分享
 
 
 

思科路由过滤命令详细解说

王朝other·作者佚名  2008-05-31
窄屏简体版  字體: |||超大  

(一) Route Maps

特性:

Route Maps类似于Access lists,不同之处在于Route Maps可以改变Packets/Routes的部分属性。

用途:

Route Maps主要用于Redistribution和Policy Routing及BGP的实现。

实现:

Policy Routing发送Packets到Route Maps实现策略路由转发。

Redistribution发送Routes到Route Maps实现路由条目的过滤。

配置说明:

Route Maps假如没有指定Action及Sequence Number属性,默认:

Action: permit

Sequence Number: 10

且Sequence Number不会自动增加。

即假如在使用Route Maps语句时不指定Sequence Number,则覆盖Sequence Number为10的默认条目。

Route Maps Deny Action:

Redistribution: 特定路由条目不会被重分布。

Policy Routing: 特定的Packets不会按策略路由转发,但会梗概正常的路由表条目转发。

Case Study:Policy Routing

注:(1)Policy Routing只影响入流量。

(2)可以使用Standard及Extended ACL.

(3)全局配置ip local policy route-map sense可将策略路由应用于Router本身发送的Packets.

<1> Standard ACL

interface Serial 0

ip address 172.16.5.1 255.255.255.0

ip policy route-map sense

!

access-list 1 permit 172.16.6.0 0.0.0.255

access-list 2 permit 172.16.7.0 0.0.0.255

!

route-map sense permit 10

match ip address 1

set ip next-hop 172.16.4.2

!

route-map sense permit 20

match ip address 2

set ip next-hop 172.16.4.3

<2> Extended ACL

interface Ethernet 0

ip address 172.16.1.4 255.255.255.0

ip policy route-map sense

!

access-list 105 permit tcp 172.16.1.0 0.0.0.255 eq FTP any

access-list 105 permit tcp 172.16.1.0 0.0.0.255 eq ftp-data any

access-list 106 permit tcp 172.16.1.0 0.0.0.255 eq telnet any

!

route-map sense permit 10

match ip address 105

set ip next-hop 172.16.2.1

!

route-map sense permit 20

match ip address 106

set ip next-hop 172.16.3.1

<3> Length of the Packets

interface Ethernet0

ip address 172.16.1.4 255.255.255.0

ip policy route-map sense

!

route-map sense permit 10

match length 1000 1600

set ip next-hop 172.16.2.1

!

route-map sense permit 20

match length 0 400

set ip next-hop 172.16.3.1

<4> Router's Packets

interface Ethernet0

ip address 172.16.1.4 255.255.255.0

ip policy route-map sense

!

ip local policy route-map sense

!

access-list 120 permit ip any 172.16.1.0 0.0.0.255

access-list 120 permit ospf any any

!

route-map sense permit 10

match ip address 120

!

route-map sense permit 20

match length 1000 1600

set ip next-hop 172.16.2.1

!

route-map sense permit 30

match length 0 400

set ip next-hop 172.16.3.1

注:假如没有第一个route-map条目,router本身的Packets及OSPF的Packets都会由于后两个route-map语句被转发到错误的地址。

Case Study: Policy Routing and Quality of Service Routing

Policy Routing结合ip包头的Precedence和Type of Service(TOS)可以实现基于QOS的策略路由。

注:Precedence和TOS的配置既可使用Number字段,也可以使用KeyWord.

set ip precedence

-------------------------------------

Bits Number Keyword

000 0 routine

001 1 priority

010 2 immediate

011 3 flash

100 4 flash-override

101 5 critical

110 6 internet

111 7 network

-------------------------------------

set ip tos

-------------------------------------

Bits Number Keyword

0000 0 normal

0001 1 min-monetary-cost

0010 2 max-reliability

0100 4 max-throughput

1000 8 min-delay

-------------------------------------

interface Serial0

ip address 10.1.18.67 255.255.255.252

ip policy route-map sense

!

interface Serial1

ip address 10.34.16.83.255.255.255.252

ip policy route-map sense

!

access-list 1 permit 172.16.0.0 0.0.255.255

access-list 110 permit tcp any eq www any

!

route-map sense permit 10

match ip address 1 110

set ip precedence critical

!

route-map sense permit 20

set ip tos 10

set ip precedence priority

Case Study: Route Tagging

用途:

用于双向重分布时标识特定Domain的路由,以防路由被重分布回起源Domain.

使用方案:

通告路由条目的边缘Router在重分布时给路由条目加上Tag标识,做为Transit Network的Domain,不需要使用和识别Tag,仅仅需要将它传递到它的外部网络即可。

路由协议相关:

Support: RIPv2,EIGRP,IS-IS,OSPF,BGP

Not Support: RIPV1,IGRP

Packets Format:

RIPv2: 支持16-bit tags 表示为十进制:0 ~ 65535

EIGRP external route TLVs: 支持32-bit tags 表示为十进制:0 ~ 4294967295

OSPF type 5 LSAs: 支持32-bit tags 表示为十进制:0 ~ 4294967295

配置实例:

router ospf 1

redistribute igrp 1 metric 10 subnets tag 1

redistribute rip metric 10 subnets route-map sense

network 10.100.200.1 0.0.0.0 area 0

!

router rip

network 10.0.0.0

!

router igrp 1

network 10.0.0.0

!

access-list 1 permit 10.1.2.3

access-list 2 permit 10.1.2.4

!

route-map sense permit 10

match ip route-source 1

set tag 2

!

route-map sense permit 20

match ip route-source 2

set tag 3

(二) Distribute-list

作用:

<1> 控制路由条目的分发,及路由的重分布。

<2> 建立一个"route firewall"

