过滤策略项目五大型企业网安全性优化路由信息控制技术38课件.pptxVIP

主讲人：周栋山东轻工职业学院网络设备配置与管理filteringpolicy过滤策略项目五大型企业网安全性优化—路由信息控制技术

1过滤策略常见类型基于地址过滤利用访问控制列表（ACL）匹配源IP地址、目的IP地址等。基于子网过滤以前缀列表指定子网掩码和前缀长度，允许或拒绝特定子网的路由。如只允许企业内部特定网段的路由在网络中传播。基于路由属性过滤在BGP等协议中，可依据自治系统路径（AS?-?Path）、团体属性（Community）等属性过滤路由。

1过滤策略对于距离矢量协议和链路状态协议，Filter-Policy工具的操作过程是不同的：距离矢量协议是基于路由表生成路由的，因此过滤器会影响从邻居接收的路由和向邻居发布的路由。链路状态路由协议是基于链路状态数据库来生成路由的，且路由信息隐藏在链路状态LSA中，但Filter-Policy不能对发布和接收的LSA进行过滤，故Filter-Policy不影响链路状态通告或链路状态数据库的完整性以及协议路由表，而只会影响本地路由表，且只有通过过滤的路由才被添加到路由表中，没有通过过滤的路由不会被添加进路由表。

1过滤策略不同协议应用filter-policyexport命令对待发布路由的影响范围不同：对于距离矢量协议，会对引入的路由信息、本协议发现的路由信息进行过滤。对于链路状态协议，只对引入的路由信息进行过滤。

1过滤策略过滤策略配置举例：如下图所示，分别在路由器R1、R2和R3上配置过滤策略，在路由器R1的IS-IS进程中引入直连路由，并将172.16开头的第三位为奇数的直连路由过滤，在路由器R2的OSPF进程中引入IS-IS路由时只允许172.16开头的第三位被4整除的路由，在路由器R3的OSPF进程中只允许172.16开头的第三位被8整除的路由进入IP路由表。实现过程如下。

1过滤策略路由器R1的IS-IS进程中引入直连路由时，将172.16开头的第三位为奇数的路由过滤。[R1]aclnumber2000[R1-acl-basic-2000]rule10denysource172.16.1.00.0.254.0[R1-acl-basic-2000]rule20permit[R1]isis1[R1-isis-1]is-levellevel-2[R1-isis-1]network-entity49.0001.1111.1111.1111.00[R1-isis-1]import-routedirect[R1-isis-1]filter-policy2000exportdirect

1过滤策略路由器R2的OSPF进程引入IS-IS路由时只允许172.16开头的第三位被4整除的路由。[R2]aclnumber2000[R2-acl-basic-2000]rule10permitsource172.16.0.00.0.252.0[R2]ospf1[R2-ospf-1]import-routeisis1[R2-ospf-1]filter-policy2000exportisis1[R2]isis1[R2-isis-1]is-levellevel-2[R2-isis-1]network-entity49.0001.2222.2222.2222.00[R2-isis-1]import-routeospf1

1过滤策略路由器R3的OSPF进程中只允许172.16开头第三位被8整除的路由进入路由表。[R3]aclnumber2000[R3-acl-basic-2000]rule10permitsource172.16.0.00.0.248.0[R3]ospf1[R3-ospf-1]filter-policy2000import

1过滤策略查看路由器R2的IS-IS路由。[R2]displayiprouting-tableprotocolisisDestination/MaskProtoPreCostFlagsNextHopInterface172.16.0.0/24ISIS-L21574D172.31.12.1GigabitEthernet0/0/0172.16.2.0/24ISIS-L21574D172.31.12.1GigabitEthernet0/0/0172.16.4.0/24ISIS-L21574D172.31.12.1GigabitEthern