问

用户防火墙接了三个光猫，都是电信的，我想配置负载均衡，求教程

1天前提问

0关注
0收藏，104浏览

zhiliao_zzx

zhiliao_zzx 三段

粉丝：1人关注：0人

问题描述：

我想让内网流量优先走第一个光猫，其次第二个，第三个。我看轻松配的教程是关于运营商的，但是我这个光猫都是电信的，卡在

创建负载均衡规则流量匹配特征

这个步骤了，下一步我该怎么去配置？有没有其他更好的案例

3 个回答

按时间按赞数

有飞不起的鸟

有飞不起的鸟七段

粉丝：10人关注：0人

方案一：通过Web界面配置（推荐，更直观）
这种方法使用H3C防火墙的策略路由功能，结合链路健康检测来实现您的需求。

第1步：配置接口和路由
接口配置：确保连接三个光猫的三个接口（例如：G1/0/1, G1/0/2, G1/0/3）都已正确配置为路由模式，并正确获取了IP地址（可以是DHCP或静态IP）。

默认路由：为每一个WAN接口创建一条默认路由，但优先级不同。

目的地址：0.0.0.0/0

下一跳：对应光猫的网关IP地址（或出接口）

优先级：

指向光猫1的路由，优先级设为10（数值越小，优先级越高）。

指向光猫2的路由，优先级设为60。

指向光猫3的路由，优先级设为70。

原理：系统会优先使用优先级最高的有效路由。当光猫1故障时，优先级为10的路由失效，系统会自动使用优先级为60的光猫2路由。

第2步：配置链路健康检测（NQA）
为了让防火墙能主动感知光猫是否故障，需要为每条线路配置健康检测。

创建NQA检测模板：

路径：策略 > 策略路由 > 链路健康检测-> 新建。

名称：例如 NQA_to_ISP1。

探测目标：选择一个可靠的公网IP地址，如电信的DNS 114.114.114.114。

探测方式：通常使用ICMP（ping）即可。

探测间隔：5秒。

失败次数：3次。（连续3次ping失败即判定链路中断）

将NQA模板绑定到默认路由：

在网络 > 路由 > 静态路由中，编辑指向光猫1的那条优先级为10的默认路由。

在高级选项中，找到链路健康检测或Track，选择您创建的 NQA_to_ISP1模板。

同样操作为光猫2和光猫3的路由绑定各自的NQA检测。

至此，基础的主备备份已经完成。防火墙会优先使用光猫1，当其NQA检测失败时，路由表会自动剔除光猫1的路由，转而使用优先级次高的光猫2的路由。

方案二：通过命令行配置（CLI）
如果您更熟悉命令行，可以实现更精细的控制。

# 1. 创建NQA检测模板（以检测光猫1为例）
#
nqa entry admin nqa_isp1 # 创建NQA测试组，名称nqa_isp1
type icmp-echo # 类型为ICMP
destination ip 114.114.114.114 # 探测目标
frequency 5000 # 每隔5000ms（5秒）探测一次
probe count 3 # 每次探测发送3个包
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only # 连续3次失败触发动作

# 2. 启动NQA检测
#
nqa schedule admin nqa_isp1 start-time now lifetime forever

# 3. 配置默认路由并关联NQA检测（核心步骤）
#
ip route-static 0.0.0.0 0 <光猫1的网关IP> track nqa admin nqa_isp1 preference 10 # 主链路，优先级10
ip route-static 0.0.0.0 0 <光猫2的网关IP> preference 60 # 备用链路1，优先级60
ip route-static 0.0.0.0 0 <光猫3的网关IP> preference 70 # 备用链路2，优先级70

# 4. 配置NAT策略（确保内网流量出站时做地址转换）
#
acl advanced 3000
rule 0 permit ip source <您的内网网段> destionation any # 匹配内网流量
#
nat-policy interzone trust untrust outbound
policy 0
action source-nat
policy acl 3000
easy-ip GigabitEthernet1/0/1 # 假设G1/0/1连接光猫1。如果需要指定出接口，可用`nat outbound 3000 interface G1/0/1`
#
# 注意：如果希望流量切换后NAT也切换到对应接口，需要为每个出口配置类似的NAT策略。
# 或者使用对象组方式，但更简单的方法是使用`easy-ip`，它会自动使用报文的出接口地址进行转换。

# 保存配置
save force

总结与建议

特性	方案一（Web界面）	方案二（命令行）
易用性	高，图形化操作，不易出错	低，需要熟悉CLI命令
灵活性	中，满足大部分场景需求	高，可进行更精细化的控制
核心原理	优先级路由 + NQA健康检测	优先级路由 + NQA健康检测
推荐度	⭐⭐⭐⭐⭐ (适用于大多数用户)	⭐⭐⭐⭐ (适用于网络工程师)

给您的最佳建议：

优先使用方案一（Web界面）进行配置。它逻辑清晰，且不易出错。
配置完成后，一定要进行故障模拟测试：手动拔掉光猫1的网线，等待约15-30秒，然后在防火墙上查看路由表 (display ip routing-table)，观察默认路由的下一跳是否正确地切换到了光猫2的网关。同时，测试内网用户的上网是否正常。
三条线路都是电信，带宽可能叠加效果不明显，但您的主目标（主备备份） 已经完美实现。

您卡在“创建负载均衡规则流量匹配特征”这一步，是因为那个向导是为不同运营商（如移动、联通、电信）的线路做负载分担设计的，它依靠识别目的IP的运营商属性来选路。对于同运营商线路，这个功能不适用，因此您应该跳出“轻松配”的向导，直接使用更底层的策略路由（静态路由优先级+NQA） 功能。