防火牆如何指定源地址

防火牆本地訪問默認使用出接口IP地址。

如果你靠近外網的那個接口不能訪問外網，可以把缺省路由指向靠近內網的那個接口，讓流量去內網繞一圈再回來，這樣源地址就變成另一個接口了。然後在入接口上啟用策略路由重新把流量引向外網並關閉路由快速轉發防止三層環路即可。

給你的樣例吧，僅供參考，實際環境更推薦和現場溝通修改其他設備的配置。

例：

#

interface GigabitEthernet1/0/0（內網口，地址和接口按實際的配置）

ip address 10.0.12.2 255.255.255.0

 ip policy-based-route test（調用策略路由，需要你先配置完策略路由，否則調用無效）

#

interface GigabitEthernet1/0/1（外網口，地址和接口按實際的配置）

ip address 10.0.23.2 255.255.255.0

#

security-zone name test（安全域，按實際的配置）

 import interface GigabitEthernet1/0/0

 import interface GigabitEthernet1/0/1

#

security-policy ip（安全策略按照實際情況調整，要允許Local訪問Trust以及允許Trust訪問Untrust等）

 rule 0 name test

  action pass

#

 ip route-static 0.0.0.0 0 10.0.12.1（默認路由引向內網）

#

acl advanced 3000（我測試為了方便直接permit ip了，請根據實際環境調整，起碼把源地址鎖定一下）

 rule 0 permit ip

#

undo ip fast-forwarding load-sharing（關掉快速轉發，不然可能造成三層環路）

#

policy-based-route test permit node 10（策略路由）

 if-match acl 3000

 apply next-hop 10.0.23.3

#