由于為了滿足一些台灣垃圾玩網絡遊戲及各種下載需求,原本我們只開放走proxy的方式還不夠,還要在pix上做pat讓這些人的電腦直接出去,這樣經常mail堵塞,user的web瀏覽變慢,只有兩條兩M的專線,供應商在router上通過ospf做了簡單的負載均衡,但還是經常聽道抱怨,于是要開始想別的辦法,由于我們還申請了6條很便宜的動態adsl線路,所以就考慮讓這些人晚上回到宿舍後玩遊戲下載只能透過adsl出去,不要影響到公司正常工作的需求,我首先想到的是先把adsl做一個軟路由器出來,很早的時候我就知道routerOS,只不過當時只是草草裝了一下,網絡測通了就丟棄了,沒有正式的使用過,這次看來用的上了,去down了一個比較新的2.9.6的破解版,找了一台p3的舊主機,128的ram,雙8139網卡(我一般建議玩這些東西或者linux最好都用8139,因為基本都能驅動),裝上router os,網卡都能正常檢測,命名lan / wan ,wan接adsl,lan接內網,我的內網有需求的只是192.168.93.0/24這個ip地址段,屬於vlan 4的ip,但vlan 4是用了超網的概念,網絡地址範圍是192.168.88.0/21,93這一段只能通過子網掩碼或者反掩碼來控制範圍,開始還不知道該如何下手,根本就沒有聽說過什麼策略路由,我只想在4507的全局模式下再敲一個ip route 0 0 192.168.80.222(routeros lan口地址),然後思索著怎麼讓93.0/24的地址如何從這條路出去,當時網上也搜索到配置兩條ip route 0 0的,後來發現根本就沒這必要,最初我看到有ip local policy的命令,我就在全局模式下配置了ip local policy route-map go-out

access-list 101 permit ip 192.168.93.0 0.0.0.255 any

route-map go-out permit 10
match ip address 101
set ip next-hop 192.168.80.222

配完發現可以走adsl了,但最後一細檢查,發現完全錯誤,原來所有的internet路由都走adsl了,exchange的mail全部都堵住了,後來覺得肯定不應該在全局模式下配置,但不知道是在vlan下還是具體的某個interface下配置,後來又搜索到還有ip policy的命令,某個高手在他的blog提到ip local policy 和 ip policy的區別,原來ip local policy就是用在全局下的,而ip policy用在接口或vlan下面,于是進入93網段所在的vlan 4下配置

ip policy route-map go-out

access-list 101 permit ip 192.168.93.0 0.0.0.255 any

route-map go-out permit 10
match ip address 101
set ip next-hop 192.168.80.222

ok,93是可以正常走adsl上internet了,別的網段路由照舊,正以為成功,卻發現93的網段和別的網段不通訊了,這不能達到要求,因為這些電腦還需要訪問內網服務器,檢查問題,覺得肯定目的地址不明確,93網段所有的next hop 都到了192.168.80.222,而80.222上不能跳轉到內網來,所以93不能訪問內網了,根據目的地址的問題,最後檢查是acl的問題了,因為前面只定義了一條到any的acl,修改acl,再加一條策略,就ok了,配置如下:

ip policy route-map go-out

access-list 101 permit ip 192.168.93.0 0.0.0.255 192.168.0.0 0.0.255.255
access-list 102 permit ip 192.168.93.0 0.0.0.255 any
route-map go-out permit 10
match ip address 101
set ip next-hop 192.168.88.254(vlan4網關)
route-map go-out permit 20
match ip address 102
set ip next-hop 192.168.80.222

[@more@]

ITPub博客

終於搞定了4507上的策略路由

最新文章