Cisco路由过滤命令详细解说Word文档格式.docx

1、Policy Routing注：（1）Policy Routing只影响入流量。（2）可以使用Standard及Extended ACL.（3）全局配置ip local policy route-map sense可将策略路由应用于Router本身发送的Packets. Standard ACLinterface Serial 0 ip address 172.16.5.1 255.255.255.0 ip policy route-map sense!access-list 1 permit 172.16.6.0 0.0.0.255access-list 2 permit 172.16.7.

2、0 0.0.0.255route-map sense permit 10 match ip address 1 set ip next-hop 172.16.4.2route-map sense permit 20 match ip address 2 set ip next-hop 172.16.4.32 Extended ACLinterface Ethernet 0 ip address 172.16.1.4 255.255.255.0access-list 105 permit tcp 172.16.1.0 0.0.0.255 eq FTP anyaccess-list 105 per

3、mit tcp 172.16.1.0 0.0.0.255 eq ftp-data anyaccess-list 106 permit tcp 172.16.1.0 0.0.0.255 eq telnet any match ip address 105 set ip next-hop 172.16.2.1 match ip address 106 set ip next-hop 172.16.3.13 Length of the Packetsinterface Ethernet0 match length 1000 1600 match length 0 4004 Routers Packe

4、tsip local policy route-map senseaccess-list 120 permit ip any 172.16.1.0 0.0.0.255access-list 120 permit ospf any any match ip address 120route-map sense permit 30假如没有第一个route-map条目，router本身的Packets及OSPF的Packets都会由于后两个route-map语句被转发到错误的地址。 Policy Routing and Quality of Service RoutingPolicy Routing

5、结合ip包头的Precedence和Type of Service（TOS）可以实现基于QOS的策略路由。Precedence和TOS的配置既可使用Number字段，也可以使用KeyWord.set ip precedence-Bits Number Keyword000 0 routine001 1 priority010 2 immediate011 3 flash100 4 flash-override101 5 critical110 6 internet111 7 networkset ip tos0000 0 normal0001 1 min-monetary-cost0010 2

6、 max-reliability0100 4 max-throughput1000 8 min-delayinterface Serial0 ip address 10.1.18.67 255.255.255.252interface Serial1 ip address 10.34.16.83.255.255.255.252access-list 1 permit 172.16.0.0 0.0.255.255access-list 110 permit tcp any eq www any match ip address 1 110 set ip precedence critical s

7、et ip tos 10 set ip precedence priority Route Tagging用于双向重分布时标识特定Domain的路由，以防路由被重分布回起源Domain.使用方案：通告路由条目的边缘Router在重分布时给路由条目加上Tag标识，做为Transit Network的Domain，不需要使用和识别Tag，仅仅需要将它传递到它的外部网络即可。路由协议相关：Support： RIPv2，EIGRP，IS-IS，OSPF，BGPNot Support： RIPV1，IGRPPackets Format：RIPv2： 支持16-bit tags 表示为十进制：0 6553

8、5EIGRP external route TLVs： 支持32-bit tags0 4294967295OSPF type 5 LSAs：配置实例：router ospf 1 redistribute igrp 1 metric 10 subnets tag 1 redistribute rip metric 10 subnets route-map sense network 10.100.200.1 0.0.0.0 area 0router rip network 10.0.0.0router igrp 1access-list 1 permit 10.1.2.3access-list

9、2 permit 10.1.2.4 match ip route-source 1 set tag 2 match ip route-source 2 set tag 3（二） Distribute-list作用： 控制路由条目的分发，及路由的重分布。 建立一个route firewall关于路由协议：Distance Vector Routing Protocol： Route Filtering可以控制其通告/接收的路由条目，及重分布的路由条目。Link-State Routing Protocol： Route Filtering只可以控制其在重分布时的路由条目。 LS Routing

10、Protocol的一个基本的要求就是在一个area内所有Routers的Link State Database必须一致，所以假如Route Filtering能过滤掉LS Routing Protocol的LSA通告，就违反了LS Routing Protocol的规范。 Filtering Specific Routes version 2 network 192.168.75.0 distribute-list 1 in Serial1ip classlessaccess 1 permit 0.0.0.0 Route Filtering and Redistributiondistribu

