Пытаюсь настроить сабж как в примере из мануала (страница 171).
Проблема в том что при указании в ACL ИП отправителя все пакеты начинают идти на хоп указанный в PBR включая и пакеты предназначенные на локальные адреса.
Пробовал избавиться от этого прописав в ACL разрешающие правила для локальных адресов перед правилом для PBR, но не помогло.
Как правильно настроить все это дело?

После каждого permit правила на которое ссылается PBR добавьте ещё deny правило на тот же трафик. Это скорее всего происходит из-за того что ACL в этой серии из-за PBR как раз действуют не до первого совпадения а до первого deny. Покажите исходные ACL и PBR профили.

Вот конфиг


Четвертое правило в АЦЛ это клиент, первое локальные адреса.
ПБ правило соответственно настроено на АЦЛ 4-1.
И не работает, точнее пакеты в интернет уходят, а вот локальные бегают по кругу и помирают по ТТЛ.

ЗЫ: прошивка Build 2.50.B25

Так конечно неправильно. У Вас же клиенты попадают под первое правило. Сначала нужно располагать более конкретные правила, потом более общие.


create access_profile profile_id 1 ip source_ip_mask 255.255.255.255
config access_profile profile_id 1 add access_id 1 ip source_ip 172.23.160.24 port 1-24 permit rx_rate no_limit
config access_profile profile_id 1 add access_id 2 ip source_ip 172.23.160.24 port 1-24 deny
create access_profile profile_id 2 ip destination_ip_mask 255.240.0.0
config access_profile profile_id 2 add access_id 1 ip destination_ip 172.23.16.0 port 1-24 permit rx_rate no_limit

create policy_route name 111
config policy_route name 111 acl profile_id 1 access_id 1 nexthop 172.23.167.254 state enable

Немного не так. первое правило определяет локальный траффик (проверяется destination IP). А второе уже конкретных клиентов (source IP)

# ACL

create access_profile profile_id 1 ip destination_ip_mask 255.240.0.0

config access_profile profile_id 1 add access_id 1 ip destination_ip 172.23.16.0 port 1-24 permit rx_rate no_limit

config access_profile profile_id 1 add access_id 2 ip destination_ip 172.23.16.0 port 1-24 deny

create access_profile profile_id 4 ip source_ip_mask 255.255.255.255

config access_profile profile_id 4 add access_id 1 ip source_ip 172.23.160.24 port 1-24 permit rx_rate no_limit

config access_profile profile_id 4 add access_id 2 ip source_ip 172.23.160.24 port 1-24 deny


# PROUTE

create policy_route name 111

config policy_route name 111 acl profile_id 4 access_id 1 nexthop 172.23.167.254 state enable

Проблема в том, что PBR более приоритетен чем любые другие роуты, включая роут на интерфейсе и статические роуты.

Вобщем, если у меня даже все не правильно, то напишите полный конфиг такой, чтобы определенный клиент роутился в инет через определенный шлюз и при этом имел доступ к локальным ресурсам, по статическим роутам.

create access_profile profile_id 1 ip source_ip_mask 255.255.255.255 destination_ip_mask 255.240.0.0
config access_profile profile_id 1 add access_id 1 ip source_ip 172.23.160.24 destination_ip 172.23.16.0 port 1-24 permit rx_rate no_limit
config access_profile profile_id 1 add access_id 2 ip source_ip 172.23.160.24 destination_ip 172.23.16.0 port 1-24 deny
create access_profile profile_id 2 ip source_ip_mask 255.255.255.255
config access_profile profile_id 2 add access_id 1 ip source_ip 172.23.160.24 port 1-24 permit rx_rate no_limit
config access_profile profile_id 2 add access_id 2 ip source_ip 172.23.160.24 port 1-24 deny
create access_profile profile_id 3 ip destination_ip_mask 255.240.0.0
config access_profile profile_id 3 add access_id 1 ip destination_ip 172.23.16.0 port 1-24 permit rx_rate no_limit

create policy_route name 111
config policy_route name 111 acl profile_id 2 access_id 1 nexthop 172.23.167.254 state enable

Почитал- грустно. Будем ждать исправления этих багов, если они будут.

Вообще вводные данные: локальная сеть, 2 провейдера интернета. У каждого провайдера свой шлюз в сети. Надо сделать так чтоб часть пользователей сети заруливалась на один шлюз, часть на другой. При этом сетевые настройки у всех должны быть одинаковые, т.е. шлюзом был 3627. Плюс статические роуты в соседние сети.
Если это нельзя сделать на 3627, то на каком можно?

Всё это делается на 3627, просто статические роуты тоже нужно в PBR дублировать.

прописывание всех роутов в пбр и сами пбр влияют на производительность сети?

мы так какое-то время жили, пока не перенесли pbr на уровень выше.