三步驟解決交換機(jī)策略路由配置的詳細(xì)應(yīng)用，關(guān)于很多的交換機(jī)策略路由配置問(wèn)題，都是涉及到應(yīng)用需求及實(shí)現(xiàn)分析的，所以要先了解交換機(jī)策略路由配置解決方法的一些基本知識(shí)才能為以后的配置做好準(zhǔn)備。

一、網(wǎng)絡(luò)拓?fù)?

辦公網(wǎng)為172網(wǎng)段，其核心交換機(jī)為85-1，由NE-1做NAT通過(guò)網(wǎng)通上internet；宿舍區(qū)為10網(wǎng)段，其核心交換機(jī)為85-2，由NE-2做NAT通過(guò)電信上internet。服務(wù)器放在S85-1下，為172網(wǎng)段的地址，供宿舍區(qū)10網(wǎng)段主機(jī)訪問(wèn)。

二、應(yīng)用需求及實(shí)現(xiàn)分析

應(yīng)用需求：由于網(wǎng)通和電信的出口均為百兆，而宿舍區(qū)用戶遠(yuǎn)遠(yuǎn)多于辦公區(qū)的用戶，要分流部分宿舍區(qū)的用戶通過(guò)網(wǎng)通的出口上internet。實(shí)現(xiàn)分析：此需求看起來(lái)很簡(jiǎn)單，即通過(guò)交換機(jī)策略路由配置，使部分用戶上網(wǎng)的下一跳到S85-1上，通過(guò)NE-1出去。但是仔細(xì)分析具體的實(shí)現(xiàn)，還是有很多要考慮的地方。

S8500上交換機(jī)策略路由配置只能在入端口方向上做，這樣，要在特定網(wǎng)段的所有入端口應(yīng)用交換機(jī)策略路由配置。應(yīng)用交換機(jī)策略路由配置的流由ACL來(lái)定義區(qū)分，此處ACL由關(guān)鍵字源IP來(lái)定義。acl number 2000
rule 0 permit ip source 10.1.1.0 0.255.255.255

交換機(jī)策略路由配置優(yōu)先級(jí)***，如果定義上面的ACL，當(dāng)10網(wǎng)段訪問(wèn)10網(wǎng)段時(shí)，將會(huì)先匹配交換機(jī)策略路由配置，從而下一跳到S85-1上，在S85-1上匹配路由，再回到S85-2上面，從而到達(dá)目的主機(jī)，這樣來(lái)回就多了兩跳。

修改ACL為禁止源ip為10網(wǎng)段，目的ip也為10網(wǎng)段的流應(yīng)用交換機(jī)策略路由配置。
acl number 2000
rule 0 deny ip source 10.1.1.0 0.255.255.255 destination 10.0.0.0 0.255.255.255
rule 1 permit ip source 10.1.1.0 0.255.255.255
但是交換機(jī)策略路由配置引用的ACL規(guī)則不允許為deny。難道只能這樣，讓10網(wǎng)段訪問(wèn)10網(wǎng)段的時(shí)候多走兩跳嗎？……當(dāng)然不！

三、解決方法

S8500交換機(jī)的交換機(jī)策略路由配置是由硬件來(lái)實(shí)現(xiàn)的，不然，對(duì)于S8500這種逐包轉(zhuǎn)發(fā)的交換機(jī)，其CPU不可能處理如此大的轉(zhuǎn)發(fā)量。由于交換機(jī)策略路由配置和下發(fā) 的ACL一樣，由硬件處理，那就有匹配順序的問(wèn)題。如果讓源IP為10網(wǎng)段，目的IP也為10網(wǎng)段數(shù)據(jù)先匹配其他的ACL轉(zhuǎn)發(fā)出去，而不匹配交換機(jī)策略路由配置，那么就可以解決上面的問(wèn)題。

配置如下：編寫(xiě)ACL 3000，允許源IP10網(wǎng)段訪問(wèn)目的IP10網(wǎng)段
acl number 3000
rule 0 permit ip source 10.1.1.0 0.255.255.255 destination 10.0.0.0 0.255.255.255
編寫(xiě)ACL2000，允許源IP10網(wǎng)段（做交換機(jī)策略路由配置）
acl number 2000
rule 0 permit ip source 10.1.1.0 0.255.255.255
在端口下發(fā)規(guī)則
Interface GigabitEthernet0/1/4
packet-filter inbound ip-group 3000
traffic-redirect inbound ip-group 2000 next-hop 10.1.2.10

在端口下發(fā)規(guī)則時(shí)要注意順序，對(duì)于S8500交換機(jī)的ACL規(guī)則是先下發(fā)先匹配，所以此處必須先下發(fā)ACL 3000，再運(yùn)用交換機(jī)策略路由配置。在端口G0/1/4上10.1.1.0網(wǎng)段的主機(jī)訪問(wèn)10網(wǎng)段的主機(jī)時(shí)，就會(huì)先匹配ACL3000，而ACL3000的規(guī)則為permit，這樣就正常的查找路由表來(lái)轉(zhuǎn)發(fā)。而目的IP不是10網(wǎng)段時(shí)，就會(huì)匹配上交換機(jī)策略路由配置，從而下一跳到S85-1上。