深信服防火墙AF策略路由如何配置？

二、策略路由

1、策略路由概述

    在企业网络环境中，存在多条互联网出口线路，经常出现某一条线路接口带宽占满，另外一条线路经常空闲状态，从而导致网络时延过高，带宽利用率低，业务运行无法得到保障，严重影响办公人员工作效率和用户带来的投诉。因此，需要一种技术手段解决互联网多出口带宽利用率的问题。

2、策略路由定义

    为保障出接口多条线路时，根据源/目的IP、源/目的端口、协议等条件进行出接口和线路选择，以实现不同的数据走不同的外网线路的自动选路功能。

3、两种策略类型

1）源地址策略路由

    存在多条线路出口情况下，根据源/目IP，端口、协议、应用来定义匹配条件，对于匹配上的流量根据选择指定线路的出口或下一跳，比如多运营商选路场景；

2）多线路负载路由

    存在多条线路出口情况下，根据源/目IP，端口、协议、应用来定义匹配条件，对出接口选择轮询、带宽比例、加权最小流量、优先使用前面的线路策略，进行动态选择线路，实现线路带宽的有效利用和负载均衡。

轮询：平均分配连接到多条外网线路。 

    带宽比例：按照外网线路带宽的比例来分配连接。 

    加权最小流量：通过比较当前线路流量与线路带宽的比值，选择最小的线路优先分配连接。 

    优先使用前面的线路：用于线路需要做主备的场景，则所有连接均分配到第一条线路，如果第一条线路故障，才把连接切换到第二条选择的可用线路。

4、应用场景

1）源地址策略路由

    客户互联网出口存在多条线路情况，如电信、联通、移动等，需要访问电信资源则从电信出口访问，以减少跨运营商带来的时延和提高访问速度。

2）多线路负载路由

    客户互联网出口存在多条线路情况，大多数存在某条链路带宽使用率过高，为了平衡带宽压力，提高带宽利用率，防止网络出口存在堵塞现象，需要对出接口流量进行负载分担到每个接口。

5、配置案例

    某客户网络需要访问互联网，安装了电信、联通线路来实现线路冗余，现要求在AF上做负载，同时需要满足以下需求：

1）访问电信资源走电信出口、联通资源走联通接口；

2）访问非电信和联通资源，按当前带宽繁忙程度自动线路；

3）两条线路冗余备份，任意一条故障，线路可以自动切换。

6、配置思路

配置步骤：

1）配置访问电信资源走电信线路出口；

2）配置访问联通资源走联通线路出口；

3）配置访问非电信和联通资源，按当前带宽繁忙程度自动选路；

4）配置两条冗余线路，任意一条故障，线路可以自动切换。

7、配置详情

1）配置访问电信资源走电信线路出口，在【网络】-【路由】-【策略路由】，点击新增，选择源地址策略路由；

2）配置访问联通资源走联通线路出口，在【网络】-【路由】-【策略路由】，点击新增，选择源地址策略路由；

3）配置访问非电信和联通资源，按当前带宽繁忙程度自动选路，在【网络】-【路由】-【策略路由】，点击新增，选择多线路负载路由；

4）因为配置了链路状态检测功能，所以当一条链路故障时，可以进行切换。但是需要注意策略路由的匹配顺序（从上往下匹配），因此需要把多链路负载路由下移到最后，防止优先匹配。

8、注意事项

1）存在策略路由的情况下，配置默认路的目的是为了防止策略路由模块失效影响客户网络；

2）源地址策略路由和多线路负载路由都需要设置链路故障检测，否则无法实现链路切换，源地址策略路由是单独设置，而多链路负载路由是调用接口的链路检测；

3）策略路由匹配顺序为从上往下匹配，一旦匹配到则不再向下匹配；

4）子接口和VLAN接口不支持策略路由。

原文始发于微信公众号（老五说网络）：深信服防火墙AF策略路由如何配置？