f1000-ai-55防火墙有两条宽带，一条专线，一条拨号，怎么配置双出口同时使用

1. 智能选路（链路负载均衡 LLB，推荐）：同时使用两条链路，支持按带宽负载、链路探测故障自动切换，F1000‑AI‑55 原生支持，Web 可视化配置。
2. 策略路由 PBR：按源 / 目的把指定流量强制走某一条链路；可做主备 / 分流。
3. ECMP 等价路由：仅适合两条都是静态网关，PPPoE 拨号接口不建议 ECMP，拨号接口网关动态变化，等价路由不稳定，不推荐。

⚠️关键点：两条外网接口都要配置出方向 Easy‑IP NAT；PPPoE 拨号接口使用 Dialer 逻辑口，不要直接用物理口做下一跳H3C。

方案 1：链路负载均衡 LLB（Web 优先，两条链路同时工作，生产首选）

Web 路径：策略 → 链路负载均衡 → 出站链路负载均衡

1. 链路配置

• 链路 1（专线）：接口 GE1/0/1，带宽填写运营商实际上下行带宽；开启链路健康探测（ping 探测对端网关）。
• 链路 2（PPPoE）：接口 Dialer1，填写宽带实际带宽；开启探测。

PPPoE 拨号先在【网络‑接口】配置好 Dialer1 拨号，账号密码填好，确保拨号成功、获取 IP。

2. 出站负载均衡策略 新建出站策略，源选择内网网段192.168.1.0/24； 负载分担模式：

• 按带宽权重：专线带宽大就调高权重，流量按带宽比例分摊两条链路；
• 主备模式：专线主，拨号备份；专线断全部切拨号。

3. NAT 配置（两条外网接口分别配置 Easy‑IP） 策略‑接口NAT‑IPv4‑动态NAT

• 规则 1：出接口 GE1/0/1，Easy‑IP；
• 规则 2：出接口 Dialer1，Easy‑IP。

4. 安全域 & 安全策略

• GE1/0/1 加入 untrust 域，Dialer1 加入 untrust 域；
• 安全策略：trust‑>untrust，源内网网段，动作 pass。

校验：display llb link‑info查看两条链路状态是否 up。

方案 2：策略路由 PBR（适合指定网段强制走某条链路，例如：服务器走专线，普通员工走宽带）

1、接口基础配置

system‑view # 1.专线接口 interface GigabitEthernet1/0/1 port link‑mode route ip address 202.xx.xx.10 255.255.255.248 security‑zone untrust quit # 2.PPPoE拨号配置 interface GigabitEthernet1/0/2 pppoe‑client dial‑bundle‑number 1 quit dialer‑group 1 rule ip permit interface Dialer 1 dialer bundle enable dialer‑group 1 ip address ppp‑negotiate ppp chap user "pppoe账号" ppp chap password simple "pppoe密码" security‑zone untrust dialer timer idle 0 dialer timer autodial 60 quit # 内网接口 interface GigabitEthernet1/0/0 port link‑mode route ip address 192.168.1.1 255.255.255.0 security‑zone trust quit

2、NAT 配置，两条出口 Easy‑IP

acl basic 2000 rule permit source 192.168.1.0 0.0.0.255 quit interface GigabitEthernet1/0/1 nat outbound 2000 quit interface Dialer 1 nat outbound 2000 quit

3、策略路由示例：服务器网段走专线，普通员工走 PPPoE 拨号

示例：服务器192.168.1.100‑200走专线；其余普通终端走拨号；链路故障自动回退另一条链路。

acl advanced 3000 rule permit ip source 192.168.1.100 0.0.0.127 quit acl advanced 3001 rule permit ip source 192.168.1.0 0.0.0.255 quit policy‑based‑route to‑internet permit node 10 if‑match acl 3000 apply next‑hop 202.xx.xx.1 #专线网关 apply default‑output‑interface Dialer 1 #专线故障，自动切拨号 quit policy‑based‑route to‑internet permit node 20 if‑match acl 3001 apply output‑interface Dialer 1 apply default‑next‑hop 202.xx.xx.1 #拨号故障切专线 quit #在内网入接口应用转发策略路由 interface GigabitEthernet1/0/0 ip policy‑based‑route to‑internet quit #设备本机访问外网，配置本地策略路由（防火墙本身ping外网） ip local policy‑based‑route to‑internet

