我有聯通和移動兩條線路,想在F1000防火牆上做 主移動,備聯通,移動故障自動跳轉到聯通線路的設置,大體命令都上傳附件了,但現在有個問題就是,dis track all 是都生效的(如果NQA裏不配置next-hop那就隻有主的生效,我試過了),現在靜態路由寫的也是移動的默認60,聯通的70優先級。但現在是如果移動端口DOWN掉 整個效果是能跳轉的(靜態路由是能換用70 的),但如果隻是移動邏輯不通,口還是UP的,那就不生效,我看應該是靜態路由還是移動的,所以問問這個怎麼處理啊

(0)
您的配置存在以下不匹配:
策略路由有Track關聯:PBR的apply next-hop後麵有track 1和track 2
靜態路由無Track關聯:靜態路由隻是簡單的優先級設置,沒有與Track綁定
結果:PBR控製的流量(ACL 3100匹配的)能正常切換,但其他流量(不匹配PBR的)仍然走默認的靜態路由
解決方案
您需要將靜態路由也與Track關聯,讓靜態路由也能感知鏈路狀態。這裏有兩種方案:
方案一:修改靜態路由綁定Track(推薦)
這是最直接的解決方案:
# 刪除原來的靜態路由
undo ip route-static 0.0.0.0 0 223.99.*.233
undo ip route-static 0.0.0.0 0 153.58.*.89 preference 70
# 添加綁定Track的靜態路由
ip route-static 0.0.0.0 0 223.99.*.233 track 1
ip route-static 0.0.0.0 0 153.58.*.89 preference 70 track 2
配置解釋:
主路由(移動):綁定track 1,隻有當track 1狀態為Positive(NQA檢測正常)時,這條路由才生效
備路由(聯通):綁定track 2,隻有當track 2狀態為Positive時,這條路由才生效
優先級70確保主路由優先
當移動線路邏輯故障時,track 1變為Negative,主路由失效,係統自動切換到備路由
方案二:完全依賴PBR(如果所有流量都要主備切換)
如果您的網絡所有流量都需要主備切換,可以擴大PBR的匹配範圍:
# 創建一個匹配所有流量的ACL
acl advanced 3200
rule 0 permit ip
# 在現有PBR中添加新節點(放在前麵)
policy-based-route all_traffic permit node 5
if-match acl 3200
apply next-hop 223.99.*.233 track 1
policy-based-route all_traffic permit node 6
if-match acl 3200
apply next-hop 153.58.*.89 track 2
# 應用到內網口
interface GigabitEthernet1/0/16
ip policy-based-route all_traffic
完整配置建議
基於您的現有配置,我建議這樣調整:
# 1. 首先確認Track狀態
# 在故障時檢查:dis track all
# 應該看到track 1狀態為Negative,track 2為Positive
# 2. 修改靜態路由綁定Track
undo ip route-static 0.0.0.0 0 223.99.*.233
undo ip route-static 0.0.0.0 0 153.58.*.89 preference 70
ip route-static 0.0.0.0 0 223.99.*.233 track 1
ip route-static 0.0.0.0 0 153.58.*.89 preference 70 track 2
# 3. 可選:優化PBR配置,添加默認節點
policy-based-route live_streaming permit node 30
apply next-hop 223.99.*.233 track 1
policy-based-route live_streaming permit node 40
apply next-hop 153.58.*.89 track 2
驗證命令
配置後,使用以下命令驗證:
# 查看Track狀態
display track all
# 查看路由表,注意Flags字段
display ip routing-table protocol static
# 測試切換
# 1. 模擬移動線路故障:在接口下shutdown,或修改NQA目標為不可達IP
# 2. 查看路由切換:dis ip routing-table
# 3. 恢複後驗證回切
補充建議
