一. 匹配工具：
1. ACL：
企业网络中的设备进行通信时，需要保障数据传输的安全可靠和网络的性能稳定。
访问控制列表ACL（Access Control List）可以定义一系列不同的规则，设备根据这些规则对数据包进行分类，并针对不同类型的报文进行不同的处理，从而可以实现对网络访问行为的控制、限制网络流量、提高网络性能、防止网络攻击等。
访问控制列表是由permit或deny语句组成的一系列有顺序的规则集合，这些规则根据数据包的源地址、目标地址、源端口、目的端口等信息来描述ACL规则通过匹配报文的信息对数据包进行分类，路由设备根据这些规则判断哪些数据包可以通过，哪些数据包需要拒绝。
按照访问控制列表的用途，可以分为：
① 基本的访问控制列表（2000-2999）
② 高级的访问控制列表（3000-3999）
③ 二层访问控制列表（4000-4999）
（1）基本访问控制列表：
基本ACL可使用报文的源IP地址、时间段信息来定义规则，编号范围为2000-2999。一个ACL可以有多条“Permit/Deny”语句组成，每一条语句描述一条规则，每条规则有一个Rule-ID。Rule-ID可以有用户进行配置，也可以由系统自动根据步长生成，默认步长是5，Rule-ID默认按照配置先后顺序分配0、5、10、15等，匹配顺序按照ACL的Rule-ID的顺序，从小到大进行匹配。
① 步长：
华为设备默认步长为5，使用命令[Huawei-acl-basic-2000]step 10进行定义步长。
② Permit/Deny:
华为设备使用Acl进行流量匹配，匹配的动作分为Permit和Deny：
- Permit：匹配该流量
- Deny：不匹配此流量
③ 反掩码：
Acl使用反掩码来严格匹配网络位数：
- 0表示严格匹配
- 1表示不匹配
④ time range：
Acl可以基于时间段进行生效或失效，使用time range进行配置有效时间段（使用正确的系统时间）：
在配置Acl时进行绑定：
[Huawei-acl-basic-2000]rule 5 permit source 192.168.1.1 0 time-range telent
（2）高级访问控制列表：
基本访问控制列表只能用于匹配源IP地址，而在实际应用中往往需要针对数据包的其他参数进行匹配，比如目的IP地址、协议号、端口号等，所以基本的ACL局限性无法实现更多的功能，所以就需要使用高级的访问控制列表。
高级的访问控制列表在匹配项上做了扩展，编号范围为3000-3999，即可使用报文的源IP地址，也可以使用目的地址、IP优先级、IP协议类型、源端口号和目的端口号进行匹配。
配置命令：
[R1]acl 3000
[R1-acl-adv-3000]rule 5 permit tcp destination 192.168.1.0 0 destination-port eq 23 source 192.168.2.0 0.0.0.255
2. IP-Prefix：
ACL默认只能匹配路由条目，无法匹配掩码范围，路由前缀采用大于小于的形式来匹配路由，弥补了acl的不足
前缀列表，它可以将所定义的前缀列表相匹配的路由，根据定义的匹配模式进行过滤。前缀列表中的匹配条目由IP地址和掩码组成，IP地址可以是网段地址或者主机地址，掩码长度的配置范围为0-32，可以进行精确匹配货真在一定掩码长度范围内匹配，也可以通过配置关键字greater-equal和less-equal指定待匹配的前缀掩码长度。
前缀列表同时匹配前缀号和前缀长度，主要用于路由的匹配和控制，不能用于数据包的过滤。
Acl缺陷：
如图，网络中存在黑客行为，接入了一条11.1.0/25的网络，与网络中11.1.1.0/24存在冲突，当路由协议收敛后，会优先匹配11.1.1.0/25（子网掩码越长越优先），造成网络瘫痪。
使用acl进行匹配，11.1.1.0 0.0.0.0进行匹配，会将11.1.1.0/24进行阻塞掉，所以acl无法满足要求。
使用IP-Prefix进行匹配：11.1.1.0 24 greater-equal 25 less-equal 25
① 11.1.1.0 24：匹配路由条目 前24位是否与11.1.1.0相同。
② greater-equal 25 less-equal 25：匹配掩码为/25的路由。
（1）IP-Prefix基本格式：
① 只存在掩码：
[Huawei]ip ip-prefix 1 index 10 permit 10.0.0.0 16
- 匹配的数据包中的IP地址的掩码为/16
- 匹配的数据包中的IP地址的前16位IP地址一致
② 存在greater-equal和less-equa：
[Huawei]ip ip-prefix 1 index 10 permit 10.0.0.0 16 greater-equal 16 less-equal 17
