防火墙怎么配置多出口同时负载

以H3C F100/F1000 系列防火墙为例，分负载分担（双链路同时跑）、主备备份两种场景，附完整配置、健康检测，区分主流软件版本，同时说明适用场景。
组网预设
内网接口：G1/0/0 网段：192.168.1.0/24（Trust 域）
出口 1（ISP1 电信）：G1/0/1 IP：202.1.1.2/24 网关：202.1.1.1（Untrust 域）
出口 2（ISP2 联通）：G1/0/2 IP：202.2.2.2/24 网关：202.2.2.1（Untrust 域）
一、前置基础配置（两种方案通用）
1. 接口 + 安全域 + 接口 NAT
cli
# 内网接口
interface GigabitEthernet1/0/0
port link-mode route
ip address 192.168.1.1 255.255.255.0
security-zone trust
# 出口1 电信
interface GigabitEthernet1/0/1
port link-mode route
ip address 202.1.1.2 255.255.255.0
security-zone untrust
nat outbound
# 出口2 联通
interface GigabitEthernet1/0/2
port link-mode route
ip address 202.2.2.2 255.255.255.0
security-zone untrust
nat outbound
2. 安全策略（内网访问外网放行）
cli
security-policy
rule name Trust_to_Untrust
source-zone trust
destination-zone untrust
action permit
3. 全局 NQA 健康检测（链路可用性探测，必配）
通过 ICMP 探测网关，判断链路是否中断：
cli
# 探测电信网关
nqa entry admin test1
type icmp-echo
destination ip 202.1.1.1
frequency 1000 # 探测周期(ms)
timeout 200 # 超时时间
probe count 2 # 连续探测次数
reaction 1 checked-element probe-fail threshold-type consecutive 3 action trigger-only
!
# 探测联通网关
nqa entry admin test2
type icmp-echo
destination ip 202.2.2.1
frequency 1000
timeout 200
probe count 2
reaction 1 checked-element probe-fail threshold-type consecutive 3 action trigger-only
二、方案 1：主备模式（一主一备，不同时负载）
适合：一条为主链路，另一条做应急备份，链路故障自动切换。
利用浮动静态路由 + 追踪 NQA实现，纯路由方案，无需负载均衡模块。
cli
# 主路由：电信，优先级高，绑定NQA探测
ip route-static 0.0.0.0 0.0.0.0 202.1.1.1 preference 10 track nqa admin test1
# 备路由：联通，优先级低，主链路断后生效
ip route-static 0.0.0.0 0.0.0.0 202.2.2.1 preference 20 track nqa admin test2
效果
两条链路正常：只走电信；
电信网关 / 链路中断：NQA 探测失败，主路由失效，自动切联通；
电信恢复：自动切回主链路。
三、方案 2：双出口负载分担（两条链路同时转发流量）
分两种主流实现方式，根据设备版本 / 功能选择：
方式 A：链路负载均衡（推荐，防火墙原生 LB 功能）
适用于 F100/F1000 全系列，支持轮询 / 带宽加权，自带故障切换，主流首选。
cli
# 1. 创建链路组
loadbalance link-group ISP_GROUP
fail-action reschedule # 链路故障，已有会话迁移到正常链路
!
# 2. 将两个出口网关加入链路组，配置权重（带宽相同则权重一致）
# 电信链路，权重10
loadbalance link ISP1
router ip 202.1.1.1
link-group ISP_GROUP
weight 10
track nqa admin test1 # 绑定健康检测
!
# 联通链路，权重10
loadbalance link ISP2
router ip 202.2.2.1
link-group ISP_GROUP
weight 10
track nqa admin test2 # 绑定健康检测
!
# 3. 全局调用链路组，所有外网流量做负载
virtual-server VS_LINK type link-ip
virtual ip address 0.0.0.0 0.0.0.0
default link-group ISP_GROUP
service enable
效果
流量按权重均分在两条 ISP 链路上；
单条链路中断，流量全部自动切换至另一条；
链路恢复后，重新恢复负载分担。
方式 B：策略路由 PBR（精细分流 + 负载，适合差异化流量）
若需要按内网网段 / 业务分流，或老旧版本无 LB 模块时使用。
cli
# 1. 定义流量ACL
acl number 3000
rule permit ip source 192.168.1.0 0.0.0.255
!
# 2. 策略路由，多下一跳实现负载，绑定NQA检测
policy-based-route LOAD node 10
if-match acl 3000
apply next-hop 202.1.1.1 track nqa admin test1
apply next-hop 202.2.2.1 track nqa admin test2
!
# 3. 在内网入接口应用策略路由
interface GigabitEthernet1/0/0
ip policy-based-route LOAD
四、关键补充说明
版本兼容
新版 F1000-AK 系列：优先用链路负载均衡，配置简单、性能最优；
老旧 F100-C/G：若无 LB 功能，使用策略路由实现负载。
权重调整
两条链路带宽不一致时，按带宽比例改weight，例：电信 100M、联通 50M → 权重设为 20 和 10。
切换逻辑
所有方案均绑定 NQA 探测，仅网关不可达才切换，避免单纯网络抖动误切换。
排查命令
cli
display nqa results # 查看健康检测状态
display ip routing-table # 查看默认路由生效情况
display loadbalance link-group # 查看链路组状态
快速选型总结
只做应急备份 → 浮动静态路由（主备）；
两条链路同时跑、充分利用带宽 → 链路负载均衡（首选）；
需要按网段 / 业务区分出口 → 策略路由 PBR。