欧美bbbwbbbw肥妇,免费乱码人妻系列日韩,一级黄片

思科路由過濾命令詳細解說

  發(fā)布時間：2010-09-07 23:40:47   作者：佚名   我要評論
　?。ㄒ唬?Route Maps 　　特性： 　　Route Maps類似于access lists，不同之處在于Route Maps可以改變Packets/Routes的部分屬性。 　　用途： 　　Route Maps主要用于Redistribution和Policy Routing及BGP的實現(xiàn)。 　　實現(xiàn)： 　　Policy Rou

　　（一） Route Maps

　　特性：

　　Route Maps類似于access lists，不同之處在于Route Maps可以改變Packets/Routes的部分屬性。

　　用途：

　　Route Maps主要用于Redistribution和Policy Routing及BGP的實現(xiàn)。

　　實現(xiàn)：

　　Policy Routing發(fā)送Packets到Route Maps實現(xiàn)策略路由轉發(fā)。

　　Redistribution發(fā)送Routes到Route Maps實現(xiàn)路由條目的過濾。

　　配置說明：

　　Route Maps如果沒有指定Action及Sequence Number屬性，默認：

　　Action：   permit

　　Sequence Number：   10

　　且Sequence Number不會自動增加。

　　即如果在使用Route Maps語句時不指定Sequence Number，則覆蓋Sequence Number為10的默認條目。

　　Route Maps Deny Action：

　　Redistribution： 特定路由條目不會被重分布。

　　Policy Routing： 特定的Packets不會按策略路由轉發(fā)，但會梗概正常的路由表條目轉發(fā)。

　　Case Study：Policy Routing

　　注：（1）Policy Routing只影響入流量。

　　（2）可以使用Standard及Extended ACL.

　?。?）全局配置ip local policy route-map sense可將策略路由應用于Router本身發(fā)送的Packets.

　　<1> Standard ACL

interface Serial 0
   ip address 172.16.5.1 255.255.255.0
   ip policy route-map sense
!
access-list 1 permit 172.16.6.0 0.0.0.255
access-list 2 permit 172.16.7.0 0.0.0.255
!
route-map sense permit 10
   match ip address 1
   set ip next-hop 172.16.4.2
!
route-map sense permit 20
   match ip address 2
   set ip next-hop 172.16.4.3

　　<2> Extended ACL

interface Ethernet 0
   ip address 172.16.1.4 255.255.255.0
   ip policy route-map sense
!
access-list 105 permit tcp 172.16.1.0 0.0.0.255 eq ftp any
access-list 105 permit tcp 172.16.1.0 0.0.0.255 eq ftp-data any
access-list 106 permit tcp 172.16.1.0 0.0.0.255 eq telnet any
!
route-map sense permit 10
   match ip address 105
   set ip next-hop 172.16.2.1
!
route-map sense permit 20
   match ip address 106
   set ip next-hop 172.16.3.1

　　<3> Length of the Packets

interface Ethernet0
   ip address 172.16.1.4 255.255.255.0
   ip policy route-map sense
!
route-map sense permit 10
   match length 1000 1600
   set ip next-hop 172.16.2.1
!
route-map sense permit 20
   match length 0 400
   set ip next-hop 172.16.3.1

　　<4> Router's Packets

interface Ethernet0
   ip address 172.16.1.4 255.255.255.0
   ip policy route-map sense
!
ip local policy route-map sense
!
access-list 120 permit ip any 172.16.1.0 0.0.0.255
access-list 120 permit ospf any any
!
route-map sense permit 10
   match ip address 120
!
route-map sense permit 20
   match length 1000 1600
   set ip next-hop 172.16.2.1
!
route-map sense permit 30
   match length 0 400
   set ip next-hop 172.16.3.1

　　注：如果沒有第一個route-map條目，router本身的Packets及OSPF的Packets都會由于后兩個route-map語句被轉發(fā)到錯誤的地址。

　　Case Study： Policy Routing and Quality of Service Routing

　　Policy Routing結合ip包頭的Precedence和Type of Service（TOS）可以實現(xiàn)基于QOS的策略路由。

　　注：Precedence和TOS的配置既可使用Number字段，也可以使用Keyword.

