1. 策略路由基础概念与典型场景在企业网络多出口架构中策略路由Policy-Based Routing是打破传统基于目的地址转发规则的利器。想象一下这样的场景财务部访问互联网必须走电信专线而市场部则通过联通链路出口。这种基于源地址的智能选路正是策略路由的核心价值所在。与普通路由相比策略路由有三大独特优势流量精细控制通过ACL匹配源IP、协议类型等字段路径灵活选择可指定下一跳、出接口或修改报文属性业务优先级保障关键业务流量可固定走优质链路实际项目中常见以下应用场景多运营商负载分担不同网段用户走不同ISP出口链路备份切换主链路故障时自动切换备用路径合规性要求特定部门流量必须经过安全审计设备注意策略路由优先级高于普通路由表但低于MPLS标签转发2. 实验环境搭建与基础配置2.1 网络拓扑规划我们采用典型双出口企业网架构[内网] ├─ VLAN10(192.168.1.0/24) 研发部 ├─ VLAN20(192.168.2.0/24) 市场部 └─ 核心交换机H3C S6850 ├─ GE1/0/1 → 电信出口(10.10.10.2) └─ GE1/0/2 → 联通出口(20.20.20.2)2.2 VLAN与接口配置首先完成基础网络搭建system-view # 创建VLAN并分配端口 vlan 10 description RD vlan 20 description Marketing interface GigabitEthernet1/0/3 port link-type access port access vlan 10 interface GigabitEthernet1/0/4 port link-type access port access vlan 20 # 配置VLAN接口IP interface Vlan-interface10 ip address 192.168.1.1 24 interface Vlan-interface20 ip address 192.168.2.1 242.3 静态路由配置设置默认出口路由和回程路由# 默认路由指向电信出口 ip route-static 0.0.0.0 0 10.10.10.2 # 运营商侧需要配置回程路由 # 电信路由器配置 ip route-static 192.168.1.0 24 10.10.10.1 ip route-static 192.168.2.0 24 10.10.10.1 # 联通路由器配置 ip route-static 192.168.2.0 24 20.20.20.13. ACL规则设计与验证3.1 基本ACL配置规范H3C设备支持多种ACL类型基本ACL(2000-2999)仅匹配源IP高级ACL(3000-3999)匹配五元组等复杂规则建议遵循的配置规范按业务功能命名ACL如ACL_MKT_TO_ISP规则编号采用5/10间隔便于后续插入新规则最后隐含deny any规则3.2 源地址匹配实战为市场部网段创建ACLacl number 3000 rule 5 permit ip source 192.168.2.0 0.0.0.255 description Match_Marketing_Subnet验证ACL有效性display acl 3000 # 测试流量匹配 ping -a 192.168.2.100 8.8.8.8常见问题排查技巧使用packet-capture抓包确认源IPdisplay interface查看计数器增长情况测试时暂时放开所有权限rule permit ip4. 策略路由详细配置4.1 策略节点创建配置名为PBR_MULTI-ISP的策略policy-based-route PBR_MULTI-ISP permit node 10 if-match acl 3000 apply next-hop 20.20.20.2 description Route_Marketing_to_Unicom # 默认放行其他流量 policy-based-route PBR_MULTI-ISP permit node 20 description Default_to_Telecom关键参数说明node编号决定匹配顺序数值越小优先级越高permit/deny类似ACL的放行/拒绝动作apply子句支持next-hop、output-interface等4.2 策略应用接口将策略绑定到VLAN接口interface Vlan-interface20 ip policy-based-route PBR_MULTI-ISP重要限制条件不能同时应用策略路由和NAT策略路由不处理分片报文部分型号需开启硬件加速5. 配置验证与排错5.1 基础检查命令查看策略路由状态display ip policy-based-route display ip policy-based-route statistics路由追踪测试# 市场部PC执行 tracert 114.114.114.114 # 应显示联通网关地址 # 研发部PC执行 tracert 114.114.114.114 # 应显示电信网关地址5.2 典型故障处理案例1策略未生效检查ACL是否匹配到流量display acl 3000确认策略应用在正确接口查看CPU利用率策略路由依赖软件转发时案例2下一跳不可达ping 20.20.20.2测试链路连通性检查运营商侧路由配置启用ICMP调试debugging ip icmp terminal monitor案例3环路问题使用display tcp verbose查看重传报文在策略中增加TTL检查policy-based-route PBR_MULTI-ISP permit node 10 if-match acl 3000 if-match ttl 10 20 apply next-hop 20.20.20.26. 高级应用与优化建议6.1 基于Track的链路检测实现自动故障切换track 1 interface GigabitEthernet1/0/2 policy-based-route PBR_MULTI-ISP permit node 10 if-match acl 3000 apply next-hop 20.20.20.2 track 16.2 多级策略路由复杂业务场景下的级联策略policy-based-route PBR_MULTI-ISP permit node 5 if-match acl 3100 # 匹配视频会议流量 apply ip-precedence 5 apply next-hop 10.10.10.10 policy-based-route PBR_MULTI-ISP permit node 10 if-match acl 3000 if-match precedence 0 # 只匹配普通流量 apply next-hop 20.20.20.26.3 性能优化方案启用硬件加速qos apply policy global限制策略条目数高端设备建议不超过500条避免过于复杂的ACL匹配条件我在某大型企业项目中实施策略路由时曾遇到一个棘手问题策略路由导致BGP邻居震荡。后来发现是策略路由修改了TCP报文的TTL值通过添加if-match ttl条件后问题解决。这提醒我们生产环境中实施策略路由前一定要在测试环境充分验证各种边界情况。
