F1000系列防火墙做双出口问题

nqa+ track联动

参考案例

https://zhiliao.h3c.com/Theme/details/73019

可以配置链路负载均衡

http://www.h3c.com/cn/d_202102/1382927_30005_0.htm

出于灵敏度考虑，建议增加NQA加track联动

另外防火墙增加如下命令，或者双出口加入不同安全域

nat link-switch recreate-session

nat link-switch recreate-session命令用来开启主备链路切换后的NAT会话重建功能。

undo nat link-switch recreate-session命令用来关闭主备链路切换后的NAT会话重建功能。

【命令】

nat link-switch recreate-session

undo nat link-switch recreate-session

【缺省情况】

主备链路切换后的NAT会话重建功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

context-admin

【使用指导】

广域网双出口组网环境中，分别在NAT设备的出接口（假设为Interface A和Interface B）下配置出方向动态地址转换（引用不同的地址组），基于出接口所属安全域的不同情况，NAT设备的处理机制有所不同：

·     如果两个出接口属于不同的安全域，当Interface A的链路发生故障触切换到Interface B的链路时，NAT设备会删除原来的会话表项，由流量触发重新建立NAT会话，保证用户访问外网的业务不受影响。

·     如果两个出接口属于相同的安全域，当Interface A的链路发生故障触切换到Interface B的链路时，NAT设备不会删除原来的会话表项，流量与原来的会话表项匹配，导致用户无法访问外网。为了避免该问题的发生，请开启本功能，保证用户业务的可用性。

【举例】

# 开启主备链路切换后的NAT会话重建功能。

<Sysname> system-view

[Sysname] nat link-switch recreate-session

看你的具体需求了。在只考虑冗余不考虑负载均衡的情况下：

简单模式：

只要求在防火墙连接电信的接口down掉时切换成走移动链路。

普通模式：

只要电信链路不可用，即使接口没有down也切换成移动链路。比如防火墙连电信光猫的线没断但电信光猫连更外面的设备的线断了，这时候防火墙接口是up的但这条链路不可用。

困难模式：

不止要求在链路不可用时切换，还对流量有其他要求。比如保证走电信的时候用电信的dns，走移动的时候用移动的dns。

简单配置：

只要写2条默认路由，修改配置让电信的优先级高于移动。

普通配置：

在简单模式的基础上，静态路由+track+nqa（探测公网地址，比如对电信dns服务器做dns探测解析www.baidu.com）。

困难配置：

在普通模式的基础上再配置一些其他功能，比如dns代理或dns透明代理。