小贝优选——多wan情况下如何避免策略路由影响内网互访和端口回流？

某局点的UR路由器接入两条外网到wan1和wan2接口，需要vlan1访问外网的时候以wan1为出接口，vlan2访问外网的时候以wan2为出接口，配置了策略路由后发现vlan1和vlan2不能互访，同时配置了端口映射的设备内网其他终端也无法通过外网访问（即无法端口回流，UR路由器中此功能为Nat hairpin），删除了策略路由后就正常。策略路由配置如下：

根据问题描述的策略路由配置，可发现策略路由的目的地址中的所有地址都会从对应wan口流通，包括了内网vlan地址和wan口地址。

UR的Nat hairpin可以使得内网设备以访问外网地址和外部端口号的方式访问内网设备，比如PC1（192.168.2.200）想通过访问wan口地址（123.123.123.123）的8111端口的方式访问服务器1（192.168.2.14），此时开启了nat hairpin之后，UR就会如下图将报文转换为网关地址（192.168.2.1）访问服务器（192.168.2.14）。

如果策略路由没有跳过wan口地址，则PC1访问wan口地址时会直接从wan口出去而不是在UR内部进行地址转换。

所以此时我们需要策略路由跳过vlan地址和wan口地址。

本案例的vlan1和vlan2网段分别为192.168.1.0/24和192.168.5.0/24，wan1和wan2口地址为101.37.74.21和101.45.75.23，需要vlan1访问外网从wan1出去，vlan2从wan2出去，wan1和wan2都有端口映射；配置策略路由的核心要点就是跳过内网网段和wan口地址，在本局点就需要跳过vlan1和vlan2所有地址以及wan1和wan2的地址（若端口映射只用了某一个wan口，则另一个wan口不需要在策略路由中跳过）。

如何跳过地址：以wan1口地址101.37.74.21举例，我们需要目的地址段跳过此ip地址，101.37.74.21往前一位地址为101.37.74.20，101.37.74.21往后一位地址为101.37.74.22，所以策略路由填写目的地址段需填写101.37.74.20之前的地址和101.37.74.22之后的地址。

同理，如何跳过地址段：以vlan1地址段192.168.1.1-192.168.1.254举例，我们需要目的地址段跳过此网段，192.168.1.1往前一位地址为192.168.0.254，192.168.1.254往后一位地址为192.168.2.1，此时策略路由填写目的地址段需填写192.168.0.254之前的地址和192.168.2.1之后的地址。

具体配置步骤如下：

1、跳过wan1的地址：点击“高级选项”→“策略路由”→“添加”；接口选择“vlan1”，协议选择“IP”，目的地址段填写0.0.0.0-101.37.74.20，出接口选择“wan1”，如下图：

点击“确定”后会如下图所示：

之前再点击添加，此时我们依旧接口选择“vlan1”，协议选择“IP”，出接口选择“wan1”，目的地址段填写101.37.74.22-101.45.75.22，点击“确定”，这样我们就和下图一样有两条策略路由，通过这两条策略路由我们依次跳过了wan1口地址；

2、跳过wan2的地址：继续点击添加，此时我们依旧接口选择“vlan1”，协议选择“IP”，出接口选择“wan1”，目的地址段填写101.45.75.24-192.168.0.254，点击“确定”，这样我们就和下图一样有三条策略路由，通过这三条策略路由我们依次跳过了wan1口地址和wan2口地址；

3、跳过vlan1的地址：继续点击添加，此时我们依旧接口选择“vlan1”，协议选择“IP”，出接口选择“wan1”，目的地址段填写192.168.2.1-192.168.4.254，点击“确定”，这样我们就和下图一样有四条策略路由，通过这四条策略路由我们依次跳过了wan1口地址和wan2口地址以及vlan1的地址段；

4、跳过vlan2的地址：点击添加，此时我们依旧接口选择“vlan1”，协议选择“IP”，出接口选择“wan1”，目的地址段填写192.168.6.1-255.255.255.255，点击“确定”，这样我们就和下图一样有五条策略路由，通过这五条策略路由我们依次跳过了wan1口地址和wan2口地址以及vlan1与vlan2的地址段；

5、此时我们已经配置好了源地址属于vlan1的策略路由了，那么接下来为了让vlan2把wan2作为出接口访问外网，我们只需要再新增5个策略路由，目的ip地址段和之前新增5条一样即可，如下图注意“接口”要选择vlan2：

类似前4步配置完策略路由后，我们会得到10条策略路由，如下图：

至此本案例的策略路由配置完毕，通过这5条策略路由，使得访问除了vlan1、vlan2地址段和wan1和wan2的其余地址会从对应wan1和wan2通过，这样就不影响内网互访和端口回流。

总结：多wan配置策略路由时一定要注意跳过wan口地址和vlan网段，跳过技巧就是目的地址段中填写需要避开的地址往前或往后进一位即可。