路 由 過(guò) 濾 的 仿 真 設(shè) 計(jì)

郝 賢 云

(江西應(yīng)用工程職業(yè)學(xué)院 計(jì)算機(jī)與信息工程系，江西 萍鄉(xiāng) 337042)

0 引 言

現(xiàn)實(shí)中的網(wǎng)絡(luò)是由多個(gè)路由域所構(gòu)成的，每個(gè)路由域中的路由器則有可能同時(shí)運(yùn)行著多種動(dòng)態(tài)路由協(xié)議。常見(jiàn)的動(dòng)態(tài)路由協(xié)議按照協(xié)議特征可劃分為距離矢量路由協(xié)議例如:路由信息協(xié)議(Routing Infomation Protocol,RIP)、鏈路狀態(tài)路由協(xié)議例如:開(kāi)放最短路徑優(yōu)先(Open Shortest Path First,OSP)、混合型路由協(xié)議例如:增強(qiáng)內(nèi)部網(wǎng)關(guān)路由協(xié)議(Enhanced Interior Gatewar Routing Protocol,EIGRP)[1-3]。眾所周知，路由器無(wú)論運(yùn)行哪種動(dòng)態(tài)路由協(xié)議，都會(huì)產(chǎn)生路由更新，只是觸發(fā)路由更新的方式不同而已。通常RIP路由協(xié)議是定期進(jìn)行路由更新(RIP路由器每隔30 s就會(huì)向與自己相鄰的路由器發(fā)送整張路由表)，而EIGRP和OSPF協(xié)議只有在網(wǎng)絡(luò)結(jié)構(gòu)發(fā)生改變時(shí)，才進(jìn)行路由更新。顯而易見(jiàn)：一方面，網(wǎng)絡(luò)中這些動(dòng)態(tài)路由協(xié)議的路由更新不僅會(huì)擠占用戶數(shù)據(jù)的網(wǎng)絡(luò)帶寬，而且還會(huì)降低路由器的工作性能；另一方面，有的時(shí)候?yàn)榱吮苊饴酚森h(huán)路或次優(yōu)路由的存在，相關(guān)路由器不能對(duì)所有路由條目進(jìn)行通告，只能對(duì)特定的幾條路由條目進(jìn)行通告(例如在多點(diǎn)雙向重分布時(shí)，如果自治系統(tǒng)邊界路由器對(duì)所有路由都進(jìn)行通告，極易造成路由環(huán)路的產(chǎn)生)。因此，為了保證網(wǎng)絡(luò)能夠安全穩(wěn)定的運(yùn)行，網(wǎng)絡(luò)技術(shù)人員有必要對(duì)網(wǎng)絡(luò)中的路由更新進(jìn)行合理的規(guī)劃控制。

1 相關(guān)技術(shù)

1.1 路由映射表

路由映射表[4]與常見(jiàn)的訪問(wèn)控制列表相比較為復(fù)雜，它由一條或多條可編輯route-map語(yǔ)句所構(gòu)成，并且每條route-map語(yǔ)句均存在序列號(hào)(如果不為其設(shè)置序列號(hào)，路由器將會(huì)認(rèn)為操作者準(zhǔn)備編輯第1條語(yǔ)句或者準(zhǔn)備寫(xiě)入一條序列號(hào)為10的語(yǔ)句)。這些語(yǔ)句的執(zhí)行順序與訪問(wèn)控制列表極為相似，也是按照從上至下的順序進(jìn)行，并執(zhí)行與路由匹配的第1條語(yǔ)句。其可實(shí)現(xiàn)的功能主要有以下幾點(diǎn)：① 可用于在兩個(gè)不同路由域之間重分布時(shí)過(guò)濾路由，并設(shè)置路由度量值。② 可用于實(shí)現(xiàn)策略路由。策略路由的出現(xiàn)可使專業(yè)技術(shù)人員更加靈活的定義相關(guān)路由策略，它可以定義基于源地址、目的地址、報(bào)文長(zhǎng)度、協(xié)議類型以及端口號(hào)的路由，且路由優(yōu)先級(jí)為最高。③ 可用于網(wǎng)絡(luò)地址轉(zhuǎn)換(Network Address Translation, NAT)。在進(jìn)行NAT地址轉(zhuǎn)換時(shí)，應(yīng)用路由映射表可以使專業(yè)技術(shù)人員有選擇性的將私有IP地址轉(zhuǎn)換為公有IP地址。④ 可用于實(shí)現(xiàn)邊界網(wǎng)關(guān)協(xié)議(Border Gateway Protocol, BGP)策略。將路由映射表應(yīng)用在BGP中，既可以對(duì)進(jìn)入或離開(kāi)BGP的路由進(jìn)行控制，又可以對(duì)BGP的路徑屬性進(jìn)行控制。

