不需要授权，还是配置问题，检查下配置

您好，请知：

防火墙部署PBR不涉及任何授权。

PBR不生效，以下是排查要点，请参考：

1、检查基础路由是否正常可达。

2、检查防火墙涉及到的物理接口或者虚拟接口是否已加入安全域并放通安全策略。

3、检查防火墙的安全策略是否有拦截相关的业务IP或IP地址段通过。

4、检查防火墙策略路由的策略是否能匹配上，且下一跳地址是否正常可达。

5、检查策略路由是否调用到了正确的接口上，同时确保流量是否会从这个接口经过。

以下是策略路由的配置案例，请参考：

本案例适用于软件平台为Comware V7系列防火墙：F100-X-G2、F1000-X-G2、F100-WiNet、F1000-AK、F10X0等

注：本案例是在F1000-C-G2的Version 7.1.064, Release 9323P1801版本上进行配置和验证的。

1.2  配置需求及实现的效果

防火墙作为网络出口设备，外网有移动和联通两条线路。内网有192.168.1.0和192.168.2.0两个网段，需要实现192.168.1.0网段走移动线路，192.168.2.0网段走联通线路。当两条线路中的一条线路故障时数据可以通过正常链路转发。

2 组网图

3 配置步骤

3.1  上网配置

防火墙上网配置请参考“2.2.2 防火墙外网使用固定IP地址上网配置方法”进行配置，本文只针对策略路由配置进行介绍。

3.2  新建访问控制列表匹配移动和联通数据

3.2.1  创建ACL匹配需要由移动链路转发的数据

# 创建ACL 3000匹配192.168.1.0网段数据

<H3C>system-view

[H3C]acl advanced 3000

[H3C-acl-ipv4-adv-3000]rule 0 permit ip source 192.168.1.0 0.0.0.255

[H3C-acl-ipv4-adv-3000]quit

3.2.2  创建ACL匹配需要由联通链路转发的数据

# 创建ACL 3001匹配192.168.2.0网段数据

[H3C]acl advanced 3001

[H3C-acl-ipv4-adv-3001]rule 0 permit ip source 192.168.2.0 0.0.0.255

[H3C-acl-ipv4-adv-3001]quit

3.3  创建策略路由

3.3.1  创建移动策略路由节点

# 创建策略路由neiwang节点5匹配192.168.1.0网段的数据由移动线路转发。

[H3C]policy-based-route neiwang node 5

[H3C-pbr-neiwang-5]if-match acl 3000

[H3C-pbr-neiwang-5]apply next-hop 1.1.1.2

[H3C-pbr-neiwang-5]quit

注：next-hop后的地址为移动线路的网关

3.3.2  创建移动策略路由节点

# 创建策略路由neiwang节点10匹配192.168.2.0网段的数据由联通线路转发。

 [H3C]policy-based-route neiwang node 10

 [H3C-pbr-neiwang-10]if-match acl 3001

 [H3C-pbr-neiwang-10]apply next-hop 2.2.2.2

 [H3C-pbr-neiwang-10]quit

注：next-hop后的地址为联通线路的网关

3.4  应用策略

# 在防火墙连接内网的接口GigabitEthernet 1/0/4口调用策略路由

[H3C]interface GigabitEthernet 1/0/4

[H3C-GigabitEthernet1/0/4]ip policy-based-route neiwang

[H3C-GigabitEthernet1/0/4]quit

注：策略路由必须调用在内网接口才能生效。

3.5  保存配置

[H3C]save force