• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

h3c 5100 + h3c er5200

2025-05-15提问
  • 0关注
  • 0收藏,490浏览
粉丝:0人 关注:0人

问题描述:

在主交换机 5100 上,接两台路由器 er5200 

1、路由器1地址 192.168.7.1 与 5100 的G23口相连,vlan 7 ip 192.168.7.2,路由回程正常

2、路由器2地址 192.168.8.1 与 5100 的G24口相连,vlan 7 ip 192.168.8.2,路由回程正常

3、当前有多个vlan ,设定了只有 vlan 1 能上外网,5100 上配置了 ip route-static 0.0.0.0 0.0.0.0 192.168.7.1 ,网络一切正常;

4、由于客户端比较多,一台er5200承受不了,又加了一台 路由器2 ,想在不影响原来网络使用的情况下,逐步优化,比如说,原来的 vlan 110 的网段ip 192.168.110.0,直接走 路由器2 上外网;

5、去除路由器1对 192.168.110.0 的回指路由,5100 上加了一条静态路由,ip route-static 192.168.110.0 24 192.168.8.1 不起作用,上不了外网,内网正常;

6、做以下配置:# 创建ACL,匹配VLAN 110的流量 acl number 3000 rule 0 permit ip source 192.168.110.0 0.0.0.255 quit # 创建策略路由,指定匹配ACL 3000的流量走192.168.8.1 policy-based-route PBR_VLAN110 permit node 10 if-match acl 3000 apply next-hop 192.168.8.1 quit # 在VLAN 110接口上应用策略路由 interface Vlan-interface 110 ip policy-based-route PBR_VLAN110 quit

能上外网,内网上不了

请问应该怎么配置?为什么 ip route-static 192.168.110.0 24 192.168.8.1 是 <Inactive>

两种配置方式,都能在主交换机上 ping 192.168.8.1 是有返回的

最佳答案

已采纳
粉丝:40人 关注:6人

看了你的描述、

问题现象是内网 vlan 110 的地址段匹配策略路由后、访问外网正常,内网互访不通是吧?

--

原因是:

策略路由优先级别高于静态路由(直连路由);vlan110 的数据进入交换机,因为你配置的是基于源地址的策略路由、会直接匹配将数据包 扔到 下一跳 8.1转发、而不会匹配直连路由进行内网转发 ;

解决这个问题很简单;

在配置策略路由时候、先配置一个节点 优先匹配 内网互访的地址段、不设置apply动作,

V7交换机策略路由配置案例(命令行版) (如果不设置动作,则匹配到的数据转发时根据路由表来进行转,且不再匹配下一节点,配置这个节点的作用是实现内网不同网段之间互访的流量不匹配策略路由,达到可以互访的目的。)


ip route-static 192.168.110.0 24 192.168.8.1  你配置的这个静态路由、、如果你是在交换机配置的、因为交换机是终端的网关、有直连路由存在、在你的路由表直连路由生效、这个在交换机配置没有意义、这个应该在路由器配置作为回程的路由;


暂无评论

1 个回答
粉丝:32人 关注:1人

### **问题分析与解决方案**

#### **一、静态路由 `<Inactive>` 的原因**
1. **下一跳不可达**
- 主交换机5100的默认路由指向 `192.168.7.1`(路由器1),而静态路由 `ip route-static 192.168.110.0 24 192.168.8.1` 的下一跳是 `192.168.8.1`(路由器2)。
- **关键问题**:主交换机需要通过 `VLAN7` 的接口(`192.168.8.2`)与路由器2的接口(`192.168.8.1`)通信。若 `VLAN7` 的接口未正确配置或链路不通,会导致下一跳不可达。
- **验证方法**:在主交换机上执行 `ping 192.168.8.1`,若不通则检查物理链路、VLAN配置和接口IP。

2. **路由优先级冲突**
- 默认路由 `0.0.0.0/0` 的优先级可能覆盖了 `192.168.110.0/24` 的静态路由。
- **解决方法**:确认静态路由优先级是否高于默认路由(华为设备默认静态路由优先级为60,默认路由为60,需调整优先级)。

---

#### **二、策略路由导致内网不通的原因**
1. **策略路由覆盖内网流量**
- ACL 3000 匹配所有来自 `192.168.110.0/24` 的流量(包括内网通信),强制其下一跳为 `192.168.8.1`。
- 若路由器2未配置回指其他内网VLAN的路由(如 `192.168.1.0/24`、`192.168.2.0/24` 等),会导致内网流量被丢弃。

