防火墙如何指定源地址

防火墙本地访问默认使用出接口IP地址。

如果你靠近外网的那个接口不能访问外网，可以把缺省路由指向靠近内网的那个接口，让流量去内网绕一圈再回来，这样源地址就变成另一个接口了。然后在入接口上启用策略路由重新把流量引向外网并关闭路由快速转发防止三层环路即可。

给你的样例吧，仅供参考，实际环境更推荐和现场沟通修改其他设备的配置。

例：

#

interface GigabitEthernet1/0/0（内网口，地址和接口按实际的配置）

ip address 10.0.12.2 255.255.255.0

 ip policy-based-route test（调用策略路由，需要你先配置完策略路由，否则调用无效）

#

interface GigabitEthernet1/0/1（外网口，地址和接口按实际的配置）

ip address 10.0.23.2 255.255.255.0

#

security-zone name test（安全域，按实际的配置）

 import interface GigabitEthernet1/0/0

 import interface GigabitEthernet1/0/1

#

security-policy ip（安全策略按照实际情况调整，要允许Local访问Trust以及允许Trust访问Untrust等）

 rule 0 name test

  action pass

#

 ip route-static 0.0.0.0 0 10.0.12.1（默认路由引向内网）

#

acl advanced 3000（我测试为了方便直接permit ip了，请根据实际环境调整，起码把源地址锁定一下）

 rule 0 permit ip

#

undo ip fast-forwarding load-sharing（关掉快速转发，不然可能造成三层环路）

#

policy-based-route test permit node 10（策略路由）

 if-match acl 3000

 apply next-hop 10.0.23.3

#