ISP	外网接口	公网地址/掩码	公网网关
移动	1/0/3	218.200.5.8/24	218.200.5.9
联通	1/0/2	14.204.0.2/24	14.204.0.1
电信	1/0/1	202.90.112.2/24	202.90.112.1

3 配置步骤

3.1 创建NQA探测组用于链路探测

探测组名称为nqa，描述为test。用于检测链路健康性。

<H3C>system

[H3C]nqa template icmp nqa

[H3C-nqatplt-icmp-nqa]description test

[H3C-nqatplt-icmp-nqa]reaction trigger per-probe

[H3C-nqatplt-icmp-nqa]quit

3.2 基本组网配置

3.2.1 外网接口配置

配置电信链路接口地址，并开启保存上一跳功能。

[H3C]interface GigabitEthernet1/0/1

[H3C-GigabitEthernet1/0/1]ip address 202.90.112.2 255.255.255.0

[H3C-GigabitEthernet1/0/1]ip last-hop hold

[H3C-GigabitEthernet1/0/1]nat outbound

[H3C-GigabitEthernet1/0/1]quit

配置联通链路接口地址，并开启保存上一跳功能。

[H3C]interface GigabitEthernet1/0/2

[H3C-GigabitEthernet1/0/2]ip address 14.204.0.2 255.255.255.0

[H3C-GigabitEthernet1/0/2]ip last-hop hold

[H3C-GigabitEthernet1/0/2]nat outbound

[H3C-GigabitEthernet1/0/2]quit

配置移动链路接口地址，并开启保存上一跳功能。

[H3C]interface GigabitEthernet1/0/3

[H3C-GigabitEthernet1/0/3]ip address 218.200.5.8 255.255.255.0

[H3C-GigabitEthernet1/0/3]ip last-hop hold

[H3C-GigabitEthernet1/0/3]nat outbound

[H3C-GigabitEthernet1/0/3]quit

3.2.2 安全域及安全策略配置

将外网接口加入不信任区域

[H3C]security-zone name Untrust

[H3C-security-zone-Untrust]import interface Dialer1

[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/1

[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/2

[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/3

[H3C-security-zone-Untrust]quit

创建对象策略pass，因为本章内容主要介绍负载均衡，域间策略采用最简配置请见谅。

[H3C]object-policy ip pass

[H3C-object-policy-ip-pass] rule 0 pass

[H3C-object-policy-ip-pass]quit

创建any到any域的域间策略调用pass策略。

[H3C]zone-pair security source any destination any

[H3C-zone-pair-security- Any-Any]object-policy apply ip pass

[H3C-zone-pair-security- Any-Any]quit

3.2.3 路由设置

设置路由防止在负载均衡配置前或者负载均衡失效后网络不通问题

[H3C]ip route-static 0.0.0.0 0 218.200.5.9 preference 80

[H3C]ip route-static 0.0.0.0 0 14.204.0.1 preference 70

[H3C]ip route-static 0.0.0.0 0 202.90.112.1

3.3 配置链路组

设置链路失败的reschedule：重定向连接，即把连接重定向到链路组中其它可用的链路上。并使用transparent enable关闭链路组本身的NAT功能并绑定nqa探测组。

3.3.1 配置移动链路组

[H3C]loadbalance link-group cmcc

[H3C-lb-lgroup-cmcc]fail-action reschedule

[H3C-lb-lgroup-cmcc]transparent enable

[H3C-lb-lgroup-cmcc]probe nqa.

[H3C-lb-lgroup-cmcc]quit

3.3.2 配置联通链路组

[H3C]loadbalance link-group cnc

[H3C-lb-lgroup-cnc]fail-action reschedule

[H3C-lb-lgroup-cnc]transparent enable

[H3C-lb-lgroup-cnc]probe nqa.

