S10500策略路由配置

vlan 312 用户vlan

ip add 10.3.12.0/24

vlan 801  服务器

10.20.22.0/24

10.20.23.0/24

需求：将vlan 312的部分IP策略路由到内网防火墙（策略路由中的下一跳地址），而其他地址以及其他vlan的交互正常走核心交换机的静态和直连路由。VLAN313则正常走核心交换机的直连路由表访问服务器。

问题现象：在以下配置在核心交换机上加入之后，ACL中匹配的源IP能正常访问到服务器，而其他地址和其他vlan都无法访问到服务器。

#

acl advanced 3901

 description User->Firewall->Service

 rule 5 permit ip source 10.3.12.0 0.0.0.63 destination 10.20.22.0 0.0.0.255

 rule 10 permit ip source 10.3.12.0 0.0.0.63 destination 10.20.23.0 0.0.0.255

 rule ip permit ip

#

policy-based-route pbr_datacenter permit node 10

 if-match acl 3901

 apply next-hop 10.96.196.14

 apply next-hop 10.96.196.13

#

acl advanced 3902

 description Service->Firewall->User

 rule 5 permit ip source 10.20.22.0 0.0.0.255 destination 10.3.12.0 0.0.0.63

 rule 10 permit ip source 10.20.23.0 0.0.0.255 destination 10.3.12.0 0.0.0.63

#

policy-based-route pbr_datacenter2 permit node 11

 if-match acl 3902

 apply next-hop 10.96.196.22

 apply next-hop 10.96.197.21

#

interface vlan-interface 312

ip policy-based-route pbr_datacenter

#

int Vlan801

ip policy-based-route pbr_datacenter2

qui

#