防火墙双出口网络卡
- 0关注
- 0收藏，224浏览
问题描述：
场景：F1000防火墙，配置了双出口，一条专线，一条普通宽带，两条宽带默认路由负载，因为要配置ssl vpn连接公网地址，所以两个出口都勾选了保持上一条
现象：用户反应网络很卡，但是断开两条宽带中的任意一条宽带，网络就恢复正常很流畅了，是什么原因？应该如何解决？
- 2026-05-16提问
- 举报
-
(0)
配置文件看一下
- 2026-05-16回答
- 评论(4)
- 举报
-
(0)
配置我发在下面了
看配置没什么问题，而且你现在的配置也不是两条负载，是只走专线，按理说这个配置和你单走专线的情况是一样的，是不是专线带宽占满了导致卡顿的 ip route-static 0.0.0.0 0 GigabitEthernet1/0/1 36.151.68.33 preference 55 ip route-static 0.0.0.0 0 Dialer0
不会是跑满带宽导致的，因为用户反映，任意断开其中一条宽带，就恢复正常了，而且用户要求两条宽带要做负载
是因为发现有问题，所以临时配置了专线的宽带优先级55
配置如下：
<FW>dis cu
#
version 7.1.064, Release 8860P1211
#
sysname FW
#
clock protocol none
#
context Admin id 1
#
telnet server enable
#
irf mac-address persistent timer
irf auto-update enable
undo irf link-delay
irf member 1 priority 1
#
dialer-group 2 rule ip permit
#
dns server 8.8.8.8
dns server 114.114.114.114
#
sysid FW
#
password-recovery enable
#
vlan 1
#
vlan 10
#
object-group ip address FK
security-zone Trust
0 network subnet 10.100.251.0 255.255.255.0
#
object-group service SSLVPN
0 service tcp destination eq 4433
#
nqa template icmp gw
destination ip 218.2.135.1
#
interface Bridge-Aggregation10
port access vlan 10
#
interface Dialer0
mtu 1492
ppp chap password cipher $c$3$3XvsvzWq78brC2ipR/huDiLgl9rbMpglrA==
ppp chap user VJTyc515438410670000
ppp ipcp dns admit-any
ppp ipcp dns request
ppp pap local-user VJTyc515438410670000 password cipher $c$3$hPYolnbQ1gc1FvuVCLZt4KMdH6VOOJRVAA==
dialer bundle enable
dialer-group 2
dialer timer idle 0
dialer timer autodial 5
ip address ppp-negotiate
tcp mss 1400
#
interface NULL0
#
interface Vlan-interface10
ip address 10.100.10.3 255.255.255.0
#
interface GigabitEthernet1/0/0
port link-mode route
#
interface GigabitEthernet1/0/1
port link-mode route
description GuideWan Interface
ip address 36.151.68.47 255.255.255.224
ip last-hop hold
gateway 36.151.68.33
#
interface GigabitEthernet1/0/3
port link-mode route
ip last-hop hold
pppoe-client dial-bundle-number 0
#
interface GigabitEthernet1/0/4
port link-mode route
#
interface GigabitEthernet1/0/5
port link-mode route
#
interface GigabitEthernet1/0/6
port link-mode route
#
interface GigabitEthernet1/0/7
port link-mode route
#
interface GigabitEthernet1/0/8
port link-mode route
#
interface GigabitEthernet1/0/9
port link-mode route
#
interface GigabitEthernet1/0/10
port link-mode route
#
interface GigabitEthernet1/0/11
port link-mode route
#
interface GigabitEthernet1/0/12
port link-mode route
#
interface GigabitEthernet1/0/13
port link-mode route
#
interface GigabitEthernet1/0/14
port link-mode route
#
interface GigabitEthernet1/0/15
port link-mode route
#
interface GigabitEthernet1/0/18
port link-mode route
combo enable fiber
#
interface GigabitEthernet1/0/19
port link-mode route
combo enable fiber
#
interface GigabitEthernet1/0/20
port link-mode route
#
interface GigabitEthernet1/0/21
port link-mode route
#
interface GigabitEthernet1/0/22
port link-mode route
#
interface GigabitEthernet1/0/23
port link-mode route
#
interface GigabitEthernet1/0/24
port link-mode route
#
interface GigabitEthernet1/0/25
port link-mode route
