企业官网建设流程全解析

大家好，我是专注于网络技术分享的博主。在大型企业网络或数据中心运维中，你是否遇到过这样的问题：想让来自特定服务器的流量走高速专线，而普通办公流量走普通宽带；或者需要根据数据包的源地址、应用类型来灵活选择出口，而不仅仅是根据目的地址？传统的路由表查找（Destination-Based Routing）在这种场景下往往力不从心。本文将围绕路由策略（Route-Policy）和策略路由（Policy-Based Routing, PBR）这两个核心概念，结合OSPF和BGP这两种主流动态路由协议，为你构建一个从理论到实战的完整知识体系。

无论你是正在备考网络认证（如HCIP、CCNP）的学生，还是需要解决实际流量工程问题的网络工程师，通过本文，你将能清晰理解路由策略与策略路由的区别与联系，掌握其在OSPF和BGP中的典型应用配置，并能够独立完成一个模拟企业网双出口策略路由的实验设计。

1. 核心概念辨析：路由策略 vs. 策略路由

这是最容易混淆的一对概念。简单来说，它们的操作对象和生效位置有本质区别。

1.1 路由策略（Route-Policy）

路由策略的核心是“控制路由信息”。它作用于路由表生成之前，影响的是路由信息的发布、接收、引入和属性修改。你可以把它理解为一个“路由信息的过滤器”或“加工器”。

• 操作对象：路由信息（路由条目）。例如，OSPF的LSA、BGP的Update报文中的网络层可达性信息（NLRI）。
• 生效位置：路由协议层面。在路由信息被放入本地路由表（Routing Table）或发送给邻居之前生效。
• 主要作用：
  1. 过滤路由：拒绝接收或发布某些特定路由。
  2. 修改路由属性：修改路由的度量值（Cost）、优先级（Preference）、BGP路径属性（如AS_Path、Local_Pref、MED）等，从而影响路由选路。
  3. 控制路由引入：在不同路由协议间（如将OSPF路由引入BGP，或将直连路由引入OSPF）进行重分发时，对引入的路由进行过滤或属性设置。

一句话总结：路由策略决定了“哪些路由能进我的表，以及这些路由看起来怎么样（属性）”。

1.2 策略路由（Policy-Based Routing, PBR）

策略路由的核心是“控制数据包转发路径”。它作用于数据包转发时，基于比目的地址更丰富的条件（如源地址、协议、端口等）来为数据包指定转发路径，优先级高于普通的路由表查询。

• 操作对象：数据包（Packet）。
• 生效位置：数据转发层面。在路由器查完路由表准备转发时，优先被PBR策略匹配和处理。
• 主要作用：
  1. 基于源地址选路：让不同网段（如服务器区、办公区）的流量走不同的出口。
  2. 基于应用选路：让关键业务（如VoIP）流量走高质量链路，普通上网流量走经济链路。
  3. 设置下一跳或出接口：强制将匹配的流量发送到指定的下一跳地址或接口。
  4. 设置报文优先级：修改IP报文的DSCP或IP Precedence字段，用于QoS。

一句话总结：策略路由决定了“匹配特定条件的流量，应该走哪条路”，即使路由表里有去往目的地的“最佳”路径。

1.3 对比表格与典型场景

一个生动的比喻： 想象一个城市的交通系统。路由表就像基于目的地规划的主干道地图。路由策略就像是交通规划部门，他们决定哪些道路信息可以上地图（发布），或者给某些道路标上不同的限速和优先级（修改属性），从而影响所有司机（数据包）的默认选择。而策略路由就像是给特定车辆（如救护车、消防车）配备的交警引导，直接指挥它们“别管地图了，现在立刻走这条专用通道”，即使地图显示有其他更近的路。

