锐捷路由配置

1．配置ACLs 的步骤l 通过申明一个ACL 的名字及为该ACL 创建ACEs(每条ACE 均由匹配条件和行为构成)来创建一条ACL。

l 将该ACL 应用于某一个交换机接口。

2．Standard (标准) 或Extended(扩展)IP ACLs步骤1 configure terminal 进入全局配置模式。

步骤2 ip access-list standard { name}用数字或名字来定义一条StandardIP ACL 并进入access-list 配置模式。

步骤3 deny {source source-wild ca rd|host source|any} or permit {sourcesource-wild ca rd|host source|any}[time-range time-range-name]在特权配置模式，您可以通过如下步骤来创建一条Standard IP ACL在access-list 配置模式，申明一个或多个的允许通过(permit)或丢弃(deny)的条件以用于交换机决定报文是转发或还是丢弃。

host source 代表一台源主机，其source-wild ca rd 为0.0.0.0。

any 代表任意主机，即source为0.0.0.0，source-wild 为255.255.255.255。

time-range-name(可选)指明关联的time-range 的名称步骤4 end退回到特权模式。

步骤5 show access-lists [name]显示该接入控制列表，如果您不指定access-list 及name 参数，则显示所有接入控制列表。

步骤6 copy running-config startup-config保存配置例：创建一条IP Standard Access-list（标准访问列表）该ACL 名字deny-host192.168.l2.x：包含两条ACE：第一条ACE 拒绝来自192.168.12.0 网段的任一主机，第二条ACE 允许其它任意主机。

同时将其应用到端口f 0/2上Switch(config)# ip access-list standard deny-host192.168.l2.xSwitch(config-std-nacl)# deny 192.168.12.0 0.0.0.255 anySwitch(config-std-nacl)# permit anySwitch(config-std-nacl)# endSwitch# config tSwitch(config)# interface FastEthernet 0/2Switch (config-if)# ip access-group deny-host192.168.l2.x inSwitch(config-if)#endSwitch # show access-list例：创建一条IP Extended Access-list（扩展访问列表）该ACL 名字allow_0xc0a800_to_172.168.12.3 包含一条ACE，用于允许指定网络(192.168.x..x)的所有主机以HTTP 访问服务器172.168.12.3，但拒绝其它所有主机使用网络。

Switch(config)# ip access-list extended allow_0xc0a800_to_172.168.12.3Switch(config-std-nacl)# permit tcp 192.168.0.0 0.0.255.255 host 172.168.12.3 eq wwwSwitch(config-std-nacl)#endSwitch # show access-list3．MAC Extended ACLs配置MAC Extended ACL 的过程，与配置IP 扩展ACL 的配置过程是类似的。

在特权配置模式，您可以通过如下步骤来创建一条MAC Extended ACL：步骤1 configure terminal进入全局配置模式。

步骤2 mac access-list extended {name}以名字定义一条mac extended acl，并进入access-list 配置模式步骤3 {deny | permit} {any | host source MAC address} {any | host desti Nat ion MACaddress} [aarp |appletalk |decnet-iv| diagnostic | etype-6000|etype-8042| lat | lavc-s ca | mop-console|mop-dump | mumps |netbios|vines-echo | xns-idp][time-range time-range-name]在access-list配置模式，申明对任意源MAC地址或指定的源MAC地址、对任意目的MAC地址或指定的目的MAC地址的报文设置允许其通过或拒绝之的条件。

(可选项)您可以输入如下以太网协议类型：aarp | appletalk |decnet-iv |diagnostic |etype-6000 | etype-8042 | lat | lavc-s ca|mop-console | mop-dump | mumps |netbios|vines-echo | xns-idptime-range-name(可选)指明关联的time-range的名称步骤4 end退回到特权模式。

步骤5 show access-lists [name]显示该接入控制列表，如果您不指定access-list 及name 参数，则显示所有接入控制列表。

步骤6 copy running-config startup-config保存配置您可以用no mac access-list extended name 全局配置命令来删除整条MAC 扩展ACL。

您也可以单独删除指定ACL 中的某一条或某几条ACE。

里显示如何创建及显示一条MAC Extended ACL，以名字macext 来命名之。

该MAC 扩展ACL 拒绝所有符合指定源MAC 地址的aarp 报文。

Switch(config)# mac access-list extended macextSwitch(config-ext-macl)# deny host 00d0.f800.0000 any aarpSwitch(config-ext-macl)# permit any anySwitch(config-ext-macl)# endSwitch# config tSwitch(config)# interface GigabitEthernet 2/1Switch (config-if)# mac access-group macext inSwitch (config-if)# endSwitch # show access-lists macextExtended MAC access list macextdeny host 00d0.f800.0000 any aarppermit any any4．基于时间的ACLs 应用你可以使ACLs 基于时间进行运行，比如是ACL例：以ACLs 应用为例，说明如何在每周工作时间段内禁止HTTP 的数据流：Switch(config)# time-range no-httpSwitch(config-time-range)# periodic weekdays 8:00 to 18:00Switch(config)# endSwitch(config)# ip access-list extended limit_udpSwitch(config-ext-nacl)# deny tcp any any eq www time-range no-httpSwitch(config)# endSwitch(config-ext-nacl)# exitSwitch(config)# interface fastethernet0/1Switch(config-if)# ip access-group limit_udp in下面为time-range 的显示范例:Switch#show time-rangetime-range name: no-httpperiodic Weekdays 8:00 to 18:00time-range name: no-udpperiodic Tuesday 15:30 to 16:305．Expert Extended ACLs专家级ACL 为您提供了更强的组合过滤条件，使您更有效地限制网络使用者：1．可以实现对VLAN/网段的过滤，限制某些网络只能使用特定的应用，，比如禁止学生自习时间在教室里玩网络游戏，只要给教室分配一个网段，对这个网段应用ACL，在这个时间段禁止网络游戏报文的传输即可。

