分享新架构防火墙场景配置部署内容(需求配置排障处理)

由项目内容配置，分享新架构防火墙场景配置问题处理：

1、双向地址转换不生效(出口多运营商场景:策略路由+默认路由)

2、出口防火墙内网口为聚合口，VPN无法引用网口作为vpn接口

3、SSL vpn客户端接入后，ping测试不通

确认双向地址转换策略配置，外网访问做目的地址转换，内网访问公网业务地址做双向地址转换，测试可看到匹配数，但仍访问不通。经二线同事抓包排查，确认网口均可接收到ping包，去3个包回4个包，在防火墙上进行路由测试，第一条匹配为运营商静态路由，第二条为策略路由。

此时进行防火墙"系统-网络参数"中路由优先级设置，可查看到默认的设置为从上往下匹配，策略路由优先级高于目的路由(静态路由、动态路由)，使用自定义设置，将目的路由(静态路由、动态路由)优先级调整到策略路由之上。再次进行测试，可看到公网业务地址+端口能够正常在内网进行测试联通。

此场景使用VPN通过单臂接入，由于VPN接口只能选择单独的非WAN网口，因此另外选择一个接口配置IP连到交换机(无需此IP与其他主机通讯),之后即可正常使用SSLvpn和SANGFOR VPN

防火墙发布SSL vpn资源，发布堡垒机资源和内网主机资源，发现ping主机和堡垒机都不通，经排查后与第一条问题一致，为路由优先级问题，可通过将SSL vpn路由优先级提至策略路由之上，修改完成后即可正常访问。