1. 策略路由基础概念与典型场景在企业网络多出口架构中策略路由Policy-Based Routing是打破传统基于目的地址转发规则的利器。想象一下这样的场景财务部访问互联网必须走电信专线而市场部则通过联通链路出口。这种基于源地址的智能选路正是策略路由的核心价值所在。与普通路由相比策略路由有三大独特优势流量精细控制通过ACL匹配源IP、协议类型等字段路径灵活选择可指定下一跳、出接口或修改报文属性业务优先级保障关键业务流量可固定走优质链路实际项目中常见以下应用场景多运营商负载分担不同网段用户走不同ISP出口链路备份切换主链路故障时自动切换备用路径合规性要求特定部门流量必须经过安全审计设备注意策略路由优先级高于普通路由表但低于MPLS标签转发2. 实验环境搭建与基础配置2.1 网络拓扑规划我们采用典型双出口企业网架构[内网] ├─ VLAN10(192.168.1.0/24) 研发部 ├─ VLAN20(192.168.2.0/24) 市场部 └─ 核心交换机H3C S6850 ├─ GE1/0/1 → 电信出口(10.10.10.2) └─ GE1/0/2 → 联通出口(20.20.20.2)2.2 VLAN与接口配置首先完成基础网络搭建system-view # 创建VLAN并分配端口 vlan 10 description RD vlan 20 description Marketing interface GigabitEthernet1/0/3 port link-type access port access vlan 10 interface GigabitEthernet1/0/4 port link-type access port access vlan 20 # 配置VLAN接口IP interface Vlan-interface10 ip address 192.168.1.1 24 interface Vlan-interface20 ip address 192.168.2.1 242.3 静态路由配置设置默认出口路由和回程路由# 默认路由指向电信出口 ip route-static 0.0.0.0 0 10.10.10.2 # 运营商侧需要配置回程路由 # 电信路由器配置 ip route-static 192.168.1.0 24 10.10.10.1 ip route-static 192.168.2.0 24 10.10.10.1 # 联通路由器配置 ip route-static 192.168.2.0 24 20.20.20.13. ACL规则设计与验证3.1 基本ACL配置规范H3C设备支持多种ACL类型基本ACL(2000-2999)仅匹配源IP高级ACL(3000-3999)匹配五元组等复杂规则建议遵循的配置规范按业务功能命名ACL如ACL_MKT_TO_ISP规则编号采用5/10间隔便于后续插入新规则最后隐含deny any规则3.2 源地址匹配实战为市场部网段创建ACLacl number 3000 rule 5 permit ip source 192.168.2.0 0.0.0.255 description Match_Marketing_Subnet验证ACL有效性display acl 3000 # 测试流量匹配 ping -a 192.168.2.100 8.8.8.8常见问题排查技巧使用packet-capture抓包确认源IPdisplay interface查看计数器增长情况测试时暂时放开所有权限rule permit ip4. 策略路由详细配置4.1 策略节点创建配置名为PBR_MULTI-ISP的策略policy-based-route PBR_MULTI-ISP permit node 10 if-match acl 3000 apply next-hop 20.20.20.2 description Route_Marketing_to_Unicom # 默认放行其他流量 policy-based-route PBR_MULTI-ISP permit node 20 description Default_to_Telecom关键参数说明node编号决定匹配顺序数值越小优先级越高permit/deny类似ACL的放行/拒绝动作apply子句支持next-hop、output-interface等4.2 策略应用接口将策略绑定到VLAN接口interface Vlan-interface20 ip policy-based-route PBR_MULTI-ISP重要限制条件不能同时应用策略路由和NAT策略路由不处理分片报文部分型号需开启硬件加速5. 配置验证与排错5.1 基础检查命令查看策略路由状态display ip policy-based-route display ip policy-based-route statistics路由追踪测试# 市场部PC执行 tracert 114.114.114.114 # 应显示联通网关地址 # 研发部PC执行 tracert 114.114.114.114 # 应显示电信网关地址5.2 典型故障处理案例1策略未生效检查ACL是否匹配到流量display acl 3000确认策略应用在正确接口查看CPU利用率策略路由依赖软件转发时案例2下一跳不可达ping 20.20.20.2测试链路连通性检查运营商侧路由配置启用ICMP调试debugging ip icmp terminal monitor案例3环路问题使用display tcp verbose查看重传报文在策略中增加TTL检查policy-based-route PBR_MULTI-ISP permit node 10 if-match acl 3000 if-match ttl 10 20 apply next-hop 20.20.20.26. 高级应用与优化建议6.1 基于Track的链路检测实现自动故障切换track 1 interface GigabitEthernet1/0/2 policy-based-route PBR_MULTI-ISP permit node 10 if-match acl 3000 apply next-hop 20.20.20.2 track 16.2 多级策略路由复杂业务场景下的级联策略policy-based-route PBR_MULTI-ISP permit node 5 if-match acl 3100 # 匹配视频会议流量 apply ip-precedence 5 apply next-hop 10.10.10.10 policy-based-route PBR_MULTI-ISP permit node 10 if-match acl 3000 if-match precedence 0 # 只匹配普通流量 apply next-hop 20.20.20.26.3 性能优化方案启用硬件加速qos apply policy global限制策略条目数高端设备建议不超过500条避免过于复杂的ACL匹配条件我在某大型企业项目中实施策略路由时曾遇到一个棘手问题策略路由导致BGP邻居震荡。后来发现是策略路由修改了TCP报文的TTL值通过添加if-match ttl条件后问题解决。这提醒我们生产环境中实施策略路由前一定要在测试环境充分验证各种边界情况。