2. 实验环境与工具准备

为了将理论付诸实践，我们使用华为的eNSP模拟器进行实验。它完美模拟了华为VRP系统的操作，是学习路由技术的利器。

• 实验拓扑：我们将构建一个模拟的小型企业网络，包含两个出口路由器（分别连接运营商A和B）、内部核心交换机、服务器和办公PC。OSPF作为内部网关协议（IGP）在内部运行，BGP与两个运营商建立EBGP连接。
• 设备与版本：
  • 路由器：AR2200系列（使用VRP Version 5.170）
  • 交换机：S5700系列
  • PC：使用自带主机
• 核心IP规划：
  • 内部网络：10.1.1.0/24(OSPF Area 0)
  • 服务器网段：10.1.2.0/24
  • 办公网段：10.1.3.0/24
  • 出口链路1 (ISP A):100.1.1.0/30
  • 出口链路2 (ISP B):200.1.1.0/30
  • Loopback地址：用于Router-ID和测试。

3. OSPF中的路由策略应用

OSPF作为链路状态协议，其路由策略主要体现在路由引入（重分发）、路由过滤和修改路由开销上。

3.1 使用Filter-Policy过滤路由

filter-policy用于过滤OSPF计算出的路由，使其不加入本地路由表，或者不通过LSA发布给邻居。

场景：在核心路由器上，我们不希望将办公网段10.1.3.0/24的路由通过OSPF学习到（可能因为该网段路由将通过其他方式管理）。

配置步骤：

1. 创建ACL或IP前缀列表，定义需要过滤的路由。
2. 在OSPF进程下使用filter-policy调用该工具。

# 在核心路由器上配置 acl number 2000 rule 5 deny source 10.1.3.0 0.0.0.255 rule 10 permit source any # 允许其他所有路由 ospf 1 router-id 1.1.1.1 filter-policy 2000 import # 过滤入方向路由，不加入路由表 # filter-policy 2000 export # 过滤出方向路由，不通过LSA发布（用于ASBR） area 0.0.0.0 network 10.1.1.0 0.0.0.255

验证：配置后，在该路由器上执行display ip routing-table protocol ospf，将看不到10.1.3.0/24的路由。

3.2 路由引入与度量值控制

当需要将直连、静态或其他协议（如BGP）的路由引入OSPF时，可以使用import-route命令，并结合route-policy来精细控制。

场景：将BGP学习到的默认路由0.0.0.0/0引入OSPF，并为其设置一个较高的OSPF开销（Type 2 External），同时过滤掉某些特定BGP路由不进行引入。

配置步骤：

1. 创建IP前缀列表，匹配默认路由。
2. 创建Route-Policy，关联前缀列表并设置开销。
3. 在OSPF进程下使用import-route bgp并调用Route-Policy。

# 创建前缀列表匹配默认路由 ip ip-prefix DEFAULT-ROUTE index 10 permit 0.0.0.0 0 # 创建Route-Policy route-policy BGP_TO_OSPF permit node 10 if-match ip-prefix DEFAULT-ROUTE apply cost 1000 # 设置引入后的开销为1000 apply tag 666 # 可选，设置路由标签 route-policy BGP_TO_OSPF deny node 20 # 未明确允许的BGP路由将被此节点拒绝，不引入OSPF # 在OSPF进程中引入BGP路由并应用策略 ospf 1 router-id 2.2.2.2 import-route bgp route-policy BGP_TO_OSPF area 0.0.0.0 network 10.1.1.0 0.0.0.255

4. BGP中的路由策略深度应用

BGP的路径矢量特性使其高度依赖属性进行选路，因此路由策略在BGP中扮演着至关重要的角色。BGP的Route-Policy通常基于IP前缀列表（ip ip-prefix）、AS路径过滤器（ip as-path-filter）或团体属性过滤器来匹配路由，然后使用apply子句修改BGP属性。

4.1 控制BGP路由的接收与发布

这是最基本也是最常用的功能，用于防止路由环路、减少路由表大小或实施路由策略。

场景：在AS 100的边界路由器上，只接收来自ISP A (AS 200) 的特定客户路由（例如172.16.0.0/16），并向其发布本地的10.1.0.0/16聚合路由。

# 1. 定义前缀列表 ip ip-prefix FROM-ISP-A permit 172.16.0.0 16 ip ip-prefix TO-ISP-A permit 10.1.0.0 16 # 2. 创建Route-Policy route-policy FROM_ISP_A permit node 10 if-match ip-prefix FROM-ISP-A route-policy FROM_ISP_A deny node 20 # 拒绝其他所有路由 route-policy TO_ISP_A permit node 10 if-match ip-prefix TO-ISP-A # 3. 在BGP对等体上应用策略 bgp 100 peer 100.1.1.2 as-number 200 # ISP A的地址和AS号 peer 100.1.1.2 route-policy FROM_ISP_A import # 入方向过滤 peer 100.1.1.2 route-policy TO_ISP_A export # 出方向过滤

