1、路由条目和流量的控制1、访问控制列表1）、匹配是一条一条的匹配，有和顺序，一旦匹配就跳出这个访问控制列表2）、粒度小的放在前面，粒度大的放后面3）、有隐含的一条deny any4）、删除一个细条目，就会删掉整个ACL5）、自身产生的流量不匹配ACL，只对穿越我路由器的流量进行ACL的匹配6）、ACL可以匹配出具体的地址空间范围，ACL是无法精确匹配掩码7）、对流量控制是控制报头信息（源地址，目的地址，源端口，目的端口，协议），不是具体的用户数据8）、标准放置在离目的近的位置，扩展的放置在离源近的位置2、如果要对流量进行控制，可以使用访问控制列表，如果要对路由信息进行控制要怎么做？单纯的应用访问
2、控制列表是无法对路由信息进行有效的控制，路由信息是控制流量，他的内容是包含在数据包当中1）、重分发2）、管理距离3）、使用分发列表4）、使用策略路由PBR3、重分发：在两个不 的路由协议 间 路由信息 ，使用路由重分发有可 会 路由 路 路由 对 重分发有一个 度量 的 ：进行重分发的 ， 的度量 1）、重分发进RIP 重分发的是 ， 度量 1 他协议 的 度量 0 （无大）要的metric2）、重分发进eigrp如果是 ， 度量 的数 currency1口的数 他协议 0 要的metric3）、重分发ospf 重分发 、 、rip、eigrp 只 “，要subnets 这fi会 fl，E2
3、， 度量 20 如果重分发是BGP， 度量 14）、单 重分发：单 单重分发和单 重分发是 的， 路由协议 间只有一条 ，不 路由 路”是在 路由的问5）、 重分发： 重分发 可 路由 路和 路由，在进行路由 的 要 的重分发法是，只在fl中一 路由器进行单的重分发，6）、 重分发redistribute eigrp 100 subnets metric-type 1（ eigrp重分发进ospf）redistribute ospf 1 metric 10000 100 255 1 1500 （ ospf重分发进eigrp： 可 MTU）7）、default-metric协议的 度量 路由的重
4、分发， 可以在redistribute中使用数 metric metric-value4、管理距离进行 1）、RIPdistance 130 这是 rip的 的管理距离 Router(config-router)#distance 80 12.12.12.2 0.0.0.0 1Router(config)#access-list 1 permit 1.1.1.0 0.0.0.255由12.12.12.2 我的 访问控制列表1匹配的条目的管理距离 802）、EIGRPdistance eigrp 80 160 这是 内 和 的 有的 管理距离进行 Router(config-router)#di
5、stance 80 12.12.12.2 0.0.0.0 1 对具体条目的由 对 的 Router(config)#access-list 1 permit 1.1.1.0 0.0.0.2553）、OSPF distance ospf inter-area 10 intra-area 40 external 470Router(config-router)#distance 80 12.12.12.2 0.0.0.0 1 这的12.12.12.2 我路由信息的路由器的route-idRouter(config)#access-list 1 permit 1.1.1.0 0.0.0.255 5、
6、 currency1口： 置 的currency1口不会发 路由 ，”是会 自 的fl1）、对 rip协议， currency1口不会发 ，”是可以currency12）、对 eigRP， currency1口不发hello，不 ，不发 不currency1 3）、对 ospf， currency1口不发hello，不 currency1 ，不发 6、分发列表进行路由信息的控制，分发列表是一个应用（ 用ACL这个 具）1）、rip：Router(config-router)#distribute-list 1 in f0/0 可以 用in， 可 用out，out 可以 协议2）、eigrp：一
7、的3）、ospf：如果 分发列表用在currency1口的out：Router(config-router)#distribute-list 1 out f0/0% Interface not allowed with OUT for OSPF 不 使用out在ospf的 一个当中要 ，如果做out会 数据 信息不一 如果是做in的分发列表，LSDB 据可以 ，”是在做SPF 的 用分发列表ACL是一个非常有效的 具，可以用 匹配出具体的路由条目，在分发列表中可以 过 用ACL 过滤ACL在 局模式下配置，分发列表在路由协议进程下配置，命令distribute-list可以根据以下素过滤 ：1
8、）、入站currency1口 2）、出站currency1口 3）、从另一 路由协议重分发Router(config-router)#distribute-list ?IP access list numberIP expanded access list numberWORD Access-list namegateway Filtering incoming updates based on gatewayprefix Filter prefixes in routing updatesroute-map Filter prefixes based on the route-map不足 ：
9、 访问控制列表 进行路由条目匹配的 无法 对精确掩码的匹配 够精确的匹配出具体的掩码的路由条目，可以使用前缀列表 路由信息控制中可以用的三 具：访问控制列表 前缀列表 route-map，义完 后，一要 用fi 功 7、前缀列表：他可以做到对掩码的精确匹配prefix-list 和我们的ACL 像：1）、一条条的匹配2）、有序列号，可以对细条目做删除 插入，不会 他的细条目3）、 的以5开头，每添一条，序列号自增，（5）4）、隐含一条deny any 的条目Router(config)#ip prefix-list sovand permit （deny）?A.B.C.D IP prefix
10、/, ge XXX le XXX匹配的结果：首先匹配的前缀 分必须完 一 匹配A“的地址：ip prefix-list sovand 0.0.0.0/1 le 32匹配B“的地址：ip prefix-list sovand 128.0.0.0/2 le 32匹配出any ：ip prefix-list sovand 0.0.0.0/0 le 32 le32表 说掩码在032位的 有的情况包含匹配 路由 ：ip prefix-list sovand 0.0.0.0/0 匹配出严格的掩码 0位的情况在分发列表中有 用到prefix-list8、route-map 路由映射表 Router(conf
11、ig)#route-map sovand ?Sequence to insert to/delete from existing route-map entry 的序列号 10 deny Route map denies set operations 拒绝permit Route map permits set operations 常情况下permit用的比较route-map在没有义序列号 ， 创 序列号 10的条目，序列号不会自增在末尾 是隐含一条deny any 删除 no route-map route-tag 删除整个的路由映射表Router(config)#route-map s