1.2 分發(fā)列表

專業(yè)技術(shù)人員使用分發(fā)列表[5-6]同樣可以實(shí)現(xiàn)對(duì)路由更新的控制，相對(duì)于路由映射表，分發(fā)列表的配置過(guò)程并不復(fù)雜(主要依靠訪問(wèn)控制列表來(lái)實(shí)現(xiàn))，只是在配置的時(shí)候需要在相關(guān)路由進(jìn)程下進(jìn)行。通常情況下，它不僅可以部署在路由器的出接口和入接口而且還可以部署在路由重分布的過(guò)程中。配置分發(fā)列表的主要步驟如下：① 創(chuàng)建一個(gè)基于需要過(guò)濾的路由的訪問(wèn)控制列表。② 需要確定是從路由器的入站接口或出站接口過(guò)濾路由還是過(guò)濾重分布而來(lái)的路由。③ 使用Distribute-list命令配置分發(fā)列表。另外，在使用分發(fā)列表的過(guò)程中有以下兩點(diǎn)需要特別注意：首先，分發(fā)列表更適合部署在距離矢量路由協(xié)議中，它對(duì)出站或入站的路由都可以進(jìn)行正常過(guò)濾。如果將其部署在鏈路狀態(tài)路由協(xié)議如OSPF中，它只能過(guò)濾自治系統(tǒng)邊界路由器始發(fā)的外部1類或2類路由，而無(wú)法過(guò)濾區(qū)域內(nèi)路由和區(qū)域間路由(部署在OSPF進(jìn)程的IN方向只對(duì)本地路由表有效，部署在OSPF進(jìn)程的OUT方向則不起任何作用)。這是由于分發(fā)列表無(wú)法過(guò)濾鏈路狀態(tài)信息(Link-State Advertisement, LSA)，只能過(guò)濾路由信息。通常OSPF路由器是通過(guò)傳播LSA來(lái)構(gòu)建鏈路狀態(tài)數(shù)據(jù)庫(kù)(Link-State Data Base,LSDB)(相同區(qū)域內(nèi)OSPF路由器的LSDB必定是一致的)，并在此基礎(chǔ)上通過(guò)SPF算法來(lái)計(jì)算出最優(yōu)路由的。其次，分發(fā)列表并不適合在冗余網(wǎng)絡(luò)環(huán)境中部署使用，這是因?yàn)榉职l(fā)列表很可能將備用路徑的路由更新也過(guò)濾掉。

