现在有三条专线防火墙做了策略路由，但是失效了

1. 检查策略路由配置是否正确

看策略路由的相关配置信息，确认策略配置正确。

2．确认流量是否匹配上指定的ACL

（1）查看ACL规则的配置，确认可以匹配进入的流量。注意：PBR中的if-match子句中使用ACL时，将忽略ACL规则的permit/deny动作以及time-range指定的规则生效时间段，只使用ACL中的匹配规则来匹配报文。如果使用的ACL不存在，则不匹配任何报文。

（2）如果ACL配置没问题，可以在流量进入的接口下发流量统计策略确认流量是否是从该接口进来。

3. 修改ACL规则

如果ACL未匹配上，可能是ACL规则写错，需要修改ACL规则。

4.  检查接口是否配置有其他的策略

如果接口下配置有其他的策略，比如packet-filter，因为packet-filter优先级比策略路由高，所以如果接口下配置了packet-filter，且流量匹配上了该策略，则会导致流量被匹配走，无法再继续往下匹配策略路由进行转发。packet-filter可以在二/三层物理接口及三层虚接口上下发，所以需要对下发策略路由相关的接口都进行配置排查。

5.  修改接口下packet-filter配置

如果接口下packet-filter配置和策略路由配置存在冲突，需要修改packet-filter的配置或者ACL的配置。

6.  确认策略路由下一跳是否可达

检测策略路由的下一跳是否可达，可直接在设备上ping下一跳地址进行测试。

7.  排查策略路由下一跳不可达原因

如果在设备上直接ping策略路由下一跳地址不通，先确认下一跳地址是否是设备直连地址，如果是设备直连地址，需查看是否有ARP表项，端口状态是否正常。如果不是设备直连地址，查看到该地址是否有路由。

8.  查看ACL资源是否足够

每个单板都有固定的ACL资源，如果设备上配置了很多ACL，下发了很多策略，导致ACL资源用完，则会导致下发PBR时资源不足，无法成功下发。

9.  精简优化设备ACL资源

如果ACL资源占用完，需要精简优化设备上的ACL，释放资源。

10.  查看底层ACL信息，确认策略是否在芯片成功下发

如果ACL资源足够，需要确认策略是否在底层芯片下发成功。可能由于设备问题或者其他问题导致策略没有在芯片成功下发。

11. 以上问题都不存在，那么收集信息，拨打4008100504寻求帮助。