zhiliao_Gixe
九段
H3C SecPath F1000-AK145 防火墙支持双WAN口，可实现双路宽带接入及一主一备配置。
配置思路：
1. 将两个接口（如 GE1/0/1、GE1/0/2）分别配置为 WAN1 和 WAN2，接入不同运营商线路。
2. 配置两条默认路由，主用路由优先级高（preference 值小），备用路由优先级低。
3. 可选配置链路检测（如 NQA 或 Track）实现故障自动切换。
关键配置命令：
配置接口IP
interface GigabitEthernet1/0/1
ip address 1.1.1.2 255.255.255.0
nat outbound
interface GigabitEthernet1/0/2
ip address 2.2.2.2 255.255.255.0
nat outbound
配置主备路由
ip route-static 0.0.0.0 0 1.1.1.1 preference 10
ip route-static 0.0.0.0 0 2.2.2.1 preference 60
故障自动切换（推荐）：
配置NQA检测主链路
nqa entry admin test1
type icmp-echo
destination ip 1.1.1.1
frequency 5000
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
nqa schedule admin test1 start-time now lifetime forever
配置Track关联
track 1 nqa entry admin test1 reaction 1
主路由绑定Track
ip route-static 0.0.0.0 0 1.1.1.1 preference 10 track 1
ip route-static 0.0.0.0 0 2.2.2.1 preference 60
主链路故障时，Track 状态变为 Negative，主路由失效，自动切换到备用路由。
配置思路：
1. 将两个接口（如 GE1/0/1、GE1/0/2）分别配置为 WAN1 和 WAN2，接入不同运营商线路。
2. 配置两条默认路由，主用路由优先级高（preference 值小），备用路由优先级低。
3. 可选配置链路检测（如 NQA 或 Track）实现故障自动切换。
关键配置命令：
配置接口IP
interface GigabitEthernet1/0/1
ip address 1.1.1.2 255.255.255.0
nat outbound
interface GigabitEthernet1/0/2
ip address 2.2.2.2 255.255.255.0
nat outbound
配置主备路由
ip route-static 0.0.0.0 0 1.1.1.1 preference 10
ip route-static 0.0.0.0 0 2.2.2.1 preference 60
故障自动切换（推荐）：
配置NQA检测主链路
nqa entry admin test1
type icmp-echo
destination ip 1.1.1.1
frequency 5000
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
nqa schedule admin test1 start-time now lifetime forever
配置Track关联
track 1 nqa entry admin test1 reaction 1
主路由绑定Track
ip route-static 0.0.0.0 0 1.1.1.1 preference 10 track 1
ip route-static 0.0.0.0 0 2.2.2.1 preference 60
主链路故障时，Track 状态变为 Negative，主路由失效，自动切换到备用路由。
暂无评论
HH3C SecPath F1000-AK145 完全支持双 WAN 双宽带接入，一主一备用 NQA+Track+浮动静态路由就能实现自动切换，不需要额外买 License。 它官方就在支持负载分担/多 WAN 的 AK 系列型号清单里。
下面按你“一主一备”的目标给落地做法。
一、两种“双 WAN”要先分清
需求 | 做法 | 要不要 LB 授权 |
|---|---|---|
主备切换（你要的） | 两条默认路由 + Track 联动，主断切备 | ❌ 不用 |
负载分担/智能选路 | ECMP 或链路负载均衡 | 服务器 LB 功能需授权，但普通等价路由不需 |
你只要主备，走静态路由浮动优先级 + NQA 探测就够了，别被销售忽悠买 LB 包。
二、物理与逻辑规划（先想清楚再敲命令）
假设：
G1/0/1= 主宽带（电信），静态 IP198.76.28.30/30，网关198.76.28.29G1/0/2= 备宽带（联通），静态 IP198.77.28.30/30，网关198.77.28.29G1/0/3= 内网，信任域192.168.2.1/24
如果是 PPPoE 拨号，把接口地址换成Dialer0/Dialer1，NAT 和路由挂 Dialer 口上即可，思路完全一样。
三、主备核心配置（Comware V7，命令行）
① 接口 + NAT + 安全域
interface GigabitEthernet1/0/1
ip address 198.76.28.30 255.255.255.252
nat outbound
#
interface GigabitEthernet1/0/2
ip address 198.77.28.30 255.255.255.252
nat outbound
#
interface GigabitEthernet1/0/3
ip address 192.168.2.1 255.255.255.0
#
security-zone name Trust import interface GigabitEthernet1/0/3
security-zone name Untrust import interface GigabitEthernet1/0/1
security-zone name Untrust import interface GigabitEthernet1/0/2② 安全策略（内网出 + 放行 NQA 探测包，这条很多人漏）
security-policy ip
rule 0 name trust-untrust
action pass
source-zone trust
destination-zone untrust
