【控制篇 / 策略】(7.4) ❀ 03. 地理地址对象在路由中的应用 ❀ FortiGate 防火墙

　　【简介】如何做到访问国内走Wan1，访问国际走Wan2 ？当企业有多条宽带，特别是有国际专线的时候，这个需求就很普遍了。通过地理地址对象可以快速的解决这些问题。

策略路由

　　当我们有多条宽带的时候，我们有两种方法分流，一个是策略路由，一个是SDWAN。

　　① 最常见的宽带是PPPoE拨号宽带，防火墙只需要在接口配置PPPoE，会自动生成默认路由。这里我们需要注意的是管理路离这个参数，当有多条宽带时，默认路由的管理距离必须相同，才能同时访问多条宽带，否则路由表中只有管理距离数值最小的那条路由。因此在配置PPPOE拨号时，管理距离由默认的5，更改为10。

　　② 除了PPPoE外，其它宽带配置的时候，都需要手动创建一条默认静态路由，管理距离默认为10，优先级默认为1。

　　③ 选择菜单【仪表板】-【网络】，点击【路由】小部件。

　　④ 在路由窗口右上角下拉选项，可以选择路由的类型，默认为【静态&动态】，在静态路由表中，可以看到有两条宽带的默认路由，说明两条宽带可以同时使用。这是因为它们的管理距离都是10。如果PPPoE拨号默认管理距离5没有修改，这里将只会显示管理距离数值最小的默认路由，也就是PPPoE拨号自动生成的路由。

　　⑤ 在路由列表上方的标题栏点击鼠标右键，弹出菜单中钩选【优先级】。

　　⑥ 可以看到，PPPoE默认生成的路由优先级为1，手动创建的静态路由默认优先级也是1，那么在同时两条宽带都上网的情况下，上网流量会不知道走哪条默认路由。最常见的情况就是有些网站能访问，而有些网站又不能访问。

　　⑦ 要让不同的访问走不同的宽带，就要用到策略路由，选择菜单【网络】-【策略路由】，点击【新建】。如果菜单上没有显示策略路由，可以点击菜单【系统管理】-【可见功能】，启用【高级路由】。

　　⑧ 策略路由的流入接口，选择内网和WiFi，源地址选择all，目的地址选择地理地址对象CHINA，流出接口选择Wan1，由于Wan1是PPPoE拨号，所以网关地址默认保持0.0.0.0，这条策略路由的功能，就是内网和WiFi的所有IP，访问国内IP时，走Wan1接口。

　　⑨ 再创建一条策略路由，功能是内网和WiFi的所有IP，访问所有IP，都走Wan2接口。由于Wan2非PPPoE，所以需要填写网关地址。

　　⑩ 策略路由的匹配顺序同样是从上到下，由于最上面的是访问国内IP的策略路由，因此防火墙会将访问IP与IP地址位置数据库的CN下的IP进行对比，对比成功，说明是国内IP，匹配第一条策略路由，走Wan1出去。对比不成功，说明是非国内IP，匹配第二条策略路由，走Wan2出去。也就达到了访问内国IP走Wan1，访问国际IP走Wan2的功能了。

　　⑪ 策略路由的优先级最大，只要有策略路由在，一定是先执行策略路由。这里就出现一个问题，那就是第二条策略路由，内网和WiFi访问所有IP，都会走Wan2，那么访问内网IP，同样也会因为匹配第二策略路由，而走Wan2出去了。这样就需要再创建一条策略路由，功能是内网和WiFi的所有IP，访问内网IP地址时，停止策略路由，这样就走静态或直连路由了。