概述

在多出口场景下，当到达目的网络有多条等价路由或者缺省路由时，FW默认按照逐流负载分担模式进行转发，使用源IP地址和目的IP地址进行HASH计算选择出接口，即由报文的源IP和目的IP决定选择哪条路，不会考虑各条链路的实际带宽或链路的实时状态。当转发流量较大时，很可能出现一部分链路拥塞、另一部分链路闲置的情况，造成链路资源的浪费。当某些链路的传输质量比较差时，可能造成访问失败，影响用户的体验。用户也无法选择优先使用某些链路转发流量，可能产生额外的费用。

全局选路策略可以解决上述问题。当到达目的网络有多条等价路由或者缺省路由时，全局选路策略可以根据不同的智能选路方式，即链路带宽、权重、优先级或者自动探测到的链路质量选择出接口，并根据各条链路的实时状态动态调整分配结果，以此实现链路资源的合理利用，提升用户体验。

智能选路方式

FW支持四种智能选路方式，不同的智能选路方式可以满足不同的需求，管理员可以根据设备和网络的实际情况进行选择。

设置智能选路的方式时，如无特别说明，“接口”和“接口链路”为等同的概念。FW通过对相关接口进行设置，体现对接口链路带宽、权重、优先级等方面的设置。

表1 智能选路方式

根据链路带宽负载分担

如图1所示，FW拥有3条出接口链路，分别属于不同的ISP。其中，ISP1的链路带宽为200M，ISP2和ISP3的链路带宽均为100M，所以带宽比例为2:1:1。当FW转发一段时间流量后，各链路上累计传输的流量将分别占到总流量的50%、25%、25%，即各链路传输流量的比例和带宽的比例成正比。

FW是根据各接口指定带宽的比例来分流的，而不是根据流量的实时流速。所以实际上各接口链路上分配的流量比例很难和设置的带宽比例一致，总是会有波动。

比如有3条接口链路，带宽比例设置为2:1:1，此时有4条流量，FW分别将这4条流量按照2:1:1分配到这3条接口链路上，即接口1分了2条流，接口2和3各分了1条流。但每条流的流速不一样，所以此时接口上转发的流量大小比例并不是2:1:1。

为了保证链路不会过载，管理员设置了过载保护阈值，各链路均为90%。当某条链路的带宽使用率达到90%时，已建立会话的流量仍从该链路转发，但是后续新建立会话的流量不再通过此链路转发，FW会在未过载的链路中智能选路，后续流量按照未过载链路之间的带宽比例进行负载分担。如果所有链路都已过载，那么FW将继续按照各链路的带宽比例分配流量。

图1 根据链路带宽负载分担

根据链路质量负载分担

丢包率、时延和时延抖动是FW衡量链路质量的3个参数。表2列出了3个链路质量参数的计算方法。

表2 链路质量参数的计算方法

FW自动向目的IP发送链路质量探测报文，获取各链路的传输质量信息，并将链路质量探测结果保存在链路质量探测表中。当有流量到达FW时，FW首先根据报文的目的IP去匹配探测表，如果匹配则根据探测表中记录的出接口转发流量；如果未匹配，则自动向目的IP发起质量探测选择最优的链路转发流量，并将探测结果记录在链路质量探测表中，当质量探测表项老化后，新的流量触发智能选路时需要重新进行链路质量探测。

缺省情况下，链路质量探测报文的协议类型为tcp-simple（FW使用TCP报文检查网络的连通性，只要目的设备回应第一个探测报文，即认为链路是可用的，无需完成三次握手）。此时，FW针对TCP业务流量使用tcp-simple协议进行质量探测，针对非TCP业务流量使用ICMP协议进行质量探测。探测报文的协议类型还可以修改为ICMP，此时FW针对所有业务流量都使用ICMP协议探测进行质量探测。

为了简化配置、减轻探测对设备性能的影响，FW将对单个IP的质量探测结果当做该IP所在网段的质量探测结果，管理员可以根据实际需要扩大或缩小网段的范围。

如图2所示，FW拥有3条出接口链路，分别属于不同的ISP。FW向各个ISP内的指定设备发送5个探测报文，其中ISP1链路没有丢包，ISP2链路丢了2个包，ISP3链路没有收到回应报文。所以FW判定ISP1的质量最高，将优先使用ISP1链路转发流量，只要探测表项没有老化，FW就一直使用ISP1转发流量，不会使用ISP2链路和ISP3链路。如果管理员为各链路设置了过载保护阈值，那么当ISP1链路的带宽利用率达到阈值时，ISP1链路将不再参与智能选路，FW会选择其他链路中质量最高的ISP2链路转发后续流量。