set ip precedence
-------------------------------------
Bits     Number     Keyword
000        0        routine
001        1        priority
010        2        immediate
011        3        flash
100        4        flash-override
101        5        critical
110        6        internet
111        7        network
-------------------------------------
set ip tos
-------------------------------------
Bits     Number     Keyword
0000       0        normal
0001       1        min-monetary-cost
0010       2        max-reliability
0100       4        max-throughput
1000       8        min-delay
-------------------------------------
interface Serial0
   ip address 10.1.18.67 255.255.255.252
   ip policy route-map sense
!
interface Serial1
   ip address 10.34.16.83.255.255.255.252
   ip policy route-map sense
!
access-list 1 permit 172.16.0.0 0.0.255.255
access-list 110 permit tcp any eq www any
!
route-map sense permit 10
   match ip address 1 110
   set ip precedence critical
!
route-map sense permit 20
   set ip tos 10
   set ip precedence priority

　　Case Study： Route Tagging

　　用途：

　　用于雙向重分布時標識特定Domain的路由，以防路由被重分布回起源Domain.

　　使用方案：

　　通告路由條目的邊緣Router在重分布時給路由條目加上Tag標識，做為Transit Network的Domain，不需要使用和識別Tag，僅僅需要將它傳遞到它的外部網絡即可。

　　路由協(xié)議相關：

　　Support： RIPv2，EIGRP，IS-IS，OSPF，BGP

　　Not Support： RIPV1，IGRP

　　Packets Format：

　　RIPv2： 支持16-bit tags    表示為十進制：0 ~ 65535

　　EIGRP external route TLVs： 支持32-bit tags    表示為十進制：0 ~ 4294967295

　　OSPF type 5 LSAs： 支持32-bit tags    表示為十進制：0 ~ 4294967295

　　配置實例：

router ospf 1
   redistribute igrp 1 metric 10 subnets tag 1
   redistribute rip metric 10 subnets route-map sense
   network 10.100.200.1 0.0.0.0 area 0
!
router rip
   network 10.0.0.0
!
router igrp 1
   network 10.0.0.0
!
access-list 1 permit 10.1.2.3
access-list 2 permit 10.1.2.4
!
route-map sense permit 10
   match ip route-source 1
   set tag 2
!
route-map sense permit 20
   match ip route-source 2
   set tag 3

#p#

　　（二） Distribute-list

　　作用：

　　<1> 控制路由條目的分發(fā)，及路由的重分布。

　　<2> 建立一個"route firewall"

　　關于路由協(xié)議：

　　Distance Vector Routing Protocol： Route Filtering可以控制其通告/接收的路由條目，及重分布的路由條目。

　　Link-State Routing Protocol： Route Filtering只可以控制其在重分布時的路由條目。

　　注： LS Routing Protocol的一個基本的要求就是在一個area內所有Routers的Link State Database必須一致，所以如果Route Filtering能過濾掉LS Routing Protocol的LSA通告，就違背了LS Routing Protocol的規(guī)范。

　　Case Study： Filtering Specific Routes

router rip
   version 2
   network 192.168.75.0
   distribute-list 1 in Serial1
!
ip classless
access 1 permit 0.0.0.0

　　Case Study： Route Filtering and Redistribution

　　注：

　　distribute-list 命令用于Link-State Routing Protocol時：

　　與接口聯(lián)用：   只能使用in參數(shù)

　　與路由進程聯(lián)用： 只能使用out參數(shù)

　　兩種方案效果相同。與接口聯(lián)用的方案在抑制route feedback上效果比較好；與路由進程聯(lián)用的方案在抑制route feedback時，由于在過濾時，相應的路由條目已經進行了路由表，所以失效。

　　<1> 與接口聯(lián)用

router ospf 25
   redistribute rip metric 100
   network 172.16.1.254 0.0.0.0 area 25
   network 172.16.8.254 0.0.0.0 area 25
   network 172.16.50.254 0.0.0.0 area 25
   distribute-list 3 in Ethernet0/0
   distribute-list 3 in Ethernet0/1
   distribute-list 3 in Ethernet0/2
!
router rip
   redistribute ospf 25 metric 5
   passive-interface Ethernet0/0
   passive-interface Ethernet0/1
   passive-interface Ethernet0/2
   network 192.16.0.0
   distribute-list 1 in Ethernet0/3
   distribute-list 1 in Ethernet2/0
   distribute-ilst 1 in Ethernet2.1
!
ip classless
access-list 1 permit 172.16.128.0 0.0.127.255
access-iist 3 permit 172.16.0.0 0.0.127.255

