概览

读者将学习如何在 EdgeRouter 上配置基于源地址的策略路由（PBR）

目录

  1. 网络拓扑
  2. 策略路由

网络拓扑

返回顶部

网络拓扑如下图所示，EdgeRouter 上使用了以下接口：

  • eth0 (WAN1) - 203.0.113.1
  • eth2 (WAN2) - 192.0.2.1
  • eth1.10 (VLAN10) - 10.0.10.1/24
  • eth1.20 (VLAN20) - 10.0.20.1/24

在本案例中，来自 VLAN10 上主机的流量将转发到 ISP1，来自 VLAN20 的流量将转发给 ISP2。

image__1_.png

策略路由

返回顶部

鉴于本文的目的，假设路由和接口配置已经到位并且已经测试了连通性。EdgeOS 中策略路由（PBR）通过使用防火墙策略匹配流量并使用不同的路由表转发流量来工作。 将使用的路由表是：

  • table 11 VLAN10 中主机使用的路由表。
  • table 12 VLAN20 中主机使用的路由表。
  • main EdgeRouter 本身和其他不使用 PBR 的接口使用主路由表。
CLI： 访问命令行（CLI）。 您可以使用 GUI 中的 CLI 按钮或使用 PuTTY 等程序执行此操作。

1.进入配置模式

configure

2.确保两条默认路由已经添加到主路由表中

set protocols static route 0.0.0.0/0 next-hop 203.0.113.2
set protocols static route 0.0.0.0/0 next-hop 192.0.2.2
NOTE：这一步非常必要的，以确保主机在某个 ISP 线路故障时可以后退使用主路由表

3.为路由表 table 11 和 table 12 添加两条默认路由

set protocols static table 11 route 0.0.0.0/0 next-hop 203.0.113.2
set protocols static table 12 route 0.0.0.0/0 next-hop 192.0.2.2
可选：如果使用 PPPoE，VTI，VTUN 等接口，可以添加接口路由，而不是上面的 route 命令。 
set protocols static table <table-number> interface-route 0.0.0.0/0 next-hop-interface <interface-id>

4.从 PBR 中排除 VLAN 间流量（VLAN10 和 VLAN20 之间）。

set firewall group network-group vlans network 10.0.10.0/24
set firewall group network-group vlans network 10.0.20.0/24

set firewall modify PBR rule 10 description inter-vlan
set firewall modify PBR rule 10 destination group network-group vlans
set firewall modify PBR rule 10 modify table main
NOTE：必须执行此步骤才能允许 VLAN10 主机使用主路由表与 VLAN20 主机通信。

5.创建与 IP 地址范围匹配的防火墙 “modify”，并将流量分别匹配到各路由表

set firewall modify PBR rule 20 description vlan10
set firewall modify PBR rule 20 source address 10.0.10.0/24
set firewall modify PBR rule 20 modify table 11

set firewall modify PBR rule 30 description vlan20
set firewall modify PBR rule 30 source address 10.0.20.0/24
set firewall modify PBR rule 30 modify table 12

6.在 eth2 VLAN / VIF 接口上应用 inbound/in 方向的防火墙策略

set interfaces ethernet eth2 vif 10 firewall in modify PBR
set interfaces ethernet eth2 vif 20 firewall in modify PBR

7.提交更改并保存配置

commit ; save

使用以下命令验证路由表和防火墙的统计信息

show ip route
show ip route table 11
show ip route table 12
show firewall modify PBR_policy statistics