如何为核心交换机配置策略路由，以实现多条出口线路的智能选路？

在现代企业网络架构中,对流量的精细化控制是实现高可用性、负载均衡和安全性的关键，传统的路由决策主要依赖于数据包的目的IP地址，通过查找路由表来确定最佳转发路径，这种单一维度的决策方式已难以满足日益复杂的业务需求，策略路由（Policy-Based Routing, PBR）技术应运而生，它提供了一种更灵活、更强大的流量控制机制，允许网络管理员根据预定义的策略，基于数据包的多种属性（如源IP地址、目的IP地址、协议类型、端口、数据包大小等）来动态地选择转发路径，从而实现对网络流量的“指挥调度”。

策略路由的核心价值与应用场景

策略路由的强大之处在于它打破了传统路由的束缚,使网络行为能够主动适应业务策略，其核心价值体现在以下几个方面：

• 基于源地址的流量分流： 这是最经典的应用场景，企业拥有两条不同运营商的互联网线路（ISP-A和ISP-B），可以设定策略，将研发部门的流量导向ISP-A，将行政部门的流量导向ISP-B，以实现成本优化或特定网络访问需求。
• 基于应用的智能选路： 通过识别应用流量（如VoIP、视频会议、网页浏览），将对延迟敏感的实时应用流量引导至高质量、低延迟的链路，而将普通浏览等流量引导至成本较低的链路，有效保障关键业务的服务质量（QoS）。
• 实现负载均衡： 策略路由可以将不同特征的流量分散到多条链路上，避免单条链路过载，充分利用所有可用带宽，提升网络整体性能和冗余性。
• 创建特定通信路径： 在某些安全或测试场景下，可以强制特定流量（如来自安全测试服务器的流量）穿越特定的防火墙或网络设备，进行深度包检测或策略验证。

策略路由的工作原理与关键组件

策略路由的实现并非一个孤立的过程,而是由多个网络组件协同工作的结果，理解其工作流程和关键元素是正确配置的基础，其核心逻辑是“匹配-动作”模型。

1. 流量捕获（Match）： 需要定义哪些流量需要被策略路由“特殊对待”，这一步通常通过访问控制列表（ACL）来完成，ACL可以精确地匹配源/目的IP、协议、端口等信息，将需要干预的流量筛选出来。
2. 策略定义： 路由图是策略路由的核心，它由一系列序列号组成，每个序列号代表一条策略规则，路由图内部包含match和set两个关键部分：
   • match语句：用于引用ACL或其他匹配条件，决定哪些流量会应用当前这条策略。
   • set语句：定义了匹配流量需要执行的动作，最常见的动作是指定下一跳IP地址或出接口。
3. 策略应用： 定义好的路由图必须应用到网络的入口点（通常是交换机的VLAN接口或物理三层接口）才能生效，当数据包从该接口进入时，交换机会优先检查是否有匹配的策略路由规则，如果匹配，则按照策略执行转发；如果不匹配任何策略，则 revert to the standard routing process。

为了更清晰地展示,下表概括了关键组件的功能：

配置实例：实现基于源地址的流量分流

假设一个场景：某公司拥有两条互联网出口，分别连接ISP-A（网关202.96.134.1）和ISP-B（网关61.139.2.1），公司要求销售部（VLAN 10，网段192.168.10.0/24）的所有流量必须通过ISP-A访问互联网，其他部门的流量则走ISP-B，以下是配置步骤：

第一步：定义销售部流量

创建一个扩展ACL,用来精确匹配源地址为销售部网段的流量。

ip access-list extended SALES_TRAFFIC
 10 permit ip 192.168.10.0 0.0.0.255 any

第二步：创建策略路由图

定义一个名为PBR_POLICY的路由图，序列10用于匹配销售部流量并设置下一跳为ISP-A的网关，序列20（或其他更高序列号）可以用于处理其他流量，这里我们将其设置为ISP-B的网关，确保所有流量都被策略明确引导。

route-map PBR_POLICY permit 10
  match ip address SALES_TRAFFIC
  set ip next-hop 202.96.134.1
!
! 为其他流量设置默认策略
route-map PBR_POLICY permit 20
  set ip next-hop 61.139.2.1

第三步：在VLAN接口上应用策略

将配置好的路由图应用到销售部所在的VLAN 10的SVI（交换虚拟接口）上，策略路由通常在流量的入口方向应用。

interface Vlan10
  ip address 192.168.10.1 255.255.255.0
  ip policy route-map PBR_POLICY

配置完成后,当销售部员工（如192.168.10.50）访问外网时，数据包进入Vlan10接口，交换机匹配到SALES_TRAFFIC ACL，进而执行PBR_POLICY中序列10的set动作，将数据包发往202.96.134.1，而其他部门（如VLAN 20）的流量进入Vlan20接口时，由于没有应用策略，将正常通过路由表转发，根据默认路由走向ISP-B。

验证与故障排查

配置完成后,必须进行验证以确保策略按预期工作，可以使用以下命令：

• show ip policy：查看哪些接口应用了策略路由。
• show route-map [name]：查看路由图的配置及匹配计数器，确认是否有流量命中策略。
• show access-lists：查看ACL的匹配计数，确认流量是否被正确捕获。
• 从销售部PC使用traceroute命令跟踪到公网地址的路径，验证第一跳是否为ISP-A的网关。

相关问答FAQs

问题1：策略路由 (PBR) 和标准路由有什么核心区别？

解答： 核心区别在于决策依据和优先级，标准路由的决策依据是数据包的目的IP地址，通过查询路由表来寻找最优路径，这是一个被动、全局统一的过程，而策略路由的决策依据则更加丰富，可以是源IP地址、协议、端口、数据包大小等多种属性的任意组合，它是一个主动、可定制的过程，在优先级上，配置了策略路由的接口在收到数据包时，会优先检查策略路由规则，只有当数据包不匹配任何策略时，才会转而执行传统的路由表查找，策略路由的优先级高于标准路由。

问题2：如果策略路由设置的下一跳地址不可达，流量会怎么样？

解答： 这取决于set命令的具体配置，如果使用的是set ip next-hop命令，当指定的下一跳地址不可达时，交换机会放弃策略路由，转而查找标准路由表，尝试通过常规路径转发数据包，如果标准路由表中也没有可用路径，数据包将被丢弃，而如果使用的是set ip default next-hop命令，其行为稍有不同：它仅在标准路由表中没有找到匹配的路由项时才会生效，如果标准路由表有明确路径，即使set ip default next-hop指定的地址可达，流量也会按标准路由转发。set ip next-hop用于“强制”指定路径，而set ip default next-hop则作为标准路由的“补充”或“备份”路径。