华为NE40E配置URPF示例

华为NE40E配置URPF示例

介绍URPF的配置示例，在ISP入口点启动URPF功能。结合配置组网图来理解业务的配置过程。配置示例包括组网需求、思路准备、操作步骤和配置文件。

组网需求

本例在ISP入口点启动URPF功能。如图1所示，客户RouterA与ISPRouterB直连，在RouterB的接口GE1/0/0上启动URPF。要求严格检查，源地址在ACL 2010中的报文在任何情况下都能通过检查；在RouterA的接口GE1/0/0上启动URPF，要求严格检查，使能缺省路由匹配。

图1 配置URPF组网图

配置思路

采用如下思路配置URPF：

1. 在ISPRouterB端配置流量策略，允许指定网段的流量通过URPF检查；

2. 在客户端路由器A的接口上配置IP地址，并使能URPF功能。

数据准备

为完成该配置例，需要准备如下数据：

• 各接口的IP地址

• 能够通过URPF检查的网段地址

操作步骤

配置RouterB

# 配置ACL 2010，允许10.1.1.0/24网段的流量通过URPF检查。

system-view

[RouterB] acl number 2010

[RouterB-acl-basic-2010] rule permit source 10.1.1.0 0.0.0.255

[RouterB-acl-basic-2010] quit

# 配置流分类，定义基于ACL的匹配规则。

[RouterB] traffic classifier classifier1

[RouterB-classifier-classifier1] if-match acl 2010

[RouterB-classifier-classifier1] quit

# 定义流行为，配置URPF功能。

[RouterB] traffic behavior behavior1

[RouterB-behavior-behavior1] ip urpf strict

[RouterB-behavior-behavior1] quit

# 定义流量策略，将流分类与流行为关联。

[RouterB] traffic policy policy1

[RouterB-trafficpolicy-policy1] classifier classifier1 behavior behavior1

[RouterB-trafficpolicy-policy1] quit

# 将流量策略应用到接口上。

[RouterB] interface gigabitethernet 1/0/0

[RouterB-GigabitEthernet1/0/0] undo shutdown

[RouterB-GigabitEthernet1/0/0] ip address 172.19.139.2 255.255.255.252

[RouterB-GigabitEthernet1/0/0] trafficq-policy policy1 inbound

配置Router A

# 配置接口GE1/0/0。

system-view

[RouterA] interface gigabitethernet 1/0/0

[RouterA-GigabitEthernet1/0/0] undo shutdown

[RouterA-GigabitEthernet1/0/0] ip address 172.19.139.1 255.255.255.252

# 在接口GE1/0/0上使能URPF功能，要求URPF做严格检查，并使能缺省路由匹配。

[RouterA-GigabitEthernet1/0/0] ip urpf strict allow-default

配置文件

RouterA的配置文件

#

sysname RouterA

#

interface GigabitEthernet1/0/0

undoshutdown

ip address 172.19.139.1 255.255.255.252

ip urpf strict allow-default

#

return

RouterB的配置文件

#

sysname RouterB

#

acl number 2010

rule 5 permit source 10.1.1.0 0.0.0.255

#

traffic classifier classifier1 operator or

if-match acl 2010

#

traffic behavior behavior1

ip urpf strict

#

traffic policy policy1

classifier classifier1 behavior behavior1

#

interface GigabitEthernet1/0/0

undoshutdown

ip address 172.19.139.2 255.255.255.252

traffic-policy policy1 inbound

#

return