图2 根据链路质量负载分担

根据链路权重负载分担

如图3所示，FW拥有3条出接口链路，分别属于不同的ISP。其中，ISP1的链路权重为5，ISP2的链路权重为3，ISP3的链路权重为2，所以权重比例为5:3:2。当FW转发一段时间流量后，各链路上累计传输的流量将分别占到总流量的50%、30%、20%，即各链路传输流量的比例和权重的比例成正比。

为了保证链路不会过载，管理员设置了过载保护阈值，各链路均为90%。当某条链路的带宽使用率达到90%时，此链路将不再被分配流量，FW会在未过载的链路中智能选路，后续流量按照未过载链路之间的权重比例进行负载分担。如果所有链路都已过载，那么FW将继续按照各链路的权重比例分配流量。

图3 根据链路权重负载分担

根据链路优先级主备备份

该智能选路方式分为两种场景：

• 主备备份场景：FW优先使用主接口转发流量。如果没有为主接口链路指定过载保护阈值，那么即使链路过载，FW也不会使用其他链路传输流量。只有当主接口链路发生故障后，优先级次高的备份接口才被启用以替代主接口，而其他优先级更低的备份接口则仍未启用。
• 负载分担场景：为了提高传输的可靠性和负载能力，可以为各接口链路设置过载保护阈值。当主接口链路过载时，FW会使用优先级次高的备份接口和主接口一起分担流量。当主接口和优先级次高的备份接口都过载后，余下的备份接口中优先级最高的接口才被启用进行流量分担。

如图4所示，FW拥有3条出接口链路，分别属于不同的ISP。其中，ISP1的链路优先级为8，ISP2的链路优先级为3，ISP3的链路优先级为1，ISP1的链路优先级最高。管理员设置了过载保护阈值，各链路均为90%。FW优先使用ISP1链路转发流量，当ISP1链路的带宽利用率达到90%后，启用ISP2链路和ISP1链路一起分担流量。当ISP1链路和ISP2链路都过载时，启用ISP3链路和ISP1、ISP2链路一起分担流量。当3条链路都过载时，FW将按照各链路带宽的比例分配流量，不再根据链路优先级来分配。

图4 根据链路优先级主备备份

会话保持

FW支持在四种智能选路方式中配置会话保持功能。

智能选路接口可以配置过载保护阈值，当链路的带宽利用率达到过载保护阈值时，FW对新流量进行智能选路时将排除该过载链路，在其他未过载的链路中进行选路。这样可能会导致用户上网流量在链路过载前选择了该链路，而新建会话流量（如打开新网页）因为原链路过载而被FW从其他链路转发出去，从而出现已经登录的网站在刷新后需要重新登录，网络游戏在链路切换后掉线，甚至某些网上银行业务因检测到IP地址变化而拒绝用户访问等现象。

为了解决上述问题，可以开启智能选路会话保持功能。

开启该功能后，上网用户流量进行首次智能选路选择某链路后，FW会生成相应的会话保持表项，新流量如果命中了该会话保持表项，FW按照会话保持表项中记录的链路转发流量，这样能保证该用户的流量始终使用同一链路转发。

以基于源IP的会话保持模式为例介绍会话保持的原理，如图5所示，用户A的上网流量进行首次智能选路后，会生成一个会话保持表项，其中包含了源IP地址、匹配的智能选路策略ID和首次选路的出接口。当该用户再次发起连接时，FW会根据新流量中的源IP和匹配的智能选路策略ID查找相应的会话保持表项，并直接使用会话保持表项中记录的出接口转发该流量，这样就保证了此用户的流量始终使用同一出接口转发。

图5 会话保持

全局选路策略配置要点

背景信息

在多出口场景下，当到达目的网络有多条等价路由或者缺省路由时，通过配置全局选路策略，FW可以根据智能选路方式为命中等价路由或缺省路由的流量动态地选择出接口。

缺省路由选路功能默认开启，可以通过undo default-route enable命令关闭缺省路由选路功能。关闭该功能后，当报文命中缺省路由（等价缺省路由除外）时，则不进行智能选路，将按照firewall load-balance命令配置的负载分担方式选择出接口。

完成全局选路策略的配置后，后续经过FW的流量将按照选路策略被转发。而之前的部分流量由于会话没有老化，所以不会立即按照选路策略被转发。管理员可以通过命令行reset firewall session table手动清除会话表信息或者等待会话老化。

