Тип документации]: Маршрутизация на основе политик — Cisco

Сведения о маршрутизации на основе политик Содержание Общие сведения Предварительные условия Требования Используемые компоненты Условные обозначения Конфигурации Схема сети Конфигурация брандмауэра Дополнительные сведения Общие сведения Маршрутизация на основе политик является инструментом для переадресации и маршрутизации пакетов данных, в котором используются политики, определяемые сетевым администратором. В реальности это позволяет обладать политикой принятия решений переопределения протокола маршрутизации. Маршрутизация на основе политик включает в себя механизм для выборочного применения политик, основанных на списке контроля доступа, размере пакета или других критериях.

Выполняемыми действиями могут являться — маршрутизация пакетов по маршрутам, определяемым пользователем, установка приоритетов, установка битов типа обслуживания и т.д. В данном документе брандмауэр используется для преобразования частных адресов 10.0.0.0/8 в адреса, маршрутизируемые в Интернет и принадлежащие к подсети 172.16.255.0/24. Для получения наглядного представления см. нижеприведенную схему. Дополнительные сведения см. в документе Маршрутизация на основе политик. Предварительные условия Требования Для данного документа нет особых требований.

Используемые компоненты Сведения, содержащиеся в данном документе, не ограничены определенными версиями программного или аппаратного обеспечения. Сведения, содержащиеся в данном документе, приведены для следующих версий программного и аппаратного обеспечения: Операционная система Cisco IOS ® Release 12.3(3); Маршрутизаторы серии Cisco 2500. Сведения, представленные в данном документе, были получены на тестовом оборудовании в специально созданных лабораторных условиях. При написании данного документа использовались только данные, полученные от устройств с конфигурацией по

Стр. 1

умолчанию. При работе с реально функционирующей сетью необходимо полностью осознавать возможные результаты использования всех команд. Условные обозначения Дополнительные сведения об условных обозначениях см. в разделе "Технические рекомендации Cisco. Условные обозначения". Конфигурации В этом примере с помощью нормальной маршрутизации все пакеты, направляемые из сети 10.0.0.0/8 в Интернет, будут проходить через интерфейс Ethernet 0/0 маршрутизатора Cisco WAN (через подсеть 172.16.187.0/24), так как это наилучший путь с наименьшей метрикой.

С помощью маршрутизации на основе политик эти пакеты направляются через брандмауэр в Интернет, при этом нормальная маршрутизация должна быть переопределена путем настройки маршрутизации на основе политик. Брандмауэр транслирует все пакеты, передаваемые из сети 10.0.0.0/8 в Интернет, что, однако, не требуется для работы маршрутизации на основе политик. Схема сети Конфигурация брандмауэра Нижеприведенная конфигурация брандмауэра приводится для полноты картины. Однако это не является частью проблемы маршрутизации на основе политик, рассматриваемой в данном документе. Брандмауэр в этом примере может быть легко заменен PIX или другим межсетевым устройством. !

ip nat pool net-10 172.16.255.1 172.16.255.254 prefix-length 24 ip nat inside source list 1 pool net-10 ! interface Ethernet0 ip address 172.16.20.2 255.255.255.0 ip nat outside ! interface Ethernet1 ip address 172.16.39.2 255.255.255.0

Стр. 2

ip nat inside ! router eigrp 1 redistribute static network 172.16.0.0 default-metric 10000 100 255 1 1500 ! ip route 172.16.255.0 255.255.255.0 Null0 access-list 1 permit 10.0.0.0 0.255.255.255 ! end Сведения о командах, родственных ip nat , см. в документе IP-адресация и служебные команды. В данном примере маршрутизаторы Cisco для WAN используют маршрутизацию на основе политик для обеспечения гарантии того, что IP-пакеты, исходящие из сети 10.0.0.0/8, будут проходить через брандмауэр. Нижеприведенная конфигурация содержит выражение списка контроля доступа, которое отправляет на брандмауэр пакеты, исходящие из сети 10.0.0.0/8. Конфигурация для Cisco_WAN_Router !

interface Ethernet0/0 ip address 172.16.187.3 255.255.255.0 no ip directed-broadcast ! interface Ethernet0/1 ip address 172.16.39.3 255.255.255.0 no ip directed-broadcast ! interface Ethernet3/0 ip address 172.16.79.3 255.255.255.0 no ip directed-broadcast ip policy route-map net-10 ! router eigrp 1 network 172.16.0.0 ! access-list 111 permit ip 10.0.0.0 0.255.255.255 any ! route-map net-10 permit 10 match ip address 111 set interface Ethernet0/1 ! route-map net-10 permit 20 ! end Дополнительные сведения о командах, родственных route-map , см. в документации по команде route-map . Конфигурация маршрутизатора Cisco-1 ! version 12.3 !

interface Ethernet0 !-- Интерфейс подключается к сети 10.0.0.0 ip address 10.1.1.1 255.0.0.0 ! interface Ethernet1 !-- Интерфейс подключается к Cisco_Wan_Router

Стр. 3

ip address 172.16.79.4 255.255.255.0 ! router eigrp 1 network 10.0.0.0 network 172.16.0.0 no auto-summary ! !--- Выходные данные отключены Конфигурация для Internet_Router ! version 12.3 ! interface Ethernet1 !-- Интерфейс подключается к брандмауэру ip address 172.16.20.1 255.255.255.0 interface Serial0 !--- Интерфейс подключается к Интернету ip address 192.1.1.2 255.255.255.0 clockrate 64000 no fair-queue ! interface Ethernet0 !--- Интерфейс подключается к Cisco_Wan_Router ip address 172.16.187.1 255.255.255.0 ! !

router eigrp 1 redistribute static !--- Перераспределение статического маршрута по умолчанию на другие !--- маршрутизаторы для выхода в Интернет network 172.16.0.0 no auto-summary ! ip classless ip route 0.0.0.0 0.0.0.0 192.1.1.1 !-- Статический маршрут по умолчанию, ведущий к !-- маршрутизатору, подключенному к Интернету !--- Выходные данные отключены При проверке этого примера, тестовый запрос от адреса 10.1.1.1 маршрутизатора Cisco-1, формируемый с помощью команды extended ping , был послан на узел Интернета. В этом примере в качестве адреса места назначения использовался адрес 192.1.1.1.

Чтобы увидеть, что происходит в Интернет-маршрутизаторе, во время использования команды debug ip packet 101 detail была отключена быстрая коммутация. Внимание. Использование команды debug ip packet detail на производственном маршрутизаторе может привести к высокой загрузке центрального процессора и, как следствие, к серьезному снижению производительности или к выходу сети из строя. Перед использованием команд отладки рекомендуется внимательно прочитать раздел Использование команд отладки документа Общие сведения о командах ping и traceroute.

Стр. 4