策略路由双出口配置能同时利用两条运营商线路，让指定业务走指定出口，省钱且提升体验。无论是企业办公网还是数据中心，双线接入的核心痛点不是“怎么接”，而是“怎么让流量聪明地选路”，下文直接拆解配置思路、命令逻辑和常见坑位。
核心问题：为什么普通路由表搞不定双出口
默认路由只能写一条，要么走电信，要么走联通，另一条备用线路闲着不用，更麻烦的是，内网用户访问不同运营商时延差异极大电信用户访问联通服务器，绕路后卡顿明显，策略路由（PBR，Policy-Based Routing）打破“目的地址决定下一跳”的规则，允许你基于源IP、目的端口、应用协议、报文长度等条件,强制指定出接口。
行业共识认为，双出口场景下PBR的优先级永远高于路由表，转发时不查正常路由表，直接命中策略，这意味着策略放行与否,直接决定业务通断。
策略路由双出口配置步骤详解
先理清两种出口模式
- 主备模式：平时全部业务走主线路，故障后切到备线，适合对成本敏感、带宽要求不高的小型网络。
- 负载分担模式：两条线路同时工作，比如电信流量走电信出口，联通流量走联通出口，适合带宽需求大、追求性价比的中大型园区网。
配置逻辑三步走
- 定义感兴趣流量：用ACL（访问控制列表）抓取“谁”需要被策略路由控制。
- 创建策略行为：设置匹配后动作为“重定向到指定出接口”或“修改下一跳”。
- 接口下发策略：在流量的入接口上应用该策略，从此经过该接口的流量都会先被策略“拦截”判断。
具体到华为设备,核心命令如下：
# 第一步：配置ACL，匹配内网网段192.168.10.0/24的流量 acl number 3001 rule 5 permit ip source 192.168.10.0 0.0.0.255 # 第二步：创建流分类，引用ACL traffic classifier c_telecom if-match acl 3001 # 第三步：创建流行为，指定下一跳为电信网关202.100.1.1 traffic behavior b_telecom redirect ip-nexthop 202.100.1.1 # 第四步：创建流策略并绑定分类与行为 traffic policy p_telecom classifier c_telecom behavior b_telecom # 第五步：在内网接口GE0/0/0入方向应用 interface GigabitEthernet0/0/0 traffic-policy p_telecom inbound
如果使用思科设备,则是另一套语法：
access-list 100 permit ip 192.168.10.0 0.0.0.255 any
route-map PBR-TELECOM permit 10
match ip address 100
set ip next-hop 202.100.1.1
!
interface GigabitEthernet0/0
ip policy route-map PBR-TELECOM双出口链路故障切换的关键
配置完策略只是第一步，如果电信出口突然中断，策略仍会强行把流量丢给电信网关，此时内网全部断网。必须搭配“下一跳可达性探测”机制。
- 华为设备使用NQA（Network Quality Analysis）,定期探测运营商网关IP地址。
- 思科设备使用IP SLA（Service Level Agreement）+ Track,联动静态路由表或PBR策略。
示例：华为NQA联动静态路由，让策略在探测失败后自动失效,流量退回默认路由走联通。
nqa test-instance admin telecom-probe
test-type icmp
destination-address ipv4 202.100.1.1
frequency 5
probe-count 2
quit
route-static 0.0.0.0 0.0.0.0 202.100.1.1 track nqa admin telecom-probe业界主流厂商均支持双出口健康检查能力，但默认参数通常过于保守（如每5秒探测一次，连续失败2次才切换），实际业务中断时间在10秒左右，若对可靠性要求更高,建议调短探测间隔。
策略路由双出口配置中常见的“翻车”现场
流量黑洞：策略生效了，路由表没生效
很多人配置完策略后发现内网能访问A线路，但访问外网其他地址时丢包，原因在于策略只对命中的ACL生效，其余流量仍走默认路由，若默认路由指向的运营商网关本身不通，就会出现“时通时断”，解决办法是同时配置多条默认路由,设置好优先级。