12、ovand permit 10Route Map configuration commands:match Match values from routing table match匹配是条件 没有义的情况 匹配任何情况set Set values in destination routing protocol 在符合条件的前下做什么的操作，没有义就是 操作Router(config-route-map)#match ip add 1 2 3 match可以 匹配个条件，这些条件 间是or的 match route-type external type-1 这两个match条目 间是and的
13、Router#sh route-map 义两个条目，是 进行匹配route-map sovand, permit, sequence 10Match clauses:ip address (access-lists): 12 Set clauses:Policy routing matches: 0 packets, 0 bytesroute-map sovand, permit, sequence 20Match clauses:ip address (access-lists): 23 Set clauses:Policy routing matches: 0 packets, 0 byt
14、esroute-map的作用1）、路由的重分发 Router(config-router)#redistribute connected route-map sovand再进行 重分发的 ，由 路由反馈会 路由 路的产生2）、分发列表中 用 早期版本的协议，比如rip是不支持的R4(config-router)#distribute-list prefix sovand3）、NAT语句 用route-map 出口出口NAT的情况下如何 过route-map ip nat inside source route-map sovand1 interface FastEthernet1/0 over
15、loadip nat inside source route-map sovand2 interface FastEthernet2/0 overloadroute-map sovand1 permit 10match ip address 1set ip next-hop 23.23.23.3!route-map sovand2 permit 10match ip address 1set ip next-hop 25.25.25.5access-list 1 permit 5.5.5.0 0.0.0.2554）、PBR 策略路由 policy based route有的策略路由的 用坐在c
16、urrency1口的in，进行 用的这个route-map是对穿越流量做匹配本地流量不匹配PBR：一是在入currency1口 用route-map ，对经过的流量进行策略用：currency1口下 ip policy route-map sovand 对本地发起的流量进行策略路由：ip local policy route-map sovand5）、BGP route-map当中做匹配的 可以进一的 用访问控制列表和prefix-list对数据进行转发的 的原则1、set ip next-hop 在有做策略路由的情况下，如果义next-hop 则 currency1匹配转发，不在查询路由表2
17、、查询路由表（不包含 路由）3、Router(config-route-map)#set ip default next-hop 这条的作用“似 路由 4、路由表中的 路由总结：1、 具 访问控制列表 前缀列表 route-map2、路由的控制 管理距离 可以 用aclcurrency1口重分发 可以 用route-map分发列表 可以 用acl 前缀列表 route-map偏移列表 可以 用acl3、数据流控制currency1口下 用访问控制列表currency1口下掉要route-map PBR4、 他技术 出口NAT 用route-map出口NAT配置流量的控制 是在近站currenc
18、y1口下作的， 以只 有一个map 用route-map flow permit 10 - 匹配C公司，currency1口 S0/0 ，正常情况match ip address 2match interface Serial0/0set ip next-hop 200.1.1.2exitroute-map flow permit 20 - 匹配AB公司，currency1口 S0/1 ，正常情况match ip address 1match interface Serial0/1set ip next-hop 202.1.1.2exitroute-map flow permit 30 - 匹
19、配AB公司，currency1口 S0/0 ，备份情况match ip address 1match interface Serial0/0set ip next-hop 200.1.1.2exitroute-map flow permit 40 - 匹配C公司，currency1口 S0/1 ，备份情况match ip address 2match interface Serial0/1set ip next-hop 202.1.1.2exitroute-map nat1 permit 10 - 匹配AB公司，currency1口 S0/1 ，正常情况match ip address 1ma
20、tch interface Serial0/1set ip next-hop 202.1.1.2route-map nat2 permit 20 - 匹配C公司，currency1口 S0/0 ，正常情况match ip address 2match interface Serial0/0set ip next-hop 200.1.1.2route-map nat3 permit 10 - 匹配AB公司，currency1口 S0/0 ，备份情况match ip address 1match interface Serial0/0set ip next-hop 200.1.1.2route-m
21、ap nat4 permit 10 - 匹配C公司，currency1口 S0/1 ，备份情况match ip address 2match interface Serial0/1set ip next-hop 202.1.1.2IP NAT条目的执行 是按顺序执行 先正常后备份ip nat inside source route-map nat1 interface Serial0/1 overload AB 正常 ip nat inside source route-map nat2 interface Serial0/0 overload C 正常ip nat inside source route-map nat3 interface Serial0/0 overload AB 备份ip nat inside source route-map nat4 interface Serial0/1 overload C 备份