[H3C-lb-lgroup-cnc]quit

3.3.3 配置电信链路组

[H3C]loadbalance link-group china-isp

[H3C-lb-lgroup-china-isp]fail-action reschedule

[H3C-lb-lgroup-china-isp]transparent enable

[H3C-lb-lgroup-china-isp]probe nqa

[H3C-lb-lgroup-china-isp]quit

3.3.4 配置财务链路组

[H3C]loadbalance link-group caiwu

[H3C-lb-lgroup-caiwu]fail-action reschedule

[H3C-lb-lgroup-caiwu]transparent enable

[H3C-lb-lgroup-caiwu]probe nqa

[H3C-lb-lgroup-caiwu]quit

3.4 配置链路

router ip指链路的网关地址，将链路绑定链路组后该链路才能生效。

3.4.1 配置移动链路

[H3C]loadbalance link cmcc-link

[H3C-lb-link-cmcc-link]router ip 218.200.5.9

[H3C-lb-link-cmcc-link]link-group cmcc

[H3C-lb-link-cmcc-link]probe nqa

[H3C-lb-link-cmcc-link]quit

3.4.2 配置联通链路

[H3C]loadbalance link cnc-link

[H3C-lb-link-cnc-link]router ip 14.204.0.1

[H3C-lb-link-cnc-link]link-group cnc

[H3C-lb-link-cnc-link]probe nqa

[H3C-lb-link-cnc-link]quit

3.4.3 配置电信链路

将电信链路带宽调整为100M，设置带宽繁忙比当带宽利用率超过90%*100M=90M，新建session会负载到其他链路。

[H3C]loadbalance link chinanet-link

[H3C-lb-link-cnc-chinanet-link]router ip 202.90.112.1

[H3C-lb-link-cnc-chinanet-link]link-group china-isp

[H3C-lb-link-cnc-chinanet-link]probe nqa

[H3C-lb-link-cnc-chinanet-link]max-bandwidth outbound 102400

[H3C-lb-link-cnc-chinanet-link]bandwidth outbound busy-rate 90

[H3C-lb-link-cnc-chinanet-link]quit

3.4.4 配置财务链路

[H3C]loadbalance link link-caiwu

[H3C-lb-link- link-caiwu] router ip 202.90.112.1

[H3C-lb-link- link-caiwu] link-group caiwu

[H3C-lb-link- link-caiwu]quit

3.5 配置负载均衡规则匹配运营商路由表

3.5.1 建立移动负载规则匹配移动数据

[H3C]loadbalance class cmcc type link-generic match-any

[H3C-lbc-link-generic-cmcc]match 1 isp cmcc

[H3C-lbc-link-generic-cmcc]quit

3.5.2 建立联通负载规则匹配联通数据

[H3C]loadbalance class cnc type link-generic match-any

[H3C-lbc-link-generic-cnc]match 1 isp cnc

[H3C-lbc-link-generic-cnc]quit

3.5.3 建立电信负载规则匹配电信数据

[H3C]loadbalance class chinanet type link-generic match-any

[H3C-lbc-link-generic-chinanet]match 1 isp chinatel

[H3C-lbc-link-generic-chinanet]quit

3.5.4 建立财务负载规则匹配172.16.0.0财务网段

[H3C] loadbalance class caiwu type link-generic match-any

[H3C-lbc-link-generic-caiwu]match 1 source ip address 172.16.0.0 24

[H3C-lbc-link-generic-caiwu]quit

3.6 配置负载均衡行为匹配各链路组

配置负载行为绑定各链路组，设置转发失败规则为继续匹配。

3.6.1 建立移动负载均衡行为匹配移动链路组

[H3C]loadbalance action cmcc type link-generic

[H3C-lbc-link-generic- cmcc]link-group cmcc

[H3C-lbc-link-generic- cmcc]fallback-action continue

[H3C-lbc-link-generic- cmcc]quit

3.6.2 建立联通均衡行为匹配联通链路组

[H3C]loadbalance action cnc type link-generic

[H3C-lbc-link-generic-cnc]link-group cnc

[H3C-lbc-link-generic-cnc]fallback-action continue

[H3C-lbc-link-generic-cnc]quit

3.6.3 建立电信负载均衡行为匹配电信链路组

[H3C]loadbalance action chinanet type link-generic

[H3C-lbc-link-generic-chinanet]link-group china-isp

[H3C-lbc-link-generic-chinanet]fallback-action continue

[H3C-lbc-link-generic-chinanet]quit

3.6.4 建立财务负载均衡行为匹配财务链路组

[H3C]loadbalance action caiwu type link-generic

[H3C-lbc-link-generic-caiwu]link-group caiwu

[H3C-lbc-link-generic-caiwu]fallback-action continue

[H3C-lbc-link-generic-caiwu]quit

3.7 配置负载均衡策略

负载均衡策略严格按照配置顺序进行匹配，如果需要财务数据优先匹配需要将优先配置。

[H3C]loadbalance policy 1 type link-generic

[H3C-lbp-link-generic-1]class caiwu action caiwu

[H3C-lbp-link-generic-1]class chinanet action chinanet

[H3C-lbp-link-generic-1]class cmcc action cmcc

[H3C-lbp-link-generic-1]class cnc action cnc

3.8 配置虚服务策略

配置LB虚服务，虚服务地址为0.0.0.0/0表示内网访问所有的数据将会匹配虚服务进行转发，lb策略调用之前创建的策略1，如果无法匹配运营商的数据缺省从移动转发。

