业务策略规则配置为根据应用程序、源和目标等条件来引导流量、管理带宽并确保服务质量。各个级别的操作员、合作伙伴和管理员都可以创建业务策略。业务策略匹配一些参数,例如,IP 地址、端口、VLAN ID、接口、域名、协议、操作系统、对象组、应用程序和 DSCP 标记。在数据包符合匹配条件时,将执行一个或多个关联的操作。如果数据包与任何参数均不匹配,则会对该数据包执行默认操作。

开始之前:知道设备的 IP 地址并了解设置通配符掩码的影响。

要创建业务策略,请执行以下操作:
  1. SD-WAN Orchestrator 中,单击配置 (Configure) > 配置文件 (Profiles) > 业务策略 (Business Policy)
  2. 业务策略 (Business Policy) 页面将显示现有的策略。要创建新的业务策略,请单击新建规则 (New Rule)
  3. 在显示的配置规则 (Configure Rule) 窗口中,配置以下内容:
  4. 规则名称 (Rule Name) 框中,为规则输入唯一的名称。
  5. 匹配 (Match) 区域下面,配置流量的匹配条件。您选择的选项可能会更改对话框中的字段:
    设置 描述
    类型 默认情况下,将选择 IPv4 地址类型。您可以根据所选“类型”(Type) 配置源和目标 IP 地址,如下所示:
    • 混合 (Mixed) - 允许在匹配条件中配置 IPv4 和 IPv6 地址。如果选择该模式,您可以从包含的地址组具有两种地址类型的对象组中选择 IP 地址。
    • IPv4 - 适用于仅以 IPv4 地址作为源和目标的流量。默认情况下,将选择该地址类型。
    • IPv6 - 适用于仅以 IPv6 地址作为源和目标的流量。
      注: 要配置具有 混合 (Mixed)IPv6 地址类型的业务策略规则,您必须使用新的 Orchestrator UI。有关更多信息,请参阅 使用新 Orchestrator UI 创建业务策略规则
    注: 升级时,以前版本中的业务策略规则会移至 IPv4 模式。
    允许指定源流量的匹配条件。选择任何以下选项:
    • 任意 (Any) - 默认情况下,匹配所有源流量。
    • 对象组 (Object Group) - 允许您选择要与源匹配的地址组和端口组组合。

      如果“地址类型”(Address Type) 为“IPv4”,则仅将地址组中的 IPv4 地址视为与流量源匹配。

      如果“地址类型”(Address Type) 为“IPv6”,则仅将地址组中的 IPv6 地址视为与流量源匹配。

      如果“地址类型”(Address Type) 为“混合”(Mixed),则仅将地址组中的 IPv4 和 IPv6 地址视为与流量源匹配。

      有关更多信息,请参阅对象组使用对象组配置业务策略
      注: 如果选定的地址组包含任何域名,在与源进行匹配时,将忽略这些域名。
    • 定义 (Define) - 允许您为来自特定 VLAN、接口、IP 地址、端口或操作系统的源流量定义匹配条件。选择以下选项之一,默认情况下,将选择无 (None)
      • VLAN - 匹配来自从下拉菜单中选择的指定 VLAN 的流量。
      • 接口 (Interface) - 匹配来自从下拉菜单中选择的指定接口的流量。
        注: 如果无法选择某个接口,则表明该接口未启用或未分配给此分段。
      • IP 地址 (IP Address) - 匹配来自指定 IP4 或 IPv6 地址的流量。此选项不适用于混合 (Mixed) 模式。除了 IP 地址以外,您还可以指定以下选项之一以匹配源流量:
        • CIDR 前缀 (CIDR prefix) - 如果要将网络定义为 CIDR 值(例如 172.10.0.0 /16),请选择该选项。
        • 子网掩码 (Subnet mask) - 如果要根据子网掩码(例如 172.10.0.0 255.255.0.0)定义网络,请选择该选项。
        • 通配符掩码 (Wildcard mask) - 如果您希望能够将策略实施范围缩小到不同 IP 子网中的一组设备(它们具有相同的匹配主机 IP 地址值),请选择该选项。通配符掩码与基于反向子网掩码的一个 IP 或一组 IP 地址相匹配。掩码二进制值中的“0”表示值是固定的,掩码二进制值中的“1”表示值是通配符(可以是 1 或 0)。例如,IP 地址为 172.0.0 的通配符掩码 0.0.0.255(二进制值等同于 00000000.00000000.00000000.11111111),前三个八位字节是固定值,最后一个八位字节是可变值。该选项仅适用于 IPv4 地址。
      • 端口 (Port) - 匹配来自指定源端口或端口范围的流量。
      • 操作系统 (Operating System) - 匹配来自从下拉菜单中选择的指定操作系统的流量。
    目标 (Destination) 允许指定目标流量的匹配条件。选择任何以下选项:
    • 任意 (Any) - 默认情况下,匹配所有目标流量。
    • 对象组 (Object Group) - 允许您选择要与目标匹配的地址组和端口组组合。

