解决方案
方法一:直接在域下重定向,缺点是如果有访问内网的需求,无法实现,全部都重定向到公网去了。
设置域isp1用户的策略路由的下一跳IP地址为1.1.1.1。
system-view
aaa
domain isp1
policy-route 1.1.1.1
设置域isp2用户的策略路由的下一跳IP地址为2.2.2.2。
system-view
aaa
domain isp2
policy-route 2.2.2.2
方法二:用流策略重定向,配置虽然复杂,但是可以允许用户访问某些网段,不做重定向。
注:这里是假设有两个认证域,isp1、isp2的用户,需要不同认证域的用户发向不同的公网下一跳,对这两个域的用户绑定不同的用户组,acl匹配用户组选择不同的出口,还有访问内网192.168.1.0网段不做重定向。
sys
user-group isp1
user-group isp2
aaa
domain isp1
user-group isp1
quit
domain isp2
user-group isp2
quit
acl number 6665
rule permit ip source user-group isp1 destination 192.168.1.0 0.0.0.255
rule permit ip source user-group isp2 destination 192.168.1.0 0.0.0.255
quit
acl number 6666
rule permit ip source user-group isp1
quit
acl number 6667
rule permit ip source user-group isp2
quit
流分类:
traffic classifier 6665
if-match acl 6665
traffic classifier 6666
if-match acl 6666
traffic classifier 6667
if-match acl 6667
流行为:
traffic behavior 6665
permit //访问内网192.168.1.0网段直接允许
quit
traffic behavior 6666
redirect ip-nexthop 1.1.1.1 //isp1用户下一跳是1.1.1.1
quit
traffic behavior 6667
redirect ip-nexthop 2.2.2.2 //isp2用户下一跳是2.2.2.2
quit
traffic policy global-out
classifier 6665 behavior 6665
classifier 6666 behavior 6666
classifier 6667 behavior 6667
最后应用全局视图下,基于用户组的流策略必须要应用到全局才能生效,不能应用到bas接口
traffic-policy global-out inbound
No comments to display
No comments to display