3.0.0 路由工具之路由策略router-policy、acl列表与ip-prefix前缀列表的区别、过滤列表filter-policy

前缀列表能够同时匹配IP地址前缀以及掩码长度，列表默认动作为拒绝。

前缀列表的创建方式：

（1）精确匹配某个网段的路由：

》匹配192.168.0.0/24的路由

（2）匹配某个网段的掩码范围

》匹配路由前缀为192.168，掩码为30~32之间的路由条目

（3）命令介绍

常规用法：

进阶用法：

解析命令：

ACL访问控制列表，即用于流量的匹配与控制，但也能够用于匹配路由条目。

而前缀列表主要用于路由的匹配，所以前缀列表在匹配路由上远胜于ACL。

前缀列表与ACL的区别：

1、ACL无法匹配路由掩码

2、ACL无法匹配精确的路由

如：存在两个路由192.168.1.0/24，192.168.1.0/16

如果用ACL只匹配192.168.1.0/16的话应该这么写：

[AR1]acl 2000 [AR1-acl-basic-2000]rule permit source 192.168.1.0 0.0.255.255

但会发现它仍会把192.168.1.0/24的路由匹配到。

因为ACL只能通过通配符匹配路由前缀，而不能匹配路由的掩码。

故两条掩码不同但前缀相同的路由能被ACL同时匹配到。

3、ACL可以对数据包进行过滤，而前缀列表只能匹配路由

作用：针对特定的路由条目去做属性的更改。

路由策略，即对路由相关属性进行修改。

而对于另一种技术：策略路由，即作用是直接控制路由。

如何应用路由策略？

1、首先匹配路由，应用ACL、IP-prefix等匹配技术匹配相关路由。

2、属性修改，如修改匹配出来的路由开销、tag标记等。

3、应用策略，创建好路由策略之后，可在需要进行路由修改的地方进行引用策略。

下面，就通过操作实例来进一步认识路由策略：

AR6与AR7建立OSPF邻接关系，AR6引入所有环回口网络。

AR6

AR7

检查OSPF建立情况

使用路由策略在AR6上对引入的路由进行过滤，过滤Lop0、Lop1的路由。

以下两种方式选择一种即可：

创建匹配列表

创建策略与应用策略

查看过滤结果，只剩下了Lop2、Lop3了。

创建匹配列表

创建策略与应用策略

查看过滤结果，只剩下了Lop2、Lop3了。

在于匹配路由的动作上，但前面的策略只是使用到简单的匹配操作，并没有进行修改路由的属性。

在此操作一个OSPF实例，通过路由策略对Lop0、Lop1的路由打上Tag标记。

基于上面操作过的拓扑环境操作，无过滤路由操作情况下进行。

在AR6上查看引入路由的LSA详细信息，查看LSA就需要在LSDB中观看：

常规的应用路由策略在引入路由时调用进行过滤路由，但是对于路由本身接收与发布的路由无法进行过滤。

为此Filter-policy过滤列表的出现，就解决了接收与发布路由时路由过滤的问题。

关于filter-policy有两个应用的方向，export与import：

export：应用于本身路由器，对传递出去的路由进行过滤。

import：应用于本身路由器，对接收到的路由进行过滤。

对于export与import所应用于路由协议的不同，其功能也会有所不同。

1、距离矢量路由协议RIP：

传递的是路由信息，如果某台设备通过filter-policy拒绝了传递而来的路由信息，那么该设备不会学习到并不会继续转发过滤掉的路由。

2、链路状态路由协议OSPF、ISIS：

由于传递的是链路状态信息（LSA），即使AR7部署filter-policy过滤了路由，也不会影响LSA的传递。

过滤路由后的LSA不会进行SPF计算，但可以继续传递给其它设备使用。

实验证明：

AR6、AR7、AR8建立OSPF，AR6将环回口引入网络中。

AR7上应用filter-policy方向为import，对接收到的路由进行过滤。

【此处就省略OSPF的与路由引入等相关操作，主要是对路由过滤命令进行记录】

在AR7上查看路由，成功过滤了lop1、lop2的路由。

再看LSDB，虽然过滤了路由但没有过滤LSA。

在AR8上观看路由，还能正常的学习到路由条目。

但去访问该路由却无法成功，因为中间的AR7并没有对应的路由条目。

在OSPF中应用filter-polic的import方向y过滤路由但不会过滤LSA。

那么filter-policy的export方向呢？

对于OSPF出方向只能在ASBR上操作，因为在OSPF中filter-policy的export方向只能过滤5类的LSA。

ASBR的出方向应用过滤列表，会直接将5类LSA进行过滤，不会传递出去。

实验证明filter-policy的export只能过滤5类：

省略的相关配置介绍：

1、AR6、AR7、AR8正常建立OSPF邻接关系

2、AR6上将lop0~lop3引入OSPF中，lop4正常进行network宣告

以下配置主要是AR6通过filter-policy进行过滤lop1、lop4的操作：

查看AR7的路由表与LSDB表，发现lop1不见了，但lop4还存在。

说明了filter-policy的export只能过滤5类LSA，不能过滤普通路由。

扩展操作，理论上说出方向只能在ASBR上操作，那我在AR7非ASBR上做呢？

在AR8上观看路由表与LSDB表，发现没有任何的变化（过滤失败）。

关于export方向，只能在ASBR设备上应用过滤5类的路由条目。

关于import方向，可以应用在任何路由器上过滤路由条目，但不能过滤LSA。