如何通过路由策略功能限制网段间互通-云企业网(CEN)-阿里云帮助中心

本文为您介绍如何通过路由策略功能限制专有网络VPC（Virtual Private Cloud）与某个网段间的互通关系。

前提条件

说明

本文仅适用于基础版转发路由器。

本地IDC已经通过专线与阿里云连接。具体操作，请参见本地IDC通过专线访问云服务器ECS。
您已经创建了云企业网实例，并将需要互通的网络实例连接到云企业网实例中。具体操作，请参见云企业网实例和网络实例连接。

背景信息

默认情况下，云企业网采取VPC与VPC、边界路由器VBR（Virtual Border Router）和云连接网CCN（Cloud Connect Network）各个网段间互通的策略，但在特定场景下，您可能需要限制VPC与VPC、VBR以及CCN某个网段间的互通关系。限制网段间互通

如上图，VBR通过BGP从IDC侧学习到网段1和网段2两条路由，VPC、VBR均加入到云企业网中。默认情况下，VPC与IDC网段1和IDC网段2互通。如果您不希望VPC与IDC网段1互通，您可以通过路由策略限制VPC与IDC网段1间的互通关系，VPC与IDC网段2依然可以互通。

步骤一：设置拒绝通过VBR网段1路由的路由策略

完成以下操作，设置拒绝通过VBR网段1路由的路由策略。

登录云企业网管理控制台。
在云企业网实例页面，找到目标云企业网实例，单击目标实例ID。
在云企业网实例详情页面，根据要配置路由策略的地域，单击该地域的转发路由器ID。
在转发路由器详情页面，单击转发路由器路由表页签，然后单击路由策略。
在路由策略页面，单击添加路由策略。根据以下信息配置路由策略，然后单击确定。
- 策略优先级：路由策略的优先级。优先级数字越小，优先级越高。本示例输入20。
- 地域：选择路由策略应用的地域。本示例输入华东1（杭州）。
- 生效方向：选择路由策略应用的方向。本示例选择入地域网关。
- 匹配条件：路由策略的匹配条件。本示例添加以下两个匹配条件：
  - 源实例ID列表为VBR实例ID。
  - 路由前缀为192.168.0.0/24，且匹配方法选择精确匹配。
- 策略行为：选择策略行为。本示例选择拒绝。
添加路由策略后，您可以在网络实例路由信息页签下查看VPC中已经删除了去往192.168.0.0/24的路由。路由策略配置完成后，在云企业网转发路由器的网络实例路由信息页签中验证效果：配置前，路由表中存在目标网段为 192.168.0.0/24 的云企业网路由条目（状态为可用，下一跳为华东1（杭州））；配置后，该路由条目已被策略过滤移除，不再出现在路由表中，表明拒绝策略已生效。

步骤二：测试网络连通性

完成以下操作，测试VPC与IDC侧网段1的网络连通性。
1. 登录VPC下的ECS实例。
2. 通过ping命令pingIDC侧网段1的IP地址，验证通信是否正常。
  经验证，ECS实例不能访问IDC侧网段1的IP地址。
```
[root@xxx ~]# ping 192.168.0.1
PING 192.168.0.1 (192.168.0.1) 56(84) bytes of data.
^C
--- 192.168.0.1 ping statistics ---
17 packets transmitted, 0 received, 100% packet loss, time 15999ms
```

完成以下操作，测试VPC与IDC侧网段2的网络连通性。

登录VPC下的ECS实例。

通过ping命令pingIDC侧网段2的IP地址，验证通信是否正常。

经验证，ECS实例可以访问网段2的IP地址。

C:\Users\Administrator>ping 10.0.0.1
正在 Ping 10.0.0.1 具有 32 字节的数据:
来自 10.0.0.1 的回复: 字节=32 时间<1ms TTL=128
来自 10.0.0.1 的回复: 字节=32 时间<1ms TTL=128
来自 10.0.0.1 的回复: 字节=32 时间<1ms TTL=128
来自 10.0.0.1 的回复: 字节=32 时间<1ms TTL=128
10.0.0.1 的 Ping 统计信息:
    数据包: 已发送 = 4, 已接收 = 4, 丢失 = 0 (0% 丢失),
往返行程的估计时间(以毫秒为单位):
    最短 = 0ms, 最长 = 0ms, 平均 = 0ms