华为技术培训资料-DTL210007 路由控制和路由选择.ppt

DTL210007路由控制和路由选择,ISSUE1.0,Page2,如何对报文转发的路径进行有效控制?如何对发布、接收、引入的路由信息进行有效控制，提高网络安全性?学完本课程之后您将会找到满意的答案。,前言,Page3,参考资料,VRP操作手册,Page4,学习完此课程，您将会：理解过滤的各种工具及其作用学会路由策略的各种应用学会应用策略路由,目标,Page5,第1章过滤的工具第2章路由策略第3章策略路由,内容介绍,Page6,第1章过滤工具1.1过滤的工具,内容介绍,Page7,过滤的工具,访问控制列表（access-list）用于匹配路由信息或者数据包的地址，过滤不符合条件的路由信息或数据包前缀列表（prefix-list）匹配对象为路由信息的目的地址或直接作用于路由器对象（gateway）自治系统路径信息访问列表（as-path-filter）仅用于BGP协议，匹配BGP路由信息的自治系统路径域团体属性列表（community-filter）仅用于BGP协议，匹配BGP路由信息的自治系统团体域路由策略（route-policy）设定匹配条件，属性匹配后进行设置，由if-match和apply子句组成,五种过滤工具,Page8,过滤的工具,访问控制列表是由permit|deny语句组成的一系列有顺序的规则，这些规则根据源地址、目的地址、端口号等来描述。按照访问控制列表的用途，可以分为三类：基本的访问控制列表（basicacl）高级的访问控制列表（advancedacl）基于接口的访问控制列表（interface-basedacl）访问控制列表的使用用途是依靠数字的范围来指定的20002999：基本的访问控制列表30003999：高级的访问控制列表10001999：基于接口的访问控制列表,访问控制列表,Page9,过滤的工具,有两种匹配顺序：配置顺序配置顺序，是指按照用户配置ACL的规则的先后进行匹配自动排序自动排序使用“深度优先”的原则“深度优先”规则是把指定范围最小的语句排在最前面,访问控制列表(续),Page10,过滤的工具,前缀列表用来过滤IP前缀，能同时匹配前缀号和前缀长度前缀列表的性能比访问控制列表高前缀列表不能用于数据包的过滤例：ipip-prefixtestindex10permit10.0.0.016greater-equal24less-equal28前缀号必须为10.024=前缀长度=28满足条件的如10.0.1.0/24,10.0.2.0/25,10.0.2.192/26,前缀列表,Page11,过滤的工具,ASPATH列表用来过滤BGP的AS-PATH属性ASPATH属性使用正则表达式来定义举例匹配所有AS-PATH属性ipas-path-filter10permit.*匹配从AS100发起的路由ipas-path-filter10permit_100$匹配从AS200接收的路由ipas-path-filter10permit200_,ASPATH列表和正则表达式,Page12,过滤的工具,ASPATH列表和正则表达式,Page13,过滤的工具,团体列表用来根据团体属性表示和过滤BGP路由团体列表有基本的和高级的两种基本团体列表用来匹配实际的团体属性值和常量ipcommunity-filter1permit100:1100:2ipcommunity-filter1permit100:1ipcommunity-filter1permitno-export高级团体列表可以使用正则表达式ipcommunity-filter100permit10,团体列表,Page14,过滤的工具,一个routingpolicy下可以有多个节点，不同的节点号用seq-number标识，不同seq-number各个部分之间的关系是“或”的关系每个节点下可以有多个if-match和apply子句，if-match子句之间是“与”的关系允许模式：当路由项满足该节点的所有if-match子句时被允许通过该节点的过滤并执行该节点的apply子句，如路由项不满足该节点的if-match子句，该路由策略的下一个节点将被测试拒绝模式：当路由项满足该节点的所有if-match子句时被拒绝通过该节点的过滤，并且不会进行下一个节点的测试If-match子句可以引用其它的过滤器,Route-policy,Page15,过滤的工具,Route-policy(续),Page16,第1章过滤工具第2章路由策略第3章策略路由,内容介绍,Page17,第2章路由策略2.1路由引入2.2路由过滤2.3下发缺省路由2.4使用路由协议优先级,内容介绍,Page18,路由引入,在一个路由协议中通告其它途径学习到的路由“其它途径”包括直连网络静态路由其它路由协议,什么是路由引入？