出口路由器网关配置案例：策略路由、NAT 与出口 ACL

大型园区出口通常是”路由器 + 防火墙”直连拓扑：防火墙做安全过滤，路由器负责内网互联与出口路由。下面把一套典型配置案例拆成可落地的几步。

一、基础：设备命名与接口 IP

先给设备起名（如 Router A/B）方便运维识别，再给互联接口配三层 IP（如 10GE1/0/1 配 10.1.1.1/24）。管理网口单独配地址用于远程登录。这步是后续所有路由与策略的锚点。

二、IGP 打通内网：以 OSPF 为例

路由分网络路由（设备互联、LoopBack）和业务路由（终端/业务系统）。网络路由交给 IGP 承载，常用 OSPF 或 IS-IS。配置 OSPF 把各网段宣告进区域，内网互通即建立。业务路由再按需通过静态或 BGP 注入。

三、QoS 区分 VIP 与普通用户

需求常是”VIP 用户限速 1Mbps、可带 2~3 终端；普通用户限速 256Kbps、仅 1 终端”。这靠在路由器上做 QoS：按用户组/VLAN 分类，限速（rate-limit）并做接入终端数管控。VIP 带宽保障、普通用户限速，避免有人占满出口拖垮全员。

四、准入认证与可靠性

除防火墙外，路由器上再配用户认证，只有注册用户能进内网，防私接。可靠性靠 VRRP 备份组 + BFD 联动：两台路由器跑 VRRP 协商主备网关，BFD 毫秒级探测链路/邻居故障，一旦主设备故障，备机秒级接管，网关 IP 不飘、业务不断。这四步下来，出口既安全又稳。

三、配置案例要点

• 默认路由 → 多出口用策略路由按源 IP/协议选路，避免回包路径不一致。
• NAT → 出方向做 SNAT，注意会话表容量与超时。
• 安全 → 出口 ACL 收口，仅放通业务端口。

出口路由器最易翻车在”选路+回包”不对称：一条链路断了默认路由没切，半边业务卡死；配置后拔线实测切换才是真验证。