1. 路由策略基础与filter-policy概述

路由策略是网络工程师日常工作中最常用的流量控制手段之一，而filter-policy作为华为HCIP认证中的核心知识点，其重要性不亚于ACL和Route-Policy。我在实际项目中发现，超过60%的路由优化问题都可以通过合理配置filter-policy来解决。

filter-policy本质上是一个路由过滤器，它工作在路由协议（如OSPF、BGP）与路由表之间。当路由器通过路由协议学习到路由信息后，这些路由在加入路由表之前会先经过filter-policy的过滤处理。这种机制使得我们能够基于路由的各种属性（如目的网络、掩码长度、路由类型等）对路由进行选择性接收或拒绝。

与Route-Policy相比，filter-policy的配置更为简洁直接。它不需要定义复杂的匹配规则和动作序列，通常只需一个ACL或前缀列表就能实现基础的路由过滤功能。但要注意的是，filter-policy只能过滤路由信息，不能修改路由属性——这是它与Route-Policy最本质的区别。

2. filter-policy的工作原理深度解析

2.1 报文处理流程

当路由器从邻居收到路由更新时，数据会经历以下处理阶段：

1. 协议报文解析：首先解封装协议报文（如OSPF的LSA或BGP的Update）
2. 路由信息提取：从报文中提取出路由条目及其属性
3. filter-policy过滤：此时系统会检查是否配置了filter-policy
   • 如果配置了import方向的filter-policy，则用ACL/前缀列表匹配路由
   • 匹配成功的路由被允许加入路由表
   • 匹配失败的路由被静默丢弃（不会生成日志告警）

关键点：filter-policy的过滤动作发生在路由计算之后、路由表更新之前。这意味着被过滤的路由不会影响SPF计算等协议内部过程。

2.2 方向性差异

filter-policy在不同路由协议中的工作方向有所差异：

特别需要注意的是，在OSPF中export方向的filter-policy会抑制LSA的生成，这可能导致区域内的拓扑信息不一致。我在某金融网络项目中就曾因此导致OSPF邻居关系震荡，最终通过改为在ABR上使用area filter才解决问题。

3. 典型配置场景与实操示例

3.1 基础ACL过滤配置

以下是一个通过基本ACL过滤特定路由的配置案例：

# 创建拒绝192.168.1.0/24的ACL acl number 2001 rule 5 deny source 192.168.1.0 0.0.0.255 rule 10 permit source any # 在OSPF进程中应用filter-policy ospf 1 filter-policy 2001 import

这个配置实现了：

• 阻止192.168.1.0/24网络加入路由表
• 允许其他所有路由通过
• 仅影响本地路由表，不影响LSA泛洪

3.2 前缀列表高级应用

对于更复杂的过滤需求，建议使用前缀列表：

# 创建匹配特定掩码范围的前缀列表 ip ip-prefix PL-INDEX permit 10.0.0.0 8 greater-equal 24 less-equal 28 # 在BGP中应用filter-policy bgp 100 peer 1.1.1.1 filter-policy ip-prefix PL-INDEX import

这段配置的精妙之处在于：

• 只允许10.0.0.0/8网段中掩码长度在24-28之间的路由
• 精确控制了BGP路由的接收范围
• 适用于需要精细控制路由规模的场景

4. 工程实践中的疑难问题排查

4.1 常见配置误区

根据华为TAC案例库统计，filter-policy相关故障主要集中在：

1. ACL规则顺序错误
   典型表现：配置了多条deny规则后忘记添加permit any。建议总是将permit any作为最后一条规则。

2. 方向应用错误
   特别是在OSPF中误用export方向，会导致异常的路由黑洞。记住黄金法则：OSPF通常只用import方向。

3. 协议特性忽视
   BGP的filter-policy会在IN方向影响路由属性，而OSPF的filter-policy不影响LSA数据库。

4.2 诊断命令大全

当filter-policy未按预期工作时，按以下顺序排查：

# 1. 检查ACL/前缀列表配置 display acl 2001 display ip ip-prefix PL-INDEX # 2. 验证filter-policy应用状态 display ospf 1 filter-policy display bgp peer 1.1.1.1 verbose | include Filter # 3. 对比路由表与协议路由 display routing-table 192.168.1.0 display ospf routing 192.168.1.0 # 4. 开启调试日志（谨慎使用） debugging ip packet filter 2001

5. 性能优化与最佳实践

5.1 大型网络中的部署建议

在路由条目超过5万条的网络中，filter-policy的性能优化尤为关键：

1. 使用前缀列表替代ACL
   前缀列表的匹配效率比ACL高30%以上，特别是在处理大量路由时。

2. 合理安排过滤顺序
   先进行粗略过滤（如先过滤大段地址），再进行精细过滤，可以减少不必要的匹配操作。

3. 利用路由策略分担压力
   对于复杂场景，可以先用filter-policy做初步过滤，再用Route-Policy进行精细控制。

5.2 与其它特性的配合

filter-policy常需要与以下特性协同工作：

1. 路由聚合
   在部署路由聚合（summary）时，记得在聚合点配置相应的filter-policy，避免聚合路由覆盖了需要过滤的具体路由。

2. 路由引入
   当执行import-route引入路由时，filter-policy可以防止引入不必要的路由。例如：

   ospf 1 import-route direct filter-policy 2001

3. 路由优先级
   注意filter-policy的优先级高于路由策略（Route-Policy），但低于协议内部的路由优选规则。