#
interface GigabitEthernet1/0/2
port link-mode bridge
#
interface GigabitEthernet1/0/16
port link-mode bridge
port access vlan 10
combo enable fiber
port link-aggregation group 10
#
interface GigabitEthernet1/0/17
port link-mode bridge
port access vlan 10
combo enable fiber
port link-aggregation group 10
#
interface M-GigabitEthernet1/0/0
ip address 192.168.0.1 255.255.255.0
#
interface Ten-GigabitEthernet1/0/26
port link-mode route
#
interface Ten-GigabitEthernet1/0/27
port link-mode route
#
interface SSLVPN-AC1
ip address 10.100.100.1 255.255.255.0
#
security-zone name Local
#
security-zone name Trust
import interface Vlan-interface10
import interface Bridge-Aggregation10 vlan 10
import interface GigabitEthernet1/0/2 vlan 10
import interface GigabitEthernet1/0/16 vlan 10
import interface GigabitEthernet1/0/17 vlan 10
#
security-zone name DMZ
#
security-zone name Untrust
import interface Dialer0
import interface GigabitEthernet1/0/1
import interface GigabitEthernet1/0/3
#
security-zone name Management
import interface M-GigabitEthernet1/0/0
#
security-zone name SSLVPN
import interface SSLVPN-AC1
#
scheduler logfile size 16
#
line class console
authentication-mode scheme
user-role network-admin
#
line class vty
user-role network-operator
#
line con 0
user-role network-admin
#
line vty 0 4
authentication-mode scheme
user-role network-admin
idle-timeout 30 30
#
line vty 5 63
authentication-mode scheme
user-role network-admin
#
ip route-static 0.0.0.0 0 GigabitEthernet1/0/1 36.151.68.33 preference 55
ip route-static 0.0.0.0 0 Dialer0
ip route-static 10.100.0.0 16 Vlan-interface10 10.100.10.1
#
info-center loghost 127.0.0.1 port 3301 format default
info-center source CFGLOG loghost level informational
#
ssh server enable
#
acl advanced 3999
rule 0 permit ip
#
domain system
#
domain default enable system
#
role name level-0
description Predefined level-0 role
#
role name level-1
description Predefined level-1 role
#
role name level-2
description Predefined level-2 role
#
role name level-3
description Predefined level-3 role
#
role name level-4
description Predefined level-4 role
#
role name level-5
description Predefined level-5 role
#
role name level-6
description Predefined level-6 role
#
role name level-7
description Predefined level-7 role
#
role name level-8
description Predefined level-8 role
#
role name level-9
description Predefined level-9 role
#
role name level-10
description Predefined level-10 role
#
role name level-11
description Predefined level-11 role
#
role name level-12
description Predefined level-12 role
#
role name level-13
description Predefined level-13 role
#
role name level-14
description Predefined level-14 role
#
user-group system
#
local-user admin class manage
password hash $h$6$Gl+ntUknVatpizkY$8WYrCLp9PPH+Jgyyy4Uf0SSCsXt4vvcn+z4Stnbloa/ISK9tREIgc/8Ei7ufh6lCSvB2AlXNgF/cMlNUoUPN4w==
service-type ssh telnet terminal http https
authorization-attribute user-role level-3
authorization-attribute user-role network-admin
authorization-attribute user-role network-operator
