关于防火墙出口负载均衡的最佳实践

RBM+负载均衡

# RBM+VRRP 双防火墙，三运营商（专线 + PPPoE 拨号）出口负载均衡最佳实践

>
> 组网说明：两台防火墙 RBM 热备 + VRRP，同时存在多条专线线路 + 拨号 PPPoE 线路；目标：充分复用全部出口带宽、提升上网体验。客户初步规划：等价静态路由、ISP 选路，下面补充完整方案、风险点与额外优化项。

## 一、两种基础方案对比（你计划的两种方式）

### 1、等价默认静态路由

多条 0.0.0.0/0，优先级相同，绑定 NQA track 健康探测。
✅优点：配置简单，流量五元组哈希分担，多条链路同时利用。
⚠️风险：

1. **来回路径不一致**，会话跨链路，部分业务（网银、VPN、视频）异常，必须开启`ip last‑hop hold`保持上一跳，保证源进源出。
2. PPPoE 拨号线路接口状态 up 不代表互联网可用，**必须 NQA/IP‑LINK 探测实际连通性，不能只依赖接口状态**。
3. 只能做整体负载，**不能区分运营商流量**，电信流量跑到联通链路，访问慢。

### 2、ISP 选路（ISP 地址库）

导入运营商 IP 库，访问电信走电信出口、访问联通走联通出口。
✅优点：访问对应运营商资源延迟低、体验好。
⚠️注意：

1. **ISP 选路优先于默认路由**，配置顺序上 ISP 策略要靠前；
2. PPPoE 拨号接口同样要绑定 track 健康检测；
3. ISP 库需要定期更新，部分小众 IP 段识别会有偏差。

>
> 建议：**ISP 选路 + 等价默认路由组合使用**。国内运营商资源走对应 ISP 出口；非国内 / 识别不到的流量交给等价默认路由做带宽分担。

## 二、还需要增加的关键优化项（重点）

### 1、链路健康检测（必不可少，专线 + 拨号都要做）

不能只看接口物理 up，要探测真实互联网连通性：

- 专线：NQA ICMP 探测运营商 DNS / 公网网关；
- PPPoE 拨号：除探测外网，还要监控拨号会话，拨号掉线路由自动失效。
- track 绑定到静态路由 / 策略路由，链路故障对应路由自动撤销，流量切换剩余正常链路。

>
> 注意：RBM 环境，**主备两台防火墙 NQA、track 配置必须完全一致**。

### 2、NAT 多出口源进源出（非常关键）

每条出口（专线、拨号）独立配置源 NAT 地址池：

- 专线：使用运营商分配公网地址段；
- PPPoE 拨号：使用`nat outbound`绑定 dialer 接口。

>
> 不要全局一个 NAT 池；流量从哪个 WAN 出去，就用该 WAN 的公网 IP 做转换，严格保证源进源出，避免会话异常。

### 3、RBM+VRRP 组网约束

1. RBM 主备模式，**全部负载、NAT、track、ISP 策略两台设备配置完全同步**；RBM 同步会话表，故障切换业务不中断。
2. 外网多条 WAN 接口不要配置 VRRP，VRRP 只用在内网 trust 侧；每个 WAN 接口独立属于各自 untrust 安全域。
3. PPPoE 拨号，**两台防火墙都配置 Dialer 拨号，RBM 主设备拨号生效，备机 dialer ready 待机，主故障备机自动拨号建立连接**。

### 4、策略路由补充优化（可选增强）

1. 关键业务、视频会议、VPN 流量：配置策略路由指定优先走质量好的专线，不跑拨号链路；
2. 带宽差异的线路：等价路由可以调整权重，带宽大线路分配更多会话；
3. 拨号线路可以作为低优先级备份链路，专线全部故障再承接流量。

### 5、带宽与 QoS 优化，提升用户上网体验

1. 各出口配置带宽值，基于链路带宽做负载分担，而不是单纯会话数哈希；
2. 内网重要业务（OA、视频会议）配置 QoS 队列保障；P2P 下载、大流量应用做限流，避免占满全部出口带宽。

### 6、外网服务器发布（如有内网服务器）

多出口环境，若需要服务器多运营商发布：
每个运营商出口分别配置`nat server`；内网 DNS 做智能解析，不同运营商用户解析对应运营商公网 IP。

## 三、避坑清单（现场高频踩坑）

1. ❌只看接口状态判断链路好坏：PPPoE 拨号接口 up，但是运营商认证失败，上不了网，**必须 NQA 探测真实业务连通性**。
2. ❌不开启`ip last‑hop hold`：等价路由场景来回路径不一致，网页、网银、SSL VPN 偶发断开。
3. ❌NAT 只配置一个全局地址池：流量从联通出口出去却用电信公网 IP，回程报文丢弃。
4. ❌RBM 备机缺少 NQA、track、ISP 选路配置：主备切换后负载均衡完全失效。
5. ❌ISP 选路放在默认路由后面：ISP 策略不会生效。

## 四、推荐完整整体部署思路

1. 优先配置**NQA/IP‑LINK 链路健康检测**，所有出口路由绑定 track；
2. 配置 ISP 选路策略，国内运营商流量走对应运营商出口；
3. 剩余未匹配流量，走多条出口**等价静态路由做负载分担**；
4. 开启`ip last‑hop hold`，每条出口独立配置源 NAT；
5. QoS 对业务区分保障，P2P 等大流量限流；
6. RBM+VRRP 主备两台配置完全一致，测试故障切换，验证拨号线路故障切换效果。

## 简短总结

1. 可以同时使用 **ISP 选路 + 等价静态路由**：国内资源按运营商选路，其余流量多条出口分担。
2. 必须补充：**NQA 链路健康探测、ip last‑hop hold、每条出口独立 NAT**，解决来回路径不一致、拨号链路虚假 UP 问题。
3. RBM 主备两台防火墙所有选路、track、NAT 配置必须完全一致。
4. 可以叠加策略路由，关键业务优先走专线，拨号做备份；配合 QoS 优化上网体验。