• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

af+策略路由

2022-01-11提问
  • 0关注
  • 1收藏,904浏览
粉丝:0人 关注:0人

问题描述:

两台防火墙做了堆叠,两台防火墙1口做了聚合口,现在希望指定的内网段地址访问指定的外网段的地址走防火墙1口聚合口做,请问怎么做策略路由以及聚合口下怎么引用    

组网及组网描述:


最佳答案

粉丝:111人 关注:1人

以下是防火墙产品的策略路由手册,请参考:

https://www.h3c.com/cn/d_202006/1307698_30005_0.htm


1.3  配置策略

1.3.1  创建策略节点

(1)     进入系统视图。

system-view

(2)     创建策略节点,并进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

1.3.2  配置策略节点的匹配规则

(1)     进入系统视图。

system-view

(2)     进入策略节点视图。

policy-based-route policy-name [ deny | permit ] node node-number

(3)     设置匹配规则。

¡     设置ACL匹配规则。

if-match acl { acl-number | name acl-name }

缺省情况下,未设置ACL匹配规则。

策略路由不支持匹配二层信息的ACL匹配规则。

¡     设置IP报文长度匹配规则。

if-match packet-length min-len max-len

缺省情况下,未设置IP报文长度匹配规则。

¡     设置应用组匹配规则。

if-match app-group app-group-name&<1-6>

缺省情况下,未设置应用组匹配规则。

应用组匹配规则只对转发策略路由生效,对本地策略路由不生效。

应用组的详细介绍,请参见“安全配置指导”中的“APR”。

本命令的支持情况与设备型号有关,具体请参见命令参考。

¡     设置服务对象组匹配规则。

if-match object-group service object-group-name&<1-6>

缺省情况下,未设置服务对象组匹配规则。

服务对象组的详细介绍,请参见“安全配置指导”中的“对象组”。

本命令的支持情况与设备型号有关,具体请参见命令参考。

1.3.3  配置策略节点的动作

1. 功能简介

用户通过配置apply子句指导策略节点的动作。

影响报文转发路径的apply子句有五条,优先级从高到低依次为:

(1)     apply access-vpn

(2)     apply next-hop

(3)     apply output-interface

(4)     apply default-next-hop

(5)     apply default-output-interface

apply子句的含义、执行优先情况和详细说明如表1-2所示。

表1-2 apply子句的含义以及执行优先情况等说明

子句

含义

执行优先情况/详细说明

apply precedence

设置IP报文的IP优先级

只要配置了该子句,该子句就一定会执行

apply ip-df df-value

设置IP报文的DF(Don’t Fragment,不分片)标志

只要配置了该子句,该子句就一定会执行

apply loadshare { next-hop | output-interface | default-next-hop | default-output-interface }

设置指导报文转发的下一跳、出接口、缺省下一跳和缺省出接口的工作模式为负载分担模式

下一跳、出接口、缺省下一跳和缺省出接口的工作模式有两种:主备模式、负载分担模式

·     主备模式:按照配置顺序,以第一个配置(下一跳、出接口、缺省下一跳或缺省出接口)作为主用,指导报文转发。当主用失效时,按配置顺序选择后续的第一个有效配置指导报文转发

·     负载分担模式:出接口的负载分担方式,如果不匹配快速转发表,则按照配置顺序逐包轮流选择有效的出接口转发;如果匹配快速转发表,则按照配置顺序逐流轮流选择有效的出接口指导报文转发。下一跳的负载分担模式会按照下一跳的权重指导报文转发。缺省情况下,多个下一跳会按照缺省的权重值平均分配带宽,多个下一跳的转发流量的比例是相同的

缺省情况下,工作模式为主备模式

负载分担模式只对策略路由配置的多个下一跳、出接口、缺省下一跳、缺省出接口生效

apply access-vpn

设置报文在公网或指定VPN实例中进行转发

报文如果匹配了其中一个VPN实例下的转发表,报文将在该VPN实例中进行转发

apply remark-vpn

重标记报文中的VPN实例

本命令必须和apply access-vpn命令同时使用

apply next-hop和apply output-interface

设置报文的下一跳、出接口

当两条子句同时配置并且都有效时,系统只会执行apply next-hop子句

apply default-next-hop和apply default-output-interface

设置报文的缺省下一跳、缺省出接口

当两条子句同时配置并且都有效时,系统只会执行apply default-next-hop子句

执行缺省下一跳和出接口的前提是:在策略中未配置下一跳或者出接口,或者配置的下一跳和出接口无效,并且在路由表中未找到与报文目的IP地址匹配的路由表项

apply continue

设置匹配成功的当前节点转发失败后继续进行后续节点的处理

如果当前节点中未配置影响报文转发路径的五个apply子句,或者配置了这五个子句中的一个或多个,但配置的子句都失效(下一跳不可达、出接口down或者报文在指定VPN内转发失败)且查找普通路由表也转发失败时,会进行下一节点的处理

暂无评论

1 个回答
粉丝:94人 关注:0人

聚合拆掉各走各的在做pbr


暂无评论

编辑答案

你正在编辑答案

如果你要对问题或其他回答进行点评或询问,请使用评论功能。

分享扩散:

提出建议

    +

亲~登录后才可以操作哦!

确定

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作

举报

×

侵犯我的权益 >
对根叔社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明