[H3C]virtual-server outbound type link-ip

[H3C-vs-link-ip-outbound]virtual ip address 0.0.0.0 0

[H3C-vs-link-ip-outbound]lb-policy 1

[H3C-vs-link-ip-outbound]default link-group cmcc

[H3C-vs-link-ip-outbound]service enable

[H3C-vs-link-ip-outbound]quit

3.9 保存配置

[H3C]quit

<H3C>save force

3.10 配置验证

3.10.1 测试电信链路

在内网找一台地址为192.168.0.2的电脑，访问外网一个地址看是从哪个接口出？用来

判断ISP路由是否配置正确？将外网模拟设备的IP地址修改为1.4.1.1进行测试。

设备内置的电信路由表：

Teacert结果：

防火墙会话：

查看数据是否从对应链路组转发。

3.10.2 测试联通链路

在内网找一台地址为192.168.0.2的电脑，访问外网一个地址看是从哪个接口出？用来

判断ISP路由是否配置正确？将外网模拟设备的IP地址修改为27.50.128.1进行测试。

设备内置的联通路由表：

Teacert结果：

防火墙会话：

3.10.3 测试移动链路

在内网找一台地址为192.168.0.2的电脑，访问外网一个地址看是从哪个接口出？用来

判断ISP路由是否配置正确？将外网模拟设备的IP地址修改为43.251.244.1进行测试。

设备内置的移动路由表：

Teacert结果：

防火墙会话：

3.10.4 测试总结

测试结果符合需求预期，可以达到数据的准确转发。

V7防火墙多WAN负载负载后虚拟服务器映射异常解决方法（命令行）

1.4.1 配置LB策略将服务器流量强制到内网进行转发... 2

1 配置需求及说明

1.1 适用的产品系列

本案例适用于软件平台为Comware V7系列防火墙：F100-X-G2、F1000-X-G2、F100-X-WiNet、F1000-AK、F10X0等。

1.2 问题现象

某公司为达到业务流量快速转发和链路冗余需求申请了两条不同运营商的外网线路，目前需要配置负载均衡将公司内网数据负载到两条运营商链路，部署前内网有一台WEB服务器可以被外网访问，但是在配置负载均衡后链路负载功能正常，但是服务器映射功能失效，导致访问服务器业务中断。

组网图

说明：

ISP	外网接口	公网地址/掩码	公网网关
移动	1/0/3	218.200.5.8/24	218.200.5.9
电信	1/0/1	202.90.112.2/24	202.90.112.1

1.3 问题原因分析

1.3.1 配置分析

下面配置为现场虚服务的相关配置，在“virtual ip address”位置填写了0.0.0.0/0。

virtual-server outbound type link-ip

virtual ip address 0.0.0.0 0

lb-policy 1

default link-group cmcc

service enable

通常出方向链路均衡虚服务配置为通配地址 0.0.0.0/0，协议任意/端口号任意，此时如果有外网发起的到内网的连接请求，就匹配0.0.0.0/0这个虚服务，所以现场到外网的负载均衡业务正常，但是当服务器数据从外网转发过来是也会同样匹配这条0.0.0.0/0的虚服务，即访问服务器的数据又被匹配负载均衡策略转发至外网。

1.4 问题解决方法

1.4.1 配置LB策略将服务器流量强制到内网进行转发

具体实现原理：将服务器的流量也看做一条链路，匹配对应数据后匹配路由表转发。

\\创建匹配到内网服务器的流量不做负载的访问控制表，192.168.0.100为内网服务器的地址，218.200.5.8为映射的公网地址。

acl advanced 3002

rule 0 permit ip destination 192.168.0.100 0

rule 5 permit ip destination 218.200.5.8 0

\\配置服务规格匹配到服务器的流量

loadbalance class server type link-generic match-any

match 1 acl 3002

\\配置负载均衡动作为转发，即匹配策略的数据按照设备自身路由表转发。

loadbalance action server type link-generic

forward all

fallback-action continue

\\在LB策略中将服务器策略置顶

loadbalance policy 1 type link-generic

class server action server \\匹配服务器的流量

class caiwu action caiwu \\财务的流量优先走电信

class cmcc action cmcc

class cnc action cnc

class chinanet action chinanet

https://zhiliao.h3c.com/topic/huati/1248

发表时间：2020-08-23 更多>>

https://zhiliao.h3c.com/topic/huati/1248

发表时间：2020-08-23

2 个回答

按时间按赞数

李云龙的意大利炮

李云龙的意大利炮九段

粉丝：96人关注：1人

https://www.h3c.com/cn/d_201903/1156558_30005_0.htm看下这个视频案例，很简单的。

得闲饮茶013

得闲饮茶013 九段

粉丝：138人关注：6人

您好，请知：

由于防火墙在出口的位置，可使用出方向的负载均衡，以下是配置举例，请参考：

3.18.1? 出方向链路负载均衡基本组网配置举例

1. 组网需求

用户从两个运营商ISP 1和ISP 2处分别租用了链路Link 1和Link 2，这两条链路的路由器跳数、带宽和成本均相同，但Link 1的网络延迟小于Link 2。通过配置链路负载均衡，使Host访问Server时优先选择这两条链路中的最优链路。

