NAT 与发布75 条

多出口 ISP 选路

接入两家以上运营商时按业务分配出口,可改善访问质量并实现链路互备,核心是「分流规则 + NAT 地址 + 回程一致」。

安全设备配置速查安全更新于 2026-10-13

多出口 ISP 选路是什么

接入两家以上运营商时,按业务把流量分配到不同出口,既能改善访问质量,也能在某条线路故障时互备。核心是三件事配套:分流规则决定谁走哪条线路、NAT 地址必须与线路运营商一致、回程路径必须经过同一台设备或有一致的策略。任一项缺失都会出现「配了分流但业务更差」的情况,尤其是出口地址与线路不匹配时,回程包会被运营商丢弃。

基本信息

分流维度源网段、目的地址归属、应用类型
配套配置每条出口独立的 NAT 地址池与策略路由规则
互备机制健康探测发现线路异常后自动切换
回程要求回程必须经同一台设备或对端有对应策略,避免非对称
切换代价切换后源地址变化,长连接业务会中断重建

典型使用场景

  • 办公与研发分流:不同部门走不同运营商,降低相互影响
  • 按目的分流:访问特定运营商资源时走本地线路,减少跨网绕行
  • 出口互备:主线路故障时把流量切到备用线路
  • 带宽叠加:按业务分配出口,缓解单线路带宽瓶颈
  • 质量优化:根据探测结果选择时延更低的出口承载交互类业务

规划表示例

规划表示例
办公网 192.168.20.0/24 → 出口A(运营商甲)地址池 202.1.1.0/24
研发网 192.168.30.0/24 → 出口B(运营商乙)地址池 203.1.1.0/24
默认流量            → 出口A,探测到异常时切换到出口B
# 每条出口的地址池必须与线路运营商匹配,否则回程被丢弃

分流要素对照

要素作用配置错误的表现
分流规则决定流量走哪个出口流量走了非预期线路
NAT 地址池决定回程能否正确返回出得去回不来
回程路由保证路径一致时通时不通
健康探测触发自动切换线路故障后业务仍不可用
DNS 解析解析结果影响线路选择访问绕行导致体验下降
切换后源地址变化会导致既有会话中断,长连接与数据库同步类业务要评估切换影响:可以在业务低谷期演练切换,测量中断时长与影响范围。

易错点

  • 分流规则与 NAT 池不匹配,出口地址与实际线路运营商不符,回程被上游丢弃
  • 两家运营商地址互不路由,切换期间需要同步调整源地址策略与外部白名单
  • 健康探测配置不当,线路抖动时频繁切换,业务体验比单线路更差
  • 只在设备侧配置分流而未考虑回程,形成非对称路径,长连接业务频繁中断

数据来源与参考

  • 华为 USG6000 产品文档:多出口组网
  • H3C SecPath 多出口配置指导
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