F1000-AK防火墙策略路由不生效

原因有很多，

比如：联通链路故障

联通接口未作NAT，

策略没放通

reth1是三层和内网互联的接口吗

联通单线可以出去吗

参考

1. 策略路由应用位置错误
问题：策略路由不应调用在Reth等聚合接口，而应应用在连接核心交换机的下行接口（或核心交换机连接防火墙的上行接口）。
解决：将策略路由移至流量入口（内网流量进入防火墙的接口）：
interface GigabitEthernet1/0/X  替换为实际连接核心交换机的物理接口或VLAN接口
ip policy-based-route free


2. ACL范围过广导致策略冲突
问题：ACL 3999规则 source 10.15.60.254 0.0.3.255 实际匹配 10.15.60.0/22网段。若策略路由动作错误引导流量至联通出口，但联通路由未覆盖目标地址会导致不通。
验证：检查联通出口的路由表：
display ip routing-table | include <联通下一跳地址>

优化：精确ACL范围，或确认联通路由是否可达目标外网地址。

3. 策略路由与默认路由优先级冲突
问题：防火墙默认浮动路由优先级高于策略路由。若策略路由未正确匹配，流量仍走默认移动出口。
排查：查看策略路由匹配计数：
display ip policy-based-route statistics interface <应用接口>

若计数为0：检查ACL是否匹配流量（如源IP是否在10.15.60.0/22网段内）。

4. 非P2P接口需指定多下一跳
问题：Reth/以太网接口属于广播型接口，单一路由易失效。需配置主备下一跳：
policy-based-route free permit node 11
if-match acl 3999
apply next-hop 联通主下一跳 联通备下一跳  例如：192.168.1.1 192.168.1.2


 配置修正建议

 1. 将策略路由应用在下行接口（非Reth）
interface GigabitEthernet1/0/1  防火墙连接核心的物理接口
ip policy-based-route free

 2. 优化策略路由，配置主备下一跳
policy-based-route free permit node 11
if-match acl 3999
apply next-hop 联通主网关地址 联通备网关地址  例如：202.100.1.1 202.100.1.2

 3. 检查联通出口路由
ip route-static 0.0.0.0 0 <联通网关地址> preference 70  确认联通默认路由存在


 验证命令
查看策略路由匹配情况：

display ip policy-based-route interface GigabitEthernet1/0/1

测试流量路径：

ping -a 10.15.60.254 8.8.8.8  指定源IP测试联通性

 常见陷阱
安全域冲突：若策略路由调用接口与安全策略域不匹配（如流量未进入Trust域），安全策略会丢弃报文。
NAT干扰：全局NAT策略在PBR后执行，若目的安全域错误可能导致SNAT失效。需检查NAT配置是否匹配联通出口域。

重要：修改后保存配置并测试。若仍不生效，结合 debugging ip packet acl 3999 追踪报文路径，验证是否按预期转发至联通网关。