① 掩码值16：首先匹配前16位是否一致，一致进入下一步，不一致忽略
② greater-equal 16 less-equal 17:匹配子网掩码是/16、/17
（2）IP-Prefix配置：
① 只存在掩码：
a) 只允许/24的子网掩码通过：
[Huawei]ip ip-prefix 1 index 10 permit 10.0.1.0 24-----------前24位与10.0.1.0一致并且子网掩码是24位
b) 匹配默认路由：
[Huawei]ip ip-prefix 1 index 10 permit 0.0.0.0 0-----------匹配默认路由
c) 匹配所有路由：
ip ip-prefix 1 index 10 permit 0.0.0.0 0 less-equal 32
d) 匹配所有主机路由：
e) ip ip-prefix 1 index 10 permit 0.0.0.0 0 greater-equal 32
② 存在greater-equal和less-equa：
① 匹配10.0.1.1/24和10.0.2.1/25的路由条目：
[Huawei]ip ip-prefix 1 index 10 deny 10.0.0.0 16 greater-equal 24 less-equal 25---匹配前16位一致的路由条目并且匹配子网掩码为24位到25位
[Huawei]ip ip-prefix 1 index 20 permit 0.0.0.0 0 less-equal 32------隐式为拒绝所有，所以配置允许所有
③ 匹配所有地址：
[Huawei]ip ip-prefix 1 index 20 permit 0.0.0.0 0 less-equal 32-----匹配所有
二. 流策略：
1. traffic-filter：
流过滤，用来阻止数据流的通信访问，使用ACL对源数据流进行匹配，可以是基本ACL对源进行匹配，也可以是高级ACL对目标进行匹配。
规则：
① 如果ACL定义的行为为Deny，则丢弃该报文
② 如果ACL定义的行为为Permit，则放行该报文
③ 如果ACL没有定义该报文的行文，放行该报文
配置举例：
只允许192.168.1.0的网段访问192.168.4.2，拒绝其余所有的流量访问192.168.4.2
AR2：
[Huawei-acl-adv-3000]rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.4.2 0
[Huawei-acl-adv-3000]rule 10 deny ip source any
[Huawei-GigabitEthernet0/0/1]traffic-filter inbound acl 3000
2.traffic-policy：
流策略，主要用于对数据流的策略行为，流策略是对流量转发的控制工具，它使用acl进行流量的匹配，使用流分类和流行为对数据流进行匹配与控制访问。
（1）traffic classifier：
流分类，用户可以使用流分类用来匹配traffic-policy中需要处理的流量，流分类使用acl进行流量的匹配：
[Huawei]traffic classifier 1 --------定义流量分类1
[Huawei-classifier-1]if-match acl 2000--------调用ACL规则
（2）traffic behavior：
流行为，在匹配除流量之后，使用traffic behavior定义对数据流的行为。
[Huawei]traffic behavior 1-------定义流量行为1
[Huawei-behavior-1]permit--------定义流行为
（3）traffic-policy:
当匹配完数据流，定义好数据流的行为之后，使用traffic-policy将流分类和流行为进行绑定，也可以用来调用ACL，并在端口上调用traffic-policy。
[Huawei]traffic policy 1-------定义流量策略1
[Huawei-trafficpolicy-1]classifier 1 behavior 1------绑定流量分类1和流量行为1
[Huawei]inter g0/0/1
[Huawei-GigabitEthernet0/0/1]traffic-policy 1 inbound------在接口上调用，当有流量进入vlan30的时候，启用流策略1
三. 路由策略：
路由协议在传递路由的时候，支持多种多样的路由控制技术，灵活的使用这些路由控制技术可以对数据选路进行精确的控制。
路由控制主要控制路由的属性，路由的传递进行选路的更改。其中实现进行路由的匹配，将所需要控制或修改的路由匹配，使用工具将其进行策略调度。
策略路由工具可以直接定义路由的信息，修改路由的出接口。