1.3 前綴列表

前綴列表和分發(fā)列表以及路由映射表一樣，也可用于控制路由更新。通常前綴列表具有以下優(yōu)點(diǎn)：① 前綴列表支持對(duì)其包含的條目進(jìn)行增量修改。在前綴列表中，專業(yè)技術(shù)人員對(duì)其包含的條目可單獨(dú)的進(jìn)行增加或刪除，而不必刪除整個(gè)列表(每個(gè)條目均自動(dòng)生成自己的序列號(hào)，并根據(jù)序列號(hào)進(jìn)行排序)。② 前綴列表在路由查找以及列表加載方面有著更明顯的優(yōu)勢(shì)。③ 前綴列表的配置過(guò)程簡(jiǎn)單且配置界面也更為友好。④ 前綴列表可使專業(yè)技術(shù)人員對(duì)路由更新的控制更為靈活。現(xiàn)實(shí)中在使用前綴列表時(shí)，路由器會(huì)從前綴列表的第1條語(yǔ)句開(kāi)始查看是否與路由前綴相匹配。如匹配，則前綴列表的其他語(yǔ)句將不再被路由器查看；如路由前綴與前綴列表中的語(yǔ)句沒(méi)有一條是相匹配的，那么這條路由將被路由器所拒絕；如路由前綴與多條前綴列表中的語(yǔ)句相匹配，那么路由器則認(rèn)為路由前綴只與前綴列表中序列號(hào)最小的條目相匹配。需要特別注意的是：當(dāng)前綴列表為空時(shí)，將允許所有路由前綴通過(guò)。

2 仿真實(shí)驗(yàn)

2.1 使用路由映射表過(guò)濾路由

2.1.1 在單點(diǎn)雙向路由重分布中過(guò)濾路由[7-9]

網(wǎng)絡(luò)中的3臺(tái)路由器組成了兩個(gè)不同的路由域，路由器R1、R2組成RIP路由域，路由器R2、R3組成OSPF路由域。為了滿足業(yè)務(wù)正常運(yùn)行的需要，計(jì)劃在兩個(gè)路由域之間做路由重分布，這樣以來(lái)不僅RIP路由域中的路由可以在OSPF路由域中傳播，而且OSPF路由域中的路由也可以在RIP路由域中傳播。RIP路由域包括192.168.8.0/24、192.168.9.0/24、192.168.10.0/24 3個(gè)網(wǎng)段，其中需要將192.168.8.0/24與192.168.10.0/24兩個(gè)網(wǎng)段重分布到OSPF路由域中。OSPF路由域包括172.20.0.0/24、172.20.1.0/24、172.20.2.0/24 3個(gè)網(wǎng)段，其中需要將172.20.0.0/24、172.20.2.0/24兩個(gè)網(wǎng)段重分布到RIP路由域中。網(wǎng)絡(luò)結(jié)構(gòu)如圖1所示。在這里給出在邊界路由器R2中,對(duì)路由進(jìn)行過(guò)濾的詳細(xì)配置過(guò)程。

圖1 在單點(diǎn)雙向路由重分布中過(guò)濾路由

(1) 路由器R2的相關(guān)配置

R2(config)#access-list 22 permit 192.168.9.0 0.0.0.255 //建立訪問(wèn)控制列表22

R2(config)#access-list 23 permit 172.20.1.0 0.0.0.255 //建立訪問(wèn)控制列表23

R2(config)#router rip //啟動(dòng)RIP進(jìn)程

R2(config-router)#ver 2

R2(config-router)#network 192.168.10.0

R2(config-router)#redist ospf 12 route-map ospf-rip metic 11 //將允許的OSPF路由重分布到RIP路由域中

R2(config)#route-map ospf-rip deny 10 //定義路由映射表ospf-rip

R2(config-route-map)#match ip address 23

R2(config)#route-map ospf-rip permit 20

R2(config)#router ospf 12 //啟動(dòng)OSPF進(jìn)程

R2(config-router)#network 172.20.2.0 0.0.0.255 area 0

R2(config-router)#redist rip route-map chenbo subnets //將允許的RIP路由重分布到OSPF路由域中

R2(config)#route-map chenbo deny 10 //定義路由映射表chenbo

R2(config-route-map)#match ip address 22

R2(config)#route-map chenbo permit 20

R2(config-route-map)#set metric 400

上述配置完成后，使用sh ip route命令分別查看路由器R1、R3的路由表，如圖2、3所示。從中可以清楚的看到：在路由器R1的路由表中存在兩條路由標(biāo)識(shí)符為“R”，且度量值為11的路由條目(以上路由條目既為重分布到RIP路由域中的OPSF路由條目172.20.0.0/24與172.20.2.0/24)；在路由器R3的路由表中存在兩條路由標(biāo)識(shí)符為“O E2”，且度量值為400的外部路由條目(以上路由條目既為重分布到OSPF路由域中的RIP路由條目192.168.8.0/24與192.168.10.0/24)。這足以充分說(shuō)明在路由器R2中進(jìn)行的路由過(guò)濾是成功的。