NQA優化:
可以調整frequency為更短時間(如1000ms),加快檢測
可以同時探測多個目標(如網關和DNS),增加可靠性
回切延遲:
為防止鏈路抖動,可以設置回切延遲
在Track配置中:track 1 delay up 30 down 10
日誌監控:
開啟Track日誌:track 1 logging
方便故障時查看切換記錄
工作原理說明
正常狀態:track 1有效 → 主路由生效,備路由處於非激活狀態
故障狀態:track 1失效 → 主路由失效,係統自動選擇備路由(優先級70)
恢複狀態:track 1恢複 → 主路由重新激活,由於優先級更高,流量切回主路
這樣就實現了無論物理故障還是邏輯故障,都能自動切換。
(0)
暫無評論
你現在的問題就是 **“路由沒綁 Track”**。加上 track 1 後,當移動線路邏輯不通時,主路由會被 “踢” 出路由表,備路由就會自動頂上。
(0)
暫無評論
路由沒綁 Track”**。加上 track 1 後,當移動線路邏輯不通時,主路由會被 “踢” 出路由表,備路由就會自動頂上。
github.com/TencentYoutuResearch/SmartSnap/issues/3
github.com/TencentYoutuResearch/SmartSnap/issues/4
github.com/TencentYoutuResearch/SmartSnap/issues/5
github.com/TencentYoutuResearch/SmartSnap/issues/6
github.com/TencentYoutuResearch/SmartSnap/issues/7
(0)
暫無評論
防火牆作為網絡出口設備,外網有移動和聯通兩條線路。內網有192.168.1.0和192.168.2.0兩個網段,需要實現192.168.1.0網段走移動線路,192.168.2.0網段走聯通線路。當兩條線路中的一條線路故障時數據可以通過正常鏈路轉發。

防火牆上網配置請參考“2.2.2 防火牆外網使用固定IP地址上網配置方法”進行配置,本文隻針對策略路由配置進行介紹。
# 創建ACL 3000匹配192.168.1.0網段數據
<H3C>system-view
[H3C]acl advanced 3000
[H3C-acl-ipv4-adv-3000]rule 0 permit ip source 192.168.1.0 0.0.0.255
[H3C-acl-ipv4-adv-3000]quit
# 創建ACL 3001匹配192.168.2.0網段數據
[H3C]acl advanced 3001
[H3C-acl-ipv4-adv-3001]rule 0 permit ip source 192.168.2.0 0.0.0.255
[H3C-acl-ipv4-adv-3001]quit
# 創建策略路由neiwang節點5匹配192.168.1.0網段的數據由移動線路轉發。
[H3C]policy-based-route neiwang node 5
[H3C-pbr-neiwang-5]if-match acl 3000
[H3C-pbr-neiwang-5]apply next-hop 1.1.1.2
[H3C-pbr-neiwang-5]quit
注:next-hop後的地址為移動線路的網關
# 創建策略路由neiwang節點10匹配192.168.2.0網段的數據由聯通線路轉發。
[H3C]policy-based-route neiwang node 10
[H3C-pbr-neiwang-10]if-match acl 3001
[H3C-pbr-neiwang-10]apply next-hop 2.2.2.2
[H3C-pbr-neiwang-10]quit
注:next-hop後的地址為聯通線路的網關
# 在防火牆連接內網的接口GigabitEthernet 1/0/4口調用策略路由
[H3C]interface GigabitEthernet 1/0/4
[H3C-GigabitEthernet1/0/4]ip policy-based-route neiwang
[H3C-GigabitEthernet1/0/4]quit
注:策略路由必須調用在內網接口才能生效。
[H3C]save force
(0)
暫無評論
親~登錄後才可以操作哦!
確定你的郵箱還未認證,請認證郵箱或綁定手機後進行當前操作
舉報
×
侵犯我的權益
×
侵犯了我企業的權益
×
抄襲了我的內容
×
原文鏈接或出處
誹謗我
×
對根叔社區有害的內容
×
不規範轉載
×
舉報說明
暫無評論