【原创分享】 8.0.95新架构的自定义路由优先级解决策略路由不生效问题
  

陈璨 3149

{{ttag.title}}
本帖最后由 陈璨 于 2025-4-30 21:38 编辑

【问题背景】
1、最近在配置防火墙策略路由的时候,出现了一个奇怪的事情,明明配置了策略路由要求某些IP走ETH3的静态ip出去公网,但是仍然走的eth0的pppoe拨号口出去。我意识到,这是一个策略路由不生效的问题。
   
   

可以看到 ping 8.8.8.8的数据包没有走eth3专线 反而是从eth1出去了。


【有效排查步骤】
1、在已经抓包明确数据包能被转发到互联网的情况下,我们就不多阐述白名单ACL之类的排查步骤。直接进入到为什么数据包被转发错了出接口的问题。

2、正常情况下旧架构AF路由的优先级应该是:【VPN路由】>【静态路由/动态路由】>【策略路由】>【默认路由】

3、那么实际上呢?我们通过 ip rule 查路由表匹配顺序
   

可以看到当前版本AF路由表的查询顺序为:local--241(vpn)--243(查询临时表238)--10000(策略路由表)--main表
理论上来说,pppoe所生成默认路由应该会存在于main表中被最后匹配,但是pppoe的所生成的默认路由不一样,实际情况中会和静态路由一并被拷贝至238这个临时表中。

4、由此可得出结论,是因为底层设计原因,让本该最后匹配的pppoe默认路由被归类为静态路由优先于策略路由被匹配了。这个pppoe的默认路由在防火墙的【路由测试】也会显示为最后匹配次于策略路由,但是实际上在查路由表的时候优于策略路由

【解决方案】
方案一、如果是老架构防火墙,可以在【PPPoE高级设置】中,取消勾选【新增默认路由】,这样就不会生成默认路由了,也就不会优于策略路由被匹配。

方案二、如果是 新架构 8.0.95防火墙,可以在【系统】-【通用设置】-【网络参数】-【路由优先级】中调整策略路由的优先级,策略路由表优先于静态路由。(8.0.51版本之前的老架构防火墙不支持该操作)

方案三、可以通过后台命令删除静态路由表中的pppoe默认路由,让他仅在main表中最后被匹配到。(此操作需联系400协助)

【最终效果】
1、通过curl cip.cc 能看到是正常通过指定的ip地址上网。

打赏鼓励作者,期待更多好文!

打赏
6人已打赏

王硕icloud 发表于 2025-6-24 15:49
  
学习到了,新旧架构下的AF设备,路由优先级调整时需要额外注意!
罗晓宇 发表于 2025-6-25 08:42
  
这确实是一个坑点,感谢分享
发表新帖
热门标签
全部标签>
新版本体验
每日一问
信服课堂视频
标准化排查
功能体验
产品连连看
GIF动图学习
纪元平台
社区新周刊
问题分析处理
秒懂零信任
西北区每日一问
【 社区to talk】
S豆商城资讯
技术盲盒
每周精选
高手请过招
网络基础知识
每日一记
设备维护
虚拟机
追光者计划
技术晨报
北京区每日一练
上网策略
信服故事
2023技术争霸赛专题
平台使用
文档捉虫
畅聊IT
答题自测
专家问答
技术笔记
技术圆桌
在线直播
MVP
安装部署配置
升级
安全攻防
测试报告
日志审计
流量管理
运维工具
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
SDP百科
功能咨询
终端接入
授权
资源访问
地址转换
存储
迁移
排障笔记本
产品预警公告
玩转零信任
技术争霸赛
「智能机器人」
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
齐鲁TV
华北区交付直播
2024年技术争霸赛
场景专题
故障笔记
排障那些事
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
安全效果
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案

本版版主

1
4
10

发帖

粉丝

关注

403
144
64

发帖

粉丝

关注

5
10
7

发帖

粉丝

关注

0
2
1

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人