlan batch 100 200#acl number 3001rule 5 permit ip precedence routinerule 10 permit ip precedence priorityrule 15 permit ip precedence immediaterule 20 permit ip precedence flash#acl number 3002rule 5 permit ip precedence flash-overriderule 10 permit ip precedence criticalrule 15 permit ip precedence internetrule 20 permit ip precedence network#traffic classifier c1 operator and precedence 5 if-match acl 3001traffic classifier c2 operator and precedence 10 if-match acl 3002#traffic behavior b1redirect ip-nexthop 10.1.20.1 traffic behavior b2redirect ip-nexthop 10.1.30.1#traffic policy p1 match-order config classifier c1 behavior b1classifier c2 behavior b2#interface Vlanif100ip address 10.1.20.2 255.255.255.0 #interface Vlanif200ip address 10.1.30.2 255.255.255.0 #interface GigabitEthernet1/0/1port link-type trunkport trunk allow-pass vlan 100 200 #interface GigabitEthernet1/0/2port link-type trunkport trunk allow-pass vlan 100 200#interface GigabitEthernet2/0/1port link-type trunkport trunk allow-pass vlan 100 200 traffic-policy p1 inbound#return。