Skip to main content

解决方案

方法一:直接在域下重定向,缺点是如果有访问内网的需求,无法实现,全部都重定向到公网去了。

设置域isp1用户的策略路由的下一跳IP地址为1.1.1.1。

system-view
aaa
domain isp1
policy-route 1.1.1.1

设置域isp2用户的策略路由的下一跳IP地址为2.2.2.2。

system-view
aaa
domain isp2
policy-route 2.2.2.2


方法二:用流策略重定向,配置虽然复杂,但是可以允许用户访问某些网段,不做重定向。

注:这里是假设有两个认证域,isp1、isp2的用户,需要不同认证域的用户发向不同的公网下一跳,对这两个域的用户绑定不同的用户组,acl匹配用户组选择不同的出口,还有访问内网192.168.1.0网段不做重定向。

sys
user-group isp1
user-group isp2

aaa
domain isp1
user-group isp1
quit
domain isp2
user-group isp2
quit

acl number 6665 
rule permit ip source user-group isp1 destination 192.168.1.0 0.0.0.255
rule permit ip source user-group isp2 destination 192.168.1.0 0.0.0.255
quit
acl number 6666 
rule permit ip source user-group isp1 
quit
acl number 6667 
rule permit ip source user-group isp2 
quit

流分类:
traffic classifier 6665 
 if-match acl 6665
traffic classifier 6666 
 if-match acl 6666
traffic classifier 6667
 if-match acl 6667

流行为:
traffic behavior 6665
permit                       //访问内网192.168.1.0网段直接允许
quit
traffic behavior 6666
redirect ip-nexthop 1.1.1.1   //isp1用户下一跳是1.1.1.1
quit
traffic behavior 6667
redirect ip-nexthop 2.2.2.2   //isp2用户下一跳是2.2.2.2
quit


traffic policy global-out
 classifier 6665 behavior 6665
 classifier 6666 behavior 6666
 classifier 6667 behavior 6667

最后应用全局视图下,基于用户组的流策略必须要应用到全局才能生效,不能应用到bas接口
traffic-policy global-out inbound