回程路由错乱：只顾着出去，忽略了回来
双线接入时，电信线路进来的流量，回包必须从电信接口出去，否则运营商基于反向路由检查（uRPF）会直接丢弃报文,配置要点：
- 在FW防火墙上开启会话表功能,自动记录往返路径。
- 若使用路由器,则需通过策略路由强制回程流量走同一出口。
NAT不做策略路由：地址转换与选路脱节
双出口场景下NAT转换必须与出口对应，出电信线路，源地址应转换为电信接口的公网IP；出联通线路，源地址转换为联通公网IP，若配置了全局NAT，容易导致新会话无法建立，华为配置中需要使用
NAT实例或flow-based策略将不同出口流量区分开。
策略路由和负载均衡区别在哪里
这是实际选型中最容易混淆的问题。策略路由和负载均衡区别的核心在于：
- 策略路由：关注的是“怎么走”，按需指定路径,不考虑线路压力。
- 负载均衡：关注的是“分多少”，自动分摊流量，硬件LB（如F5）或智能DNS都属此类。
| 对比项 | 策略路由（PBR） | 出口负载均衡 |
|---|---|---|
| 选路依据 | 源/目的IP、端口、协议 | 会话数、带宽利用率、链路质量 |
| 部署位置 | 路由器、防火墙、核心交换机 | 专用LB设备、FW策略路由叠加 |
| 是否感知链路状态 | 需额外联动NQA/IP SLA | 天然感知，自动切换 |
| 典型故障表现 | 探测不到仍硬发，丢包严重 | 自动摘除故障链路，业务无感 |
实际部署中，两者可以组合使用，先通过策略路由划出核心业务（如视频会议、支付流量）走专线,其余流量交给下游的LB或防火墙进行负载分担。
双线接入策略路由方案如何选型
- 小企业（50人以下）：一台企业级路由器（如H3C MSR830），双WAN口，开启PBR+自动探测,成本控制在2000元以内即可。
- 中型园区（200人以上）：核心交换机+Sd-WAN网关，利用Sd-WAN的智能选路能力，实时测速,自动避开拥塞线路。
- 有国产化要求的政企单位：优先选择华为、锐捷、迪普等品牌，需提前确认操作系统版本对PBR/NQA的支持情况。
具体价格方面，华为AR系列路由器（双WAN口基础款）市场报价在3000元至6000元之间；H3C的MSR系列同级别设备约2500元起，防火墙产品如深信服AF系列，双线路策略路由功能为主打，价格通常包含在整机采购合同内，单台授权约8000元至15000元
，以上价格因渠道和配置浮动,采购前建议正规询价。
实操检查清单
- 用
display ip routing-table statistics确认默认路由数量及优先级。 - 用
display traffic policy statistics查看策略命中次数,确认流量被正确匹配。 - 用
ping -a 内网地址 公网地址从内网设备测试回包路径。 - 用
tracert路径追踪,观察首跳是否已经切到目标运营商出口。
策略路由双出口配置的底层逻辑
策略路由归根结底是“分类映射动作”的线性执行过程，分类越细，控制越精准；但规则越多，排错越麻烦，建议配置时遵循“抓大放小”原则：为员工上网、访客上网、视频会议等关键业务预留几条核心策略,其余流量走常规NAT出接口。
出口链路带宽普遍跑满时，不要急着加带宽，先检查策略是否把大流量应用（如视频缓存、云盘同步）错误地导向了专线，把这类流量强制走便宜线路，往往能释放30%以上的专线带宽。
策略路由双出口配置常见问题解答
为什么我在接口下应用了策略路由，但流量还是走默认路由？
常见原因有三类：一是ACL源目方向写反，抓错了流量；二是策略没有在入接口下发，而是误下发到了出接口；三是设备或软件版本不支持策略路由，或全局未开启IPv4 policy-based routing功能,逐项排查即可。
策略路由和NAT在双出口场景下，配置顺序谁在前？
硬件上NAT转换和策略路由执行顺序因设备品牌而异，华为和H3C中，PBR通常在路由表查找逻辑中优先执行，先决定出接口，再做NAT转换；思科中，PBR同样先于NAT处理，实际效果是：先选路，再转换地址,配置时应保证NAT策略里的出接口方向与PBR指定的出口一致。
双出口带宽叠加效果不佳是什么原因？
带宽叠加依赖负载分担算法，常见问题是哈希因子配置不当，若默认按源IP哈希，同一内网IP下的大量连接会全走一条线路，另一条闲置，解决办法是将负载分担模式改为会话数均衡或逐包分配，后者需注意末梢重排问题,运营商线路本身的质量差异也可能导致叠加后整体吞吐提升不明显。