策略路由重定向问题

1. 去程流量（Client -> Server）路径分析

• •

  ​​源​​：192.168.66.172 (VLAN 200)

• •

  ​​目的​​：10.0.54.204 (VLAN 54)

• •

  ​​流量进入核心交换机的接口​​：VLAN 200

• •

  ​​当前配置​​：在 VLAN 200入方向应用策略路由 web_to_waf3100，匹配 ACL 3100，强制下一跳为 WAF (10.0.56.116)。​​此部分配置正确，故去程流量成功重定向。​​

2. 回程流量（Server -> Client）路径分析

• •

  ​​源​​：10.0.54.204 (Server)

• •

  ​​目的​​：192.168.66.172 (Client in VLAN 200)

• •

  ​​流量进入核心交换机的接口​​：VLAN 54(因为 Server 网关在核心的 VLAN 54)

• •

  ​​当前配置​​：您在 VLAN 54入方向应用了策略路由 web_to_waf3102，意图匹配 ACL 3102 (源 10.0.54.204，目的 192.168.66.172)，强制下一跳为 WAF (10.0.56.116)。​​逻辑上正确，但实际位置错误！​​

3. 关键问题：回程流量为什么没有重定向？

• •

  ​​WAF 处理后的流量路径​​：当 WAF (10.0.56.116) 处理完去程流量后，它会​​代替 Server (10.0.54.204)​​ 向 Client (192.168.66.172) 发送回程响应。

• •

  ​​回程流量的真实源 IP​​：从核心交换机的视角看，回程流量的​​源 IP 是 WAF 的 IP (10.0.56.116)​​，​​目的 IP 是 Client (192.168.66.172)​​。它​​不是​​来自 Server (10.0.54.204)！

• •

  ​​ACL 3102 不匹配​​：您的 ACL 3102 匹配的是 源 10.0.54.204。但实际回程流量的源是 10.0.56.116(WAF)。因此，ACL 3102 ​​无法匹配​​回程流量，策略路由不生效。

修正配置方案

回程流量的策略路由需要应用在 ​​WAF 流量返回核心交换机的入接口​​上，并匹配 ​​源是 WAF (10.0.56.116)，目的是 Client (192.168.66.172)​​ 的流量。

1. 1.

   ​​确定 WAF 连接核心的接口​​：

   • •

     找到 WAF (10.0.56.116) 连接到核心交换机的物理接口或 VLAN 接口。假设 WAF 连接在核心的 VLAN 56上（IP 段 10.0.56.0/24），接口是 Vlan-interface 56。

2. 2.

   ​​创建新的 ACL 匹配回程流量​​：

   acl number 3103 rule 5 permit ip source 10.0.56.116 0 destination 192.168.66.172 0 # 精确匹配 WAF 发给 Client 的流量
3. 3.

   ​​创建新的策略路由​​：

   policy-based-route waf_to_client permit node 10 if-match acl 3103 apply ip-address next-hop 10.0.56.116 # 关键：下一跳还是 WAF 自身地址

   ​​为什么下一跳还是 WAF？​​ 这是策略路由的常见用法，强制流量发回给 WAF 进行后续处理（如地址还原、会话保持）。WAF 收到后会进行目的 NAT（DNAT），将目的 IP 从 Client 改为 Server (10.0.54.204)，然后转发给 Server。

4. 4.

   ​​在正确的接口应用策略路由​​：

   interface Vlan-interface 56 # WAF 连接核心的接口 ip policy-based-route waf_to_client

配置修正总结

最终完整配置建议

验证方法

1. 1.

   ​​在 Client (192.168.66.172) 上​​：

   tracert 10.0.54.204 # 应显示第一跳是核心网关，第二跳是 WAF (10.0.56.116)
2. 2.

   ​​在核心交换机上抓包​​：

   # 在 VLAN 56 接口抓去往 Client 的包 capture packet interface Vlan-interface 56 destination 192.168.66.172 # 应看到源IP是 WAF (10.0.56.116)，目的IP是 Client
3. 3.

   ​​检查策略路由计数​​：

   display policy-based-route statistics interface Vlan-interface 56 # 查看 waf_to_client 策略的匹配计数是否增加

注意事项

• •

  ​​WAF 配置​​：确保 WAF 已正确配置 ​​目的 NAT (DNAT)​​，将回包目的 IP 从 Client 改为 Server (10.0.54.204)。

• •

  ​​路由可达性​​：核心交换机必须有到 WAF (10.0.56.116) 和 Client (192.168.66.172) 的路由。

• •

  ​​策略优先级​​：确保新策略 waf_to_client的节点号（如 node 10）没有与其他策略冲突。

按照此修正方案调整后，回程流量即可被正确重定向到 WAF 处理。