问题描述：
需求是双线要都能提供对外的www服务，服务器可以通过电信线路上网，移动线路作为备份
设备有两个公网出口GE0/1和GE0/0，分别连接移动和电信公网，默认路由都指向各自运营商下一条，指向移动接口。 两个公网口都做nat server，分别映射到内网服务器192.168.17.205和204。 问题现象是从电信外网ping两个接口GE0/1和GE0/0都会间断性丢包，访问移动NAT的www服务正常，电信NAT的www不能正常访问。 将电信的路由preference 改为 80后，公网ping GE0/1不丢包，ping GE0/0不通，移动线路可以正常对外提供服务，内网电脑也可以通过移动线路上网。
组网及组网描述：
部分配置如下
acl number 3001
rule 0 permit ip source 192.168.18.0 0.0.0.255
rule 1 permit ip source 192.168.17.204 0
acl number 3002
rule 0 permit ip source 192.168.17.205 0
rule 1 permit ip source 192.168.15.0 0.0.0.255
policy-based-route fuzai permit node 10
if-match acl 3001
apply ip-address next-hop 123.234.226.1
policy-based-route fuzai permit node 20
if-match acl 3002
apply ip-address next-hop 211.138.96.129
interface Vlan-interface1
ip address 192.168.17.1 255.255.255.0
tcp mss 1024
undo dhcp select server global-pool
dhcp server apply ip-pool vlan1
interface GigabitEthernet0/0
port link-mode route
nat outbound
nat server 3 protocol tcp global current-interface www inside 192.168.17.204 www
ip address 123.234.226.6 255.255.255.248
attack-defense apply policy 87
dns server 60.191.244.2
dns server 60.191.244.5
#
interface GigabitEthernet0/1
port link-mode route
nat outbound
nat server 1 protocol tcp global current-interface www inside 192.168.17.205 www
ip address 211.138.96.207 255.255.255.128
attack-defense apply policy 86
dns server 211.140.13.188
dns server 211.140.188.188
interface GigabitEthernet0/9
port link-mode route
ip address 192.168.15.1 255.255.255.0
ip policy-based-route fuzai
#
interface GigabitEthernet0/2
port link-mode bridge
#
interface GigabitEthernet0/3
port link-mode bridge
#
ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet0/1 211.138.96.129
ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet0/0 123.234.226.1 preference 80
#
- 2018-10-15提问
- 举报
-
(0)
最佳答案
建议在设备上做个本地策略路由
1.6 策略路由典型配置举例
1.6.1 基于报文协议类型的本地策略路由配置举例
1. 组网需求
通过策略路由控制Router A产生的报文：
· 所有TCP报文均通过串口Serial2/0发送；
· 其它报文仍然按照查找路由表的方式进行转发。
其中，Router A分别与Router B和Router C直连。
2. 组网图
图1-1 基于报文协议类型的本地策略路由的配置举例组网图
3. 配置步骤
(1) 配置Router A
# 定义访问控制列表ACL 3101，用来匹配TCP报文。
<RouterA> system-view
[RouterA] acl number 3101
[RouterA-acl-adv-3101] rule permit tcp
[RouterA-acl-adv-3101] quit
# 定义5号节点，使TCP报文被发往串口Serial2/0。
[RouterA] policy-based-route aaa permit node 5
[RouterA-pbr-aaa-5] if-match acl 3101
[RouterA-pbr-aaa-5] apply output-interface serial 2/0
[RouterA-pbr-aaa-5] quit
# 在Router A上应用本地策略路由。
[RouterA] ip local policy-based-route aaa
# 配置Serial接口的IP地址。
[RouterA] interface serial 2/0
[RouterA-Serial2/0] ip address 1.1.2.1 255.255.255.0
[RouterA-Serial2/0] quit
[RouterA] interface serial 2/1
[RouterA-Serial2/1] ip address 1.1.3.1 255.255.255.0
(2) 配置Router B
# 配置Serial接口的IP地址。
<RouterB> system-view
[RouterB] interface serial 2/0
[RouterB-Serial2/0] ip address 1.1.2.2 255.255.255.0
(3) 配置Router C
# 配置Serial接口的IP地址。
<RouterC> system-view
[RouterC] interface serial 2/1
[RouterC-Serial2/1] ip address 1.1.3.2 255.255.255.0
[RouterC-Serial2/1] quit
(4) 验证配置结果
从Router A上Telnet Router B（1.1.2.2/24），结果成功。
从Router A上Telnet Router C（1.1.3.2/24），结果失败。
从Router A上ping Router C（1.1.3.2/24），结果成功。
由于Telnet使用的是TCP协议，ping使用的是ICMP协议，所以由以上结果可证明：Router A产生的TCP报文均从串口Serial2/0发送，串口Serial2/1不发送TCP报文，但可以发送非TCP报文，策略路由设置成功。
- 2018-10-15回答
- 评论(5)
- 举报
-
(0)
这个和我的需求不吻合啊！
我这个应该是由于来回路径不一致导致的，但是MSR2600不支持if-match reverse-input-interface
您是双出口，所以ping您设备上的地址出现不通，需要配置一个本地策略路由。本地策略路由跟策略路由的区别是。本地策略路由会影响您设备本身的回包的。因为您的一个口有线级高，所您设备回包的时候从有线级高的回的。并不是从您要ping的接口回包的。从而导致ping不通
做个策略路由加上一个本地策略路由就好了
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
做个策略路由加上一个本地策略路由就好了