路由策略与策略路由：从核心原理到实战配置的完整指南

你有没有遇到过这样的场景：公司网络里，财务部的数据必须走专线保证安全，而普通员工的网页浏览走普通宽带就行；或者，你想让视频会议流量优先转发，而文件下载可以稍微慢一点。这种“让不同的网络流量走不同的路”的需求，在稍微复杂一点的网络里几乎天天见。

很多人一听到“路由策略”、“策略路由”这些词就头疼，觉得是高端玩家才玩得转的东西。网上的教程要么是满屏的命令行，要么是抽象的理论图，看完还是不知道从哪下手。其实，核心思想并不复杂：路由策略的本质，不是创造新的路由，而是给现有的路由选择过程加上一套“筛选”和“修改”的规则。它解决的不是“有没有路”的问题，而是“选哪条路更好”的问题。

今天，我们就抛开那些让人望而生畏的术语，从网络工程师实际工作的视角，把“路由策略”和“策略路由”这两兄弟彻底拆开揉碎了讲清楚。你会发现，它们不是用来炫技的复杂配置，而是解决实际流量管理问题的必备工具箱。我们不仅要搞懂“是什么”，更要弄明白“为什么需要它”以及“怎么一步步把它用起来”。

1. 先别急着敲命令：分清“路由策略”和“策略路由”到底差在哪

这是第一个也是最容易混淆的坎。很多资料把这两个概念混着用，导致初学者配置时一头雾水。我们可以用一个非常形象的类比来理解：

想象一下，你是一个快递分拣中心的总调度员。面前有来自全国各地、要去往不同城市的包裹（数据包），也有好几条运输路线（路由）。

  • 路由策略：你制定了一套规则，用来影响“路线图”本身。比如，你规定：“所有从上海发来的、声称去往北京的路由信息，我一律不相信，不把它记入我的总路线图。” 或者，“从广州来的路线信息，如果距离超过1000公里，我就给它加上50公里的‘管理距离’（让它优先级变低）。” 你的规则作用对象是“路由信息”（路由表项），通过过滤、修改路由的属性（如优先级、开销值），来间接影响后续所有包裹的走向。它的核心是控制路由信息的收发与优选，工作在“控制平面”。

  • 策略路由：你制定另一套规则，用来直接指挥“每一个具体的包裹”。比如，你规定：“所有外包装上写着‘生鲜’的包裹，不管路线图怎么指，都给我走空运专线。” 或者，“重量超过10公斤的大件包裹，走陆运通道。” 你的规则作用对象是“数据包”本身，基于数据包的源IP、目的IP、协议类型甚至端口号等特征，直接指定转发路径，完全无视或优先于全局路由表。它的核心是基于数据包特征进行转发，工作在“转发平面”。

简单总结一下关键区别：

特性路由策略策略路由
作用对象路由信息（路由表项）数据包本身
工作层面控制平面（影响路由表生成）转发平面（影响数据包转发）
决策依据路由的属性（来源、前缀、AS-Path等）数据包的属性（五元组、ToS等）
生效时机路由信息交换、路由表计算时设备转发每一个数据包时
常见工具Route-Policy, Filter-Policy, AS-Path FilterPBR（Policy-Based Routing）， 本地策略路由
类比制定地图的规则（哪些路可以上地图，哪条路是主干道）指挥司机的规则（救护车走应急车道，货车走货车道）

理解这个区别至关重要。当你面对一个需求时，首先要判断：你是想影响所有去往某个目的地的流量（通过修改路由），还是想基于流量的具体特征进行精细分流？前者用路由策略，后者用策略路由。

2. 路由策略：如何当好路由信息的“质检员”与“调度员”

理解了路由策略是管“地图”的，我们来看看具体怎么管。它的应用场景非常广泛，主要扮演两个角色：“质检员”和“调度员”。

2.1 场景一：过滤与引入——当好“质检员”

这是最基础也是最常用的功能。你的路由器会从不同的“渠道”（路由协议如OSPF、BGP，或者直连、静态路由）学习到大量路由信息。但并不是所有信息你都想要。

  • 为什么需要过滤？

    1. 安全与稳定：防止不可信的对等体给你发送错误或恶意的路由，导致流量被劫持。
    2. 节省资源：避免路由表过于庞大，消耗设备内存和CPU。
    3. 策略控制：只接受符合你业务需求的路由。比如，在多ISP接入时，只接收某个ISP发来的特定网段路由。