4.2 使用Route-Policy修改BGP路径属性

通过修改BGP属性，可以非常精细地控制BGP的选路结果（遵循BGP选路规则）。

场景：在双出口场景中，我们希望优先通过ISP A (AS 200) 访问外部网络。可以通过修改从ISP A学来路由的Local_Preference属性实现。

# 创建匹配所有路由的前缀列表（或使用any） ip ip-prefix ALL permit 0.0.0.0 0 less-equal 32 # 创建Route-Policy，提高从ISP A来的路由的本地优先级 route-policy SET_LP_FOR_ISP_A permit node 10 if-match ip-prefix ALL apply local-preference 200 # 默认是100，值越大越优先 # 在BGP入方向应用策略 bgp 100 peer 100.1.1.2 as-number 200 peer 100.1.1.2 route-policy SET_LP_FOR_ISP_A import

验证：使用display bgp routing-table查看从100.1.1.2学来的路由，其Local_Pref值应变为200。在有多条等价路径时，Local_Pref高的路由将成为最优路由。

4.3 AS_Path过滤与MED设置

• AS_Path过滤：常用于拒绝包含特定AS号的路由，防止环路或拒绝某些不可信路径。

  ip as-path-filter 10 deny _200_ # 拒绝AS_Path中包含200的路由 ip as-path-filter 10 permit .* # 允许其他所有 route-policy DENY_AS200 permit node 10 if-match as-path-filter 10 # 注意：这里if-match的是deny的AS-Path，所以该节点实际是拒绝动作 # 更常见的做法是在route-policy的节点动作中做permit/deny

• MED设置：用于向邻居AS建议入站流量路径，值越小越优。

  route-policy SET_MED permit node 10 if-match ip-prefix SOME-NETWORK apply cost 50 # 设置MED值为50 # 在向EBGP邻居发布路由时应用此策略 peer x.x.x.x route-policy SET_MED export

5. 策略路由（PBR）完整实战

现在，我们来解决文章开头提出的问题：实现基于源地址的流量分流。我们使用流量策略（Traffic Policy）来实现PBR，这是华为设备上的标准配置方式。

5.1 实验拓扑与需求

• 拓扑：一台内网核心路由器，两个出口（G0/0/1接ISP A， G0/0/2接ISP B）。服务器网段(10.1.2.0/24)流量全部走ISP A（高速低延迟），办公网段(10.1.3.0/24)流量全部走ISP B（经济带宽）。
• 需求：在核心路由器上配置PBR，实现上述分流。

5.2 配置步骤详解

PBR配置通常分为三步：1. 定义流分类（匹配流量）；2. 定义流行为（执行动作）；3. 定义流策略并应用。

# 步骤1：配置ACL，匹配服务器和办公网段的源地址 acl number 3000 rule 5 permit ip source 10.1.2.0 0.0.0.255 destination any # 匹配服务器流量 acl number 3001 rule 5 permit ip source 10.1.3.0 0.0.0.255 destination any # 匹配办公流量 # 步骤2：配置流分类，关联ACL traffic classifier SERVER operator or # 创建名为SERVER的流分类 if-match acl 3000 traffic classifier OFFICE operator or # 创建名为OFFICE的流分类 if-match acl 3001 # 步骤3：配置流行为，指定下一跳或出接口 traffic behavior TO-ISP-A # 创建名为TO-ISP-A的流行为 redirect ip-nexthop 100.1.1.2 # 强制下一跳为ISP A的接口地址 # 或者使用 redirect interface GigabitEthernet0/0/1 traffic behavior TO-ISP-B # 创建名为TO-ISP-B的流行为 redirect ip-nexthop 200.1.1.2 # 强制下一跳为ISP B的接口地址 # 步骤4：配置流策略，将流分类和流行为绑定 traffic policy PBR-DEMO # 创建名为PBR-DEMO的流策略 classifier SERVER behavior TO-ISP-A # 服务器流量 -> ISP A classifier OFFICE behavior TO-ISP-B # 办公流量 -> ISP B # 步骤5：在入接口（连接内网的接口）上应用流策略 interface GigabitEthernet0/0/0 # 假设这是连接内网交换机的接口 ip address 10.1.1.1 255.255.255.0 traffic-policy PBR-DEMO inbound # 关键！在入方向应用策略

