云栖建站,wordpress 编辑界面,中山建网站报价,电商网站开发过程到目前为止我们学习了路由与交换基础#xff0c;路由协议有静态、RIP、OSPF、IS-IS等#xff0c;但是根据实际组网需求#xff0c;往往需要实施一些路由策略对路由信息进行过滤、属性设置等操作#xff0c;通过对路由的控制#xff0c;可以影响数据流量转发。 因此我们开始… 到目前为止我们学习了路由与交换基础路由协议有静态、RIP、OSPF、IS-IS等但是根据实际组网需求往往需要实施一些路由策略对路由信息进行过滤、属性设置等操作通过对路由的控制可以影响数据流量转发。 因此我们开始学习一些针对路由进行过滤修改的工具以便更好地实现组网需求。 一、路由控制 背景 路由控制可以通过路由策略Route-Policy实现路由策略应用灵活而广泛有以下几种常见方式 控制路由的发布通过路由策略对发布的路由进行过滤只发布满足条件的路由。 控制路由的接收通过路由策略对接收的路由进行过滤只接收满足条件的路由。 控制路由的引入通过路由策略控制从其他路由协议引入的路由条目只有满足条件的路由才会被引入。 路由策略可以对路由的产生、发布和选择进行控制进而影响数据包的转发路径。 路由控制 简单说就是通过路由匹配工具匹配到对应的路由或者前缀然后通过路由策略工具过滤、修改路由的属性(tag、下一跳等等)。 二、路由匹配工具 路由匹配工具主要用于识别和“抓取”特定的路由信息可以根据预设的条件匹配路由从而对路由信息进行过滤或选择。 2.1 ACL访问控制列表 ACL我们前面其实已经学习过了那时候也大致讲了一些作用和使用场景ACL一般结合其它工具实现具体需求。 访问控制列表Access Control ListACL是一个匹配工具能够对报文及路由进行匹配和区分。 ACL由若干条permit或deny语句组成。每条语句就是该ACL的一条规则每条语句中的permit或deny就是与这条规则相对应的处理动作。 组成作用ACL编号不同的编号范围代表不同的ACL类别规则编号默认从小到大默认步长是5动作deny/permit执行允许或拒绝动作匹配项根据五元组等信息进行匹配 当进行IP地址匹配的时候后面会跟着32位掩码位这32位称为通配符。 通配符 (Wildcard) 通配符是一个32比特长度的数值用于指示IP地址中哪些比特位需要严格匹配哪些比特位无需匹配。通配符通常采用类似网络掩码的点分十进制形式表示但是含义却与网络掩码完全不同。 通配符也是点分十进制格式换算成二进制后“0”表示“匹配”“1”表示“不匹配”。通配符中的1或者0可以不连续。 两个特殊的通配符 当通配符全为0来匹配IP地址时表示精确匹配某个IP地址 当通配符全为1来匹配0.0.0.0地址时表示匹配了所有IP地址。 基于编号的ACL分类 分类编号范围规则定义描述基本ACL2000~2999仅使用报文的源IP地址、分片信息和生效时间段信息来定义规则。高级ACL3000~3999可使用IPv4报文的源IP地址、目的IP地址、IP协议类型、ICMP类型、TCP源/目的端口、UDP源/目的端口号、生效时间段等来定义规则。二层ACL4000~4999使用报文的以太网帧头信息来定义规则如根据源MAC地址、目的MAC地址、二层协议类型等。用户自定义ACL5000~5999使用报文头、偏移位置、字符串掩码和用户自定义字符串来定义规则。用户ACL6000~6999既可使用IPv4报文的源IP地址或源UCLUser Control List组也可使用目的IP地址或目的UCL组、IP协议类型、ICMP类型、TCP源端口/目的端口、UDP源端口/目的端口号等来定义规则。 最常用的是基本ACL和高级ACL基本ACL匹配全部流量高级ACL匹配源目信息。 ACL匹配机制 匹配机制 顺序匹配 一旦命中立即停止 默认最后有一条拒绝所有的匹配规则 ACL技术总是与其他技术结合在一起使用的因此所结合的技术不同“允许 (permit)”及“拒绝 (deny)”的实际作用也会不同。例如当ACL技术与路由过滤技术结合使用时permit就是“匹配该条路由条目”的意思deny就是“不匹配该条路由条目”的意思。 匹配示例 2.2 IP前缀列表IP-Prefix List ACL只能匹配路由的前缀无法匹配路由的网络掩码也就是只能匹配网络地址而不能对掩码位进行匹配因此有了另外一个工具。 IP前缀列表IP-Prefix List 是将路由条目的网络地址、掩码长度作为匹配条件的过滤器可在各路由协议发布和接收路由时使用。不同于ACLIP-Prefix List能够同时匹配IP地址前缀长度以及掩码长度增强了匹配的精确度。 IP前缀列表 组成部分 ip-prefix-name地址前缀列表名称 序号本匹配项在地址前缀列表中的序号匹配时根据序号从小到大进行顺序匹配 动作permit/deny地址前缀列表的匹配模式为允许/拒绝表示匹配/不匹配 IP网段与掩码匹配路由的网络地址以及限定网络地址的前多少位需严格匹配 掩码范围匹配路由前缀长度掩码长度的匹配范围 mask-lengthgreater-equal-valueless-equal-value32 IP-Prefix的匹配机制 匹配机制 匹配示例 按照节点顺序匹配 末尾默认拒绝所有 配置示例 # 多节点匹配相同前缀列表aa下面有10和20节点隐含末尾deny所有
ip ip-prefix aa index 10 deny 10.1.1.0 24
ip ip-prefix aa index 20 permit 10.1.1.1 32# 单节点匹配前缀列表bb,在10.1.1.0 24 中进行匹配掩码大于等于26小于32才匹配隐含末尾拒绝所有
ip ip-prefix bb index 10 permit 10.1.1.0 24 greater-equal 26 less-equal 32# 配置前缀列表
[Huawei] ip ip-prefix ip-prefix-name [ index index-number ] { permit | deny } ipv4-address mask-length [ match-network ] [ greater-equal greater-equal-value ] [ less-equal less-equal-value ]
# 配置项说明
ip-prefix-name指定地址前缀列表的名称。
index index-number指定本匹配项在地址前缀列表中的序号。
permit指定地址前缀列表的匹配模式为允许。
deny指定地址前缀列表的匹配模式为拒绝。
ipv4-address mask-length指定IP地址和指定掩码长度。
greater-equal greater-equal-value指定掩码长度匹配范围的下限。
less-equal less-equal-value指定掩码长度匹配范围的上限。匹配示例 前缀列表就是在一个网段范围内精确匹配,最低掩码多少位最大掩码多少位的方式进行匹配。 本文由 mdnice 多平台发布
