您好，配置策略路由就好了

防火墙作为网络出口设备，外网有移动和联通两条线路。内网有192.168.1.0和192.168.2.0两个网段，需要实现192.168.1.0网段走移动线路，192.168.2.0网段走联通线路。当两条线路中的一条线路故障时数据可以通过正常链路转发。

2 组网图

配置步骤

要实现这个“指定网段走指定出口”的效果，核心是在你的F1000-AK1150防火墙上配置策略路由（PBR）。同时，为了在网络中隔离这个新网段，还需要在交换机和无线控制器上做一些配合。

整个配置可以分为三个部分，下面的表格为你梳理了整体思路和各设备的职责：

第一步：在核心交换机 S5590 上配置VLAN

你需要先在核心交换机上创建一个新的VLAN（例如VLAN 107），用于隔离新的WiFi网段。然后，确保这个VLAN的流量能通过交换机和防火墙之间的互联链路。

1. 创建VLAN并配置三层接口IP：

   system-view

   vlan 107 quit interface Vlan-interface 107 ip address 172.16.107.1 255.255.255.0 # 作为新网段的网关 quit

2. 配置上联防火墙的接口为Trunk模式：
   假设连接防火墙的接口是 GigabitEthernet1/0/24。

   interface GigabitEthernet 1/0/24

   port link-type trunk port trunk permit vlan all # 或者只允许vlan 107等需要的vlan通过 quit

第二步：在防火墙 F1000-AK1150 上配置策略路由

这是实现你需求的核心步骤。策略路由的思路是：先抓取从新WiFi网段来的流量，然后强制指定它的下一跳（即专线的网关）。

方法一：通过命令行配置

1. 定义ACL来匹配你的新WiFi网段：

   acl advanced 3100

   rule 0 permit ip source 172.16.107.0 0.0.0.255 quit

2. 创建策略路由，指定下一跳：
   假设你专线的下一跳网关地址是 10.10.10.1。

   policy-based-route pbr_to_private permit node 10

   if-match acl 3100 apply next-hop 10.10.10.1         quit            请注意：10.10.10.1需要替换为你专线出口的真实网关地址。

3. 在内网接口应用该策略路由：
   策略路由需要应用在接收流量的接口上，也就是核心交换机连接防火墙的那个接口。假设该接口为 GigabitEthernet1/0/1。

   interface GigabitEthernet 1/0/1

   ip policy-based-route pbr_to_private quit

4. 保存配置：

   save force

方法二：通过Web界面配置

如果你更习惯使用图形界面，也可以按以下路径操作：

1. 在Web管理页面，找到 “策略” > “策略路由” > “策略”。

2. 点击“新建”，创建一个策略路由，按如下方式设置：

   • 名称：pbr_to_private

   • 节点：10

   • 匹配规则：源IP地址填写 172.16.107.0/24。

   • 动作：选择“重定向到下一跳”，并填写专线的网关地址。

3. 创建完成后，需要到 “网络” > “接口”，找到连接核心交换机的内网接口，在“高级设置”里调用刚刚创建的策略路由 pbr_to_private。

第三步：在无线控制器 GR3200 上配置新WiFi

最后，你需要在五楼的GR3200上创建一个新的无线服务，并绑定到VLAN 107，让连接这个新WiFi的设备自动获取172.16.107.x的IP地址。

1. 登录GR3200的Web管理界面。

2. 进入 “AP管理” > “配置管理” > “配置模板管理”。

3. 新建或编辑一个AP配置模板，在SSID设置中添加一个新的无线网络：

   • SSID名称：你想要显示的WiFi名字。

   • 加密方式：按需设置。

   • 高级设置：找到 “桥接VLAN” 选项，填入 107。这是确保客户端获取正确网段IP的关键一步。

4. 保存模板，并将此模板应用到你的AP上。

防火墙配置策略路由，让172.16.107.0网段只走专线就行了