  • 怎么实现？—— 核心工具：Route-PolicyRoute-Policy是一个强大的策略框架，它由若干个节点（node）组成，每个节点里包含匹配条件（if-match）和执行动作（apply）。你可以把它想象成一个多层的过滤和加工流水线。 一个典型的用法是在BGP中，控制路由的收发：

    # 创建一个Route-Policy，名为“FROM-ISP-A” route-policy FROM-ISP-A permit node 10 if-match ip-prefix ISP-A-Routes // 匹配一个预先定义好的前缀列表 apply local-preference 200 // 对匹配的路由，设置较高的本地优先级（LP），优先选这条 route-policy FROM-ISP-A deny node 20 # 没有if-match，表示拒绝所有其他路由

    然后，在BGP对等体配置下应用这个策略：

    bgp 100 peer 1.1.1.1 route-policy FROM-ISP-A import // 对从1.1.1.1收到的路由应用入方向策略

    关键点：Route-Policy的执行是按节点顺序的，一旦匹配就执行动作并跳出。最后的deny node是常见的“默认拒绝”做法，确保只有明确允许的路由才会被处理。

  • 更简单的过滤：Filter-Policy如果需求只是简单地过滤掉某些路由（不修改属性），filter-policy（ACL或前缀列表）是更轻量的选择。常用于OSPF、IS-IS等协议，在路由计算时过滤掉LSA或LSP中的某些路由，防止它们进入全局路由表。

2.2 场景二：修改属性——当好“调度员”

过滤是第一步，更精细的控制是修改路由的属性，从而影响路由的“竞选结果”。在路由协议中，路由之间通过比较各种属性（度量值、管理距离、本地优先级、MED等）来决定谁优谁劣，胜者进入路由表。

  • 为什么需要修改属性？为了实现流量引导。比如，你有两条去往同一目的地的链路，主用和备用。你希望正常情况下流量走主用链路。这时，你可以通过路由策略，将来自主用链路方向的路由属性（如BGP的Local-Preference）调得更高，使其在路由选举中胜出。

  • 一个典型的多出口流量调度案例（BGP LP + MED）假设公司AS 100，有两个ISP接入：ISP-A (AS 200) 和 ISP-B (AS 300)。你想实现：访问ISP-A的网络优先走ISP-A出口，访问ISP-B的网络优先走ISP-B出口，其他互联网流量默认优先走ISP-A。

    1. 接收路由时打标签：从ISP-A收到的所有路由，设置高Local-Preference（如150）。从ISP-B收到的所有路由，设置较低的Local-Preference（如100）。这样，在出方向上，所有流量默认优先选择LP更高的ISP-A出口。
    2. 发送路由时做广告：在向ISP-A通告路由时，为其设置一个较小的MED值。在向ISP-B通告时，设置较大的MED值。MED用于向邻居AS建议进入你AS的路径，值越小越优。这样，入方向上，ISP-A的流量会更倾向于从ISP-A的入口进入你的网络。
    3. 更精细的控制：使用AS-Path过滤或前缀列表，精确匹配ISP-A和ISP-B的特定网段，只为这些路由应用特殊的LP或MED策略，实现“访问谁，就从谁的出口出”。

    注意：Local-Preference只在同一AS内部有效，用于影响出站流量选择。MED用于在多个入口（EBGP对等体）间影响入站流量选择，但它的比较只在来自同一相邻AS的路由间进行。

通过扮演好“质检员”和“调度员”，路由策略让你从被动接收路由，变为主动塑造网络的路由拓扑，为流量工程打下基础。

3. 策略路由：当全局路由表不够用时，如何为特定流量“开小灶”

路由策略是通过修改“地图”来间接影响流量，而策略路由则是直接给特定的“车辆”下达转向指令。它的优先级高于普通的路由表查询。当设备收到一个数据包，准备转发时，会先检查是否配置了策略路由，如果匹配，则按策略路由指定的下一跳或出接口转发；如果不匹配，再fallback到查询普通路由表。

3.1 为什么需要“开小灶”？—— PBR的典型场景

  1. 服务质量保证：让语音、视频等实时流量走低延迟、高带宽的专线，让普通上网流量走廉价宽带。
  2. 负载分担：基于源IP地址将流量哈希到不同的链路上，实现更灵活的负载均衡，而不仅仅是基于目的IP。
  3. 安全审计：将所有来自特定服务器的流量，先引导至一个防火墙或流量分析设备，再转发出去。
  4. 故障绕过：当主链路故障时，利用策略路由将关键业务的流量快速切换到备用路径，而不依赖于路由协议的收敛。