圖2 路由器R1的路由表

圖3 路由器R3的路由表

2.1.2 在多點(diǎn)雙向路由重分布中過(guò)濾路由[10-11]

網(wǎng)絡(luò)由4臺(tái)路由器R1～R4所組成，其中路由器R1～R3組成了一個(gè)RIP路由域，該路由域包括以下3個(gè)網(wǎng)段192.168.4.0/24、192.168.5.0/24和192.168.6.0/24。另外，路由器R2～R4組成了一個(gè)EIGRP路由域，該路由域包括以下3個(gè)網(wǎng)段192.168.16.0/24、192.168.17.0/24和192.168.18.0/24。網(wǎng)絡(luò)結(jié)構(gòu)如圖4所示。為了滿足業(yè)務(wù)需要，使全網(wǎng)能夠互聯(lián)互通，分別在兩個(gè)路由域的邊界路由器R2、R3中做路由重分布。但是這樣一來(lái)很容易出現(xiàn)路由反饋的情況。舉例來(lái)說(shuō)：當(dāng)一條RIP路由條目通過(guò)邊界路由器R2重分布到EIGRP路由域中后，該路由就會(huì)在EIGRP路由域中傳播，最終會(huì)傳播到邊界路由器R3。如果屆時(shí)在路由器R3中做路由重分布，將EIGRP路由域中的路由(包括從RIP路由域中重分發(fā)而來(lái)的那條路由)重分布到RIP路由域中，這樣就造成了路由反饋。因此，有必要在邊界路由器R2、R3中進(jìn)行路由過(guò)濾，避免路由反饋的發(fā)生。篇幅有限，在這里只給出在邊界路由器R2中,使用路由映射表進(jìn)行路由過(guò)濾的詳細(xì)配置過(guò)程。

圖4 在多點(diǎn)雙向路由重分布中過(guò)濾路由

路由器R2的相關(guān)配置。

R2(config)#access-list 50 permit 192.168.4.0 0.0.3.255 //建立編號(hào)為50的訪問(wèn)控制列表

R2(config)#access-list 60 permit 192.168.16.0 0.0.3.255

R2(config)#router rip

R2(config-router)#ver 2 //設(shè)置為版本2

R2(config-router)#no auto-summary //禁止自動(dòng)匯總

R2(config-router)#passive-interface e1/2 //設(shè)置為被動(dòng)接口

R2(config-router)#network 192.168.4.0

R2(config-router)#network 192.168.5.0

R2(config-router)#network 192.168.6.0

R2(config-router)#redist eigrp 10 route-map eigrp-rip metic 10

R2(config)#route-map eigrp-rip deny 11 //定義路由映射表eigrp-rip

R2(config-route-map)#match ip address 50

R2(config)#route-map eigrp-rip permit 12

R2(config)#router eigrp 10 啟動(dòng)EIGRP進(jìn)程

R2(config-router)#no auto-summary

R2(config-router)#network 192.168.16.0

R2(config-router)#network 192.168.17.0

R2(config-router)#network 192.168.18.0

R2(config-router)#redist rip route-map eigrp-rip metic 1200 150 255 1 1400

R2(config)#route-map rip-eigrp deny 10 //定義路由映射表rip-eigrp

R2(config-route-map)#match ip address 60

R2(config)#route-map rip-eigrp permit 11

2.2 使用分發(fā)類表過(guò)濾路由[12-13]

