最佳答案
F100 多出口（双 ISP），不只能用策略路由！优先用「链路负载均衡（全局智能选路）」，主备用「浮动静态路由」，策略路由只适合做精细流量管控。
下面分场景讲清楚：能不能不用 PBR、分别怎么配、健康检查怎么做。
一、三种方案怎么选（你现在是双 ISP）
1）全局链路负载均衡（推荐，双出口同时负载）
- 不用策略路由，全局自动调度所有外网流量
- 支持：带宽加权、轮询、按链路质量（时延 / 丢包）选路
- 自带健康检查（ping / 探测网关），断网自动切流
- 最适合：两条链路都想用、带宽要充分利用、不想手动写复杂 PBR
2）浮动静态路由（主备，不负载）
- 简单稳定，不需要策略路由
- 主路由优先级高（如 preference 10），备路由优先级低（如 15）
- 主链路断，自动切备；主恢复自动切回
- 适合：一主一备、平时只跑一条、不做负载
3）策略路由 PBR（精细控制，非必须）
- 按源 IP / 目的 IP / 应用强制指定出口
- 比如：办公走电信、服务器走联通
- 缺点：要手动写 ACL + 节点，维护麻烦
- 适合：需要严格区分业务流量的场景
二、方案 1：链路负载均衡（双出口同时负载，带健康检查）
组网假设
- 出口 1：GE1/0/1，电信，IP：1.1.1.1/24，网关 1.1.1.2
- 出口 2：GE1/0/2，联通，IP：2.2.2.2/24，网关 2.2.2.3
- 内网：192.168.1.0/24 → Trust 域
1. 接口与安全域
plaintext
interface GigabitEthernet1/0/1
port link-mode route
ip address 1.1.1.1 255.255.255.0
security-zone untrust
nat outbound 3000
!
interface GigabitEthernet1/0/2
port link-mode route
ip address 2.2.2.2 255.255.255.0
security-zone untrust
nat outbound 3000
2. 配置健康检查（关键，断链自动切换）
plaintext
# 探测电信网关
nqa entry 1 icmp
type icmp-echo
destination ip 1.1.1.2
frequency 10
timeout 2
probe count 3
!
# 探测联通网关
nqa entry 2 icmp
type icmp-echo
destination ip 2.2.2.3
frequency 10
timeout 2
probe count 3
3. 链路负载均衡（全局）
plaintext
# 链路组：把两个出口绑一起
loadbalance link-group isp-group
fail-action reschedule # 链路断，重定向已有会话
transparent enable # 关闭LB自带NAT，用接口nat
probe nqa 1 # 绑定健康检查
!
# 把接口加入链路组，按带宽设权重（例：都是100M，权重10）
loadbalance link link1
router ip 1.1.1.2
link-group isp-group
weight 10
!
loadbalance link link2
router ip 2.2.2.3
link-group isp-group
weight 10
!
# 全局默认走这个链路组
virtual-server vs-link type link-ip
virtual ip address 0.0.0.0 0
default link-group isp-group
service enable
4. 安全策略（Trust→Untrust 允许）
plaintext
security-policy
rule name trust-to-untrust
source-zone trust
destination-zone untrust
action permit
效果
- 所有内网流量自动从两个出口按权重分担
- 任意链路 down，流量自动切到另一条，会话可重定向H3C
三、方案 2：主备（浮动路由，最简单）
plaintext
# 主路由（电信，优先级10）
ip route-static 0.0.0.0 0 1.1.1.2 preference 10
# 备路由（联通，优先级15）
ip route-static 0.0.0.0 0 2.2.2.3 preference 15
- 平时只走电信；电信断→自动切联通；恢复切回
- 无负载，主备模式
四、方案 3：策略路由（PBR，精细控制，可选）
plaintext
# 允许内网所有流量
acl number 3000
rule permit ip source 192.168.1.0 0.0.0.255
!
# 策略路由：优先电信，电信断走联通
policy-based-route pbr node 10
if-match acl 3000
apply next-hop 1.1.1.2
apply next-hop 2.2.2.3
!