3.2 如何配置策略路由？—— 一个清晰的四步法

配置策略路由（PBR），可以遵循以下通用步骤，这里以最常见的基于IP的PBR为例：

第一步：定义“感兴趣流”—— 用ACL抓取流量你需要告诉设备，什么样的流量需要特殊照顾。这通过访问控制列表（ACL）来实现。

# 定义一个高级ACL 3000，匹配源IP为192.168.1.0/24，目的IP为10.1.1.1的流量 acl 3000 rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0

你可以根据需求，使用基本ACL（匹配源IP）、高级ACL（匹配五元组）来精确或模糊地定义流量。

第二步：制定“分流策略”—— 创建策略路由节点创建一个策略路由，并定义节点。每个节点包含匹配条件和动作。

# 创建一个名为`VOICE-POLICY`的策略路由 policy-based-route VOICE-POLICY permit node 10 if-match acl 3000 // 匹配第一步定义的ACL apply next-hop 202.100.1.1 // 指定下一跳地址（走专线） apply ip-precedence 5 // （可选）设置IP优先级，用于后续QoS调度

你可以创建多个节点，实现更复杂的策略。例如，node 20匹配另一类流量，指定不同的下一跳或出接口。

第三步：应用策略—— 在入口“上岗执勤”策略路由需要在数据包的入接口上应用才能生效。因为转发决策需要在数据包进入设备后立即做出。

interface GigabitEthernet0/0/1 ip address 192.168.1.254 255.255.255.0 ip policy-based-route VOICE-POLICY // 在此接口的入方向应用策略

关键点：策略路由是单向的。你需要在流量进入设备的接口上应用策略，去影响其转发方向。返程流量如果需要同样的策略，需要在另一端的入接口做相应配置。

第四步：验证与排错—— 确保策略生效配置完后，绝不能假设它一定工作。

  1. 使用display policy-based-route查看策略路由的配置和统计信息。
  2. 使用debugging ip policy-based-route命令（在测试环境谨慎使用）实时查看数据包是否匹配了策略以及执行的动作。
  3. 最关键的一步：实际流量测试。从定义的源IP向目的IP发送测试流量（如ping、tracert），同时使用display ip routing-table查看正常情况下该目的IP的路由，再使用tracert观察实际路径是否按策略指向了指定的下一跳。

3.3 策略路由的“坑”与最佳实践

  • 性能影响：策略路由需要检查每个数据包的报文头，并与ACL规则进行匹配，这会消耗CPU资源。在大流量场景下需评估性能。
  • 路由环路风险：如果策略路由指定的下一跳不可达，而设备又没有有效的路由将其送回，可能导致环路。务必确保策略指定的路径是可达的。
  • 与路由协议协同：策略路由不参与路由协议计算，它指定的下一跳必须在路由表中存在（直连或由路由协议学到），否则策略会失效。
  • 先简后繁：初期先用一条简单的策略（如基于源IP）进行测试，确保流程跑通，再逐步增加复杂的匹配条件。
  • 做好文档：策略路由会改变默认的转发行为，清晰的配置注释和拓扑文档对后续维护至关重要。

策略路由给了你一把手术刀，可以对流量进行极其精细的外科手术式控制。但它也是一把双刃剑，配置不当会带来复杂性和故障隐患。记住一个原则：能用路由策略解决的，优先用路由策略；只有当路由策略无法满足基于报文特征的精细控制时，再考虑策略路由。

4. 从理论到实战：一个融合路由策略与PBR的综合实验设计

纸上得来终觉浅。我们设计一个综合性的实验场景，把前面讲的概念串联起来，看看如何协同使用这两种工具。

实验拓扑与需求：

  • 公司有一台核心路由器（Core-RT），连接两个出口：一条高速专线（ISP-A，下一跳1.1.1.1），一条普通宽带（ISP-B，下一跳2.2.2.2）。
  • 内部有两个网段：研发部（192.168.10.0/24）和市场部（192.168.20.0/24）。
  • 需求1（路由策略）：从ISP-A学习到的默认路由（0.0.0.0/0），其优先级应高于从ISP-B学到的，确保绝大多数互联网流量默认走专线。
  • 需求2（策略路由）：市场部的视频会议服务器（192.168.20.100）访问外部云视频服务（假设目的IP为8.8.8.8），必须强制走专线（ISP-A），即使宽带线路的路由成本更低。
  • 需求3（路由策略）：拒绝接收来自ISP-B的关于公司竞争对手网段（假设为100.100.100.0/24）的路由。

