OSPF通过路由策略过滤路由/策略路由选路实验

OSPF通过路由策略过滤路由/策略路由选路实验_第1张图片
实验拓扑如图,需求如下:
需求:
1.分部可以访问市场部,不允许访问其他部门
总部不可以访问研发部,允许访问其他部门
分别尝试用Filter policy和router policy 去实现。
2.通过策略路由,使得总部PC6通过AR2-AR3-AR4访问财务部,总部PC5通过AR2-AR1-AR4访问财务部。

涉及到的内容:路由策略、策略路由、OSPF、地址前缀列表、访问控制列表等

首先我们先配置好各个端口及主机的IP地址、OSPF邻居的建立以及直连路由的引入。
配置完成后查看R1&R2的路由表:
OSPF通过路由策略过滤路由/策略路由选路实验_第2张图片
OSPF通过路由策略过滤路由/策略路由选路实验_第3张图片

再从总部和分部去ping其他的部门,是均能ping通的:
OSPF通过路由策略过滤路由/策略路由选路实验_第4张图片

OSPF通过路由策略过滤路由/策略路由选路实验_第5张图片

需求1:

分部可以访问市场部,不允许访问其他部门
总部不可以访问研发部,允许访问其他部门
分别尝试用Filter policy和router policy 去实现。

第一种方法可以通过Filter policy,从R2端过滤掉从OSPF进程学习到的10.1.2.0/24网段路由
首先先创建ip prefix匹配感兴趣流:
[r2]ip ip-prefix ip2 index 10 deny 10.1.2.0 24
[r2]ip ip-prefix ip2 index 20 permit 0.0.0.0 0 less-equal 32
禁止10.1.2.0/24路由,允许其他路由的通过
随后在OSPF进程里进行调用:
[r2-ospf-1]filter-policy ip-prefix ip2 import
方向为import,在路由进入时进行过滤动作。这时候再去查看路由表:
OSPF通过路由策略过滤路由/策略路由选路实验_第6张图片
可以看出10.1.2.0/24网段的路由已经被过滤掉了,此时总部和研发部间已经无法进行通信了:
OSPF通过路由策略过滤路由/策略路由选路实验_第7张图片
另外也可以使用router policy,由于总部和分部都是不可以访问研发部的,所以可以在R4的OSPF进程引入直连路由时进行过滤。
先把R2配置的filter policy undo掉,再进行相应的配置:
[r2-ospf-1]undo filter-policy ip-prefix ip2 import

[r4]ip ip-prefix rp2 index 10 permit 10.1.2.0 24 用ip prefix 匹配路由10.1.2.0/24
[r4]route-policy rp2 deny node 10
[r4-route-policy] if-match ip-prefix ip2 创建route-policy并引用ip prefix rp2的匹配
[r4]route-policy rp2 permit node 20 开放其他流量
[r4]ospf 1
[r4-ospf-1]import-route direct route-policy rp2
在ospf 1视图中引用route-policy

此时再在R2上进行观察:
OSPF通过路由策略过滤路由/策略路由选路实验_第8张图片
10.1.2.0/24网段的路由依然被过滤掉了,总部和分部均不能访问研发部的需求完成。
如果要让分部不能访问财务部的话,如果使用流量过滤的方法,在R1上过滤掉路由,那么也会影响到路由传递到R2,所以需要采用策略路由,从转发平面影响分部与财务部的通信:

[r1-acl-adv-3000]rule deny ip source 10.1.4.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
[r1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000
先配置acl ,禁止源地址为10.1.4.0网段,目的地址为10.1.1.0网段的数据流发送
并从R1的0号端口的进方向引用

此时再去用PC4 ping财务部的PC1,此时已经无法ping通了,需求1完成:
OSPF通过路由策略过滤路由/策略路由选路实验_第9张图片


需求2:通过策略路由,使得总部PC6通过AR2-AR1-AR4访问财务部,总部PC5通过AR2-AR3-AR4访问财务部。

分别先查看PC5、PC6访问财务部的路径:
PC5:
OSPF通过路由策略过滤路由/策略路由选路实验_第10张图片
PC6:

OSPF通过路由策略过滤路由/策略路由选路实验_第11张图片
可以看到PC6去往财务部的路径为R2-R3-R4
PC5去往财务部的路径为R2-R1-R4
通过策略路由来影响选路的话,需要用到工具traffic-policy,在PC5和PC6的网关R2处配置
首先创建acl 3000 3001分别匹配源地址10.1.5.15、10.1.5.16,目的地位为10.1.1.11的数据流
[r2]acl 3000
[r2-acl-adv-3000]rule permit ip source 10.1.5.15 0.0.0.0 destination 10.1.1.11 0.0.0.0
[r2-acl-adv-3000]q
[r2]acl 3001
[r2-acl-adv-3001]rule permit ip source 10.1.5.16 0.0.0.0 destination 10.1.1.11 0.0.0.0
[r2-acl-adv-3001]q
然后使用traffic classfier分别引用acl 3000 3001,traffic behavior指定匹配数据流的动作,重指定两者转发的下一跳
[r2]traffic classifier 234
[r2-classifier-234]if-match acl 3000
[r2-classifier-234]q
[r2]traffic behavior 234
[r2-behavior-234]redirect ip-nexthop 10.1.23.3
[r2-behavior-234]q
[r2]traffic classifier 214
[r2-classifier-214]if-match acl 3001
[r2-classifier-214]q
[r2]traffic behavior 214
[r2-behavior-214]redirect ip-nexthop 10.1.12.1
[r2-behavior-214]q
最后创建traffic policy结合traffic classiffier、traffic behavior,这样就完成了策略工具的配置,最后在R2的g0/0/0接口进行调用,方向为进方向:
[r2]traffic policy cwb
[r2-trafficpolicy-cwb] classifier 234 behavior 234
[r2-trafficpolicy-cwb] classifier 214 behavior 214
[r2]int g 0/0/0
[r2-GigabitEthernet0/0/0]traffic-policy cwb inbound
此时再查看两台PC访问财务部的路径:
OSPF通过路由策略过滤路由/策略路由选路实验_第12张图片
OSPF通过路由策略过滤路由/策略路由选路实验_第13张图片
此时PC5访问财务部的路径为AR2-AR3-AR4,PC6访问财务部的路径为AR2-AR1-AR4,本次小实验结束~

你可能感兴趣的:(路由控制,ospf,网络)