4、安全策略

security‑policy rule name trust‑untrust source‑zone trust destination‑zone untrust source‑ip‑object 192.168.1.0 0.0.0.255 action pass quit

重要坑点（专线 + PPPoE 场景高频故障）

1. ❌不要写两条 0.0.0.0 静态默认路由做 ECMP；Dialer 拨号接口下一跳动态获取，等价路由会不稳定，出现丢包、会话来回飘。
2. NAT 必须两个出口接口分别配置 Easy‑IP，流量从哪个接口出去，就用哪个接口公网 IP 做源 NAT。
3. 策略路由中 PPPoE 接口不要写apply next‑hop x.x.x.x，拨号获取的网关是动态的；使用apply output‑interface Dialer 1指定出接口H3C。
4. 链路负载均衡一定要开启链路探测；探测失败自动切换链路，否则链路断流量还继续下发导致全部断网。
5. 会话持续性：负载均衡场景开启会话保持，同一个用户会话不会跨链路切换，防止网页、业务异常。

排查命令

display dialer 1 status #查看PPPoE拨号状态 display nat session table #查看NAT会话，确认流量从哪个接口转发 display policy‑based‑route statistics #策略路由命中统计 display llb link‑info #链路负载均衡链路状态 display security‑policy statistics ip

F1000-AI-55 双出口同时使用，核心思路是策略路由（PBR）按业务或源地址分流，并配置等价默认路由或主备路由。具体步骤如下：
1. 接口配置
专线接口（假设 GE1/0/1）：配置固定IP、掩码、网关。
拨号接口（假设 Dialer1）：先创建 Dialer 接口，绑定物理口（如 GE1/0/2），配置 PPPoE 拨号、用户名密码，并获取动态IP。
2. 路由配置
两条默认路由，专线优先级高（如 preference 60），拨号优先级低（如 preference 100），实现主备。
若需同时负载，可配置等价路由（相同优先级），但需注意会话保持，建议按业务分流而非纯负载。
3. 策略路由分流
定义 ACL 匹配内网网段或业务流量（如视频走拨号，办公走专线）。
创建策略路由节点，动作为转发，指定下一跳为专线网关或拨号接口。
在入接口（内网口）应用策略路由。
4. NAT 配置
两个出接口均需配置 NAT Outbound，实现地址转换。
关键命令示例：
专线接口
interface GigabitEthernet1/0/1
ip address 1.1.1.2 255.255.255.252
拨号接口
interface Dialer1
ppp chap user xxx
ppp chap password xxx
ppp ipcp dns request
dialer bundle enable
dialer-group 1
ip address ppp-negotiate
mtu 1492
物理口绑定
interface GigabitEthernet1/0/2
pppoe-client dial-bundle-number 1
默认路由
ip route-static 0.0.0.0 0 1.1.1.1 preference 60
ip route-static 0.0.0.0 0 Dialer1 preference 100
策略路由
acl advanced 3000
rule 0 permit ip source 192.168.10.0 0.0.0.255
policy-based-route pbr1 permit node 10
if-match acl 3000
apply next-hop 1.1.1.1
policy-based-route pbr1 permit node 20
apply output-interface Dialer1
内网口应用
interface GigabitEthernet1/0/3
ip policy-based-route pbr1
NAT
interface GigabitEthernet1/0/1
nat outbound
interface Dialer1
nat outbound
注意：
拨号接口的下一跳不可预知，策略路由中应使用 apply output-interface Dialer1 而非 next-hop。
若拨号为动态获取地址，需配置 `dialer timer aut