防火墙双出口如果通过web配置内网访问外网流量负载均衡

另一个出口一样配置就行，正常写路由，nat。接口打开保持下一题跳就是源进源出了。但是就是要配置一下链路负载均衡。

可以的，默认路由负载或者负载均衡功能实现 

1. 配置新外网接口：在 Web 界面的“网络 > 接口”中，为新增的外网接口配置 IP 地址（静态/PPPoE/DHCP）。
2. 划分安全区域：将新增的外网接口加入到 Untrust 区域（或为其单独创建一个 ISP 安全区域），同时确保内网接口处于 Trust 区域。
3. 配置安全策略：在“策略 > 安全策略”中，新增一条放行规则，允许从 Trust 区域访问新 Untrust/ISP 区域的流量，确保内网访问新链路的流量不被拦截。

• 配置 NAT Outbound 或 Easy-IP 策略，匹配 Trust 区域的流量，并将出接口指定为新增的外网接口，确保从该接口出去的流量能正确转换为对应的公网 IP。

1. 配置链路健康检测（NQA/Link Monitor）：
   在“网络 > 健康检查”或类似菜单中，配置探测机制（如 ICMP 探测公网 DNS 114.114.114.114 或运营商网关），并将该探测绑定到两条外网链路上，用于实时监测链路状态。
2. 配置负载均衡策略（WAN口负载分担）：
   进入“上网配置 > WAN口负载分担”或“网络 > 负载均衡”页面：
   • 创建链路组：将两条外网链路（网关）加入同一个链路组。
   • 选择分担模式：选择“负载分担”或“Active-Active”模式。
   • 设置权重：如果两条链路带宽不同（如电信 100M、移动 50M），请按照带宽比例设置权重（如 100:50），使流量按比例自动分担。
   • 选择均衡算法：推荐选择“基于源 IP 哈希”或“基于连接”的算法，以保证同一内网终端访问同一外网地址时走同一条链路，避免会话中断。

1. DNS 透明代理：在多 WAN 环境下，强烈建议在 Web 界面开启“DNS 透明代理”功能，并为每条链路指定对应运营商的 DNS 服务器。这能有效防止因 DNS 解析路径与数据转发路径不一致导致的访问异常。
2. NAT Server（内网服务器对外发布）的回包问题：如果您的内网有对外发布的服务器（配置了目的 NAT/NAT Server），在双出口负载均衡下极易出现“去程走电信，回程走移动”的不对称路由问题，导致外网无法访问。针对此场景，通常需要配置“源进源出（redirect-reverse）”功能，或通过策略路由强制指定该服务器的流量仅从绑定的物理口进出。

1. 接口与 NAT

• 第二条 WAN 接口配置公网 IP / 网关，加入 Untrust 安全域；
• 新建第二条 Easy‑IP 动态 NAT，出接口选第二条 WAN，内网源对象和原有 NAT 保持一致。两条 NAT 规则同时启用H3C。

2. 方案 A：等价默认路由 ECMP（Web：路由‑静态路由）

• 新建两条默认路由，目的 0.0.0.0/0，分别填两个出口网关，优先级（开销）数值完全一样。
• 缺点：没有链路健康探测，一条外网断了，仍会往坏链路分发流量，会丢包。适合简单测试，生产不推荐。

3. 方案 B：出方向链路负载均衡 LLB（生产推荐，Web：策略‑负载均衡‑出方向链路负载均衡）H3C ①新建链路：分别把两条 WAN 接口、各自下一跳网关配置成两条 link 链路； ②新建链路组，把两条 link 加入组内，开启健康探测； ③路由策略，全局启用 LB 服务，默认流量动作选择负载分担；

LLB 自带链路状态检测，链路故障自动把流量全部切到好的链路，支持带宽比例调度。

4. 安全策略 内网→Untrust 域放行内网访问外网的安全策略，两条出口共用同一条域间策略即可，不用额外新增。
5. 常见踩坑

• LLB 模式下，不要再配置 ECMP 默认路由，二者冲突；
• NAT 必须两条都配置，流量从哪个 WAN 出去就要匹配该 WAN 的 NAT；
• 做完之后测试：分别断开其中一条 WAN，验证业务是否自动切换。