如何搭建二级路由实现互通

主网写去往128.0/24的，下一跳给110.3

子路由写默认路由给110.1

1. 核心排查：子网的“默认网关”与终端配置

• 检查终端网关：确认子网（192.168.128.0/24）内所有需要与主网通信的主机，其默认网关必须准确指向子路由器的 LAN 口 IP（192.168.128.1）。
• 检查子掩码：确保终端设备的子网掩码是标准的 255.255.255.0，避免因为掩码错误导致主机认为目标 IP 不在本地而拒绝发送。

2. 安全策略排查：防火墙与安全区域限制

• 域间策略：如果 MSR3620-X1 启用了安全区域（Zone），请检查从子网接口所在区域到主网接口的入方向（Inbound）是否放行了 ICMP 及业务端口。
• ACL 拦截：检查 MSR3620-X1 和子路由器上是否应用了高级 ACL 或包过滤规则，这些规则可能在回程路径上显式拒绝了来自 192.168.128.0/24 的流量。

3. 路由有效性验证：下一跳可达性与状态

• 在 MSR3620-X1 上验证：执行 display ip routing-table 192.168.128.0，确认该条目状态为 Active，且下一跳指向的是直连对端 192.168.110.3。
• 在子路由器上验证：执行对应的路由查看命令，确认指向主网 192.168.110.0/19 的回程路由下一跳 192.168.110.1 处于可达状态。若下一跳不可达，路由将不会加入转发表。

4. 链路层与抓包诊断

• Ping 测试下一跳：在子路由器上直接 ping 192.168.110.1，以及在 MSR3620-X1 上 ping 192.168.110.3，确保二层链路完全畅通。
• 使用 Traceroute 定位断点：在子网的一台 PC 上向主网发起 tracert <主网目标IP>。观察数据包是在子路由器处就丢失了，还是在到达 MSR3620-X1 后没有响应。这能精准判断是哪一台设备阻断了回程流量。
• NAT 残留检查：虽然您提到已关闭 NAT，但仍建议在子路由器上执行 display nat session 或相关命令，彻底确认没有任何遗留的 NAT 转换规则干扰回程报文。

一、组网梳理
主路由 MSR3620-X1：网关 192.168.110.1/18（掩码 255.255.224.0），主网段：192.168.110.0 ~ 192.168.127.255
二级路由：
WAN 口（上联主网）：192.168.110.3（属于主网段）
LAN 口（自身子网）：192.168.128.1/24，子网：192.168.128.0/24
现状：主网能通二级子网，二级子网无法访问主网
二、故障根因
二级路由缺少指向主网段的静态路由（回程路由不全）；
二级路由必须关闭 WAN 口 NAT（你已做，该配置保留）；
二级路由下终端网关指向错误，或未配置静态路由。
三、分步配置（H3C 路由命令行）
1. 确认已有配置核对
主路由（192.168.110.1）
已配置去往二级子网的静态路由（保证主网访问子网），格式参考：
cli
# 去往 192.168.128.0/24 下一跳为二级路由WAN口 192.168.110.3
ip route-static 192.168.128.0 255.255.255.0 192.168.110.3
✅ 这条正常，主网就能 ping 通子网。
2. 二级路由核心补配（关键，解决子网访问主网）
（1）全局关闭 WAN 侧 NAT（你已配置，保留）
cli
# 进入连接主网的WAN接口
interface 对应WAN接口
undo nat outbound
（2）二级路由添加去往主网段的静态路由
主网段：192.168.110.0 255.255.224.0，下一跳指向主路由网关 192.168.110.1
cli
# 全局视图配置
ip route-static 192.168.110.0 255.255.224.0 192.168.110.1
（3）检查二级路由 LAN 口配置
cli
interface Vlan-interface 1 # 或对应三层LAN接口
ip address 192.168.128.1 255.255.255.24
3. 二级子网内终端配置（必做）
子网电脑 / 设备：
IP：192.168.128.X（X≠1）
子网掩码：255.255.255.0
网关：192.168.128.1（二级路由 LAN 地址）
DNS 按需填写
四、连通性测试顺序
二级路由自身测试
cli
# 二级路由上 ping 主网关
ping 192.168.110.1
能通 → 路由配置正常。
子网终端 ping 主网任意地址（如 192.168.110.1），正常互通。
主网终端 ping 子网终端，双向全通。
五、常见问题 & 排错
二级路由配完路由仍不通
检查：静态路由掩码、下一跳是否写成 192.168.110.1，不要写错地址。
终端网关写错
子网终端网关必须是 192.168.128.1，不能填主路由 192.168.110.1。
误开启 NAT
二级路由 WAN 口一旦开启nat outbound，会做地址转换，双向不通，务必关闭。
防火墙 / ACL 拦截
两台路由若配置了包过滤策略，放行 192.168.110.0/18 与 192.168.128.0/24 互访流量。
六、最简总结
主路由：已有 192.168.128.0/24 路由，无需改动；
二级路由：加一条去往 192.168.110.0/18、下一跳 192.168.110.1 的静态路由 + 保持 WAN 口 NAT 关闭；
子网终端网关指向二级路由 LAN 地址 192.168.128.1；
完成后即可双向互通。