关于路由协议:

Distance Vector Routing Protocol: Route Filtering可以控制其通告/接收的路由条目,及重分布的路由条目。

Link-State Routing Protocol: Route Filtering只可以控制其在重分布时的路由条目。

注: LS Routing Protocol的一个基本的要求就是在一个area内所有Routers的Link State Database必须一致,所以假如Route Filtering能过滤掉LS Routing Protocol的LSA通告,就违反了LS Routing Protocol的规范。

Case Study: Filtering Specific Routes

router rip

version 2

network 192.168.75.0

distribute-list 1 in Serial1

!

ip classless

access 1 permit 0.0.0.0

Case Study: Route Filtering and Redistribution

注:

distribute-list 命令用于Link-State Routing Protocol时:

与接口联用: 只能使用in参数

与路由进程联用: 只能使用out参数

两种方案效果相同。与接口联用的方案在抑制route feedback上效果比较好;与路由进程联用的方案在抑制route feedback时,由于在过滤时,相应的路由条目已经进行了路由表,所以失效。

<1> 与接口联用

router ospf 25

redistribute rip metric 100

network 172.16.1.254 0.0.0.0 area 25

network 172.16.8.254 0.0.0.0 area 25

network 172.16.50.254 0.0.0.0 area 25

distribute-list 3 in Ethernet0/0

distribute-list 3 in Ethernet0/1

distribute-list 3 in Ethernet0/2

!

router rip

redistribute ospf 25 metric 5

passive-interface Ethernet0/0

passive-interface Ethernet0/1

passive-interface Ethernet0/2

network 192.16.0.0

distribute-list 1 in Ethernet0/3

distribute-list 1 in Ethernet2/0

distribute-ilst 1 in Ethernet2.1

!

ip classless

access-list 1 permit 172.16.128.0 0.0.127.255

access-iist 3 permit 172.16.0.0 0.0.127.255

<2> 与路由进程联用:

router ospf 25

redistribute rip metric 100

network 172.16.1.254 0.0.0.0 area 25

network 172.16.8.254 0.0.0.0 area 25

network 172.16.50.254 0.0.0.0 area 25

distribute-list 10 out rip

!

router rip

redistribute ospf 25 metric 5

passive-interface Ethernet0/3

passive-interface Ethernet2/0

passive-interface Ethernet2/1

network 172.16.0.0

distribute-list 20 out ospf 25

!

ip classless

access-list 10 permit 172.16.130.0

access-list 10 permit 172.16.145.0

access-list 10 permit 172.16.240.0

access-list 20 permit 172.16.23.0

access-list 20 permit 172.16.9.0

access-list 20 permit 172.16.75.0

(三) Prefix-list

功能:

过滤特定路由协议分发的Routes,主要用与BGP.

特性:

与ACL相比,具有相对较强的灵活性。在掩码匹配上,也比较轻易理解。

Case Study: Standard Syntax

ip prefix-list {list-name list-number} [seq number] {deny network/length permit network/length} [ge ge-length] [le le-length]

no ip prefix-list {list-name list-number} [seq number] {deny network/length permit network/length} [ge ge-length] [le le-length]

注:

<1> ip prefix-list使用最长匹配规则。

<2> 假如不指定seq number,则默认为5,且每增加一个条目自动增加5.

即假如你指定第一条目seq number为2,则下一个不指定seq number的条目的seq number自动变为7.

<3>自动增加seq number功能可以用命令:no ip prefix-list sequence-number取消。

<4> length < ge-length < le-length <= 32

<5> ip prefix-list不能与Route Maps的match ip next-hop语句联用;只以与match ip address语句联用。

Case Study: ip prefix-list description

Syntax:

ip prefix-list list-name description text

Case Study: Configuration Example

router bgp 3

no synchronization

neighbor 172.16.1.2 remote-as 3

neighbor 172.16.20.1 remote-as 1

neighbor 172.16.29.1 prefix-list 1 out

no auto-summary

!

ip prefix-list 1 seq 5 deny 192.68.10.0/24

ip prefix-list 1 seq 10 permit 0.0.0.0/32

(四) ip as-path access-list

功能:

根据BGP的AS-PATH属性过滤BGP的分发路由条目。

Case Study: Syntax

ip as-path access-list acl-number permit deny regeXP

no ip as-path access-list acl-number

注:acl-number有效值为0 ~ 500.

Case Study: Configuration Guide

<1> 过滤所有的私有AS的Routes更新

ip as-path access-list 1 deny (_64[6-9][0-9][0-9]__65[0-9][0-9][0-9]_)

ip as-path access-list 1 permit .*

<2> 应用实例

router bgp 3

no synchronization

neighbor 172.16.1.2 remote-as 3

neighbor 172.16.20.1 remote-as 1

neighbro 172.16.20.1 filter-list 1 out

no auto-summary

!

ip as-path access-lsit 1 permit ^$

(五) 以上过滤命令的执行顺序:

<1> inbound

route-map->filter-list->prefix-list,distribute-list

<2> outbound

prefix-list,distribute-list->filter-list-> route-map

prefix-list,distribute-list用于邻居在一个方向上每次只能用其中的一个

总结:

其实这些过滤命令都不是太难,要害是一个过滤的理念。

它们都是很灵活的东西,运用的好,它会有很大的作用;运用得不好,也有可能会有反作用的。

所以说,在配置这些过滤命令的时候,要仔细的斟酌。每一个过滤都要思考一下,当安放到现有的网络会有什么样的效用,这样才不至于等到安放到路由器上以后才熟悉到过滤的漏洞,才不至于引发安全隐患。

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有