rule 1 name per-nqa
action pass
source-zone local
destination-zone untrust
destination-ip-host 114.114.114.114③ NQA 探测公网地址（别只 ping 网关，网关通但运营商上层断网时切不动）
nqa entry admin test
type icmp-echo
destination ip 114.114.114.114
frequency 3000
next-hop 198.76.28.29
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
#
nqa schedule admin test start-time now lifetime forever
#
track 1 nqa entry admin test reaction 1④ 两条默认路由，主路由绑 Track，备路由降优先级
ip route-static 0.0.0.0 0 198.76.28.29 track 1
ip route-static 0.0.0.0 0 198.77.28.29 preference 80工作逻辑：
- 主链路正常 → Track 1 Positive → 主路由生效，全部走电信
- 主链路断（连续 3 次探不到 114.114.114.114）→ Track 1 Negative → 主路由撤出，自动切联通
- 主链路恢复 → Track 回 Positive → 主路由重新注入，自动回切
四、PPPoE 拨号场景的差异点
两条宽带都是拨号的话：
- 建
Dialer0（主）、Dialer1（备），配pppoe-client dial-buffer - NAT 挂
Dialer0/Dialer1口 - 默认路由写成
ip route-static 0.0.0.0 0 Dialer0 track 1这种形式（下一跳由拨号协商获得，写 Dialer 口本身） - NQA 的
next-hop可以省略，让系统按路由表走；destination仍填公网 DNS 或 ping 得通的地址
五、五个最容易翻车的坑
⚠️ 都是现场踩过的
- NQA 只 ping 直连网关 → 运营商上层断网切不动，必须探公网地址（114/223/8.8.8.8 都行）
- 安全策略没放通 local→untrust → NQA 探测包被防火墙自己拦了，Track 永远 Negative，一开机就切备线
- 静态路由同时写出接口+下一跳 → Track 联动可能失效，只写下一跳 IP 最稳
- 回包路径不一致 → 去程走电信、回程走联通，状态表不匹配被丢包。主备模式一般不会踩，但如果你后面想做负载分担，记得开
ip load-sharing mode per-flow src-ip或用策略路由锁死进出接口 - 两个 WAN 口忘了都加 untrust → 只加了一个，备线通了也出不去
六、验证命令（配完必查）
display track 1 # 正常应是 Positive
display nqa result admin test
display ip routing-table | include 0.0.0.0 # 看当前走哪条
display session statistics # 切完看会话重建情况手动拔主宽带网线，10 秒内
display track 1 应变 Negative、路由表切到 preference 80 那条；插回去等探测恢复自动回切。暂无评论
方案 A：静态路由 + NQA+Track（推荐，链路故障自动切换）
只用静态路由，NQA 探测运营商网关 / 公网 IP，链路断自动切换备用默认路由新华三知了...。
- 两个 WAN 接口配置 IP，加入
Untrust安全域，配置 nat outbound；内网接口加入 Trust 域，放行域间策略 trust‑untrust。 - NQA 做 ICMP 探测主链路网关（或者公网 DNS，防止只接口 UP、宽带实际断网）
#1、NQA探测主链路
nqa entry admin link‑main
type icmp‑echo
destination ip 主运营商网关IP
frequency 1000
reaction 1 checked‑element probe‑fail threshold‑type consecutive 3 action‑type trigger‑only
quit
nqa schedule admin link‑main start‑time now lifetime forever
#2、track关联nqa
track 1 nqa entry admin link‑main reaction 1
#3、默认路由：主路由优先级10，绑定track；备用路由优先级60（数值越大优先级越低）
ip route‑static 0.0.0.0 0 主下‑hop preference 10 track 1
ip route‑static 0.0.0.0 0 备下‑hop preference 60
- 正常：track1 为 Positive，主路由生效，走主宽带；
- 主链路宽带故障：track1 变成 Negative，主路由失效，自动启用优先级 60 备用路由，切第二条宽带。
方案 B：链路负载均衡模块（LB outbound）
F1000‑AK145 自带出站链路负载均衡，可以配置主备模式（优先级模式），比静态路由更完善，支持链路质量探测、带宽权重、告警。
适合后续有需要切换负载分担的场景。
重要注意点
- NAT 配置：两条 WAN 接口下都要配置
nat outbound；或者在安全策略做源 NAT。 - 安全策略：trust‑untrust 策略放行内网访问外网，两条出口共用同一条域间策略即可，不需要分别写两条。
- VPN 提醒：如果有 IPsec/SSLVPN，链路切换后 VPN 会断开，需要重连。
- 区分概念：
- 本配置：单台设备两个外网链路一主一备（链路备份）
- 双机热备 RBM：两台防火墙整机设备故障备份，完全不一样。
常用校验命令
display ip routing‑table 0.0.0.0
display track all
display nqa results
常见坑
- 只 track 接口物理状态：
track 1 interface GigabitEthernet1/0/1，接口网线没断、但运营商宽带断网，不会触发切换，必须 NQA 探测上层 IP。 - 备用默认路由不要加 track，备用路由永久待命，主失效就顶上。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论