防火墙F1000-ak145链路负载均衡返回数据包总是走默认出口，导致端口映射失败

问题描述：

防火墙g1/0/1接电信，电信为默认链路，g1/0/3接联通，g1/0/5接内网，内网服务器192.168.1.100在联通线路配置了端口映射，总是出现联通线路访问192.168.1.100的数据包走了g1/0/1,导致端口映射失败

最佳答案

在相应出接口（联通口）配置保持上一跳ip last-hop hold

有加这个配置，现在去内网的走了外网应该跟这个配置没关系吧，这个配置是为了数据包从同一个公网口出去用的吧

就是外访内，从联通进来，出去的时候还走联通，而不是根据路由走电信。内访问外不受这个配置影响。

做策略路由固定出接口

现在是返回数据包本来需要走g1/0/5内网口的，但走了默认出接口，难道映射地址都得在策略路由上配置，然后强制转到内网口吗，这种做法我担心影响其他的路由

自从配置了这个链路负载均衡，防火墙的内部流量总是出现异常，让去外网的会去内网，让去内网的又去到外网，都快崩溃了

LLB会创建全0虚服务IP，匹配所有由内到外的流量。对于由外到内，无需匹配全0 的llb虚服LB开启负载均衡功能后，有一个全0的虚服务可以匹配到所有流量，流量出方向为运营商接口；但是配置nat server之后，经过nat转换之后的流量匹配到全0虚服务之后就无法转发到内网而是被扔回运营商接口，所以需要配置一个详细的虚服务来匹配nat之后的流量（或者通过负载均衡策略匹配对应的流量走转发模式），让流量从内网接口出去到达服务器

具体实现原理：将服务器的流量也看做一条链路，匹配对应数据后匹配路由表转发。

\\创建匹配到内网服务器的流量不做负载的访问控制表，192.168.0.100为内网服务器的地址，

acl advanced 3002    //新建acl3002

 rule 0 permit ip destination 192.168.0.100 0   //创建规则0匹配92.168.0.100为内网服务器的地址

 rule 5 permit ip destination

\\配置服务规格匹配到服务器的流量

loadbalance class server type link-generic match-any   //创建负载均衡类

 match 1 acl 3002   //匹配acl 3002规则

\\配置负载均衡动作为转发，即匹配策略的数据按照设备自身路由表转发。

loadbalance action server type link-generic  //建立负载均衡行为

 forward all    //配置负载均衡动作为正常转发

fallback-action continue   //配置负载均衡匹配失败后继续匹配下一条规则

\\在LB策略中将服务器策略置顶

loadbalance policy 1 type link-generic   //进入LB策略视图

 class server action server   //为负载均衡类server指定负载均衡动作为server 作为第一条去匹配

 class caiwu action caiwu    //为负载均衡类指定负载均衡动作

 class cmcc action cmcc    //为负载均衡类指定负载均衡动作

 class cnc action cnc    //为负载均衡类指定负载均衡动作

 class chinanet action chinanet    //为负载均衡类指定负载均衡动作

这个是不是指我配置一条置顶的负载均衡策略，匹配目的地址为映射的地址，让其做转发

没错，server地址直接转发

好的，我试试看，非常感谢

你正在内容来源：知了社区,防火墙F1000-ak145链路负载均衡返回数据包总是走默认出口，导致端口映射失败