引言
飞塔（Fortinet）防火墙的策略路由（Policy-Based Routing, PBR）功能是网络流量管理中的核心组件，它允许管理员根据源IP、目标IP、服务类型、接口等多种条件，将流量导向指定的下一跳或接口，从而实现精细化的流量控制、负载均衡、链路冗余和安全策略的灵活部署。与传统的静态路由或动态路由协议相比，策略路由提供了更灵活的流量导向能力，特别适用于多出口网络、双ISP接入、特定应用流量优化等复杂场景。
本文将从策略路由的基本概念入手，逐步深入到高级配置技巧，并结合实际案例详细讲解配置步骤、验证方法以及常见问题的解决方案。无论您是初学者还是经验丰富的网络工程师，都能从中获得实用的指导。
一、策略路由基础概念
1.1 什么是策略路由？
策略路由是一种基于策略的路由选择机制，它允许网络设备根据预定义的规则（策略）来决定数据包的转发路径，而不是仅仅依赖于目标IP地址的路由表。策略路由的规则通常包括以下匹配条件：
- 源IP地址：根据数据包的源IP地址进行匹配。
- 目标IP地址：根据数据包的目标IP地址进行匹配。
- 服务/端口：根据协议（TCP/UDP）和端口号进行匹配。
- 入接口：数据包进入的物理或逻辑接口。
- 时间表：根据时间范围进行匹配（如工作时间/非工作时间）。
1.2 策略路由与静态路由的区别
- 静态路由：基于目标IP地址的路由，所有去往同一目标网络的流量都遵循相同的路径。
- 策略路由：基于策略的路由，可以针对不同的源IP、服务等条件，将流量导向不同的路径。
1.3 策略路由的应用场景
- 多ISP接入：根据源IP或服务类型，将流量分配到不同的ISP链路，实现负载均衡或链路备份。
- 特定应用优化：将视频会议、VoIP等实时应用的流量导向低延迟的链路。
- 安全隔离：将特定用户组的流量导向不同的安全区域或防火墙策略。
- 流量整形：根据策略对不同类型的流量进行带宽限制或优先级设置。
二、飞塔策略路由配置步骤详解
2.1 环境准备
假设我们有一个典型的双ISP接入场景：
- ISP1：主链路，出口接口为
port1，网关为202.100.1.1。 - ISP2：备用链路，出口接口为
port2，网关为203.200.1.1。 - 内部网络：
192.168.1.0/24，连接接口为port3。 - 目标：将内部网络中
192.168.1.10的流量通过 ISP1 转发，其余流量通过 ISP2 转发。
2.2 配置步骤
步骤1：配置接口和路由
首先，确保所有接口已正确配置IP地址，并设置默认路由。
# 配置接口IP
config system interface
edit "port1"
set mode static
set ip 202.100.1.2 255.255.255.0
set allowaccess ping
set alias "ISP1"
next
edit "port2"
set mode static
set ip 203.200.1.2 255.255.255.0
set allowaccess ping
set alias "ISP2"
next
edit "port3"
set mode static
set ip 192.168.1.1 255.255.255.0
set allowaccess ping
set alias "Internal"
next
end
# 配置默认路由（通过ISP1）
config router static
edit 1
set gateway 202.100.1.1
set device "port1"
next
end
步骤2：创建策略路由规则
在飞塔防火墙中，策略路由通过 config router policy 命令进行配置。我们需要创建两条策略路由规则：
- 规则1：源IP为
192.168.1.10的流量，下一跳为 ISP1 的网关202.100.1.1，出接口为port1。 - 规则2：其他流量（默认规则）通过 ISP2 的网关
203.200.1.1，出接口为port2。
# 配置策略路由
config router policy
edit 1
set src "192.168.1.10"
set dst "0.0.0.0/0"
set gateway 202.100.1.1
set device "port1"
set comments "Traffic from 192.168.1.10 via ISP1"
next
edit 2
set src "0.0.0.0/0"
set dst "0.0.0.0/0"
set gateway 203.200.1.1
set device "port2"
set comments "All other traffic via ISP2"
next
end
注意：策略路由的规则顺序非常重要，系统会从上到下匹配第一条符合条件的规则。因此，特定源IP的规则应放在通用规则之前。
步骤3：配置安全策略
策略路由只负责流量的转发路径，但流量的允许或拒绝还需要通过安全策略（Firewall Policy）来控制。我们需要创建允许内部网络访问互联网的安全策略。
# 配置安全策略
config firewall policy
edit 1
set name "Internal_to_Internet"
set srcintf "port3"
set dstintf "port1" "port2"
set srcaddr "all"
set dstaddr "all"
set action accept
set schedule "always"
set service "ALL"
set logtraffic all
next
end
注意：dstintf 需要包含所有可能的出口接口（port1 和 port2），因为策略路由可能会将流量导向不同的接口。
步骤4：配置高可用性（可选）
