MSR36-40直连路由和策略路由
- 1关注
- 1收藏，1327浏览
问题描述：
电脑192.168.106.1可以正常访问外网（百度等），但不能访问路由器下挂的防火墙端口（210.XXX.112.210）和旁挂的VPN端口（210.XXX.112.221），Ping不通，也Tracert不到。（能确定出去时走策略路由 210.XXX.30.86出去的，但从防火墙回原地址210.XXX.30.86，可能没有策略路由从路由124.XXX.164.178出，再从210.XXX.30.86公网进来。可能直接在路由器内部，直接转给了210.XXX.30.86接口，导致不通。）
电脑192.168.122.1可以正常访问外网和防火墙及VPN端口地址。（122段不走策略路由，走默认路由，直接在路由器内部，直接转给了接口172.20.3.2，访问下挂的210.XXX.112.210了，所以是通的）。
怀疑是出去时走策略路由公网口G8/2出去，然后从下挂防火墙的那个公网口G8/3进入，回去时，由于路由器上有接口210.XXX.30.86，所以优先级最高，路由器G0/2口上来后直接就在路由器内部转给这个接口了。 所以不通。请问这个怎么解决？
如果是这个问题导致，能否设置回去也走策略路由，从G8/3出，走公网回G8/2 ?
组网及组网描述：
106段走策略路由从G8/2出访问外网。
路由器G0/2下挂防火墙和VPN
路由器G8/3进来的通过静态路由，转发到路由器下挂接口G0/2
ip route-static 210.XXX.112.209 32 172.20.3.3
ip route-static 210.XXX.112.210 32 172.20.3.3
......
VPN通过
nat static outbound 172.20.3.1 210.XXX.112.221
在公网接口G8/3
nat static enable
出去都通过策略路由ACL 3099 3100
acl number 3099
rule 0 permit ip source 172.20.3.1 0
#
acl number 3100
rule 0 permit ip source 210.XXX.112.209 0
rule 5 permit ip source 172.20.3.3 0
rule 6 permit ip source 210.XXX.112.210 0
......
- 2020-06-30提问
- 举报
-
(0)
最佳答案
您好，请知：
1、可开启如下命令后再tracert看到哪个节点就追踪不出去了。
[SW2]ip unreachables enable
[SW2]ip ttl-expires enable
2、如果路由的优先级没有做设置，可以添加到策略路由后再测试是否走G8/3出去。
3、如果添加到了策略路由，走了G8/3出去，但是没有走G8/2回，需要看下具体的路由配置。
- 2020-06-30回答
- 评论(1)
- 举报
-
(0)
1、可开启如下命令后再tracert看到哪个节点就追踪不出去了。 路由器上tracert 210.XXX.112.210是可以的，直接走路由器内部就到了。也是可以ping通的。 2.从VPN设备ping 210.XX.30.86可以通，tracert看是没有走外网G8/3出去，而是直接到路由器就内部直接就通了。 策略路由已经有了ACL 3099 3100，定义原地址是210.XXX.112.XXX的都走G8/3出。 3，测试过联通的线路，直接笔记本配8/2地址，跳过路由器，能够与210.XXX.112.210通、说明运营商没问题。 路由配置见上图
1、可开启如下命令后再tracert看到哪个节点就追踪不出去了。
路由器上tracert 210.XXX.112.210是可以的，直接走路由器内部就到了。也是可以ping通的。
2.从VPN设备ping 210.XX.30.86可以通，tracert看是没有走外网G8/3出去，而是直接到路由器就内部直接就通了。
策略路由已经有了ACL 3099 3100，定义原地址是210.XXX.112.XXX的都走G8/3出。
3，测试过联通的线路，直接笔记本配8/2地址，跳过路由器，能够与210.XXX.112.210通、说明运营商没问题。
路由配置见上图
- 2020-06-30回答
- 评论(0)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
1、可开启如下命令后再tracert看到哪个节点就追踪不出去了。 路由器上tracert 210.XXX.112.210是可以的，直接走路由器内部就到了。也是可以ping通的。 2.从VPN设备ping 210.XX.30.86可以通，tracert看是没有走外网G8/3出去，而是直接到路由器就内部直接就通了。 策略路由已经有了ACL 3099 3100，定义原地址是210.XXX.112.XXX的都走G8/3出。 3，测试过联通的线路，直接笔记本配8/2地址，跳过路由器，能够与210.XXX.112.210通、说明运营商没问题。 路由配置见上图