5.3 验证与排查

1. 查看策略配置：

   display traffic policy user-defined PBR-DEMO

2. 查看分类匹配情况（需要开启统计功能或在策略中配置statistic enable）：

   display traffic policy statistics interface GigabitEthernet 0/0/0 inbound

3. 实际测试：
   • 在服务器(10.1.2.10)上执行tracert到一个外网地址（如8.8.8.8），观察第一跳是否为100.1.1.2（ISP A）。
   • 在办公PC(10.1.3.20)上执行同样的tracert，观察第一跳是否为200.1.1.2（ISP B）。

6. 常见问题与排查思路

在实际配置中，可能会遇到各种问题。下面是一个常见问题的排查清单。

7. 最佳实践与工程建议

将路由策略和策略路由应用于生产网络时，遵循以下原则可以避免许多麻烦：

1. 规划先行，文档随后：

   • 在配置前，用表格或图表明确写出：谁（设备/接口）、匹配什么（流量/路由）、做什么动作（允许/拒绝/修改属性/重定向）、达到什么目的。
   • 及时更新网络拓扑图和配置文档。

2. 命名规范清晰：

   • 为ACL、前缀列表、Route-Policy、Traffic Policy使用具有描述性的名称，如ACL_FOR_SERVER_VLAN,PREFIX_FROM_ISP_A,RP_SET_LP_200,PBR_OFFICE_TO_ISP_B。
   • 添加注释（使用description或在配置旁用#说明）。

3. 采用“黑名单”与“白名单”结合，默认拒绝：

   • 在Route-Policy的末尾，显式添加一个deny node，拒绝所有未匹配项，避免意外放行。
   • 对于PBR，要清楚未被策略匹配的流量将如何转发（按路由表正常转发）。

4. 增量变更与回滚方案：

   • 每次只变更一个策略或一个节点，并进行充分测试。
   • 在设备上使用commit和rollback功能（如果支持），或在修改前使用display current-configuration保存配置快照。

5. PBR应用要点：

   • 慎用出接口重定向：redirect interface可能导致ARP问题，尤其是在以太网多路访问网络中。优先使用redirect ip-nexthop。
   • 注意性能影响：PBR需要逐包匹配ACL规则，在高速接口或大流量场景下可能对设备性能产生影响。尽量使用精确的匹配条件。
   • 与路由协议协同：确保PBR指定的下一跳地址在路由表中是可达的，否则会导致丢包。

6. BGP策略的层次性：

   • 遵循从具体到一般的顺序配置Route-Policy的节点。
   • 善用团体属性（Community）来标记路由，然后在其他设备上基于团体属性来应用策略，这比基于前缀列表更灵活、更易于维护。

7. 测试验证：

   • 配置完成后，使用ping、tracert从不同源到不同目的进行测试。
   • 使用display命令查看路由表、策略匹配计数、BGP属性等，确认配置效果。
   • 在非业务高峰期进行变更和测试。

路由策略与策略路由是网络工程师从“连通网络”迈向“优化和控制网络”的关键技能。理解其本质区别——一个控制“路由信息”，一个控制“数据包转发”——是正确应用它们的基础。通过本文对OSPF、BGP中路由策略的剖析，以及PBR的完整实验，你应该已经建立起从匹配工具（ACL、前缀列表）到策略定义（Route-Policy, Traffic Policy），再到应用生效的完整知识链条。

真正的掌握源于实践。建议你在eNSP中从本文的示例拓扑开始，亲手敲入每一行配置，观察每一个display命令的输出，并尝试设计更复杂的策略组合。当你能够游刃有余地运用这些工具，为网络流量绘制精细的“交通蓝图”时，你便向资深网络工程师的目标迈进了一大步。如果在实验中遇到问题，欢迎在评论区交流探讨。