（1）用来匹配路由条目的工具有：
① ACL
② ip-prefix
（2）用来调用匹配路由条目的工具有：
① filter-policy：过滤策略
② route-policy：路由策略
1. filter-policy:
过滤策略，用于路由协议的路由通告过滤，filter-policy只能用于过滤路由，不能用于路由属性的修改，filter-policy隐式为丢弃所有。
Filter-policy可以分方向调用，outbound在接口的出方向调用；inbound在入接口调用。
（1）路由矢量 Filter-policy：
Filter-Plicy可以用于路由矢量的路由过滤，在路由进行传递路由和接收路由时进行路由的过滤行为。
R1禁止将loo1通告给R2，允许通告loo0和loo2：
① 配置路由匹配：
[Huawei]ip ip-prefix 1 index 5 deny 1.1.1.2 32 less-equal 32---拒绝loo2
[Huawei]ip ip-prefix 1 index 10 permit 0.0.0.0 0 less-equal 32---放行所有（默认为拒绝所有）
② RIP下调用Filter-policy：
[Huawei-rip-1]filter-policy ip-prefix 1 export GigabitEthernet 0/0/0---在接口下调用策略，并使用ip-prefic1匹配路由（如果所有的接口都使用过滤策略，可以不配置接口）
（2）链路状态 Filter-policy：
Filter-policy可以过滤路由，但是无法过滤LSA，所以Filter-policy只能修改本地路由，但是无法阻止LSA的传递。但是在abr处为距离矢量路由协议，默认只发送type3的lsa，所以可以采用filter-policy对区域间的路由进行过滤。
① 区域内做Filter-policy：
R2拒绝1.1.1.1/32路由：
① 配置路由匹配：
[Huawei]ip ip-prefix 1 index 5 deny 1.1.1.1 32
[Huawei]ip ip-prefix 1 index 10 permit 0.0.0.0 0 less-equal 32
② 本地过滤在OSPF下调用Filter-policy（area下无作用）：
[Huawei-ospf-1-area-0.0.0.0]filter ip-prefix 1 import
查看R2路由：
路由策略已经生效。
查看R3路由：
Filter-policy只能过滤路由条目，无法过滤LSA。
② 区域间做Filter-policy：
R3上过滤AREA0的1.1.1.1/32路由条目，禁止泛洪到AREA1中：
① 配置流量匹配：
[Huawei]ip ip-prefix 1 index 5 deny 1.1.1.1 32
[Huawei]ip ip-prefix 1 index 10 permit 0.0.0.0 0 less-equal 32
② ABR不同区域过滤在区域下调用Filter-policy：
[Huawei-ospf-1-area-0.0.0.0]filter ip-prefix 1 export-----在区域0中不允许acl2000中的路由条目去往其他区域
或：[Huawei-ospf-1-area-0.0.0.1]filter ip-prefix 1 inport---在区域1中不允许acl2000中的路由条目进入此区域
③ 防止路由引入导致环路：
拓扑中OSPF和RIP相互引入，如果192.168.5.0/24的网段断掉，RIP没有及时发送路由信息给OSPF,OSPF会从R8将192.168.5.0/24的网段在传回来，造成网络环路。
使用filter-policy过滤OSPF传递给rip的192.168.5.0/24网段：
[Huawei]ip ip-prefix 1 index 5 permit 192.168.5.0 24
[Huawei-ospf-1]filter-policy ip-prefix huawei export rip
2. Router-Policy：
路由策略，支持丰富的属性策略，可以用来修改路由的属性（cost、E1/E2）等。
（1）定义标准：
① Node：
Router-Policy由一个或多个节点（Node）构成。Node之间是“或”的关系。每个Node都有一个编号，路由项按照Node编号由小到大的顺序通过各个Node，如果Node被匹配，则执行动作，如果没有匹配，继续匹配下一个Node，当所有的Node都没有被匹配到，匹配默认隐式路由丢弃。
② If-math、apply：
- 每个node为“或”的关系，自上而下匹配，每个Node下可以有若干个if-match和apply（特殊情况下可以完全没有if-match和apply子句）.
