F1000-905-AI 策略路由配置拍错

1、确保pbr策略是调用在10.0.101.9的接收接口，而不是发送接口

2、建议将pbr策略的apply动作变更为apply next-hop测试，而不是apply out-interface

一、 核心原因排查思路

1. 确认 PBR 的应用方向是否正确（最常见误区）

• 技术原理：在 H3C Comware V7/V9 系统中，策略路由仅在流量的入接口（inbound）方向生效。如果在出接口上调用 ip policy-based-route，属于无效配置。
• 排查建议：请核实产生 10.0.101.9 流量的真实物理入口。如果该流量是从其他网段经由内网接口进入防火墙，那么 ip policy-based-route SREtoCNM 必须应用在对应的内网入接口下，而不是您期望的出接口 GigabitEthernet1/0/1 上。

2. 检查 ACL 通配符掩码是否精确

• 技术原理：您在 ACL 3001 中配置的源地址为 10.0.101.9 0。在 H3C 设备中，0 代表完全匹配，即仅能匹配 10.0.101.9 这一个 IP。如果实际测试时使用的是该网段的其他 IP（例如 10.0.101.10），则会导致 ACL 无法命中，从而匹配计数为 0。
• 排查建议：确认测试终端的真实 IP。如果需要匹配整个 /24 网段，应将掩码修改为 10.0.101.0 0.0.0.255。

3. 验证下一跳与出接口的可达性

• 技术原理：虽然您在 PBR 节点中指定了 apply output-interface GigabitEthernet1/0/1，但 PBR 的执行逻辑是“先匹配 ACL，再执行动作，最后校验下一跳”。如果指定的出接口物理状态非 UP，或者没有关联有效的直连路由/静态路由，PBR 会静默失效并回退到普通路由表查表。
• 排查建议：使用 ping -a 10.0.101.9 3.3.3.1 （假设 3.3.3.1 为该出口的网关）来验证下一跳是否绝对可达。

4. 检查接口二层属性干扰

• 技术原理：如果应用了策略路由的接口配置了 portswitch 命令（作为二层透传接口），报文到达后会直接进行二层 MAC 转发，而不会上送三层模块处理，因此永远不会匹配三层 PBR 策略。
• 排查建议：确认 GigabitEthernet1/0/1 处于三层路由模式（undo portswitch）。从您的配置看已有 port link-mode route，此项可排除。

二、 如何查看每个包的详细匹配消息？

1. 开启终端监控与调试输出：
   terminal monitor terminal debugging
2. 开启 PBR 相关的 ACL 匹配调试开关：
   debug ip packet acl 3001 verbose
   (注：此命令可以捕获报文的匹配详情，帮助您看清报文到底有没有去尝试匹配 ACL 3001，以及匹配失败的原因)
3. 触发测试流量：此时让 10.0.101.9 发起 ping 或 HTTP 请求。
4. 关闭调试：排错完成后，务必立即关闭调试以免影响设备性能：
   undo debug all

直接告诉你：你的策略路由不生效，是因为绑定接口绑反了！
这是 H3C 防火墙 PBR 最经典、最常见的错误。
一、核心错误（100% 确定）
plaintext
interface GigabitEthernet1/0/1
ip policy-based-route SREtoCNM ❌ 错误！
为什么错？
策略路由必须绑定在【流量入方向接口】（内网口 / Trunk 口 / 用户侧接口）
你绑在了 出接口（外网口 1/0/1） → 流量根本不会匹配 PBR
所以 Matched: 0
二、正确配置（立刻生效）
1. 先删除错误绑定
plaintext
interface GigabitEthernet1/0/1
undo ip policy-based-route SREtoCNM
2. 找到内网口（10.0.101.9 所在的接口）
假设内网口是 GigabitEthernet1/0/3（你换成自己的）
plaintext
interface GigabitEthernet1/0/3
ip policy-based-route SREtoCNM
PBR 必须绑在流量进来的接口（内网口）
三、你的配置其他问题（一并修复）
1. ACL 3001 写法不标准（H3C 建议完整写法）
plaintext
acl advanced 3001
rule 0 permit ip source 10.0.101.9 0.0.0.0 ✅ 正确
你原来的 0 可以用，但建议写全 0.0.0.0 避免识别异常。
2. 策略路由推荐用下一跳，比出接口更稳定
plaintext
policy-based-route SREtoCNM permit node 5
if-match acl 3001
apply ip next-hop 3.3.3.1 ✅ 推荐
// apply output-interface GigabitEthernet1/0/1 ❌ 可以删掉
四、查看匹配的命令（你要的详细查看方法）
1. 查看 PBR 匹配包数（最常用）
plaintext
display ip policy-based-route interface 内网口
2. 查看 ACL 是否命中
plaintext
display acl 3001
如果这里有匹配，PBR 没匹配 → 接口绑定错误
3. Debug 查看详细转发（高级排错）
plaintext
terminal monitor
terminal debugging
debugging ip policy-based-route event
debugging ip policy-based-route packet
五、最终可直接用的正确配置
plaintext
# 1. 删掉错误绑定
interface GigabitEthernet1/0/1
undo ip policy-based-route SREtoCNM

# 2. 绑定到内网口（务必改成你自己的内网口）
interface GigabitEthernet1/0/3
ip policy-based-route SREtoCNM

# 3. 策略路由（推荐用下一跳）
policy-based-route SREtoCNM permit node 5
if-match acl 3001
apply ip next-hop 3.3.3.1

# 4. ACL
acl advanced 3001
rule 0 permit ip source 10.0.101.9 0.0.0.0
六、一句话总结
策略路由 PBR 必须绑定在内网入接口，不能绑在外网出接口。
你绑反了，所以永远匹配 0。