2.2.1 在距離矢量路由協(xié)議RIP中部署

網(wǎng)絡(luò)由3臺(tái)路由器R1～R3所構(gòu)成，它們之間均運(yùn)行RIP路由協(xié)議。為了滿足業(yè)務(wù)的需求，只允許路由器R2學(xué)習(xí)到路由器R1中的全部路由條目，禁止路由器R3學(xué)習(xí)到路由器R1中的路由192.168.16.0/24與192.168.17.0/24。網(wǎng)絡(luò)結(jié)構(gòu)如圖5所示。篇幅有限，在這里只給出路由器R2詳細(xì)配置過(guò)程。

圖5 使用分發(fā)列表在RIP網(wǎng)絡(luò)中過(guò)濾路由

路由器R2的相關(guān)配置。

R2(config)#access-list 5 deny 192.168.16.0 0.0.0255 //建立編號(hào)為5的訪問(wèn)控制列表

R2(config)#access-list 5 deny 192.168.17.0 0.0.0.255

R2(config)#access-list 5 per any

R2(config)#router rip

R2(config-router)#ver 2 //設(shè)置為版本2

R2(config-router)#no auto-summary //禁止自動(dòng)匯總

R2(config-router)#network 192.168.16.0

R2(config-router)#network 192.168.17.0

R2(config-router)#distribute-list 5 out s2/1 //使用分發(fā)類表在出站接口過(guò)濾路由

上述配置完成后，我們使用sh ip route命令分別查看路由器R2、R3的路由表，如圖6、7所示。從中不難發(fā)現(xiàn)：在路由器R2的出站接口部署分發(fā)列表后，路由器R2仍舊可以學(xué)習(xí)到路由器R1的全部路由，而路由器R3無(wú)法學(xué)習(xí)到去往192.168.16.0、24與192.168.17.0/24這兩個(gè)網(wǎng)段的路由。這足以充分說(shuō)明分發(fā)列表已部署成功。有一點(diǎn)需要注意的是：如果將分發(fā)列表部署在路由器R3的入站接口處，同樣可以實(shí)現(xiàn)當(dāng)前的效果(相關(guān)配置命令與當(dāng)前配置命令相似,故不再闡述)。

圖6 路由器R2的路由表

圖7 路由器R3的路由表

2.2.2 在動(dòng)態(tài)路由協(xié)議OSPF中部署[14-16]

網(wǎng)絡(luò)由3臺(tái)路由器R1～R3所構(gòu)成，它們之間均運(yùn)行OSPF路由協(xié)議。為了滿足業(yè)務(wù)的需求，只允許路由器R3學(xué)習(xí)到路由器R1中的全部路由條目，禁止路由器R2學(xué)習(xí)到路由器R1中的路由192.168.4.1/24與192.168.5.1/24。網(wǎng)絡(luò)拓?fù)淙鐖D8所示。有限于篇幅，在這里只給出路由器R2詳細(xì)配置過(guò)程。

圖8 使用分發(fā)列表在OSPF網(wǎng)絡(luò)中過(guò)濾路由

路由器R2的相關(guān)配置。

R2(config)#access-list 8 deny 192.168.4.0 0.0.0.255 //建立編號(hào)為8的訪問(wèn)控制列表

R2(config)#access-list 8 deny 192.168.5.0 0.0.0.255

R2(config)#access-list 8 permit any

R2(config)#router ospf 33 啟動(dòng)OSPF進(jìn)程

R2(config-router)#router-id 33.33.33.33

R2(config-router)#network 192.168.18.0 0.0.0.255 area 0 //通告網(wǎng)絡(luò)

R2(config-router)#network 192.168.19.0 0.0.0.255 area 0

R2(config-router)# distribute-list 8 in s2/0 //使用分發(fā)類表在入站接口過(guò)濾路由

上述配置完成后，使用sh ip route命令分別查看路由器R2、R3的路由表，如圖9、10所示。從中不難發(fā)現(xiàn)：在路由器R2的人站接口部署分發(fā)列表后，在其路由表里只有去往192.168.18.0/24與192.168.19.0/24兩個(gè)網(wǎng)段的路由，成功過(guò)濾掉了去往192.168.4.1/24與192.168.5.1/24兩個(gè)地址的路由，但是這并不妨礙路由器R2將已過(guò)濾網(wǎng)段的相關(guān)LSA繼續(xù)傳遞給路由器R3。因此，在路由器R3的路由表中可以看到去往全網(wǎng)的路由。另外，需要注意的一點(diǎn)是：在OSPF網(wǎng)絡(luò)中，out方向的分發(fā)列表只能對(duì)本地始發(fā)的外部路由起作用,也就是說(shuō)如果在out方向上部署分發(fā)列表，只能將其部署在ASBR上。