因为清除会话表项信息将导致连接中断，所以请慎重操作，只有确认对业务不会造成不良影响后，才能清除会话表信息。

全局选路策略配置过程

1. 配置智能选路成员接口。

完成接口的基础配置，例如接口的IP地址、掩码、接口所在安全区域等。

配置接口的网关地址。

（可选）在接口上应用健康检查，检查接口链路的连通性。

（可选）配置接口所在链路的带宽和过载保护阈值。

2. （可选）配置普通接口组。ISP接口组的配置请参考ISP选路配置要点。

普通接口组是智能选路成员接口的集合，配置普通接口组相当于批量添加智能选路成员接口。

3. 配置全局选路策略。

配置智能选路方式。

添加智能选路成员接口。

（可选）开启过载保护功能。

（可选）指定健康检查和链路质量指标，检查出接口链路的质量是否符合链路质量指标的质量要求。

（可选）配置会话保持功能。

（可选）配置参与智能选路HASH计算的参数。

（可选）当智能选路方式为根据链路优先级主备备份时，设置备份接口自动关闭功能。

配置智能选路成员接口

（可选）配置普通接口组

配置全局选路策略

1. 进入全局多出口视图。

multi-interface

2. 配置全局选路策略的智能选路方式。

mode { priority-of-link-quality | priority-of-userdefine | proportion-of-bandwidth | proportion-of-weight }

智能选路方式决定了选路的标准，全局选路策略支持以下4种选路方式：

3.当智能选路方式为根据链路质量负载分担时，还可以进行如下配置：

4.添加智能选路成员接口。

add { interface interface-type interface-number | interface-group { interface-group-name | isp isp-name } } [ priority priority | weight weight ] *

FW只在智能选路成员接口中选择出接口，根据智能选路方式的不同，还需要为成员接口配置相应的参数：

5.（可选）开启过载保护功能。

overload protection enable

缺省情况下，智能选路策略已开启过载保护功能。

智能选路成员接口上指定了带宽和过载保护阈值时，当某链路带宽利用率达到过载保护阈值时，在进行智能选路时将排除该过载链路，在其他未过载的链路中进行选路，但可能导致链路过载时新建会话需要切换出接口链路，影响业务体验，此时可以通过undo overload protection enable命令关闭过载保护功能。即使链路过载，智能选路也不会排除该过载链路，也就不会进行切换链路。

6.（可选）指定健康检查和链路质量指标。

healthcheck healthcheck-name sla sla-name

健康检查对象使用healthcheck name命令创建，链路质量指标对象使用sla name命令创建。

链路质量探测功能依赖健康检查，如果需要根据链路的时延、抖动和丢包率进行更智能的选路，需要在选路策略中同时引用健康检查对象和链路质量指标对象。在选路成员接口上引用健康检查功能只能探测出接口链路的连通性。

在全局选路策略或多出口策略路由中引用了健康检查和链路质量指标后，FW将实时检查出接口链路的质量（时延、抖动和丢包率）是否符合链路质量指标的质量要求，不符合要求的链路不参与智能选路，直到链路质量重新符合要求。

7.（可选）配置会话保持功能。

8.（可选）当智能选路方式为根据链路带宽负载分担和根据链路权重负载分担时，可以选择配置参与智能选路HASH计算的参数。

load-balance flow hash { destination-ip | destination-port | source-ip | source-port } *

缺省情况下，参与智能选路HASH计算的参数为源IP地址（source-ip）。如果出接口流量哈希不均，请调整哈希模式。

当智能选路方式为根据链路带宽负载分担和根据链路权重负载分担时，如果智能选路的结果有多个出接口，设备会根据智能选路HASH计算的结果选择其中一个作为出接口。例如智能选路方式为根据链路带宽负载分担时，如果两条接口链路的带宽相同，且均未过载，此时FW会利用HASH计算选择其中一个接口作为出接口。

9.（可选）当智能选路方式为根据链路优先级主备备份时，可以选择设置备份接口自动关闭功能。
standby-interface status down

当智能选路方式为根据链路优先级主备备份时，如果某个成员接口的优先级最高，那么这个接口称为主接口，其他成员接口称为备份接口。配置本命令后，所有备份接口的状态变为DOWN，只有当主接口过载（需要配置接口过载保护）或状态为DOWN时，优先级最高的备份接口状态才变为UP，其他备份接口的状态仍为DOWN。当主接口和优先级最高的备份接口均过载或状态均为DOWN时，优先级第二高的备份接口状态才变为UP，以此类推。

如果接口中同时包含了子接口和父接口（如Eth-Trunk1.1和Eth-Trunk1），且子接口的优先级比父接口的优先级高 ，则不能开启此功能，否则会引起该接口循环的自动关闭和打开。