- if-match之间是“与”的关系。If-match子句用来定义匹配规则，即路由项通过Node所需要满足的条件，匹配兑现更新路由项的某些属性。
注1：as-path-filter、interface、community-filter、extcommunity-filter、route-type为“或”的关系，其余的If-math都为“与”的关系
注2：如果定义了ACL，但是ACL没有定义匹配目标，则默认使用隐式deny Any；如果没有定义ACL，则匹配所有
- 当满足If语句中的所有条件时，Apply子句用来规定处理动作,Apply中所有的动作都将执行。
③ permit/deny：
Router-policy的每个Node都有相应的permit模式或deny模式。
① permit模式：当路由项满足该node的所有if-match子句时，就被允许通过node的过滤并执行该Node的子句进行属性的apply属性修改。
② deny模式：当路由项满足该node的所有if-match子句时，就被拒绝通过该Node的过滤不执行apply的项目，直接输出。
（2）配置Router-Policy：
① OSPF引入rip修改cost值：
① 匹配路由：
[Huawei]ip ip-prefix 1 deny 1.1.1.1 32
② 定义规则：
[Huawei]route-policy huawei deny node 5---定义节点5
[Huawei-route-policy]if-match ip-prefix 1
[Huawei]route-policy huawei permit node 10---------定义节点10放行其余流量（隐式拒绝其余流量）
[Huawei-ospf-1]import-route rip route-policy 1----引入rip时调用router-policy
路由条目1.1.1.1/32的COST值被修改为100
② OSPF引入RIP路由修改E1/E2:
① 匹配路由：
[Huawei]ip ip-prefix 2 deny 1.1.1.1 32
② 定义规则：
[Huawei]route-policy Etype deny node 5---定义节点5
[Huawei-route-policy]if-match ip-prefix 2
[Huawei]route-policy Etype permit node 10---------定义节点10放行其余流量（隐式拒绝其余流量）
[Huawei-ospf-1]import-route rip route-policy Etype----引入rip时调用router-policy
1.1.1.1的类型已被修改为类型1
3. policy-based route:
策略路由，可以直接定义路由的信息，修改路由的出接口。（路由策略也可指定下一跳）
注：策略路由只能使用ACL匹配数据流。
（1）PBR配置：
指定从E0/001接口收到的数据流量源ip为192.168.1.2走192.168.4.2：
[Huawei]acl 2000
[Huawei-acl-basic-2000]rule 5 permit souce 192.168.1.3 0
[Huawei]policy-based-route huawei permit node 5
[Huawei-policy-based-route-huawei-5]if-match acl 2000
[Huawei-policy-based-route-huawei-5]apply ip-address next-hop 192.168.4.2
[Huawei]inter e0/0/0
[Huawei-Ethernet0/0/0]ip policy-based-route Huawei
注：如果修改本设备发起流量的PBR，在全局模式下使用命令[Huawei]ip local
policy-based-route huawei
四. IE问题：
1. ACL：
（1）匹配奇数路由：
有路由条目：192.168.1.0、192.168.2.0、192.168.3.0、192.168.4.0、192.168.5.0、192.168.6.0、192.168.7.0，只匹配其中的奇数路由
奇数路由器最后一位为1，所以使用反掩码0匹配最后一位即可
192.168.1.0=====192.168.00000001.0
192.168.3.0=====192.168.00000011.0
192.168.5.0=====192.168.00000101.0
192.168.7.0=====192.168.00000111.0
=====192.168.00000001.0 反掩码：0.0.0.00000110.0
=====192.168.1.0 0.0.6.0
（2）匹配偶数路由：
有路由条目：192.168.1.0、192.168.2.0、192.168.3.0、192.168.4.0、192.168.5.0、192.168.6.0、192.168.7.0，只匹配其中的偶数路由
奇数路由器最后一位为0，所以使用反掩码0匹配最后一位即可
192.168.0.0=====192.168.00000000.0
192.168.2.0=====192.168.00000010.0
192.168.4.0=====192.168.00000100.0
192.168.6.0=====192.168.00000110.0