2. 组网图

图3-4 出方向链路负载均衡基本组网配置组网图

3. 配置步骤

(1) 配置接口IP地址、路由、安全域及域间策略保证网络可达，具体配置步骤略。

(2) 配置链路组

# 创建ICMP类型的NQA模板t1，并配置每次探测结果发送机制。

[Device] nqa template icmp t1

[Device-nqatplt-icmp-t1] reaction trigger per-probe

[Device-nqatplt-icmp-t1] quit

# 指定缺省就近性探测方法为t1，并配置就近性计算的网络延迟权值为200。

[Device] loadbalance proximity

[Device-lb-proximity] match default probe t1

[Device-lb-proximity] rtt weight 200

[Device-lb-proximity] quit

# 创建链路组lg，并开启就近性功能。

[Device] loadbalance link-group lg

[Device-lb-lgroup-lg] proximity enable

# 关闭NAT功能。

[Device-lb-lgroup-lg] transparent enable

[Device-lb-lgroup-lg] quit

(3) 配置链路

# 创建链路link1，配置其下一跳IPv4地址为10.1.1.2，并加入链路组lg。

[Device] loadbalance link link1

[Device-lb-link-link1] router ip 10.1.1.2

[Device-lb-link-link1] link-group lg

[Device-lb-link-link1] quit

# 创建链路link2，配置其下一跳IPv4地址为20.1.1.2，并加入链路组lg。

[Device] loadbalance link link2

[Device-lb-link-link2] router ip 20.1.1.2

[Device-lb-link-link2] link-group lg

[Device-lb-link-link2] quit

(4) 配置虚服务器

# 创建LINK-IP类型的虚服务器vs，配置其VSIP为通配0.0.0.0/0，指定其缺省主用链路组为lg，并开启此虚服务器。

[Device] virtual-server vs type link-ip

[Device-vs-link-ip-vs] virtual ip address 0.0.0.0 0

[Device-vs-link-ip-vs] default link-group lg

[Device-vs-link-ip-vs] service enable

[Device-vs-link-ip-vs] quit

4. 验证配置

# 显示所有链路的简要信息。

[Device] display loadbalance link brief

Link ????????????Route IP???????? ????State??????? VPN instance? ?Link group

link1??????????? 10.1.1.2 ????????????Active???????? ?????????????lg

link2??????????? 20.1.1.2 ????????????Active???????? ?????????????lg

# 显示所有链路组的详细信息。

[Device] display loadbalance link-group

Link group: lg

? Description:

? Predictor: Round robin

? Proximity: Enabled

? NAT: Disabled

? SNAT pool:

? Failed action: Keep

? Active threshold: Disabled

? Slow-online: Disabled

? Selected link: Disabled

? Probe information:

??? Probe success criteria: All

??? Probe method:

?? ?t1

? Total link: 2

? Active link: 2

? Link list:

? Name????????? State???????? VPN instance? Router IP??????????? Weight Priority

? link1???????? Active?????? ???????????????10.1.1.2? ???????????100?? ?4

? link2???????? Active?????? ???????????????20.1.1.2 ????????????100?? ?4

# 显示所有虚服务器的详细信息。

[Device] display virtual-server

Virtual server: vs

? Description:

? Type: LINK-IP

? State: Active

? VPN instance:

? Virtual IPv4 address: 0.0.0.0/0

? Virtual IPv6 address: --

? Port: 0

? Primary link group: lg (in use)

? Backup link group:

? Sticky:

? LB policy:

? LB limit-policy:

? Connection limit: --

? Rate limit:

??? Connections: --

??? Bandwidth: --

??? Inbound bandwidth: --

??? Outbound bandwidth: --

? Connection synchronization: Disabled

? Sticky synchronization: Disabled

? Bandwidth busy protection: Disabled

? Interface bandwidth statistics: Disabled

? Route advertisement: Disabled

# 显示所有IPv4就近性表项的简要信息。

[Device] display loadbalance proximity ip

(*) - Real server object

Slot 1:

??? IPv4 address/Mask length?????? Timeout???? Best link

??? ------------------------------------------------------------

??? 10.1.0.0/24??????????????????? 50????????? link1

以下是负载均衡的用户手册链接，请参考：

https://www.h3c.com/cn/d_202006/1307656_30005_0.htm#_Toc43156067

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

关于防火墙链路负载均衡配置

问题描述：

组网及组网描述：

V7防火墙多WAN链路负载均衡配置方法（命令行）

3.1 创建NQA探测组用于链路探测

3.5.4 建立财务负载规则匹配172.16.0.0财务网段

1.4.1 配置LB策略将服务器流量强制到内网进行转发

1. 组网需求

2. 组网图

3. 配置步骤

4. 验证配置

编辑答案

提出建议