      如果“地址类型”(Address Type) 为“IPv4”,则仅将地址组中的 IPv4 地址视为与流量目标匹配。

      如果“地址类型”(Address Type) 为“IPv6”,则仅将地址组中的 IPv6 地址视为与流量目标匹配。

      如果“地址类型”(Address Type) 为“混合”(Mixed),则仅将地址组中的 IPv4 和 IPv6 地址视为与流量目标匹配。

      有关更多信息,请参阅对象组使用对象组配置业务策略
    • 定义 (Define) - 允许您为到特定 IP 地址、域名、协议或端口的目标流量定义匹配条件。选择以下选项之一,默认情况下,将选择任意 (Any)
      • 任意 (Any) - 匹配所有目标流量。
      • Internet - 匹配到目标的所有 Internet 流量(与 SD-WAN 路由不匹配的流量)。
      • Edge - 匹配到 Edge 的所有流量。
      • 通过网关的非 SD-WAN 目标 (Non SD-WAN Destination via Gateway) - 匹配到通过网关的指定 非 SD-WAN 目标(与配置文件关联)的所有流量。确保您在配置文件级别关联了通过网关的非 SD-WAN 站点。
      • 通过 Edge 的非 SD-WAN 目标 (Non SD-WAN Destination via Edge) - 匹配到通过 Edge 的指定 非 SD-WAN 目标(与 Edge 或配置文件关联)的所有流量。确保您在配置文件或 Edge 级别关联了通过 Edge 的非 SD-WAN 站点。
      协议 (Protocol) - 匹配从下拉菜单中选择的指定协议的流量。支持的协议包括:GRE、ICMP、TCP 和 UDP。
      注: 混合 (Mixed) 模式不支持 ICMP。

      域 (Domain) - 匹配在域名 (Domain Name) 字段中指定的域名的整个域名或一部分的流量。例如,“salesforce”将流量与“www.salesforce.com”进行匹配。

    应用程序 (Application) 选择任何以下选项:
    • 任意 (Any) - 默认情况下,将业务策略规则应用于任何应用程序。
    • 定义 (Define) - 允许选择特定应用程序以应用业务策略规则。此外,还可以指定一个 DSCP 值以匹配具有预设的 DSCP/TOS 标记的传入流量。
    注: 在创建仅与某个应用程序匹配的业务策略规则时,要为此类应用程序应用网络服务操作,Edge 可能需要使用 DPI(深入的数据包检查)引擎。通常,DPI 无法根据第一个数据包来确定应用程序。DPI 引擎通常需要使用流量中的前 5-10 个数据包以识别应用程序。仅对于收到的第一个数据包,流量可能会采用不同的路径,即“直接”而不是“多路径”或“Internet 回传”,具体取决于业务策略配置。
    根据匹配 (Match) 选项,可能无法使用某些操作。
  6. 操作 (Action) 区域下面,为规则配置操作:
    设置 描述
    优先级 (Priority) 将规则的优先级指定为以下级别之一:
    • 高 (High)
    • 常规 (Normal)
    • 低 (Low)
    选中速率限制 (Rate Limit) 复选框,以设置入站和出站流量方向的限制。
    网络服务 (Network Service) 网络服务 (Network Service) 设置为以下选项之一:
    • 直接 (Direct) - 将流量从 WAN 线路直接发送到目标,从而绕过 SD-WAN 网关
      注:

      默认情况下,Edge 首选安全路由,而不是业务策略。在实践中,这意味着 Edge 将通过多路径(分支到分支或通过网关的云,具体取决于路由)转发流量,即使业务策略配置为通过直接路径发送该流量也是如此,前提是 Edge 已从合作伙伴网关或其他 Edge 接收到安全默认路由或更具体的安全路由。

      可以通过为客户激活“安全默认路由覆盖”(Secure Default Route Override) 功能来覆盖合作伙伴网关安全路由的此行为。合作伙伴超级用户或操作员可以激活此功能,该功能会覆盖所有也与业务策略匹配的合作伙伴网关安全路由。“安全默认路由覆盖”(Secure Default Route Override) 不会覆盖 Hub 安全路由。

    • 多路径 (Multi-Path) - 将流量从一个 SD-WAN Edge 发送到另一个 SD-WAN Edge
    • Internet 回传 (Internet Backhaul) - 只有在目标 (Destination) 设置为 Internet 时,才会启用该网络服务。
      注: Internet 回传 (Internet Backhaul) 网络服务仅适用于 Internet 流量(传输到与已知本地路由或 VPN 路由不匹配的网络前缀的 WAN 流量)。

      有关这些选项的信息,请参阅为业务策略规则配置网络服务

    如果在配置文件级别启用了条件回传,它默认适用于为该配置文件配置的所有业务策略。您可以选中禁用条件回传 (Turn off Conditional Backhaul) 复选框,以便为选定的策略禁用条件回传以从该行为中排除选定的流量(直接、多路径和 CSS)。

    有关如何启用条件回传功能以及对其进行故障排除的更多信息,请参见条件回传

    链路转向 (Link Steering) 选择以下链路转向模式之一:
    • 自动 (Auto) - 默认情况下,所有应用程序设置为自动链路转向模式。当应用程序处于自动“链路转向”模式时,DMPO 会根据应用程序类型自动选择最佳链接,并在必要时自动启用按需修复。从下拉菜单中输入内部数据包 DSCP 标记,然后从下拉菜单中输入外部数据包 DSCP 标记。
    • 传输组 (Transport Group) - 在转向策略中指定以下任一传输组选项,以便可以在不同的设备类型或位置中应用相同的业务策略配置,这些类型或位置可能具有完全不同的 WAN 运营商和 WAN 接口:
      • 公用有线 (Public Wired)
      • 公用无线 (Public Wireless)
      • 专用有线 (Private Wired)
    • 接口 (Interface) - 链路转向绑定到一个物理接口,并主要用于路由用途。
      注: 仅允许在 Edge 覆盖级别使用该选项。
    • WAN 链路 (WAN Link) - 允许根据特定的专用链路定义策略规则。对于此选项,接口配置是独立的,且不同于 WAN 链接配置。您将能够选择手动配置或自动发现的 WAN 链接。
      注: 仅允许在 Edge 覆盖级别使用该选项。
    注: 如果“网络服务”(Network Service) 配置为 直接 (Direct),在链路转向模式下不支持仅 IPv6 接口和仅 IPv6 WAN 链路。

    有关底层网络和覆盖网络流量的链路转向模式以及 DSCP 和 DSCP 标记的更多信息,请参阅配置链路转向模式

    NAT 激活或停用 NAT。此选项不适用于混合 (Mixed) 模式。有关更多信息,请参阅配置基于策略的 NAT
    服务类别 (Service Class) 选择以下服务类别选项之一:
    • 实时 (Real-time)
    • 事务性 (Transactional)
    • 批量 (Bulk)
    注: 此选项仅适用于自定义应用程序。
    VMware 应用程序/类别属于这些类别之一。
  7. 单击确定 (OK)。将为选定配置文件创建业务策略规则,该规则显示在配置文件业务策略 (Profile Business Policy) 页面的业务策略 (Business Policy) 区域下面。

    对于 IPv6混合 (Mixed) 模式,只能从 Orchestrator 创建业务策略规则。您只能通过 API 执行其余操作,例如“更新”(Update) 和“删除”(Delete)。

相关信息:覆盖网络 QoS CoS 映射