,Page19,路由引入,引入直连网络路由,Page20,路由引入,引入静态路由,Page21,路由引入,引入其它路由协议路由,RTA,RTB,Page22,路由引入,部署不同路由协议的机构合并不同的网络使用不同的协议，并且这些网络需要共享路由信息简单的网络可以使用RIP网络类型复杂的可以选用OSPF大型骨干网络一般选用ISIS网络协议的限制比如，使用拨号链路连接两个ISIS网络，而在拨号链路上是不适合运行ISIS协议的需要配置静态路由，然后把静态路由引入到ISIS,为什么要配置路由引入？,Page23,路由引入,次优路由,路由引入要注意什么？,RIP,ISIS,1.Dest.RIP100,1.Dest.RIP100,2.Importrip,3.Dest.ISIS15,4.Dest.ISIS15,RTA,RTC,RTB,RTD,Page24,路由引入,路由环路,路由引入要注意什么？(续),Loopback0:Dest.,ISIS,OSPF,1.Importdirectcost2,2.Dest.ASE150,3.Dest.ASE150,3.Dest.ASE150,4.Importospf-ase,5.Dest.ISIS15,6.Dest.ISIS15,7.Importisis,8.Dest.ASE150,RTA,RTB,RTC,RTD,RTE,Page25,路由引入,开销值的变化,路由引入要注意什么？(续),RTA,RTB,RTC,20,Loopback0:Dest.,Importisis1cost2,RIP,ISIS,Page26,第2章路由策略2.1路由引入2.2路由过滤2.3下发缺省路由2.4使用路由协议优先级,内容介绍,Page27,路由过滤的作用,避免路由引入导致的次优路由避免路由回馈导致的路由环路进行精确的路由引入和路由通告控制,作用,Page28,路由过滤的作用,避免次优路由,RIP,ISIS,1.Dest.RIP100,1.Dest.RIP100,2.Importrip,3.Dest.ISIS15,4.Dest.ISIS15,RTA,RTC,RTB,RTD,过滤掉RTA通告给RTB的关于Dest.的路由，避免次优路由。,Page29,路由过滤的作用,避免路由环路,Loopback0:Dest.,ISIS,OSPF,1.Importdirectcost2,2.Dest.ASE150,3.Dest.ASE150,3.Dest.ASE150,4.Importospf-ase,5.Dest.ISIS15,6.Dest.ISIS15,7.Importisis（filterdest.）,8.Dest.ASE150,1,RTA,RTB,RTC,RTD,RTE,过滤掉回馈路由,Page30,路由过滤的作用,精确控制路由引入和路由发布,RTA,RTB,12.12.12.0/246.6.6.6/32192.168.1.0/24192.168.2.0/2410.1.1.0/24,12.12.12.0/246.6.6.6/32,Page31,路由过滤,在出方向过滤路由只能过滤路由信息，链路状态信息是不能被过滤的可以在入方向过滤路由对于链路状态路由协议，仅仅是不把路由加入到路由表中可以过滤从其它路由协议引入的路由只能在出方向过滤在入方向过滤是没有意义的使用filter-policy进行过滤,规则,Page32,第2章路由策略2.1路由引入2.2路由过滤2.3下发缺省路由2.4使用路由协议优先级,内容介绍,Page33,缺省路由,缺省路由是路由转发的最后选择使用缺省路由的好处减小路由表规模配置简单可以隐藏明细路由可以减小路由波动范围缺省路由的不足配置不当容易形成路由环路,缺省路由的概念,Page34,OSPF下发缺省路由,默认不产生缺省路由在ASBR上配置非强制下发：default-route-advertise当路由表中存在非本OSPF进程产生的活动缺省路由时下发强制下发：default-route-advertisealways不管路由表中是否存在缺省路由都下发产生的LSA是TYPE5LSA这个LSA在整个路由域内泛洪,普通区域,Page35,OSPF下发缺省路由,普通区域(续),OSPF,ASBR,RIP,Loo0:2.2.2.2,Area2,Area0,Area1,DefaultrouteLSA5,DefaultrouteLSA5,DefaultrouteLSA5,Importrip,default-route-advertisealways,Page36,OSPF下发缺省路由,默认产生缺省路由，不需额外配置产生的LSA是TYPE3LSA这个LSA在Stub区域或完全Stub区域内泛洪,Stub区域和完全Stub区域,Page37,OSPF下发缺省路由,Stub区域和完全Stub区域(续),OSPF,Area0,Area1,ABR,DefaultrouteLSA3,DefaultrouteLSA3,STUBorTOTALSTUB,Area2,Page38,OSPF下发缺省路由,默认不产生缺省路由可以由ABR下发，也可以由ASBR下发如果由ABR下发，则ABR的路由表里不需要有缺省路由如果由ASBR下发，则ASBR的路由表里必须有缺省路由产生的LSA是TYPE7LSA这个LSA在NSSA区域内泛洪,NSSA区域,Page39,OSPF下发缺省路由,ASBR,RIP,NSSA区域由ASBR下发,前提：在ASBR的路由表里必须已经存在一条缺省路由。,OSPF,Area0,Area1,ABR,NSSA,Area2,Importrip,DefaultrouteNH:LSA7,DefaultrouteNH:LSA7,nssadefault-route-advertise,Page40,OSPF下发缺省路由,NSSA区域由ABR下发,OSPF,Area0,Area1,ABR,NSSA,Area2,DefaultrouteLSA7,nssadefault-route-advertise,DefaultrouteLSA7,Page41,OSPF下发缺省路由,由ABR自动产生缺省路由产生的LSA是TYPE3LSA这个LSA在NSSA区域内泛洪,完全NSSA区域,Page42,OSPF下发缺省路由,完全NSSA区域,OSPF,Area0,Area1,ABR,TOTALNSSA,Area2,DefaultrouteLSA3,DefaultrouteLSA3,nssano-summary,Page43,OSPF下发缺省路由,小结：缺省路由的产生条件,Page44,ISIS发布缺省路由,强制下发,ISIS,0.0.0.00.0.0.0NH:RTA,RTA,RTC,RTB,BACKBONE,default-route-advertise,RTD,不管RTA的路由表里是否有缺省路由，RTA都下发缺省路由问题如果RTA和RTD之间的链路故障，流量仍然会发到RTA,Page45,ISIS发布缺省路由,非强制下发,Page46,第2章路由策略2.1路由引入2.2路由过滤2.3下发缺省路由2.4使用路由协议优先级,内容介绍,Page47,路由协议优先级,VRP的路由协议优先级,Page48,路由协议优先级,OSPF优先级为10，静态路由优先级为60优选OSPF路由，OSPF路由失效后自动选择静态路由,浮动静态路由,Page49,路由协议优先级,路由协议的迁移,Page50,路由协议优先级,避免次优路由,RIP,ISIS,1.Dest.RIP100,1.Dest.RIP100,2.Importrip,3.Dest.ISIS15,4.Dest.ISIS150,RTA,RTC,RTB,RTD,改变ISIS的路由协议优先级，使RTB到Dest.优选RIP路由。,Page51,路由协议优先级,避免路由环路,Loopback0:Dest.,ISIS,OSPF,1.Importdirectcost2,2.Dest.ASE150,3.Dest.ASE150,3.Dest.ASE150,4.Importospf-ase,5.Dest.ISIS15,6.Dest.ISIS15,7.Importisis,8.Dest.ASE160,1,100,RTA,RTB,RTC,RTD,RTE,改变优先级，使RTB优选RTA的路由。,Page52,第1章过滤工具第2章路由策略第3章策略路由,内容介绍,Page53,策略路由,策略路由是一种依据用户制定的策略进行路由选择的机制，与单纯依照IP报文的目的地址查找路由表进行转