#
local-user chenlongfei class network
password cipher $c$3$PrSIBWgF0THQ3Rkb8v7fZxnn2oEqz/MfuBEm
access-limit 3
service-type sslvpn
authorization-attribute user-role network-operator
authorization-attribute sslvpn-policy-group SSLVPN
description
#
local-user luotianyu class network
password cipher $c$3$DobmT+EbPboGWFsKkaZJvr47ocl7DXk8IuufaxY=
access-limit 2
service-type sslvpn
authorization-attribute user-role network-operator
authorization-attribute sslvpn-policy-group SSLVPN
description
#
local-user test class network
password cipher $c$3$RWVBeHbJzY1lziyHn2W/lXD/m4ncla2AAszzYw==
service-type sslvpn
authorization-attribute user-role network-operator
# attribute sslvpn-policy-group SSLVPN
---- More ----
public-key peer 127.0.0.1
public-key-code begin
30819F300D06092A864886F70D010101050003818D0030818902818100C5E8C3EE520DE8B6
0F41484B69EAD67E040C43A05D598286E946D8305D4B774C50A6948DC977FF91C1B423DA99
861FDF1DAD27DE57F7CACB85CA49EB59A355F0AE0E05D9BCD254C5AF18A321BBE770B87768
C9025D100FF9370725232FE7D8784C9F358734D9F42ACE28DF2D0AEC2B5D9C225EDC100AF5
DC0DCFED27DE46E4AD0203010001
public-key-code end
peer-public-key end
#
session statistics enable
#
nat global-policy
rule name GlobalPolicyRule_1
description GuideNat
source-zone Trust
destination-zone Untrust
action snat easy-ip
counting enable
#
ip https enable
#
blacklist global enable
#
app-profile 1_IPv4
ips apply policy default mode protect
data-filter apply policy default
url-filter apply policy default
file-filter apply policy default
anti-virus apply policy default mode protect
waf apply policy default mode protect
apt apply policy default
#
loadbalance link-group lg_all
transparent enable
success-criteria at-least 1
link lianlu1
weight 2
success-criteria at-least 1
probe gw
link lianlu2
weight 2
success-criteria at-least 1
probe gw
#
loadbalance isp file flash:/lbispinfo_v1.5.tp
#
loadbalance link lianlu1
router ip 36.151.68.33
#
loadbalance link lianlu2
router interface Dialer0
#
traffic-policy
all-traffic-control enable
rule 1 name FK_xiansu_50M
action qos profile fk_xiansu_50m
source-address address-set FK
source-zone Trust
destination-zone Untrust
profile name fk_xiansu_50m
bandwidth upstream maximum per-ip 50000
bandwidth downstream maximum per-ip 50000
#
sslvpn ip address-pool "SSLVPN IP" 10.100.100.10 10.100.100.100
sslvpn ip address-pool SSLVPN0.100.100.10 10.100.100.100
#
sslvpn gateway SSLVPN
ip address 36.151.68.47 port 4433
service enable
#
sslvpn context SSL
gateway SSLVPN
ip-tunnel interface SSLVPN-AC1
ip-tunnel address-pool SSLVPNask 255.255.255.0
ip-route-list
include 10.100.0.0 255.255.0.0
policy-group SSLVPN
filter ip-tunnel acl 3999
ip-tunnel access-route ip-route-list
force-logout max-onlines enable
service enable
#
security-policy ip
rule 2 name senbo
logging enable
source-zone Trust
destination-zone Untrust
source-ip-subnet 10.100.10.0 255.255.255.0
source-ip-subnet 10.100.230.0 255.255.254.0
source-ip-subnet 10.100.240.0 255.255.254.0
rule 1 name any-any
action pass
logging enable
profile 1_IPv4
rule 0 name GuideSecPolicy
action pass
