Назад | Перейти на главную страницу

Совпадение нескольких списков управления доступом Cisco Route-Map (логическое И)

Мне трудно настроить карту маршрутов с несколькими совпадениями в операции И. Проблема в том, что оба критерия соответствия не соответствуют ACL, но разные ACL.

Что я хочу сделать 

route-map TEST permit 10
  match ip address 100
  match ip address 110
  set vrf TESTVRF

Я ожидал, что выше будет операция И для требования соответствия.

Однако, когда я запускаю шоу, он становится

route-map TEST permit 10
  match ip address 100 110
  set vrf TESTVRF

что является операцией ИЛИ согласно синтаксису Cisco.

Вопрос в том, как я могу выполнить несколько сопоставлений ACL в операции AND для карты маршрутов? Спасибо.

На мой взгляд, самый простой способ - настроить access-list со всеми необходимыми совпадениями и внесите их в карту маршрутов.

РЕДАКТИРОВАТЬ

Отказ от ответственности: Я здесь только предполагаю.

Вы можете попробовать это, предполагая access-list 100 для источников и access-list 110 для направлений:

Здесь вы возвращаете логику access-lists:

access-list 100 deny ip 10.0.0.0 255.255.255.0 any
access-list 100 permit any

access-list 110 deny ip any 192.168.0.0 255.255.255.0
access-list 110 permit any

а затем используйте deny на ваше route-map (так что если access-list разрешения, то правило терпит неудачу):

route-map TEST deny 10
   match ip address 100
route-map TEST deny 20
   match ip address 110
route-map TEST permit 30
   set vrf TESTVRF

Логика этого такова:

if source_address is not 10.0.0.0/24 {
    fail
} else {
    if destination_address is not 192.168.0.0/24 {
        fail
    } else {
        set vrf TESTVRF
    }
}

В основном это проверяет первый если источник разрешен (через access-list 100), если разрешено затем он проверяет, разрешен ли пункт назначения (access-list 101), наконец, если ОБЕ разрешено установить vrf.

Тогда вы легко можете разрешить N различные исходные сети в access-list 100 и M различные сети назначения в access-list 101.

Если у вас не может быть единого списка доступа, вы можете просто использовать номера карты маршрутов для выполнения условия «ИЛИ».

route-map TEST permit 10
  match ip address 100
  set vrf TESTVRF
route-map TEST permit 20
  match ip address 110
  set vrf TESTVRF

Я думаю, вам нужно вместо этого использовать группу объектов. одна только карта маршрутов кажется недостижимой.

это зависит от вашего устройства и может поддерживать, а может и не поддерживать. может потребоваться обновление iOS, а может и не поддерживаться вообще.

например объектно-групповая сеть src 1.1.1.0/24

объектно-групповая сеть dst 2.2.2.0/24