# 在内网接口应用
interface GigabitEthernet1/0/0
ip policy-based-route pbr
- 适合：特定网段强制走特定出口
五、一句话总结（你最关心的）
- 想双出口同时负载、自动调度、带健康检查 → 用「链路负载均衡」，不用 PBR
- 想简单主备 → 用「浮动静态路由」
- 想精细控流量 → 才用「策略路由」
zhiliao_Gixe
六段
H3C F100多出口场景：
1. 多出口同时负载（不同ISP链路）：主要用策略路由（适配不同网段链路），等价同网段链路可配等价静态路由，但ISP链路多为不同网段，策略路由更常用。
2. 主备场景：无需策略路由，用浮动静态路由即可。
关键命令：
策略路由负载：
acl 3000；rule permit ip source 内网网段 0.0.0.255
policy-based-route pbr node10；if-match acl3000；apply next-hop 主ISP下一跳；apply next-hop 备ISP下一跳
内网接口下：ip policy-based-route pbr
主备浮动路由：
ip route-static 0.0.0.0 0 主ISP下一跳 preference10
ip route-static 0.0.0.0 0 备ISP下一跳 preference15
1. 多出口同时负载（不同ISP链路）：主要用策略路由（适配不同网段链路），等价同网段链路可配等价静态路由，但ISP链路多为不同网段，策略路由更常用。
2. 主备场景：无需策略路由，用浮动静态路由即可。
关键命令：
策略路由负载：
acl 3000；rule permit ip source 内网网段 0.0.0.255
policy-based-route pbr node10；if-match acl3000；apply next-hop 主ISP下一跳；apply next-hop 备ISP下一跳
内网接口下：ip policy-based-route pbr
主备浮动路由：
ip route-static 0.0.0.0 0 主ISP下一跳 preference10
ip route-static 0.0.0.0 0 备ISP下一跳 preference15
暂无评论
H3C F100 防火墙在配置多出口（双ISP）时，并不是只能用策略路由。根据你的需求（同时负载或主备），通常有以下三种主流的配置方案：
方案一：基于策略路由（PBR）的分流（最常用、最灵活）
这是最经典的配置方式。你可以通过设定规则，让特定的内网用户、或者访问特定目的地的流量走指定的宽带出口。
- 适用场景：希望实现精细化的流量控制。例如，让财务部的电脑走专线，普通员工的流量走普通宽带；或者让访问电信服务器的流量走电信出口，访问联通的走联通出口。
- 配置逻辑：
- 接口与安全域：将两个宽带接口（如 GE0/1 和 GE0/2）分别配置好 IP（PPPoE拨号或静态IP），并都加入
Untrust安全域。 - 配置 NAT：为两个出口分别配置 NAT 策略，确保从哪个口出去的流量，就转换成哪个接口的公网 IP。
- 配置策略路由：
- 新建策略，匹配源地址（例如
192.168.1.0/24网段）。 - 动作设置为“强制下一跳”或“强制出接口”，指向对应的宽带网关。
- 策略路由的优先级高于普通的静态路由，因此匹配的流量会优先按策略走。
- 新建策略，匹配源地址（例如
- 接口与安全域：将两个宽带接口（如 GE0/1 和 GE0/2）分别配置好 IP（PPPoE拨号或静态IP），并都加入
方案二：基于链路负载均衡（LLB）的智能选路（推荐）
如果你的防火墙固件版本支持链路负载均衡（LLB）功能，这是实现“同时负载”的最佳方案。它可以根据链路的带宽权重、实时负载情况，自动将流量分配到两条线路上。
- 适用场景：希望充分利用两条宽带的总带宽，实现自动的负载分担和故障切换。
- 配置逻辑：
- 定义链路与链路组：在防火墙的 LLB 模块中，将两个 WAN 口分别定义为两条“链路”，并设置各自的上下行带宽。然后将它们加入同一个“链路组”。
- 配置健康检测：为两条链路配置健康检查（如 ICMP 探测公网 DNS），确保某条线路断网时能自动剔除。
- 配置选路策略：创建流量特征（可以匹配所有流量，也可以按应用、源IP匹配），将其绑定到刚才的链路组，并设置负载均衡算法（如基于源IP的哈希、轮询等）。
方案三：基于浮动静态路由的主备备份（最简单）
如果你主要的需求是“主备”（一条断了另一条自动顶上），而不是同时跑满带宽，这种方法配置最简单。
- 适用场景：一条高质量专线作为主线路，一条普通宽带作为备用线路。
- 配置逻辑：
- 配置两条默认路由：
- 主线路路由：
ip route-static 0.0.0.0 0 [主线路网关] preference 60 - 备线路路由：
ip route-static 0.0.0.0 0 [备线路网关] preference 80
- 主线路路由：
- 原理：
preference（优先级）数值越小越优先。正常情况下，流量全部走优先级为 60 的主线路；当主线路接口 Down 掉或健康检测失败时，路由表会自动切换到优先级为 80 的备用路由。
- 配置两条默认路由：
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论