请教防火墙两个段位走不同宽带问题

acl advanced 3000 

rule 0 permit ip source 192.168.8.0 0.0.0.255 

quit 

 policy-based-route neiwang node 10 

if-match acl 3000 apply next-hop 1.1.1.2 --9口的下一跳地址 

quit 

 interface GigabitEthernet 1/0/4 

ip policy-based-route neiwang 

quit 在防火墙的内网口使能生效

第一步：配置 NAT 策略（关键排错点）

• Web 配置：进入 网络 -> NAT -> 源 NAT。
• 配置规则：
  • 规则 1：源地址 192.168.8.0/24，出接口选 GE09，动作选 Easy IP（或接口地址转换）。
  • 规则 2：源地址 192.168.6.0/24（或 Any），出接口选 GE04，动作选 Easy IP。

第二步：配置策略路由（PBR）

• Web 配置：进入 网络 -> 路由 -> 策略路由 -> IPv4 策略路由，新建策略。
• 匹配条件：
  • 源地址：192.168.8.0/24
• 动作（出接口）：
  • 强制下一跳：填写 GE09 专线光猫/运营商提供的网关 IP。
• 应用位置：将此策略应用到 GE06 和 GE08 接口的入方向（Inbound）。

第三步：配置默认路由（兜底）

• 添加一条默认路由：目的 0.0.0.0/0，下一跳为 GE04 普通宽带的网关，优先级保持默认（如 60）。
• 注：由于 8 段的流量已经被策略路由提前匹配并强制走 GE09，所以它不会走这条默认路由，完美实现分流。

第四步：检查安全策略（极易遗漏）

• Web 配置：进入 策略 -> 安全策略。
• 确保放通了 Trust 域（内网）到 Untrust 域（外网）的访问。如果您配置了多条安全策略，请确保 8 段和普通宽带段的放行规则没有被其他 Deny 规则拦截。

 进阶建议：使用链路负载均衡（LLB）

1. 进入 网络 -> 链路负载均衡。
2. 将 GE04 和 GE09 加入同一个链路组。
3. 创建选路策略：匹配源地址 192.168.8.0/24，动作指定走 GE09 链路。
4. 为链路组配置健康检测（NQA），这样当某条宽带断开时，还能实现自动故障切换。

F100-M-G5 双出口分流完整配置（Web 图形界面 + Console 命令行两套）
组网需求回顾
GE0/0/6 LAN：192.168.6.0/24
GE0/0/8 LAN：192.168.8.0/24 强制走专线 GE0/0/9
GE0/0/4 WAN：普通宽带拨号，192.168.6.0 所有流量默认走这里
GE0/0/9 WAN：固定 IP 专线出口
核心原理
策略路由 PBR 优先级高于默认路由：先匹配 8 段流量强制走专线；6 段匹配不到策略路由，自动匹配全局默认路由走宽带。
必须配套：地址对象、策略路由、双出口 SNAT、安全策略、默认路由，缺一不可。
一、Web 界面完整分步配置（图形化，新手推荐）
步骤 1：确认接口 IP 与区域（先把接口基础配好）
菜单：网络 → 接口
GE0/0/6：安全域 Trust，IP 192.168.6.1/24，undo shutdown
GE0/0/8：安全域 Trust，IP 192.168.8.1/24，undo shutdown
GE0/0/4：安全域 Untrust，拨号 PPPoE 获取公网 IP（宽带出口）
GE0/0/9：安全域 Untrust，填写专线固定 IP / 掩码 / 网关（专线出口）
两个外网口都开启「NAT 地址转换」，后面做 SNAT 才能上网。
步骤 2：创建内网地址对象（区分两段内网）
菜单：对象 → 地址对象 → IPv4 地址对象 → 新建
对象名 LAN_6
地址段：192.168.6.0 掩码 255.255.255.0
对象名 LAN_8
地址段：192.168.8.0 掩码 255.255.255.0
步骤 3：配置策略路由（核心分流规则）
菜单：网络 → 路由 → 策略路由 → 新建
新建策略路由弹窗
规则 ID 10（高优先级，强制 8 段走专线 GE0/0/9）
规则 ID：10（数字越小越优先）
协议类型：IPv4
源 IP / 网络：选择 LAN_8（192.168.8.0 段）
目的 IP / 网络：0.0.0.0/0（所有外网）
入接口：任意（GE6/GE8 都是内网 Trust）
出接口：GE0/0/9（专线口）
下一跳：填写专线运营商给你的网关 IP
启用：勾选 → 确定保存
不用新建第二条策略路由！6 段不匹配 ID10 规则，会自动走全局默认宽带路由，完美满足需求。
步骤 4：配置两条出口 SNAT（不配置无法上网）
菜单：策略 → NAT 策略 → 新建源 NAT
NAT1：8 段走专线 GE9 转换
名称：SNAT_LAN8_专线
源安全域：Trust
目的安全域：Untrust
源地址：LAN_8
转换方式：出接口地址
出接口：GE0/0/9
NAT2：6 段走宽带 GE4 转换
名称：SNAT_LAN6_宽带
源安全域：Trust
目的安全域：Untrust
源地址：LAN_6
转换方式：出接口地址
出接口：GE0/0/4
步骤 5：配置全局默认路由（6 段兜底走宽带）
菜单：网络 → 路由 → IPv4 静态路由 → 新建
目的：0.0.0.0 掩码 0.0.0.0
出接口：GE0/0/4（宽带拨号口）
下一跳：PPPoE 自动获取无需手动填
优先级：60
步骤 6：放行内网上网安全策略（Trust→Untrust 允许）
菜单：策略 → 安全策略 → 新建
名称：内网全部上网
源安全域：Trust
目的安全域：Untrust
源地址：LAN_6 + LAN_8
动作：允许
服务：所有服务
保存。
步骤 7：验证分流是否生效
192.168.8.X 电脑 tracert 外网任意 IP，第一跳出口为专线 GE9 网关；
192.168.6.X 电脑 tracert 外网，第一跳为宽带 GE4 网关；
排查页面：网络 → 路由 → 策略路由 查看规则匹配计数是否增长。
二、Console 命令行完整可复制配置（一键粘贴部署）
1. 基础接口配置（根据你实际专线 IP 替换 GE9 地址）
plaintext
system-view
sysname F100-M-G5
# 内网GE6
interface GigabitEthernet 0/0/6
port link-mode route
ip address 192.168.6.1 255.255.255.0
zone trust
undo shutdown
# 内网GE8
interface GigabitEthernet 0/0/8
port link-mode route
ip address 192.168.8.1 255.255.255.0
zone trust
undo shutdown
# 宽带GE0/0/4 PPPoE拨号（自行配置拨号账号密码）
interface GigabitEthernet 0/0/4
port link-mode route
zone untrust
undo shutdown
pppoe-server bind Virtual-Template 1
# 专线GE0/0/9 固定IP（替换为你的专线IP、掩码、网关）
interface GigabitEthernet 0/0/9
port link-mode route
ip address 10.20.30.2 255.255.255.0
zone untrust
undo shutdown