=====192.168.00000000.0 反掩码：0.0.00000110.0
=====192.168.0.0 0.0.6.0
（3）匹配默认路由：
① 使用any匹配所有：
[Huawei-acl-basic-2000]rule 10 permit source any
② 使用反掩码匹配所有：
反掩码0为严格匹配，1为不匹配，放行所有路由，所有为都不匹配，所以反掩码都是1
[Huawei-acl-basic-2000]rule 20 permit source 0.0.0.0 255.255.255.255
2. IP-Prefix:
（1）包含路由：
前缀列表ip ip-prefix 1 index 10 permit 10.1.0.0 21 greater-equal 24 less-equal 26，包含/24、/25、/26分别有多少条路由
① /24：
10.1.0.0 21 greater-equal 24 less-equal 26 前21位固定，由于是/24的网络掩码，所以网络位剩余3位不固定
10.1.0.00000 XXX.0/24，所以路由条目为2^3=8条，为10.1.0.0~10.1.7.0
② /25：
10.1.0.0 21 greater-equal 24 less-equal 26 前21位固定，由于是/25的网络掩码，所以网络位剩余4位不固定
10.1.0.00000 XXX.X0000000/25，所以路由条目为2^4=16条
分别为：
10.1.0.0/25 10.1.0.128/25
10.1.1.0/25 10.1.1.128/25
10.1.2.0/25 10.1.2.128/25
10.1.3.0/25 10.1.3.128/25
10.1.4.0/25 10.1.4.128/25
10.1.5.0/25 10.1.5.128/25
10.1.6.0/25 10.1.6.128/25
10.1.7.0/25 10.1.7.128/25
③ /26:
10.1.0.0 21 greater-equal 24 less-equal 26 前21位固定，由于是/26的网络掩码，所以网络位剩余5位不固定
10.1.0.00000 XXX.XX000000/25，所以路由条目为2^5=32条
分别为：
10.1.0.0/26 10.1.0.64/26 10.1.0.128/26 10.1.0.192/26
10.1.1.0/26 10.1.1.64/26 10.1.1.128/26 10.1.1.192/26
10.1.2.0/26 10.1.2.64/26 10.1.2.128/26 10.1.2.192/26
10.1.3.0/26 10.1.3.64/26 10.1.3.128/26 10.1.3.192/26
10.1.4.0/26 10.1.4.64/26 10.1.4.128/26 10.1.4.192/26
10.1.5.0/26 10.1.5.64/26 10.1.5.128/26 10.1.5.192/26
10.1.6.0/26 10.1.6.64/26 10.1.6.128/26 10.1.6.192/26
10.1.7.0/26 10.1.7.64/26 10.1.7.128/26 10.1.7.192/26
（2）包含主网路由：
① 包含所有A类路由：
- 自然网络：
A类路由是1.0.0.0/8~126.0.0.0/8，只有第一位为0，其余的七位都不一样，所以只匹配第一位一样，由于是自然网络，所以掩码为8
ip ip-prefix 1 index 10 permit 0.0.0.0 1 greater-equal 8 less-equal 8
- VLSM全A类地址：
由于划分了VLSN，使用前缀列表匹配所有的VLSM关于A类的路由，由于使用了VLSM，所以掩码不固定，但是肯定要大于/8，所以从9~32
ip ip-prefix 1 index 10 permit 0.0.0.0 1 greater-equal 9
② 包含所有B类路由：
- 自然网络：
B类路由是128.0.0.0/16~191.0.0.0/16，前两位为10，其余的都不一样，所以只匹配前三位一样，并且掩码为16
ip ip-prefix 1 index 10 permit 128.0.0.0 2 greater-equal 16 less-equal 16
- VLSM全B类地址：
由于划分了VLSN，使用前缀列表匹配所有的VLSM关于B类的路由，由于使用了VLSM，所以掩码不固定，但是肯定要大于/16，所以从17~32
ip ip-prefix 1 index 10 permit 128.0.0.0 2 greater-equal 17
③ 包含所有C类路由：
- 自然网络：
C类路由是192.0.0.0/24~223.0.0.0/24，前两位为110，其余的都不一样，所以只匹配前三位一样，并且掩码为24
ip ip-prefix 1 index 10 permit 192.0.0.0 3 greater-equal 24 less-equal 24
- VLSM全C类地址：
由于划分了VLSN，使用前缀列表匹配所有的VLSM关于C类的路由，由于使用了VLSM，所以掩码不固定，但是肯定要大于/24，所以从24~32
ip ip-prefix 1 index 10 permit 128.0.0.0 2 greater-equal 24
（3）全0路由：
① 默认路由：
ip ip-prefix 1 index 10 permit 0.0.0.0 0
