【求助】Cisco3560路由的问题

hello 各位兄弟 想请教一下
; C4 Z7 X" p+ {! `- X, ECisco3560交换机在默认路由不改的情况下 怎么做一个基于内网某IP的特定端口的路由策略或者ACL 使得这个特定IP特定端口的数据不走默认路由 而是走另一个网关出去
: |0 G9 t, D+ f' z/ q
小弟公司的内网是用3560直接接外网光猫上的 然后有2个防火墙接在3560上作为网关
一个是netscreen 一个是isa（公司有多个公网地址可以用）

9 V0 i5 G% _5 y; e3 T3560上写的默认路由是走netscreen 这样内网通往外网的数据到达3560后会被转给netscreen 再由netscreen送到外网
* w( k! r) I1 c8 U' e* {
" p* {+ ], \  Y" |( O4 ?" T8 H现在我想做一件事情
就是我让内网某个PC的特定端口的数据到达3560后 不走netscreen 而是交给isa 再由isa送到外网

, F; @( \# [* Y; R但是该PC其他端口的数据照常按默认路由 走netscreen

说白了 就是公司有2个大门 默认情况下 都走netscreen这个门
$ K# v/ _0 Y/ C5 O1 N但是现在要求加一个特例：凡是来自172.25.3.11且端口号为3389的数据走isa这个门
9 y) V; F# _. N
其他不变

8 V) K5 r  Q5 E不知道有没有办法啊
小弟路由交换刚刚学习 还请多多指教啊

在3560上做策略路由。

凡是来自172.25.3.11且端口号为3389的数据走isa这个门

5 j5 l" i/ R5 d不知 道你这个"来自172.25.3.11",是指源地址还是目的地址呢?
如果是目的地址,那么在3560上加条静态路由不就可以了么.
, u, P5 q. y1 `( N2 J# n
没考虑端口因素.可能像二楼说的那个做策略路由.这个不是太懂.

用策略路由可以实现楼主的需求.
这里有一篇文章可以参考: 路由映射表和基于策略的控制路由

用策略路由
8 }; }# e# d( S) d5 u& \1、把你要走的那个地址ACL
2 e* N7 s: a- G
7 u" |1 a9 M1 W1 T) S8 ]如 access-list 2 permit 10.100.10.0 0.0.0.255
) t4 q8 l5 D' I; Y& H
# J* S: y) {0 ?( j/ \0 z2、在ISA出口的内网出口上配上
ip policy route-map NEXTHOP （NEXTHOP就是你取的名字，自己可定义）

3、在路由器上配上
route-map NEXTHOP permit 10
: s6 D7 \9 @* u" w. Jmatch ip address 1
+ V8 f$ h2 l- R4 P/ p; xset interface isa

- v& U" }' l- y: R4、你要特定PORT的话就再写一条ACL到ACL2，应用进去

用策略路由
然后直接做一条扩展的ACL，例如：ACCESS-LIST  110 permit ip 172.16.0.1 0。0.0.0 （源地址） any  eq  8080
route-map test permit 10
5 d$ i( R1 P' M. t- _match  ip address 110
( S- N3 a, p, Rset  ip next-hop ISA内往口地址
ip policy  route-map test(这条命令用在3560连内网的接口上)
这样应该就可以了。

楼上正解
用set interface的话可能还是set ip next-hop 好,前提是你知道下一跳地址，前者可能在同一接口上有多个IP，同时负载可能会高

谢过了

3560是交换机 可以做么？还有需要将isa的内口做成三层的vlan么？
( w: ^) t: S9 n5 s' _& H( \
* U% g9 W2 V/ S9 D6 ], \如果做的话，就是这样对么：
" m" B% b" _, ]  x8 c
access-list 110 permit 172.25.3.11 0.0.255.255 any eq 3389 ——这个是在3560 conf t下做的
3 @* H2 p6 D% ?! O0 i
, f8 i5 ~; {$ H1 O% O0 Eroute-map isa permit 10
% q/ R* j9 i* {3 Vmatch ip address 110
9 x% }/ M' Y4 B5 d& o* ^  @) V( Dset ip next-hop 172.25.0.110（isa内口） ——这些是在内网和3560的接口做的

ip policy route-map isa ——这个是在isa的内口上做的
" d+ C4 Z8 W! Z" z
' h. ]$ H% U/ W( z对吧？
6 [! f. O. y, c! ~8 e- u9 p
7 n# V  p1 v1 u6 F% ]$ l可是为什么会出现这个呢：
access-list 110 permit 172.25.3.11 0.0.255.255 any eq 3389
                          ^
% Invalid input detected at '^' marker.

access-list 110 permit 172.25.3.11 0.0.255.255 any eq 3389
3 u. p( b! z/ o4 R& M缺少了协议阿，应该是 access-list 110 permit ip 172.25.3.11 0.0.255.255 any eq 3389


+ Z4 Z, j6 w1 s+ bip  policy route-map isa 这条命令是做在交换机连内网的口上的，不是在ISA上的。