MSR3620-XS ACL+PBR配置

信息太乱了。。。

而且没原始需求看不了哦

建议400热线或联系供应商方面沟通下细节进一步确认哦

或参考手册再次确认下哦

一、 当前配置的评估与微调建议

1. 关于 Node 5 的双出口配置（需确认意图）

• 评估：在同一个 PBR 节点下同时配置两个 apply output-interface，设备会将其作为等价多路径（ECMP）处理，即流量会在 Dialer2 和 Dialer3 之间进行负载分担。
• 建议：如果您本意是做主备链路备份，这种写法是无效的。如果要做主备，必须拆分为两个节点（例如 Node 5 和 Node 6），并在主用节点加上 track 联动，或者依靠默认路由的优先级来实现备份。如果您确实是想让这部分流量走双线负载均衡，则当前配置没问题。

2. 关于 Track 联动的语法规范

• 建议：确保您已经在全局配置了对应的 NQA 或 Track 模块（例如 track 1 ip host ...）。如果没有关联具体的探测目标，Track 状态可能无法正确翻转，导致主备切换失效。

3. 关于兜底策略 (Node 99)

• 评估：逻辑完全正确。当所有特定业务和网段都不匹配时，剩余流量统一交由下一跳 192.168.100.1 处理，保证了网络的连通性。

二、 针对“后续个别源IP不好改”的优化思路

 思路 1：利用 PBR 节点的“优先级顺序”特性（强烈推荐）

• 操作方法：假设您以后想把 192.168.0.50 单独走 Dialer3，只需新建一个 Node 2（介于 Node 1 和 Node 3 之间）：
  1object-group ip address srcgroup-special 0 network host 192.168.0.50 2acl advanced name acl-special rule 10 permit ip source object-group srcgroup-special 3 4policy-based-route pbr2 permit node 2 5 if-match acl name acl-special 6 apply output-interface Dialer3 7quit
• 优势：完全不需要动原有的大网段策略，互不干扰，且随时可以通过 undo 命令秒级撤销。

 思路 2：细化对象组（Object-Group）的颗粒度

• 操作方法：
  1# 拆分对象组 2object-group ip address srcgroup-pbr1-main 0 network range 192.168.0.2 192.168.0.49 3object-group ip address srcgroup-pbr1-main 0 network range 192.168.0.51 192.168.0.255 4object-group ip address srcgroup-pbr1-sub 0 network host 192.168.0.50 5 6# 在ACL中灵活组合 7acl advanced name acl-pbr1 8 rule 10 permit ip source object-group srcgroup-pbr1-main 9quit 10acl advanced name acl-pbr1-sub 11 rule 10 permit ip source object-group srcgroup-pbr1-sub 12quit
• 优势：结构清晰，适合需要对不同子网段执行不同 QoS 或安全动作的场景。但缺点是修改时需要频繁编辑 ACL 规则。

一、先给你结论：你的配置 大部分正确，但有 4 个关键问题
我已经全部帮你标出来了👇
二、你的配置里 真正错误 / 风险点（必须改）
1）PBR Node 3 错误：不能同时写 next-hop + output-interface
plaintext
policy-based-route pbr2 permit node 3
if-match acl name acl-pbr1
apply next-hop 192.168.100.1 track 1
apply output-interface Dialer2 ❌ 错误
H3C MSR 系列不允许同一个 node 同时配置下一跳 + 出接口
会导致：
PBR 不生效
流量不转发
丢包 / 漏流量
正确写法（二选一，推荐带 track 高可靠）
plaintext
policy-based-route pbr2 permit node 3
if-match acl name acl-pbr1
apply next-hop 192.168.100.1 track 1
不要写 apply output-interface
2）Node 5 错误：不能写两个 output-interface
plaintext
apply output-interface Dialer2
apply output-interface Dialer3 ❌ 错误
一个 node 只能有一个出接口，不能写两条。
你想做主备，必须用 track + 多个 node 实现。
3）对象组 + ACL 写法正确，但 PBR 顺序非常关键
你现在的顺序：
node 1 → 呼叫中心
node 3 → 0 网段
node 5 → 1 网段
node 11→14 → 旧策略
node 99 → 兜底
顺序没问题，但要确保：先精细 → 再宽泛
4）你担心的：后面想把个别 IP 改成 192.168.100.1 不好改
我告诉你：非常好改，不需要动现有结构
下面给你最灵活的方案。
三、我帮你修正后的 最终可用配置（直接替换）
bash
运行
# ============ 1. 源IP对象组 ============
object-group ip address srcgroup-pbr1
network range 192.168.0.2 192.168.0.255
quit
object-group ip address srcgroup-pbr2
network range 192.168.1.1 192.168.1.255
quit