　　<2> 與路由進程聯(lián)用：

router ospf 25
   redistribute rip metric 100
   network 172.16.1.254 0.0.0.0 area 25
   network 172.16.8.254 0.0.0.0 area 25
   network 172.16.50.254 0.0.0.0 area 25
   distribute-list 10 out rip
!
router rip
   redistribute ospf 25 metric 5
   passive-interface Ethernet0/3
   passive-interface Ethernet2/0
   passive-interface Ethernet2/1
   network 172.16.0.0
   distribute-list 20 out ospf 25
!
ip classless
access-list 10 permit 172.16.130.0
access-list 10 permit 172.16.145.0
access-list 10 permit 172.16.240.0
access-list 20 permit 172.16.23.0
access-list 20 permit 172.16.9.0
access-list 20 permit 172.16.75.0

　　（三） Prefix-list

　　功能：

　　過濾特定路由協(xié)議分發(fā)的Routes，主要用與BGP.

　　特性：

　　與ACL相比，具有相對較強的靈活性。在掩碼匹配上，也比較容易理解。

　　Case Study： Standard Syntax

　　ip prefix-list {list-name 　 list-number} [seq number] {deny network/length 　 permit network/length} [ge ge-length] [le le-length]

　　no ip prefix-list {list-name 　 list-number} [seq number] {deny network/length 　 permit network/length} [ge ge-length] [le le-length]

　　注：

　　<1> ip prefix-list使用最長匹配規(guī)則。

　　<2> 如果不指定seq number，則默認為5，且每增加一個條目自動增加5.

　　即如果你指定第一條目seq number為2，則下一個不指定seq number的條目的seq number自動變?yōu)?.

　　<3>自動增加seq number功能可以用命令：no ip prefix-list sequence-number取消。

　　<4> length < ge-length < le-length <= 32

　　<5> ip prefix-list不能與Route Maps的match ip next-hop語句聯(lián)用；只以與match ip address語句聯(lián)用。

　　Case Study： ip prefix-list description

　　Syntax：

ip prefix-list list-name description text
Case Study: Configuration Example
router bgp 3
   no synchronization
   neighbor 172.16.1.2 remote-as 3
   neighbor 172.16.20.1 remote-as 1
   neighbor 172.16.29.1 prefix-list 1 out
   no auto-summary
!
ip prefix-list 1 seq 5 deny 192.68.10.0/24
ip prefix-list 1 seq 10 permit 0.0.0.0/32

 

　?。ㄋ模?ip as-path access-list

　　功能：

　　根據BGP的AS-PATH屬性過濾BGP的分發(fā)路由條目。

　　Case Study： Syntax

　　ip as-path access-list acl-number permit 　 deny regexp

　　no ip as-path access-list acl-number

　　注：acl-number有效值為0 ~ 500.

　　Case Study： Configuration Guide

　　<1> 過濾所有的私有AS的Routes更新

　　ip as-path access-list 1 deny （_64[6-9][0-9][0-9]_　_65[0-9][0-9][0-9]_）

　　ip as-path access-list 1 permit .*

　　<2> 應用實例

router bgp 3
   no synchronization
   neighbor 172.16.1.2 remote-as 3
   neighbor 172.16.20.1 remote-as 1
   neighbro 172.16.20.1 filter-list 1 out
   no auto-summary
!
ip as-path access-lsit 1 permit ^$

　　（五） 以上過濾命令的執(zhí)行順序：

　　<1> inbound

　　route-map－>filter-list－>prefix-list，distribute-list

　　<2> outbound

　　prefix-list，distribute-list－>filter-list－> route-map

　　prefix-list，distribute-list用于鄰居在一個方向上每次只能用其中的一個

　　總結：

　　其實這些過濾命令都不是太難，關鍵是一個過濾的理念。

　　它們都是很靈活的東西，運用的好，它會有很大的作用；運用得不好，也有可能會有反作用的。

　　所以說，在配置這些過濾命令的時候，要仔細的斟酌。每一個過濾都要思考一下，當安放到現(xiàn)有的網絡會有什么樣的效用，這樣才不至于等到安放到路由器上以后才認識到過濾的漏洞，才不至于引發(fā)安全隱患

相關文章

最新評論