问

增加了一条WAN接入后，配置了策略路由，导致原先的NAT，内网不能访问了，求助

2019-11-26提问

0关注
1收藏，1173浏览

zhiliao_34331

zhiliao_34331 零段

粉丝：0人关注：0人

问题描述：

增加了策略路由之后，内网就不能访问外网地址:端口

是不是都直接走了策略路由，不走NAT了，这个要怎么办？

组网及组网描述：

组网环境和上次的一样

https://zhiliao.h3c.com/questions/dispcont/4318

这次增加了一条WAN，在GI1/0/8口

新作的策略路由如下：

acl basic 2100

rule 5 permit source 192.168.5.0 0.0.0.255

rule 7 permit source 192.168.7.0 0.0.0.255

rule 9 permit source 192.168.9.21 0

policy-based-route aaa permit node 0

if-match acl 2100 apply next-hop 10.1.1.1

policy-based-route aaa permit node 1

apply next-hop 61.x.x.x

最佳答案

会了我也不说

会了我也不说六段

粉丝：6人关注：43人

要是访问的终端和被访问的服务器是不同网段，需要先把互访的给放通，举例：

acl basic 2100

rule 5 permit source 192.168.5.0 0.0.0.255

rule 7 permit source 192.168.7.0 0.0.0.255

rule 9 permit source 192.168.9.21 0

acl ad 3100

rule 5 permit source 192.168.5.0 0.0.0.255 des 192.168.7.0 0.0.0.255

rule 6 permit source 192.168.5.0 0.0.0.255 des 192.168.9.21 0.0.0.255

rule 7 permit source 192.168.7.0 0.0.0.255 des 192.168.5.0 0.0.0.255

rule 8 permit source 192.168.7.0 0.0.0.255 des 192.168.9.21 0.0.0.255

rule 9 permit source 192.168.9.21 0.0.0.255 des 192.168.7.0 0.0.0.255

rule 9 permit source 192.168.9.21 0.0.0.255 des 192.168.5.0 0.0.0.255

policy-based-route aaa permit node 0

if-match acl 3100

policy-based-route aaa permit node 1

if-match acl 2100 apply next-hop 10.1.1.1

policy-based-route aaa permit node 1

apply next-hop 61.x.x.x

服务器是192.168.9.21的话, 是不是增加一个3100，然后做到node0里，不指定下一跳，让他走默认路由，原先的node 往后编，但是这样还是不行。。没有根据内网口GI1/0/4的NAT走 acl advanced 3100 rule 5 permit ip source 192.168.5.0 0.0.0.255 des 192.168.9.21 0.0.0.255 rule 6 permit ip source 0.0.0.255 0.0.0.255 des 192.168.5.0 0.0.0.255 # policy-based-route aaa permit node 0 if-match acl 3100 # policy-based-route aaa permit node 1 if-match acl 2100 apply next-hop 10.1.1.1 # policy-based-route aaa permit node 2 apply next-hop 61.x.x.x

zhiliao_34331 发表时间：2019-11-26

回复zhiliao_34331:

这个rule的源应该是source 192.168.9.21 0.0.0.255，这个写错了：rule 6 permit ip source 0.0.0.255 0.0.0.255 des 192.168.5.0 0.0.0.255 还有node 2没有匹配直接应用了下一跳是61.x.x.x这个是？如果是无用配置，请删除它。

会了我也不说发表时间：2019-11-26

node 2是线路2，node1是线路1,不能删除。。这样配置还是没有用，我现在暂时用dns-map搞定了，我现在要把所有的IP地址的URL全部要换成域名来访问，外网访问要用做一下解析才行 nat dns-map domain ***.*** protocol tcp ip 61.x.x.x port 8000

zhiliao_34331 发表时间：2019-11-26