2. 地址对象定义两段内网
plaintext
object ip LAN_6
subnet 192.168.6.0 mask 255.255.255.0
object ip LAN_8
subnet 192.168.8.0 mask 255.255.255.0

3. 策略路由核心（8 段强制走专线 GE9）
plaintext
# 创建策略路由名称fenliu
policy-based-route fenliu permit node 10
if-match source ip object LAN_8
# apply出接口+专线网关（替换为你的专线网关）
apply output-interface GigabitEthernet 0/0/9
apply next-hop 10.20.30.1
# 把策略路由全局绑定所有内网接口，所有内网流量先匹配分流策略
interface GigabitEthernet 0/0/6
ip policy-based-route fenliu
interface GigabitEthernet 0/0/8
ip policy-based-route fenliu

4. 默认路由（6 段兜底走宽带 GE4）
plaintext
# 全局默认路由走PPPoE宽带口
ip route-static 0.0.0.0 0 GigabitEthernet 0/0/4 preference 60

5. SNAT 源地址转换（两段分别对应两个出口）
plaintext
nat address-group 1 interface GigabitEthernet 0/0/4
nat address-group 2 interface GigabitEthernet 0/0/9
# 6段走宽带SNAT
nat outbound 3000 address-group 1
acl advanced 3000
rule permit ip source 192.168.6.0 0.0.0.255
# 8段走专线SNAT
nat outbound 3001 address-group 2
acl advanced 3001
rule permit ip source 192.168.8.0 0.0.0.255

6. 安全策略允许内网访问外网
plaintext
security-policy
rule 10 permit source-zone trust destination-zone untrust source-address LAN_6
rule 11 permit source-zone trust destination-zone untrust source-address LAN_8

7. 查看验证命令（排错专用）
plaintext
# 查看策略路由匹配计数，看8段是否命中
display policy-based-route statistics
# 查看路由表
display ip routing-table
# 查看NAT转换会话
display nat session table
# 追踪流量出口
tracert -a 192.168.8.100 www.baidu.com
tracert -a 192.168.6.100 www.baidu.com

三、你之前配置失败的常见坑（避坑重点）
没绑定策略路由到内网 GE6/GE8 接口
只建了策略路由，但接口没调用ip policy-based-route，流量不会匹配分流规则。
SNAT 只做了一条
两个出口必须分开做 SNAT，8 段走专线用 GE9 地址转换，6 段用 GE4 拨号地址转换，否则公网回包丢失。
策略路由节点顺序颠倒
必须把 8 段专线规则 ID 设小（10），优先匹配；不能反过来。
两条默认路由同时存在
不能同时配置 0.0.0.0 指向 GE4 和 GE9，会随机负载均衡，分流失效，仅保留宽带 GE4 一条默认路由。
专线网关填写错误
策略路由里apply next-hop必须填运营商专线对端网关，否则 8 段流量无法转发。
四、快速排错流程
8 段电脑 tracert 外网，出口不是专线 GE9 网关 → 策略路由未命中，检查源地址对象、接口是否绑定 PBR；
能 tracert 到网关但打不开网页 → SNAT 规则缺失或源地址匹配错误；
6 段也跑到专线出口 → 默认路由配置错误，删除指向 GE9 的默认路由；
策略路由匹配计数始终为 0 → 内网接口没绑定 policy-based-route。