source-zone Trust
destination-zone Untrust
destination-zone DMZ
#
security-policy ipv6
#
cloud-management server domain opstunnel-seccloud.h3c.com
#
return
- 2026-05-16回答
- 评论(0)
- 举报
-
(0)
一、根因精准定位
- 两条出口都下发0.0.0.0 默认路由，优先级一致，防火墙等价路由 ECMP 随机转发
- 又同时开启保持上一跳，出网走专线、回包走宽带 / 出网走宽带、回包走专线，来回路径不一致（不对称路由）
- 部分网站、DNS、SSL VPN 流量来回跨运营商转发，延迟暴增、会话异常、网页加载慢
- 断开任意一条，只剩单路由 + 单出接口，路由唯一，立刻恢复流畅
二、现象对应逻辑
- 双出口全开：等价路由随机出 + 保持上一跳乱回包 → 卡顿、丢包
- 关掉任意一条：只剩唯一默认路由，选路固定，路径对称 → 立刻流畅
三、解决办法（H3C F1000 直接落地）
方案 1 最优：主备模式（最稳，适合有专线优先）
- 专线做主默认路由，优先级高
- 宽带做备份默认路由，优先级低
- 只在主线路故障时自动切备份
- 两条都关闭 保持上一跳（最关键）
# 专线默认路由 优先级60
ip route-static 0.0.0.0 0 专线下一跳 preference 60
# 宽带备份路由 优先级70
ip route-static 0.0.0.0 0 宽带下一跳 preference 70
方案 2 必须负载均衡场景（需要双线同时跑）
- 关闭两条出口全部 保持上一跳（根治不对称路由）
- 改用策略路由 / 智能选路，不要纯等价默认路由
- 内网用户、普通上网走宽带，SSL VPN、业务专线流量强制走专线
- 禁止 0.0.0.0 两条等价路由乱分担
方案 3 针对 SSL VPN 专属需求
- 写明细静态路由：VPN 公网网段 固定指向专线出口
- 普通上网再做负载 / 主备
- 彻底避免 VPN 流量来回跳线路
四、必关配置（90% 卡顿都是它导致）
- 开启保持上一跳：报文从哪个口进来，回包强行从哪个口出去
- 双出口等价路由 + 这个功能 = 100% 路由来回错乱
五、快速临时排查命令
display ip routing-table # 查看两条0.0.0.0是否同时存在
display session table # 看大量会话出接口回接口不一致
六、最简总结
- 卡顿根源：双等价默认路由 + 双出口同时开启保持上一跳 → 路由来回不对称
- 最快解决：删掉一条默认路由改成主备，全部关闭保持上一跳
- 要双线复用：做智能选路 / 策略路由，不使用两条平等默认路由
- 2026-05-16回答
- 评论(0)
- 举报
-
(0)
根据你描述的现象——两条宽带同时接时网络卡顿，但断开任意一条就恢复正常——这基本可以断定问题出在流量路径不一致。下面是问题分析和解决方案。
问题诊断：数据包“有去无回”
你的用户感觉网络“卡”，根源是防火墙的会话机制导致了数据包丢弃。
简单来说，问题发生的过程是这样的：
出站路径：你配置了两条等价的默认路由，出口不做区分。当用户访问网络时，防火墙会将不同的连接随机分配给两条线路。比如，内网用户访问某个网站的第一个数据包走了专线。
回程路径：专线的网关在收到数据包后，会正常转发给网站。但是，当网站的回应数据包到达防火墙时，它必须原路返回，才能被防火墙的会话表识别并放行。
你遇到的问题：现在，某个连接的回包可能走到了普通宽带线路上。防火墙一查，发现这个回包的源IP、目的IP、端口等信息，在它为该连接建立的会话表里，对应的出接口是“专线”，但实际收到的接口却是“普通宽带”。因为路径不一致，防火墙认为这个回包是“来路不明”的，直接丢弃。
为何断开一条就恢复：当你断开任意一条线路后，所有流量都只能走唯一剩下的那条路，出站和回程路径自然就一致了，所以网络瞬间恢复。
H3C 官方案例库中也有明确记录：多出口场景下，如果不在出接口配置 ip last-hop hold，会出现打开网页缓慢、标签页一直转圈等现象-1。
解决方案：四种方案与推荐
根据你的场景和需求，以下是四种方案，各有侧重。ip last-hop hold 是功能，策略路由是手段，NQA 联动是保障，四者可以组合使用，但组合不是越多越好，比如 保持上一跳 和 负载均衡 如果同时配置需注意优先级。
| 方案 | 核心思路 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|---|
| ✅ 方案一：启用“保持上一跳” | 强制“从哪来，回哪去” | 配置简单，见效快 | 无法实现智能选路 | 快速解决卡顿问题，适合临时恢复业务 |
| 🔧 方案二：配置策略路由 (PBR) | 人工指定流量路径，隔离业务 | 精确可控，不同业务走不同线路 | 配置复杂，维护成本高 | 明确知道哪些IP/业务该走哪条线路 |
| 🧪 方案三：NQA联动自动切换 | 主备模式，故障自动切换 | 可靠性高，日常只有主线路工作 | 备用线路带宽闲置 | 需要高可靠性的主备模式 |
| 🚀 方案四：启用链路负载均衡 | 动态评估链路质量，智能选路 | 带宽利用率高，选路智能 | 配置相对复杂 | 需要充分利用多链路带宽的场景 |
下面分别介绍每种方案的配置方法。
方案一：启用“保持上一跳” (推荐，最直接)
这个功能会强制防火墙设备记住一个连接的入接口，确保返回流量也从同一个接口发出，能从根本上解决路径不一致问题。
方案二：配置策略路由 (PBR)
通过策略路由，你可以精细地控制哪些流量走哪条线，满足更复杂的业务需求。
方案三：NQA联动 + 主备路由（可靠性优先）
在这个模式下，日常流量全部走高质量的专线，仅当专线故障时，NQA检测模块会自动将流量切换到普通宽带。
注意：NQA联动方案下，日常普通宽带处于闲置状态，带宽利用率低，适合对可靠性要求高于带宽利用率的场景。
方案四：启用链路负载均衡（带宽利用优先）
如果你需要充分利用两条链路的带宽，可以启用防火墙自带的链路负载均衡功能，根据链路质量动态选路。
注意：负载均衡功能与
ip last-hop hold同时配置时，保持上一跳的优先级更高，可能导致负载均衡效果被覆盖。建议根据实际需求选择其中一个方案。
最佳实践推荐
根据你的具体需求，推荐以下组合：
| 你的需求 | 推荐方案 |
|---|---|
| 只想解决卡顿，不管流量怎么走 | 方案一：ip last-hop hold（两个出口都加） |
| 明确知道哪些业务走专线、哪些走宽带 | 方案二：策略路由 (PBR) |
| 专线为主、宽带备用，可靠性优先 | 方案三：NQA联动 + 主备路由 |
| 希望充分利用两条链路带宽 | 方案四：链路负载均衡 |
如何验证问题已解决
配置完成后，可以使用以下命令验证：
- 2026-05-18回答
- 评论(0)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
是因为发现有问题，所以临时配置了专线的宽带优先级55