2．可以对以IP+MAC 绑定的用户进行网络资源使用限制。

例：创建及显示一条 Expert Extended ACL，以名字expert 来命名之。

该专家ACL 拒绝源IP 地址为192.168.12.3 并且源MAC 地址为00d0.f800.0044 的所有TCP 报文。

tcp 192.168.0.0 0.0.255.255 host 172.168.12.3Switch(config)# expert access-list extended expertSwitch(config-ext-macl)# deny tcp host 192.168.12.3 host 00d0.f800.0044 any any Switch(config-ext-macl)# permit any any any anySwitch(config-ext-macl)# endSwitch # show access-lists expertExtended expert access list expertdeny tcp host 192.168.12.3 host 00d0.f800.0044 any anypermit any any any any6．验证命令例：显示名字为ip_acl 的Standard IP access-lists 的内容：Switch # show ip access-lists ip_aclStandard ip access list ip_aclPermit host 192.168.12.1Permit host 192.168.11.1例：显示名字为ip_ext_acl 的Extended IP access-lists 的内容：Switch # show ip access-lists ip_ext_aclExtended ip access list ip_ext_aclpermit tcp 192.168.0.0 255.255.0.0 host 192.168.1.1 eq wwwpermit tcp 192.167.0.0 255.255.0.0 host 192.168.1.1 eq www例：显示所有IP access-lists 的内容：Switch # show ip access-listsStandard ip access list ip_aclPermit host 192.168.12.1Permit host 192.168.11.1Extended ip access list ip_ext_aclpermit tcp 192.168.0.0 0.0.255.255 host 192.168.1.1 eq wwwpermit tcp 192.167.0.0 0.0.255.255 host 192.168.1.1 eq www例：显示所有access lists 的内容：Switch # show access-listsStandard ip access list ip_aclPermit host 192.168.12.1Permit host 192.168.11.1Extended ip access list ip_ext_aclpermit tcp 192.168.0.0 0.0.255.255 host 192.168.1.1 eq wwwpermit tcp 192.167.0.0 0.0.255.255 host 192.168.1.1 eq wwwExtended MAC access list macextdeny host 00d0.f800.0000 any aarppermit any any例：显示在百兆接口1 上的mac extended access-list：Switch #show mac access-group interface FastEthernet 0/1Interface FastEthernet 0/1:Inbound access-list is mac_ext以下例子显示所有接口配置的mac ACLs:Switch #show mac access-groupInterface FastEthernet 0/1:Inbound access-list is mac_extInterface FastEthernet 0/2:Inbound access-list is not setInterface FastEthernet 0/3:Inbound access-list is not set…Interface GigabitEthernet 1/1:Inbound access-list is not setInterface GigabitEthernet 2/1:Inbound access-list is not set6.1 默认路由配置提问：如何在设备上配置默认路由？回答：Ruijie#configure terminalRuijie (config)#ip route 0.0.0.0 0.0.0.0 fastEthernet 0/0 10.0.0.1----路由下一跳接口为fa0/0，下一跳网关为10.0.0.1———————————————————————————————————————6.2 静态路由配置提问：如何在设备上配置静态路由？回答：Ruijie#configure terminalRuijie (config)#ip route 192.168.1.0 255.255.255.0 fastEthernet 0/0 10.0.0.1----去往192.168.1.0 网段的路由，下一跳接口为fa0/0，下一跳网关为10.0.0.1———————————————————————————————————————6.3 浮动路由配置提问：如何在设备上配置浮动路由？回答：Ruijie#configure terminalRuijie (config)#ip route 0.0.0.0 0.0.0.0 fastEthernet 0/0 10.0.0.1Ruijie (config)#ip route 0.0.0.0 0.0.0.0 fastEthernet 1/0 20.0.0.1 90----当fa0/0 出现问题后，所有路由由接口fa1/0，送往网关20.0.0.1———————————————————————————————————————6.4 策略路由配置提问：希望部分IP 走A 线路，另一部分IP 走B 线路？回答：锐捷RGNOS CookBook26步骤一：配置匹配源的ACLRuijie#configure terminalRuijie (config)#access-list 1 permit 192.168.1.0 0.0.0.255 ----配置地址列表Ruijie (config)#access-list 2 permit 192.168.2.0 0.0.0.255 ----配置地址列表步骤二:配置route-mapRuijie(config)#route-map test permit 10 ----创建路由映射规则Ruijie(config-route-map)#match ip address 1 ----符合地址列表1Ruijie(config-route-map)#set ip next-hop 1.1.1.1 ----执行动作是送往1.1.1.1Ruijie(config-route-map)#exitRuijie(config)#route-map test permit 20Ruijie(config-route-map)#match ip address 2 ----符合地址列表2Ruijie(config-route-map)#set ip next-hop 2.2.2.1 ----执行动作是送往2.2.2.1Ruijie(config-route-map)#exit步骤三：在接口上应用route-mapRuijie config)#interface GigabitEthernet 0/0 ----进入设备内网口Ruijie(config-if)#ip address 192.168.1.1 255.255.255.0 ---配置各个网段的ip 地址Ruijie(config-if)#ip address 192.168.2.1 255.255.255.0 secondaryRuijie(config-if)#ip policy route-map test ----应用之前定义的路由映射Ruijie(config-if)#exit注释：缺省情况下route map 的最后一句都是deny all，这样不符合route map 规则的数据包都会按照正常的路由表进行转发。