# ============ 2. ACL ============
acl advanced name acl-callcenter
rule 10 permit ip destination 111.230.5.161 0
quit

acl advanced name acl-pbr1
rule 10 permit ip source object-group srcgroup-pbr1
quit

acl advanced name acl-pbr2
rule 10 permit ip source object-group srcgroup-pbr2
quit

acl advanced name acl-default
rule 10 permit ip
quit

# ============ 3. PBR 策略（修正版） ============
policy-based-route pbr2 permit node 1
if-match acl name acl-callcenter
apply output-interface Dialer2
quit

policy-based-route pbr2 permit node 3
if-match acl name acl-pbr1
apply next-hop 192.168.100.1 track 1
quit

policy-based-route pbr2 permit node 5
if-match acl name acl-pbr2
apply output-interface Dialer2
quit

# 旧策略顺延
policy-based-route pbr2 permit node 11
if-match acl 3000
apply next-hop 192.168.100.1 track 1
quit

policy-based-route pbr2 permit node 12
if-match acl name acl22
apply output-interface Dialer2
quit

policy-based-route pbr2 permit node 13
if-match acl name acl-overseas
apply next-hop 192.168.100.1 track 1
quit

policy-based-route pbr2 permit node 14
if-match acl name acl-cn
apply output-interface Dialer2
quit

# 兜底
policy-based-route pbr2 permit node 99
if-match acl name acl-default
apply next-hop 192.168.100.1 track 1
quit

save force
四、你最关心的：
想把 个别源 IP 改成走 192.168.100.1 怎么改最灵活？
方案 A：增加一个 优先级更高的小 node（最推荐，不动现有配置）
例如：把 192.168.1.100 单独走 100.1
bash
运行
# 新建ACL
acl advanced name acl-single-ip
rule 10 permit ip source 192.168.1.100 0
quit

# 插入到 node 2（比 node3 优先级更高）
policy-based-route pbr2 permit node 2
if-match acl name acl-single-ip
apply next-hop 192.168.100.1 track 1
quit
✅ 不用动原来的任何配置
✅ 想加几个 IP 就加几个
✅ 想改出口随时改
方案 B：建立一个 “强制走 100.1” 的对象组（最适合批量管理）
bash
运行
object-group ip address FORCE-100
network host 192.168.1.10
network host 192.168.1.11
network host 192.168.1.12
quit

acl advanced name acl-force-100
rule 10 permit ip source object-group FORCE-100
quit

policy-based-route pbr2 permit node 2
if-match acl name acl-force-100
apply next-hop 192.168.100.1 track 1
quit
以后只需要往对象组里加 IP，不用改 PBR 结构。
五、你的配置整体评价
✅ 正确
对象组 + 命名 ACL 非常规范
PBR 结构清晰
先精细后兜底
用了 track 高可靠
❌ 错误（已帮你修复）
同一个 node 不能同时写 next-hop + 出接口
不能写两个出接口
六、我给你最终建议（最稳方案）
使用我上面给你的修正版配置
个别 IP 要切换出口，用 node 2 插入单独规则（不影响现网）
批量 IP 切换出口，用对象组 FORCE-100
不要在同一个 node 写多个 apply