1.2  配置需求及實現的效果

防火牆作為網絡出口設備，外網有移動和聯通兩條線路。內網有192.168.1.0和192.168.2.0兩個網段，需要實現192.168.1.0網段走移動線路，192.168.2.0網段走聯通線路。當兩條線路中的一條線路故障時數據可以通過正常鏈路轉發。

2 組網圖

3 配置步驟

3.1  上網配置

防火牆上網配置請參考“2.2.2 防火牆外網使用固定IP地址上網配置方法”進行配置，本文隻針對策略路由配置進行介紹。

3.2  新建訪問控製列表匹配移動和聯通數據

3.2.1  創建ACL匹配需要由移動鏈路轉發的數據

# 創建ACL 3000匹配192.168.1.0網段數據

<H3C>system-view

[H3C]acl advanced 3000

[H3C-acl-ipv4-adv-3000]rule 0 permit ip source 192.168.1.0 0.0.0.255

[H3C-acl-ipv4-adv-3000]quit

3.2.2  創建ACL匹配需要由聯通鏈路轉發的數據

# 創建ACL 3001匹配192.168.2.0網段數據

[H3C]acl advanced 3001

[H3C-acl-ipv4-adv-3001]rule 0 permit ip source 192.168.2.0 0.0.0.255

[H3C-acl-ipv4-adv-3001]quit

3.3  創建策略路由

3.3.1  創建移動策略路由節點

# 創建策略路由neiwang節點5匹配192.168.1.0網段的數據由移動線路轉發。

[H3C]policy-based-route neiwang node 5

[H3C-pbr-neiwang-5]if-match acl 3000

[H3C-pbr-neiwang-5]apply next-hop 1.1.1.2

[H3C-pbr-neiwang-5]quit

注：next-hop後的地址為移動線路的網關

3.3.2  創建移動策略路由節點

# 創建策略路由neiwang節點10匹配192.168.2.0網段的數據由聯通線路轉發。

 [H3C]policy-based-route neiwang node 10

 [H3C-pbr-neiwang-10]if-match acl 3001

 [H3C-pbr-neiwang-10]apply next-hop 2.2.2.2

 [H3C-pbr-neiwang-10]quit

注：next-hop後的地址為聯通線路的網關

3.4  應用策略

# 在防火牆連接內網的接口GigabitEthernet 1/0/4口調用策略路由

[H3C]interface GigabitEthernet 1/0/4

[H3C-GigabitEthernet1/0/4]ip policy-based-route neiwang

[H3C-GigabitEthernet1/0/4]quit

注：策略路由必須調用在內網接口才能生效。

3.5  保存配置

[H3C]save force