11、te-list 命令用于Link-State Routing Protocol时：与接口联用： 只能使用in参数与路由进程联用： 只能使用out参数两种方案效果相同。与接口联用的方案在抑制route feedback上效果比较好；与路由进程联用的方案在抑制route feedback时，由于在过滤时，相应的路由条目已经进行了路由表，所以失效。 与接口联用router ospf 25 redistribute rip metric 100 network 172.16.1.254 0.0.0.0 area 25 network 172.16.8.254 0.0.0.0 area 25 netwo

12、rk 172.16.50.254 0.0.0.0 area 25 distribute-list 3 in Ethernet0/0 distribute-list 3 in Ethernet0/1 distribute-list 3 in Ethernet0/2 redistribute ospf 25 metric 5 passive-interface Ethernet0/0 passive-interface Ethernet0/1 passive-interface Ethernet0/2 network 192.16.0.0 distribute-list 1 in Ethernet

13、0/3 distribute-list 1 in Ethernet2/0 distribute-ilst 1 in Ethernet2.1access-list 1 permit 172.16.128.0 0.0.127.255access-iist 3 permit 172.16.0.0 0.0.127.255 与路由进程联用： distribute-list 10 out rip passive-interface Ethernet0/3 passive-interface Ethernet2/0 passive-interface Ethernet2/1 network 172.16.0

14、.0 distribute-list 20 out ospf 25access-list 10 permit 172.16.130.0access-list 10 permit 172.16.145.0access-list 10 permit 172.16.240.0access-list 20 permit 172.16.23.0access-list 20 permit 172.16.9.0access-list 20 permit 172.16.75.0（三） Prefix-list功能：过滤特定路由协议分发的Routes，主要用与BGP.与ACL相比，具有相对较强的灵活性。在掩码匹配

15、上，也比较轻易理解。 Standard Syntaxip prefix-list list-name list-number seq number deny network/length permit network/length ge ge-length le le-lengthno ip prefix-list list-name list-number seq number deny network/length permit network/length ge ge-length le le-length ip prefix-list使用最长匹配规则。 假如不指定seq number，

16、则默认为5，且每增加一个条目自动增加5.即假如你指定第一条目seq number为2，则下一个不指定seq number的条目的seq number自动变为7.自动增加seq number功能可以用命令：no ip prefix-list sequence-number取消。 length ge-length le-length ip prefix-list不能与Route Maps的match ip next-hop语句联用；只以与match ip address语句联用。 ip prefix-list descriptionSyntax：ip prefix-list list-name d

17、escription textCase Study: Configuration Examplerouter bgp 3 no synchronization neighbor 172.16.1.2 remote-as 3 neighbor 172.16.20.1 remote-as 1 neighbor 172.16.29.1 prefix-list 1 out no auto-summaryip prefix-list 1 seq 5 deny 192.68.10.0/24ip prefix-list 1 seq 10 permit 0.0.0.0/32（四） ip as-path acc

18、ess-list根据BGP的AS-PATH属性过滤BGP的分发路由条目。 Syntaxip as-path access-list acl-number permit deny regeXPno ip as-path access-list acl-numberacl-number有效值为0 500. Configuration Guide 过滤所有的私有AS的Routes更新ip as-path access-list 1 deny （_646-90-90-9_650-90-90-9_）ip as-path access-list 1 permit .* 应用实例 neighbro 172.

19、16.20.1 filter-list 1 outip as-path access-lsit 1 permit $（五） 以上过滤命令的执行顺序： inboundroute-mapfilter-listprefix-list，distribute-list outboundprefix-list，distribute-list route-mapprefix-list，distribute-list用于邻居在一个方向上每次只能用其中的一个总结：其实这些过滤命令都不是太难，要害是一个过滤的理念。它们都是很灵活的东西，运用的好，它会有很大的作用；运用得不好，也有可能会有反作用的。所以说，在配置这些过滤命令的时候，要仔细的斟酌。每一个过滤都要思考一下，当安放到现有的网络会有什么样的效用，这样才不至于等到安放到路由器上以后才熟悉到过滤的漏洞，才不至于引发安全隐患。