如果需要实现链路冗余，可以配置策略路由的高可用性。例如，当 ISP1 链路故障时，自动将流量切换到 ISP2。
# 配置链路监控
config system link-monitor
edit "ISP1_Monitor"
set srcaddr "192.168.1.10"
set gateway 202.100.1.1
set device "port1"
set failtime 3
set recoverytime 5
set update-cascade-interface enable
set update-static-route enable
next
end
# 配置策略路由的高可用性
config router policy
edit 1
set src "192.168.1.10"
set dst "0.0.0.0/0"
set gateway 202.100.1.1
set device "port1"
set comments "Traffic from 192.168.1.10 via ISP1"
set priority 10 # 优先级，数字越小优先级越高
next
edit 2
set src "0.0.0.0/0"
set dst "0.0.0.0/0"
set gateway 203.200.1.1
set device "port2"
set comments "All other traffic via ISP2"
set priority 20
next
end
2.3 验证配置
配置完成后，需要验证策略路由是否生效。
1. 检查策略路由规则
# 查看策略路由配置
show router policy
2. 测试流量路径
从 192.168.1.10 主机执行 traceroute 或 ping 测试：
# 在主机上执行
traceroute 8.8.8.8
预期结果：第一跳应为 202.100.1.1（ISP1 网关）。
从其他主机（如 192.168.1.20）执行：
traceroute 8.8.8.8
预期结果：第一跳应为 203.200.1.1（ISP2 网关）。
3. 查看流量统计
# 查看接口流量统计
diagnose hardware deviceinfo nic port1
diagnose hardware deviceinfo nic port2
# 查看策略路由匹配情况
diagnose firewall iprope list # 查看策略路由匹配表
三、高级配置技巧
3.1 基于服务的策略路由
除了基于源IP，还可以根据服务类型（如HTTP、HTTPS、VoIP）进行流量导向。
示例：将HTTP/HTTPS流量通过ISP1，其他流量通过ISP2。
# 配置服务对象
config firewall service custom
edit "HTTP"
set tcp-portrange 80
next
edit "HTTPS"
set tcp-portrange 443
next
end
# 配置策略路由
config router policy
edit 1
set src "192.168.1.0/24"
set dst "0.0.0.0/0"
set service "HTTP" "HTTPS"
set gateway 202.100.1.1
set device "port1"
set comments "Web traffic via ISP1"
next
edit 2
set src "192.168.1.0/24"
set dst "0.0.0.0/0"
set service "ALL"
set gateway 203.200.1.1
set device "port2"
set comments "Other traffic via ISP2"
next
end
3.2 基于时间表的策略路由
可以配置时间表，实现工作时间和非工作时间的流量导向不同链路。
示例：工作时间（9:00-18:00）通过ISP1，非工作时间通过ISP2。
# 配置时间表
config system schedule
edit "WorkHours"
set type recurring
set day Monday Tuesday Wednesday Thursday Friday
set start 09:00
set end 18:00
next
edit "NonWorkHours"
set type recurring
set day Monday Tuesday Wednesday Thursday Friday
set start 18:00
set end 09:00
next
end
# 配置策略路由
config router policy
edit 1
set src "192.168.1.0/24"
set dst "0.0.0.0/0"
set schedule "WorkHours"
set gateway 202.100.1.1
set device "port1"
set comments "Work hours traffic via ISP1"
next
edit 2
set src "192.168.1.0/24"
set dst "0.0.0.0/0"
set schedule "NonWorkHours"
set gateway 203.200.1.1
set device "port2"
set comments "Non-work hours traffic via ISP2"
next
end
3.3 策略路由与SD-WAN的结合
飞塔防火墙支持SD-WAN功能，可以更智能地管理多链路流量。SD-WAN可以基于链路质量（延迟、丢包率）动态选择最佳路径。
示例：配置SD-WAN规则，将视频会议流量导向低延迟链路。
