配置策略路由举例.doc

策略路由 建立配置任务 应用环境 要实现基于类的流量监管或策略路由，需要为定义的流分类配置流量监管或策略路由动作。 前置任务 在配置基于类的流量控制之前，需要完成基于类的匹配规则的配置。 数据准备 在配置基于类的流量控制之前，需要准备以下数据： 行为名 承诺信息速率、承诺突发尺寸、过度突发尺寸 策略路由目标的接口和IP地址 配置匹配规则 背景信息 无 操作步骤 执行命令system-view，进入系统视图。 执行命令traffic classifier classifier-name，定义类并进入类视图。 执行命令if-match acl acl-number，定义ACL匹配规则。 应用策略 背景信息 流量监管是在流量接收域的outbound及流量发送域的inbound方向生效；策略路由是在入接口的outbound方向生效。流量的入接口所属的安全区域为接收域，出接口所属的安全区域为发送域。 操作步骤 执行命令system-view，进入系统视图。 执行命令qos policy policy-name，定义策略并进入策略视图。 执行命令classifier classifier-name behavior behavior-name，指定类所采用的流行为。 执行命令quit，退回系统视图。 如果配置的流行为是流量监管则执行以下操作： 执行命令firewall zone zone-name，进入安全域视图。 执行命令qos apply policy policy-name { inbound | outbound }，配置关联策略。 如果配置的流行为是策略路由则执行以下操作： 执行命令interface interface-type interface-number，进入接口视图。 执行命令qos apply policy policy-name outbound，配置关联策略。 检查配置结果 检查流量监管和策略路由配置结果的相关操作如表1所示。 表1 检查流量监管和策略路由的配置结果 操作 命令 查看配置的流行为 display traffic behavior user-defined [ behavior-name ] 查看配置的分类 display traffic classifier user-defined [ classifier-name ] 查看配置的策略 display qos policy user-defined [ policy-name ] 配置策略路由举例 介绍匹配ACL规则的报文由指定出接口发送到下一跳地址的配置举例。 组网需求 如图1所示，接口GigabitEthernet 0/0/1位于Trust区域，接口GigabitEthernet 0/0/0、GigabitEthernet 0/0/2位于Untrust区域。局域网通过USG2200和Internet连接，定义一条名为mypolicy的策略路由，所有出Trust区域的TCP报文都由接口GigabitEthernet 0/0/0发送到下一跳地址202.1.1.10/24，而其他报文仍然按照查找路由表的方式转发。 图1 策略路由配置组网图  数据规划 策略路由配置举例数据规划如表1所示。 表1 策略路由配置举例数据规划 项目 数据 备注 接口IP地址 GigabitEthernet 0/0/0：202.1.1.1/24 GigabitEthernet 0/0/1：10.1.1.1/24 GigabitEthernet 0/0/2：1.1.1.1/24 无 安全区域 Trust： GigabitEthernet 0/0/1 Untrust： GigabitEthernet 0/0/0、GigabitEthernet 0/0/2 无 防火墙策略 policy 0：允许Trust区域源IP地址为10.1.1.0/24的用户访问Untrust区域。 无 ACL规则 编号：3001 规则：permit tcp 用于流分类的ACL规则 类 名称：class1 流分类规则匹配ACL3001 流行为 名称：behavior1 指定的下一跳地址：202.1.1.10 指定的出接口：GigabitEthernet 0/0/0 策略 名称：mypolicy 应用在安全区域的策略的名称 操作步骤 配置USG2200的基本数据。 # 配置接口的IP地址。 USG2200 system-view [USG2200] interface GigabitEthernet 0/0/0 [USG2200-GigabitEthernet0/0/0] ip address 202.1.1.1 255.255.255