问

核心交换机配置策略路由不生效

策略路由

17小时前提问

0关注
0收藏，63浏览

黑乎乎

黑乎乎零段

粉丝：0人关注：3人

问题描述：

1 服务器端口映射192.168.201.7:86----->1.1.1.1:8886；
2 现在需要所有访问192.168.201.7:86互联网访问全部走1.1.1.1这个防火墙；
3 主动访问互联网的核心交换机上面配置两条等价的默认路由；

配置策略路由存在如下问题：
1 是在vlan200 还是vlan201应用这个策略？
2 配置的策略路由目前未生效原因，如何排查？
配置如下：

4 个回答

按时间按赞数

zhiliao_Gixe

zhiliao_Gixe 六段

粉丝：10人关注：9人

问题分析与排查步骤：
1. 策略路由应用VLAN选择
关键原则：策略路由需在流量入接口（即服务器所在网段的VLAN）应用，而非出接口。
建议：若服务器连接在VLAN201（假设192.168.201.7属于VLAN201），则在VLAN201的入方向（inbound）应用策略路由。若服务器通过三层接口直连核心，则在该三层接口下应用。
2. 策略路由未生效排查步骤
步骤1：检查策略路由配置完整性
确认是否配置 ip route-policy 规则，且规则中包含目标地址/端口匹配条件。
示例关键命令：

ip route-policy POLICY permit node 10
if-match destination-port eq 86
if-match destination-ip 192.168.201.7
apply ip-address next-hop 1.1.1.1

步骤2：验证策略路由调用
确保在VLAN接口下调用策略路由：

interface Vlan-interface201
ip policy-based-route POLICY inbound

步骤3：检查路由表与策略路由优先级
查看路由表中目标地址是否匹配策略路由规则：

display ip routing-table destination 192.168.201.7

确认策略路由优先级高于普通路由（默认 ip route-policy 优先级最高，无需额外配置）。
步骤4：抓包验证流量走向
在核心交换机VLAN201接口或防火墙入口抓包，确认目标端口86的流量是否被策略路由拦截并转发至1.1.1.1。
示例命令：

display packet-capture interface Vlan-interface201

步骤5：排除ACL/安全策略干扰
检查是否存在ACL规则阻止策略路由生效（如 acl 3000 deny tcp destination-port 86）。
3. 常见问题定位
端口匹配错误：若策略路由仅匹配IP未匹配端口，需补充 if-match destination-port。
默认路由覆盖：若核心交换机存在其他默认路由（如0.0.0.0/0），需确保策略路由规则优先级更高。
接口方向错误：策略路由需在 inbound 方向应用（入方向），而非 outbound。
结论：

zhiliao_GeOM0O

zhiliao_GeOM0O 九段

粉丝：16人关注：2人

PBR 绑定接口：Vlan-interface 201（当前绑定位置正确）；
不生效根因：ACL 错误使用source-port eq 86，服务器出站源端口随机，匹配不到流量；
修复方案：清空 ACL30000，仅匹配源 IP192.168.201.7所有流量；
排查核心命令：display acl 30000看匹配计数、display ip policy-based-route statistics看策略命中数。