# 配置SD-WAN接口
config system virtual-wan-link
set status enable
config members
edit 1
set interface "port1"
set gateway 202.100.1.1
set priority 10
next
edit 2
set interface "port2"
set gateway 203.200.1.1
set priority 20
next
end
end
# 配置SD-WAN规则
config system virtual-wan-link
config service
edit 1
set name "VideoConference"
set mode priority
set priority-members 1 # 优先使用port1
set dst "0.0.0.0/0"
set src "192.168.1.0/24"
set service "ALL"
set protocol 17 # UDP
set portrange 50000-60000 # 视频会议常用端口范围
next
edit 2
set name "GeneralTraffic"
set mode load-balance
set priority-members 1 2 # 负载均衡
set dst "0.0.0.0/0"
set src "192.168.1.0/24"
set service "ALL"
next
end
end
四、常见问题与解决方案
4.1 问题1：策略路由不生效
症状：配置了策略路由，但流量仍然按照默认路由转发。
可能原因：
- 策略路由规则顺序错误。
- 匹配条件不准确（如源IP地址错误）。
- 安全策略未允许流量通过。
- 路由表中存在更具体的静态路由。
解决方案：
- 检查规则顺序：确保特定规则在通用规则之前。
show router policy - 验证匹配条件：使用诊断命令检查流量是否匹配策略路由。
diagnose firewall iprope list - 检查安全策略：确保安全策略允许流量从源接口到目标接口。
show firewall policy - 检查路由表：查看是否存在更具体的静态路由覆盖了策略路由。
show router static
4.2 问题2：策略路由导致环路
症状：流量在防火墙内部循环，导致性能下降或连接中断。
可能原因：
- 策略路由的下一跳指向了防火墙自身的接口。
- 策略路由与NAT配置冲突。
解决方案：
- 检查下一跳配置：确保策略路由的下一跳是外部网关，而不是防火墙接口。
show router policy - 检查NAT配置：如果启用了NAT，确保策略路由与NAT规则兼容。
show firewall ippool show firewall policy
4.3 问题3：链路故障时流量无法切换
症状：主链路故障后，流量没有自动切换到备用链路。
可能原因：
- 未配置链路监控。
- 链路监控配置错误。
- 策略路由未配置优先级或高可用性。
解决方案：
- 配置链路监控：确保链路监控已启用并正确配置。
show system link-monitor - 检查链路监控状态：
diagnose system link-monitor status - 配置策略路由高可用性：使用优先级或SD-WAN功能实现自动切换。
show router policy
4.4 问题4：策略路由与动态路由协议冲突
症状：策略路由与动态路由协议（如OSPF、BGP）同时存在时，流量导向混乱。
可能原因：
- 动态路由协议学习到的路由覆盖了策略路由。
- 策略路由的优先级设置不当。
解决方案：
- 调整路由优先级：在飞塔防火墙中，策略路由的优先级高于动态路由。确保策略路由规则正确配置。
show router policy - 使用路由映射：如果需要更复杂的控制，可以结合路由映射（Route Map）来调整动态路由的行为。
config router route-map edit "PBR_MAP" config rule edit 1 set match-ip-address "PBR_ACL" set set-gateway 202.100.1.1 set set-device "port1" next end next end
五、最佳实践
5.1 规划与设计
- 明确需求：在配置前，明确流量导向的业务需求（如负载均衡、链路备份、应用优化）。
- 文档化：记录所有策略路由规则、匹配条件和预期行为，便于后续维护和故障排查。
5.2 配置管理
- 使用对象：尽量使用地址对象、服务对象和时间表对象，提高配置的可读性和可维护性。
- 分步实施：先在测试环境中验证配置，再逐步应用到生产环境。
- 定期审查：定期审查策略路由规则，清理不再使用的规则，避免规则膨胀。
5.3 监控与维护
- 启用日志：在安全策略中启用日志记录，便于监控流量和排查问题。
- 使用诊断工具：熟练使用飞塔的诊断命令（如
diagnose firewall iprope list、diagnose system link-monitor status）进行故障排查。 - 备份配置：定期备份防火墙配置，以便在故障时快速恢复。
六、总结
飞塔策略路由是实现精细化流量管理的关键功能，通过合理的配置，可以满足多出口网络、链路冗余、应用优化等多种需求。本文从基础概念入手，详细讲解了配置步骤、高级技巧以及常见问题的解决方案。通过实际案例和代码示例，帮助读者从入门到精通掌握策略路由的配置与管理。
在实际应用中，建议结合SD-WAN功能，实现更智能的流量管理。同时，遵循最佳实践，做好规划、配置、监控和维护，确保网络的稳定性和安全性。
希望本文能为您的飞塔策略路由配置提供有价值的参考。如有任何疑问，欢迎进一步交流。