两台防火墙做了堆叠,两台防火墙1口做了聚合口,现在希望指定的内网段地址访问指定的外网段的地址走防火墙1口聚合口做,请问怎么做策略路由以及聚合口下怎么引用
(0)
最佳答案
以下是防火墙产品的策略路由手册,请参考:
https://www.h3c.com/cn/d_202006/1307698_30005_0.htm
(1) 进入系统视图。
system-view
(2) 创建策略节点,并进入策略节点视图。
policy-based-route policy-name [ deny | permit ] node node-number
(1) 进入系统视图。
system-view
(2) 进入策略节点视图。
policy-based-route policy-name [ deny | permit ] node node-number
(3) 设置匹配规则。
¡ 设置ACL匹配规则。
if-match acl { acl-number | name acl-name }
缺省情况下,未设置ACL匹配规则。
策略路由不支持匹配二层信息的ACL匹配规则。
¡ 设置IP报文长度匹配规则。
if-match packet-length min-len max-len
缺省情况下,未设置IP报文长度匹配规则。
¡ 设置应用组匹配规则。
if-match app-group app-group-name&<1-6>
缺省情况下,未设置应用组匹配规则。
应用组匹配规则只对转发策略路由生效,对本地策略路由不生效。
应用组的详细介绍,请参见“安全配置指导”中的“APR”。
本命令的支持情况与设备型号有关,具体请参见命令参考。
¡ 设置服务对象组匹配规则。
if-match object-group service object-group-name&<1-6>
缺省情况下,未设置服务对象组匹配规则。
服务对象组的详细介绍,请参见“安全配置指导”中的“对象组”。
本命令的支持情况与设备型号有关,具体请参见命令参考。
用户通过配置apply子句指导策略节点的动作。
影响报文转发路径的apply子句有五条,优先级从高到低依次为:
(1) apply access-vpn
(2) apply next-hop
(3) apply output-interface
(4) apply default-next-hop
(5) apply default-output-interface
apply子句的含义、执行优先情况和详细说明如表1-2所示。
表1-2 apply子句的含义以及执行优先情况等说明
子句 | 含义 | 执行优先情况/详细说明 |
apply precedence | 设置IP报文的IP优先级 | 只要配置了该子句,该子句就一定会执行 |
apply ip-df df-value | 设置IP报文的DF(Don’t Fragment,不分片)标志 | 只要配置了该子句,该子句就一定会执行 |
apply loadshare { next-hop | output-interface | default-next-hop | default-output-interface } | 设置指导报文转发的下一跳、出接口、缺省下一跳和缺省出接口的工作模式为负载分担模式 | 下一跳、出接口、缺省下一跳和缺省出接口的工作模式有两种:主备模式、负载分担模式 · 主备模式:按照配置顺序,以第一个配置(下一跳、出接口、缺省下一跳或缺省出接口)作为主用,指导报文转发。当主用失效时,按配置顺序选择后续的第一个有效配置指导报文转发 · 负载分担模式:出接口的负载分担方式,如果不匹配快速转发表,则按照配置顺序逐包轮流选择有效的出接口转发;如果匹配快速转发表,则按照配置顺序逐流轮流选择有效的出接口指导报文转发。下一跳的负载分担模式会按照下一跳的权重指导报文转发。缺省情况下,多个下一跳会按照缺省的权重值平均分配带宽,多个下一跳的转发流量的比例是相同的 缺省情况下,工作模式为主备模式 负载分担模式只对策略路由配置的多个下一跳、出接口、缺省下一跳、缺省出接口生效 |
apply access-vpn | 设置报文在公网或指定VPN实例中进行转发 | 报文如果匹配了其中一个VPN实例下的转发表,报文将在该VPN实例中进行转发 |
apply remark-vpn | 重标记报文中的VPN实例 | 本命令必须和apply access-vpn命令同时使用 |
apply next-hop和apply output-interface | 设置报文的下一跳、出接口 | 当两条子句同时配置并且都有效时,系统只会执行apply next-hop子句 |
apply default-next-hop和apply default-output-interface | 设置报文的缺省下一跳、缺省出接口 | 当两条子句同时配置并且都有效时,系统只会执行apply default-next-hop子句 执行缺省下一跳和出接口的前提是:在策略中未配置下一跳或者出接口,或者配置的下一跳和出接口无效,并且在路由表中未找到与报文目的IP地址匹配的路由表项 |
apply continue | 设置匹配成功的当前节点转发失败后继续进行后续节点的处理 | 如果当前节点中未配置影响报文转发路径的五个apply子句,或者配置了这五个子句中的一个或多个,但配置的子句都失效(下一跳不可达、出接口down或者报文在指定VPN内转发失败)且查找普通路由表也转发失败时,会进行下一节点的处理 |
(0)
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论