MSR5620+实现双WAN口上网

通过路由或者acl限制就可以

使用策略路由实现，案例参考 策略路由配置举例

“客户默认所有流量都通过公司内部出口上网”这一条走默认路由

“只有规定的源IP地址或者规定的目的IP地址才能通过运营商的出口访问”这一条走策略路由

acl做策略路由，默认都走公司内部出口，匹配acl的走运营商

# MSR5620 双 WAN 出口配置（上层设备完成 NAT，路由器不做 NAT）

>
> 业务需求：
> 1）两条出口：①公司内部出口（主出口，所有流量默认走这条）；②运营商出口（仅特定源 IP / 特定目的 IP 流量走这条）
> 2）**NAT 不在 MSR5620 做，上游设备完成源 NAT，MSR 仅做纯路由转发**
> 3）使用**策略路由 PBR**：匹配指定源 / 目的的流量强制走运营商出口；其余所有流量匹配静态默认路由，走公司内部出口。

>
> MSR5620 为分布式 V7 平台，接口命名格式为`GigabitEthernet 1/0/X`。

## 组网说明

- GE1/0/1：连接【公司内部出口】，对端网关：`10.1.1.1`
- GE1/0/2：连接【运营商出口】，对端网关：`10.2.2.1`
- GE1/0/3：内网入接口，对接核心交换机；**策略路由应用在此入接口**

>
> 两个 WAN 接口仅配置三层 IP 地址，**MSR5620 不配置任何 nat outbound**，NAT 全部由上游出口设备完成。

## 完整配置模板

### 1、接口 IP 配置

```
system‑view
# 主出口：公司内部出口
interface GigabitEthernet 1/0/1
port link‑mode route
ip address 10.1.1.2 255.255.255.0
quit
# 次出口：运营商出口
interface GigabitEthernet 1/0/2
port link‑mode route
ip address 10.2.2.2 255.255.255.0
quit
# 内网对接核心
interface GigabitEthernet 1/0/3
port link‑mode route
ip address 192.168.1.1 255.255.255.0
quit
```

### 2、ACL：定义需要走运营商出口的流量（二选一或同时配置）

```
acl advanced 3000
#场景A：匹配【特定源IP网段】走运营商出口，例如源192.168.10.0/24
rule permit ip source 192.168.10.0 0.0.0.255
#场景B：匹配【特定目的IP网段】走运营商出口，例如访问目的200.1.1.0/24
# rule permit ip destination 200.1.1.0 0.0.0.255
quit
```

>
> 多条网段可以增加多条 rule；**不需要的规则注释掉**。

### 3、策略路由 PBR 配置

>
> 策略路由优先级高于静态路由；匹配 ACL3000 的流量指定下一跳走运营商网关；**不匹配策略的流量直接查路由表，走默认路由（公司内部出口）**。

```
policy‑based‑route PBR_ISP permit node 10
if‑match acl 3000
apply next‑hop 10.2.2.1 #运营商出口网关
quit
# 将策略路由应用在内网入接口（内网流量进来的时候做策略判断）
interface GigabitEthernet 1/0/3
ip policy‑based‑route PBR_ISP
quit
```

### 4、静态默认路由（关键）

```
# 全局默认所有流量走【公司内部出口】（主出口）
ip route‑static 0.0.0.0 0.0.0.0 10.1.1.1
```

>
> ❗**不要配置第二条 0.0.0.0 默认路由**，否则会形成 ECMP 等价路由，流量乱分担。
> 只有策略路由匹配上的特殊流量才会强制送往运营商出口；其余全部查表走公司内部出口。

>
> 补充可选：链路健康检测 NQA+track
> 如果需要主出口故障后全部流量自动切运营商出口，可以配置浮动静态路由（preference 调大）+NQA 探测；客户没有故障切换需求可以不配置。

## 验证排查命令

```
display policy‑based‑route #查看策略路由配置
display ip routing‑table #确认默认路由下一跳是公司内部出口网关
display acl 3000 #查看ACL匹配计数，确认是否有命中的流量
display ip policy‑based‑route interface GigabitEthernet 1/0/3 #确认接口已经绑定PBR
```

## 重点注意事项

1. MSR5620**全程不配置 nat outbound**，NAT 全部交给两条出口上游设备完成；MSR 仅做路由转发。
2. 策略路由仅对**从 G1/0/3 进入的内网转发报文生效**；路由器本机产生的报文不受接口策略路由控制。
3. 策略路由匹配成功的报文直接使用`apply next‑hop`；**没有匹配策略的报文，正常查询路由表，走全局默认路由（公司内部出口）**，正好匹配业务需求。
4. 上游两台出口设备，需要配置回指静态路由，把内网网段回指给 MSR5620 的对应 WAN 接口 IP，否则回程不通。