只匹配0.0.0.0 掩码为0，所以只匹配了默认路由一条路由
② 所有路由：
ip ip-prefix 1 index 10 permit 0.0.0.0 0 less-equal 32
前0位一致，所有匹配所有的路由条目，掩码小于等于32，匹配所有的掩码路由，所以为匹配所有路由
③ 所有主机路由：
ip ip-prefix 1 index 10 permit 0.0.0.0 0 greater-equal 32
前0位一致，所有匹配所有的路由条目，掩码大于等于32，所以为32位的主机路由才能通过，所以为匹配所有主机路由
3. 路由引入：
路由引入只看路由表，路由表中有什么就引入什么
① AR2路由表中存在三条RIP路由
② AR2将RIP路由引入OSPF中，AR2数据库中会产生三条外部路由的5类LSA
③ AR4收到三条OSPF的外部路由
③ AR2将OSPF路由引入到ISIS区域中，路由器根据路由表的OSPF路由引入到IS-IS，RIP路由优于OSPF外部路由，所以路由表中的关于三条路由表示为RRIP路由，所以AR2不会将这三条外部路由以OSPF的方式引入到IS-IS中
④ 在AR2上配置一条静态路由指向1.1.1.1，此时路由表中去往1.1.1.1的路由为静态路由，所以在将RIP引入OSPF中，没有在引入1.1.1.1这条路由
4. 双点双向重分发：
使用Router-Policy对引入路由进行控制，防止次优路径和环路
① 在AR2上将RIP、OSPF路由互引
② 在AR1、AR4上将OSPF与IS-IS互引
（1）环路问题：
AR1和AR4会将引入的外部路由发布到IS-IS区域，AR1和AR4也会收到对方引入的相同的路由，路由又从两个方向重新引入到OSPF中，当RIP路由消失时，容易造成环路，所以在OSPF路由引入IS-IS时压入TAG，在重新引回OSPF时，过滤带TAG的路由
IS-IS在引入OSPF路由时增加TAG：
注：首先将所有的IS-IS路由器的Cost类型改为Wide
[Huawei]isis
[Huawei-isis-1]import-route ospf tag 100
在对端重新将IS-IS引入OSPF时过滤带TAG的路由：
引入的时候首先过滤掉带有Tag标记的路由，然后对引入的其余没有标记的路由压入Tag
① AR1中OSPF引入IS-IS路由时首先过滤Tag400的路由，将剩余的路由压入Tag100
② AR1中IS-IS引入OSPF路由时首先过滤Tag300的路由，将剩余的路由压入Tag200
③ AR4中OSPF引入IS-IS路由时首先过滤Tag200的路由，将剩余的路由压入Tag300
④ AR4中IS-IS引入OSPF路由时首先过滤Tag100的路由，将剩余的路由压入Tag400
AR1：
[Huawei]route-policy I2O deny node 5
[Huawei-route-policy]if-match tag 400
[Huawei]route-policy I2O permit node 10
[Huawei-route-policy]apply tag 100
[Huawei]ospf
[Huawei-ospf-1]import-route isis route-policy I2O
[Huawei]route-policy O2I deny node 5
[Huawei-route-policy]if-match tag 300
[Huawei]route-policy O2I permit node 10
[Huawei-route-policy]apply tag 200
[Huawei]isis
[Huawei-isis-1]import-route ospf route-policy O2I
AR4：
[Huawei]route-policy I2O deny node 5
[Huawei-route-policy]if-match tag 200
[Huawei]route-policy I2O permit node 10
[Huawei-route-policy]apply tag 300
[Huawei]ospf
[Huawei-ospf-1]import-route isis route-policy I2O
[Huawei]route-policy O2I deny node 5
[Huawei-route-policy]if-match tag 100
[Huawei]route-policy O2I permit node 10
[Huawei-route-policy]apply tag 400
[Huawei]isis
[Huawei-isis-1]import-route ospf route-policy O2I
（2）次优路径问题：
AR4和AR1访问1.1.1.1/32目标时，由于都是外部路由，ISIS的外部路由优先级为15，OSPF外部路由优先级为150，所以走IS-IS区域，造成次优路径问题
针对此路由条目在将其引入到IS-IS时将其IS-IS优先级调大
[Huawei]route-policy fifter permit node 5
[Huawei-route-policy]if-match tag 100
[Huawei-route-policy]apply preference 152
[Huawei]isis
[Huawei-isis-1]preference route-policy fifter