防火墙F1020 多出口访问公网

第1步新建4个ACL：匹配数据流
第一个ACL里面规则：匹配源为内部3个网段访问目的IP地址为防火墙的LAN口IP的流量
acl num 3000
rule permit ip source lan1网段 destination FW的LAN口IP
rule permit ip source lan2网段 destination FW的LAN口IP
rule permit ip source lan3网段 destination FW的LAN口IP
#
第二个ACL里面规则：匹配源为内网网段1访问目的网段any的流量
acl num 3001
rule permit ip source lan1网段 destination any
#
第三个ACL里面规则：匹配源为内网网段2访问目的网段any的流量
acl num 3002
rule permit ip source lan2网段 destination any
#
第四个ACL里面规则：匹配源为内网网段3访问目的网段any的流量
acl num 3003
rule permit ip source lan3网段 destination any
#
第2步：创建nqa+track，并联动出口缺省路由

根据以下模板新建3个外网对应的nqa+track联动，便于第三步的pbr策略路由调用，做策略路由的联动
nqa entry isp ge1
type icmp-echo
destination ip ge1口公网IP的网关IP
frequency 3000
history-record enable
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
source ip ge1口公网IP
#
nqa schedule isp ge1 start-time now lifetime forever
nqa schedule isp ge2 start-time now lifetime forever
nqa schedule isp ge3 start-time now lifetime forever
track 101 nqa entry isp ge1 reaction 1
track 102 nqa entry isp ge2 reaction 1
track 103 nqa entry isp ge3 reaction 1
ip route-static 0.0.0.0 0 ge1口公网IP的网关IP track 101
ip route-static 0.0.0.0 0 ge2口公网IP的网关IP track 102
ip route-static 0.0.0.0 0 ge3口公网IP的网关IP track 103


第3步：创建策略路由
新建名为pbr的策略路由，创建四个node节点

第一个node，匹配第一个acl，不做任何apply动作，目的是让内部网段访问防火墙LAN口IP时，不被pbr强制到外网接口去
policy-based-route pbr permit node 3000
if-match acl 3000
#
第二个node，匹配第二个acl，apply ge1口下一跳并调用ge1对应的track 101
policy-based-route pbr permit node 3001
if-match acl 3001
apply next-hop ge1口公网IP的网关IP track 101
#
第三个node，匹配第三个acl，apply ge2口下一跳并调用ge2对应的track 102
policy-based-route pbr permit node 3002
if-match acl 3002
apply next-hop ge2口公网IP的网关IP track 102
#
第四个node，匹配第四个acl，apply ge3口下一跳并调用ge3对应的track 103
policy-based-route pbr permit node 3003
if-match acl 3003
apply next-hop ge3口公网IP的网关IP track 103
#

第4步：FW的LAN口应用策略路由
interface g 1/0/xxx
ip policy-based-route pbr


第5步：内部分别用lan1 lan2 lan3网段的终端去tracert 跟踪DNS地址，判断pbr是否生效

如果是拨号带宽，track请参考以下案例

https://zhiliao.h3c.com/questions/dispcont/58026