配置思路与关键片段：

  1. 满足需求1（路由策略 - 修改管理距离）：

    # 假设通过BGP或静态路由从两个ISP学习默认路由 ip route-static 0.0.0.0 0.0.0.0 1.1.1.1 preference 5 # 专线路由，管理距离设为5（数值越小越优） ip route-static 0.0.0.0 0.0.0.0 2.2.2.2 preference 10 # 宽线路由，管理距离设为10

    这样，默认路由会优先选择专线。

  2. 满足需求3（路由策略 - 路由过滤）：

    # 首先创建一个前缀列表，匹配竞争对手网段 ip ip-prefix COMPETITOR deny 100.100.100.0 24 ip ip-prefix COMPETITOR permit 0.0.0.0 0 le 32 # 允许其他所有 # 在BGP对等体入方向应用过滤（假设与ISP-B建立BGP） bgp 65001 peer 2.2.2.2 as-number 200 peer 2.2.2.2 route-policy BLOCK-COMPETITOR import # route-policy BLOCK-COMPETITOR deny node 10 if-match ip-prefix COMPETITOR route-policy BLOCK-COMPETITOR permit node 20

  3. 满足需求2（策略路由 - 基于源地址的强制引流）：

    # 第一步：定义ACL，匹配从市场部视频会议服务器去往云服务的流量 acl 3100 rule 5 permit ip source 192.168.20.100 0 destination 8.8.8.8 0 # 第二步：创建策略路由，指定下一跳为专线网关 policy-based-route VIDEO-CONF permit node 10 if-match acl 3100 apply next-hop 1.1.1.1 # 第三步：在流量进入的接口（连接市场部网络的接口）上应用策略 interface GigabitEthernet0/0/20 ip address 192.168.20.254 255.255.255.0 ip policy-based-route VIDEO-CONF

通过这个实验，你可以清晰地看到：

  • 路由策略（需求1和3）在控制平面运作，通过修改静态路由优先级和过滤BGP路由，塑造了全局的“路由地图”。
  • 策略路由（需求2）在转发平面运作，针对特定的数据流（源192.168.20.100 -> 目的8.8.8.8），无视全局路由表可能的选择，直接指定了转发路径。

它们各司其职，又相互配合，共同实现了复杂的流量管理目标。在实际网络运维中，这种组合使用是非常普遍的。

5. 思维进阶：从单点配置到全局流量工程

掌握了单个设备上的配置，我们的思维需要再向上走一层。路由策略和控制不是孤立的技术点，而是实现网络流量工程的基础手段。

  • 规划先行：在动手敲命令之前，一定要在拓扑图上画清楚：流量从哪里来，要到哪里去，你希望它走哪条路径，为什么？哪些是全局策略（适合路由策略），哪些是局部特例（需要策略路由）？
  • 维护成本：策略路由的配置是分布式的，贴在各个接口上。当网络拓扑变更时，你需要检查所有相关的策略路由点。而路由策略（尤其是BGP策略）通常在路由协议进程下集中配置，相对容易管理。记住：配置的复杂度会转化为运维的复杂度。
  • 监控与验证：配置不是终点。必须建立监控机制，观察策略是否持续生效。利用display命令查看策略统计计数，利用网络性能管理工具分析关键链路的流量是否符合预期。
  • 文档化：将每一个重要的路由策略和策略路由的意图、匹配条件、执行动作以及应用位置记录在案。这对于故障排查和后续交接至关重要。

回到我们最初的问题：想让路由按你的想法跑？你现在应该明白了，这背后是一套从“控制信息”（路由策略）到“控制转发”（策略路由）的完整工具箱。核心不是死记命令，而是培养一种思维：当默认的、自动的路由选择不符合你的业务需求时，你知道有哪些工具可以介入，在哪个层面介入，以及如何安全、有效地使用它们。

从理解“路由策略管地图，策略路由管车辆”这个根本区别开始，到学会用Route-Policy过滤和调度路由，再到用PBR为关键流量开辟绿色通道，最后在综合设计中体会它们的协同。这条路，每一步都踩在解决实际问题的点上。下次再面对复杂的流量调度需求时，你可以先停下来，画个图，分分类，然后从容地从这个工具箱里挑选合适的工具。这才是网络工程师从“配置者”走向“设计者”的关键一步。