流量过滤与路径转发控制

1，策略路由

PBR基本概念：

策略路由，使网络设备不仅能够基于报文的目的IP地址进行数据转发，也能基于其他元素进行转发，比如源IP地址、MAC地址

可以使用ACL匹配特定的报文，针对该ACL进行PBR部署

PRB策略的优先级高于传统路由表，优先进行转发

PBR的结构

由多个节点由匹配条件和执行动作组成

每个节点可以包含多个条件语句

节点内，满足所有条件语句，才会执行本节点的动作

节点之间，根据编号从小到大顺序执行，匹配到节点后就不会再匹配下一个节点

PBR与路由策略的区别

路由策略：用于对路由信息进行过滤、属性设置等操作，操作对象是路由信息，影响的是数据报文的转发路径

PBR：操作对象是数据报文，通过条件匹配的形式，执行丢弃或强制转发路径

PBR的分类

接口PBR：只对转发的报文有效，对本地始发的报文无效；

本地PBR：对本地始发的流量生效

MQC典型应用场景

MQC可以将感兴趣报文进行重定向

在内网的核心交换机旁边部署防火墙，在交换机对外的接口上部署PBR

将来自外网的流量牵引到防火墙上进行安全检查，检查完的流量再送回交换机

PBR典型应用场景

也可以将报文进行重定向

对某个接口配置PBR，匹配来自该接口收到的流量

为其指定下一跳的公网地址

2，MQC

MQC基本介绍:

MQC模块化Qos命令行，将具有某一类共同特征的数据流划为一类，并提供相同的服务

三要素：流分类、流行为、流策略

MQC流分类：

定义一组流量匹配规则，对报文进行分类

支持二层可匹配项，三层可匹配项，其他可匹配项

如果流分类中包含ACL规则，报文必须匹配其中一条ACL和其他非ACL；当流分类中没有ACL规则时，报文必须匹配所有非ACL规则

报文只要匹配了流分类中的一个规则，设备就认为报文匹配中了该流分类

MQC流行为：

定义执行的动作，支持报文过滤、重标记优先级、重定向、流量统计动作

MQC流策略：

流策略支持在接口上调用，将流分类和流行为绑定，对分类后的报文执行对应行为中定义的动作

一个策略略可以绑定多个流分类和流行为，只支持在二层接口上调用

3，流量过滤

为提高网络安全性，管理人员需要控制进入网络的流量，将不信任的报文丢弃在网络边界

也会有企业会根据业务要求，限制不同部门之间的访问

流量过滤工具：

traffic-fiter ： IPV4 ACL IPV6 ACL 过滤方向有inbound和outbound

MQC：除了ACL，还有MAC地址，IP优先级等等