思科策略路由配置学习笔记

网络 路由交换
防火墙配置是为了完整性而加进去的,它不是策略路由配置所必需的。在这里的防火墙可以被其它类似的产品代替,如PIX或其它类似防火墙设备。

了解一些关于策略路由配置的知识还是非常重要的,这里我们主要介绍策略路由配置的详细步骤。您可以定义自己的规策略路由配置则来进行数据包的路由而不仅仅由目的地地址所决定。在这里您可以学到怎么使用基于策略路由配置的办法来解决这一问题。在具体的应用中,基于策略的路由有:

基于源IP地址的策略路由配置
基于数据包大小的策略路由配置
基于应用的策略路由配置
通过缺省路由平衡负载

这里,讲述了第一种情况的路由策略。举例,在这个例子中,防火墙的作用是:把10.0.0.0/8内部网地址翻译成可路由的172.16.255.0/24子网地址。下面的防火墙配置是为了完整性而加进去的,它不是策略路由配置所必需的。在这里的防火墙可以被其它类似的产品代替,如PIX或其它类似防火墙设备。这里的防火墙的配置如下:

  1. !   
  2. ip nat pool net-10 172.16.255.1 172.16.255.254 prefix-length 24   
  3. ip nat inside source list 1 pool net-10   
  4. !   
  5. interface Ethernet0   
  6. ip address 172.16.20.2 255.255.255.0   
  7. ip nat outside   
  8. !   
  9. interface Ethernet1   
  10. ip address 172.16.39.2 255.255.255.0   
  11. ip nat inside   
  12. !   
  13. router eigrp 1   
  14. redistribute static   
  15. network 172.16.0.0   
  16. default-metric 10000 100 255 1 1500   
  17. !   
  18. ip route 172.16.255.0 255.255.255.0 Null0   
  19. access-list 1 permit 10.0.0.0 0.255.255.255   
  20. !   
  21. end   
  22.  

 

在我们的例子中,Cisco WAN路由器上运行策略路由配置来保证从10.0.0.0/8网络来的IP数据包被发送到防火墙去。配置中定义了两条net-10策略规则。第一条策略就定义了从 10.0.0.0/8网络来的IP数据包被发送到防火墙去(我们很快会看到这里的配置有问题)。而第二条规则允许所有的其它数据包能按正常路由。这里的Cisco WAN路由器的配置下:

  1. !   
  2. interface Ethernet0/0   
  3. ip address 172.16.187.3 255.255.255.0   
  4. no ip directed-broadcast   
  5. !   
  6. interface Ethernet0/1   
  7. ip address 172.16.39.3 255.255.255.0   
  8. no ip directed-broadcast   
  9. !   
  10. interface Ethernet3/0   
  11. ip address 172.16.79.3 255.255.255.0   
  12. no ip directed-broadcast   
  13. ip policy route-map net-10   
  14. !   
  15. router eigrp 1   
  16. network 172.16.0.0   
  17. !   
  18. access-list 110 permit ip 10.0.0.0 0.255.255.255 172.16.36.0 0.0.0.255   
  19. access-list 111 permit ip 10.0.0.0 0.255.255.255 any   
  20. !   
  21. route-map net-10 permit 10   
  22. match ip address 111   
  23. set interface Ethernet0/1   
  24. !   
  25. route-map net-10 permit 20   
  26. !   
  27. end   
  28.  

 

我们可以这样测试我们所做的配置。在名为Cisco-1的路由器10.1.1.1上发送ping命令到Internet上的一个主机(这里就是192.1.1.1主机)。要查看名为Internet Router的路由器上的情况,我们在特权命令模式下执行debug ip packet 101 detail命令。(其中,在此路由器上有access-list 101 permit icmp any any配置命令)。下面是输出结果:Results of ping from Cisco-1 to 192.1.1.1/internet taken from Internet_Router:Pakcet never makes it to Internet_Router正如您所看到的:数据包没有到达Internet_Router路由器。

责任编辑:王晓东 来源: 计世网
相关推荐

2009-12-04 15:18:18

软路由防火墙

2009-12-11 11:07:33

静态路由策略

2009-11-19 13:34:40

思科路由器默认密码

2010-07-30 14:53:35

路由器设置

2010-07-30 15:23:34

路由器配置

2009-12-14 10:31:15

配置路由器

2009-12-23 14:14:23

路由器基础配置

2009-12-02 15:05:10

2010-08-03 12:44:05

2010-09-27 12:58:36

思科路由器DHCP配置

2011-08-05 10:21:27

配置锁思科路由器

2009-12-11 17:33:10

2009-12-01 14:24:51

查看路由器配置

2011-04-13 16:15:49

路由协议路由器路由

2010-08-20 12:06:43

配置锁功能

2009-12-18 16:59:22

配置路由器

2011-04-08 15:15:34

策略路由

2009-11-30 14:37:46

思科路由器配置

2010-08-17 09:31:14

思科配置

2010-07-30 13:49:22

点赞
收藏

51CTO技术栈公众号