2. **路由器2缺少回程路由**
- 路由器2需知道如何返回其他内网VLAN的流量。例如,若内网有 `192.168.1.0/24`、`192.168.2.0/24` 等子网,需在路由器2上添加静态路由:
```plaintext
ip route-static 192.168.0.0 255.255.0.0 192.168.8.2 # 假设主交换机VLAN7接口IP为192.168.8.2
```

---

### **三、完整解决方案**
#### **步骤1:修复静态路由 `<Inactive>` 问题**
1. **确认物理链路和VLAN配置**
- 检查主交换机G24口是否加入 `VLAN7`,并配置IP `192.168.8.2`。
- 确认路由器2的接口IP为 `192.168.8.1`,子网掩码一致(如 `/24`)。

2. **调整静态路由优先级**
- 在静态路由中指定更高优先级(更小数值),确保其优于默认路由:
```plaintext
ip route-static 192.168.110.0 255.255.255.0 192.168.8.1 preference 50
```

#### **步骤2:修复策略路由导致内网不通的问题**
1. **修改ACL,仅匹配外网流量**
- 调整ACL 3000,仅匹配目标为外网的流量(例如目标IP为公网地址):
```plaintext
acl number 3000
rule 5 permit ip source 192.168.110.0 0.0.0.255 destination 0.0.0.0 0.0.0.0
quit
```
- **解释**:仅将目标为外网(`0.0.0.0/0`)的流量引导至路由器2,内网流量仍按正常路由转发。

2. **在路由器2上添加回程路由**
- 配置路由器2,使其能返回其他内网VLAN的流量:
```plaintext
ip route-static 192.168.0.0 255.255.0.0 192.168.8.2 # 覆盖所有内网子网
```

3. **检查防火墙/NAT配置**
- 确认路由器2的NAT和防火墙允许内网流量转发。例如:
```plaintext
# 允许内网到内网的转发(如需)
firewall packet-filter default permit
```

---

#### **步骤3:验证配置**
1. **检查路由表状态**
- 在主交换机执行 `display ip routing-table`,确认 `192.168.110.0/24` 的静态路由状态为 `<Active>`。

2. **测试外网与内网连通性**
- 从VLAN110的客户端访问外网(如 `ping 8.8.8.8`)和其他内网VLAN(如 `ping 192.168.1.1`)。

---

### **四、最终配置示例**
```plaintext
# 主交换机5100配置
interface Vlan-interface7
ip address 192.168.8.2 255.255.255.0
#
ip route-static 0.0.0.0 0.0.0.0 192.168.7.1
ip route-static 192.168.110.0 255.255.255.0 192.168.8.1 preference 50 # 调整优先级
#
acl number 3000
rule 5 permit ip source 192.168.110.0 0.0.0.255 destination 0.0.0.0 0.0.0.0
#
policy-based-route PBR_VLAN110 permit node 10
if-match acl 3000
apply next-hop 192.168.8.1
#
interface Vlan-interface110
ip policy-based-route PBR_VLAN110
```

```plaintext
# 路由器2(ER5200)配置
interface GigabitEthernet0/0/1 # 连接主交换机的接口
ip address 192.168.8.1 255.255.255.0
#
ip route-static 192.168.0.0 255.255.0.0 192.168.8.2 # 回指所有内网子网
#
# 配置NAT和防火墙(示例)
acl number 2000
rule 5 permit source 192.168.110.0 0.0.0.255
#
interface GigabitEthernet0/0/0 # 外网接口
nat outbound 2000
```

---

### **五、总结**
- **静态路由 `<Inactive>`**:因下一跳不可达或路由优先级冲突,需检查链路和调整优先级。
- **策略路由导致内网不通**:因ACL匹配了全部流量,需限制仅匹配外网目标,并确保路由器2有回程路由。
- **最终效果**:VLAN110的外网流量通过路由器2,内网流量仍通过主交换机原有路由,实现负载均衡与故障隔离。


暂无评论

编辑答案

你正在编辑答案

如果你要对问题或其他回答进行点评或询问,请使用评论功能。

分享扩散:

提出建议

    +

亲~登录后才可以操作哦!

确定

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作

举报

×

侵犯我的权益 >
对根叔社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明