圖9 路由器R2的路由表

圖10 路由器R3的路由表

2.3 使用前綴列表實(shí)現(xiàn)鏈路分流

網(wǎng)絡(luò)中的2臺(tái)路由器R1、R2組成OSPF路由域，二者間通過(guò)雙鏈路互相連接(既R1的e1/0接口與R2的e1/0接口相連接，簡(jiǎn)稱為S1鏈路；R1的e1/1接口與R2的e1/1接口相連接，簡(jiǎn)稱為S2鏈路)。為了滿足業(yè)務(wù)的需求，需要在兩條鏈路上實(shí)現(xiàn)分流，當(dāng)路由器R1訪問(wèn)目的地址192.168.0.1/32時(shí)，數(shù)據(jù)包走S1鏈路；當(dāng)路由器R1訪問(wèn)目的地址192.168.1.1/32時(shí)，數(shù)據(jù)包走S2鏈路；網(wǎng)絡(luò)結(jié)構(gòu)如圖11所示。有限于篇幅，在這里只給出路由器R1詳細(xì)配置過(guò)程。

圖11使用前綴列表實(shí)現(xiàn)鏈路分流

路由器R1的相關(guān)配置。

R1(config)#router ospf 77//啟動(dòng)OSPF進(jìn)程

R1(config-router)#router-id 11.11.11.11

R1(config-router)#network 192.168.10.0 0.0.0.255 area 0 //通告網(wǎng)絡(luò)

R1(config-router)#network 192.168.9.0 0.0.0.255 area 0

R1(config-router)#distribute-list prefix s1 in e1/0

R1(config-router)#distribute-list prefix s2 in e1/1

R1(config)#ip prefix-list s1 seq 5 deny 192.168.1.1/32 //設(shè)置前綴列表S1

R1(config)#ip prefix-list s1 seq 10 permit 0.0.0.0/0 le 32 //匹配所有路由

R1(config)# ip prefix-list s2 seq 5 deny 192.168.0.1/32 //設(shè)置前綴列表S2

R1(config)#ip prefix-list s2 seq 10 permit 0.0.0.0/0 le 32

上述配置完成后，使用sh ip route命令分別查看路由器R1的路由表，如圖12所示。從中不難發(fā)現(xiàn)：在路由器R1的兩個(gè)入站接口部署前綴列表后，兩條鏈路已成功的實(shí)現(xiàn)了數(shù)據(jù)分流。當(dāng)路由器R1訪問(wèn)目的地址192.168.0.1/32時(shí)，下一跳的地址為192.168.10.2，此時(shí)數(shù)據(jù)包走S1鏈路；當(dāng)路由器R1訪問(wèn)目的地址192.168.1.1/32時(shí)，下一跳的地址為192.168.9.2，此時(shí)數(shù)據(jù)包走S2鏈路。

圖12 路由器R1的路由表

3 結(jié) 語(yǔ)

網(wǎng)絡(luò)技術(shù)人員在使用路由映射表、分發(fā)列表、前綴列表等技術(shù)，對(duì)網(wǎng)絡(luò)中的路由進(jìn)行過(guò)濾時(shí)，一定要考慮到具體的應(yīng)用環(huán)境。這是因?yàn)樵诰嚯x矢量路由協(xié)議中過(guò)濾路由與在鏈路狀態(tài)路由協(xié)議中過(guò)濾路由，所產(chǎn)生的效果是有所不同的。