EdgeRouter - 策略路由


概览


读者将学习如何在 EdgeRouter 上配置基于源地址的策略路由(PBR)

 


目录


  1. 网络拓扑
  2. 策略路由

 


网络拓扑


返回顶部

网络拓扑如下图所示,EdgeRouter 上使用了以下接口:

  • eth0 (WAN1) - 203.0.113.1
  • eth2 (WAN2) - 192.0.2.1
  • eth1.10 (VLAN10) - 10.0.10.1/24
  • eth1.20 (VLAN20) - 10.0.20.1/24

在本案例中,来自 VLAN10 上主机的流量将转发到 ISP1,来自 VLAN20 的流量将转发给ISP2。

 image__1_.png


策略路由


返回顶部

鉴于本文的目的,假设路由和接口配置已经到位并且已经测试了连通性。EdgeOS 中策略路由(PBR)通过使用防火墙策略匹配流量并使用不同的路由表转发流量来工作。 将使用的路由表是:

  • table 11  VLAN10 中主机使用的路由表。
  • table 12  VLAN20 中主机使用的路由表。
  • main  EdgeRouter 本身和其他不使用 PBR 的接口使用主路由表。
CLI: 访问命令行(CLI)。 您可以使用 GUI 中的 CLI 按钮或使用 PuTTY 等程序执行此操作。

1. 进入配置模式

configure

2. 确保两条默认路由已经添加到主路由表中

set protocols static route 0.0.0.0/0 next-hop 203.0.113.2
set protocols static route 0.0.0.0/0 next-hop 192.0.2.2
NOTE: 这一步非常必要的,以确保主机在某个 ISP 线路故障时可以后退使用主路由表

3. 为路由表 table 11 和 table 12 添加两条默认路由

set protocols static table 11 route 0.0.0.0/0 next-hop 203.0.113.2
set protocols static table 12 route 0.0.0.0/0 next-hop 192.0.2.2
可选:如果使用 PPPoE,VTI,VTUN 等接口,可以添加接口路由,而不是上面的 route 命令。
set protocols static interface-route 0.0.0.0/0 next-hop vtun1

4. 从 PBR 中排除 VLAN 间流量(VLAN10 和 VLAN20 之间)。

set firewall group network-group vlans network 10.0.10.0/24
set firewall group network-group vlans network 10.0.20.0/24

set firewall modify PBR_policy rule 10 description inter-vlan
set firewall modify PBR_policy rule 10 destination group network-group vlans
set firewall modify PBR_policy rule 10 modify table main
NOTE: 必须执行此步骤才能允许 VLAN10 主机使用主路由表与 VLAN20 主机通信。

5. 创建与 IP 地址范围匹配的防火墙 “PBR_policy”,并将流量分别匹配到各路由表

set firewall modify PBR_policy rule 20 description vlan10
set firewall modify PBR_policy rule 20 source address 10.0.10.0/24
set firewall modify PBR_policy rule 20 modify table 11

set firewall modify PBR_policy rule 30 description vlan20
set firewall modify PBR_policy rule 30 source address 10.0.20.0/24
set firewall modify PBR_policy rule 30 modify table 12

6. 在 eth1 VLAN / VIF 接口上应用 inbound 方向的防火墙策略

set interfaces ethernet eth1 vif 10 firewall in modify PBR_policy
set interfaces ethernet eth1 vif 20 firewall in modify PBR_policy

7. 提交更改并保存配置

commit ; save

使用以下命令验证路由表和防火墙的统计信息

show ip route
show ip route table 11
show ip route table 12
show firewall modify PBR_policy statistics