四川简洲科技有限公司（https://tfor.cn）
专题：专网与出口链路
文档：项目交付物清单（依据真实项目经验整理，可按项目裁剪）
导出时间：2026-09-26 16:51
============================================================

一、交付物清单
   1. BFD 会话表（本端/对端鉴别符、主备下一跳、优先级、责任人）
   2. 路由与主备策略配置备份 + 回退步骤
   3. 切换演练记录（时间线、丢包数、问题清单）
   4. 策略路由清单（编号、匹配网段、下一跳、生效接口、优先级）
   5. 防火墙安全域与 NAT 策略清单、对象组命名规范
   6. 多单位分段表与访问矩阵（谁能访问谁、开放哪些端口）
   7. 设备登录加固核对表（SSH/Telnet/来源限制/超时/日志五项）

二、这个专题覆盖的要点
   1. BFD 联动静态路由做主备：会话绑定、优先值、真断线演练
   2. 多分支专网：每条链路独立会话与主备路由，会话表可交接
   3. 策略路由引流：ACL → 流分类 → 流行为 → 策略 → 入接口，含优先级共存
   4. 防火墙安全域与源 NAT：对象组、地址池、NAT 例外与日志
   5. 多单位分段与跨段最小化放行：访问矩阵 + ACL 实测
   6. 设备登录加固：SSH + AAA + 关 Telnet + 来源限制 + 日志外发

三、常见问题
  Q1. 两条出口链路怎么做自动主备切换？
      给主链路建 BFD 会话并绑定主路由（track bfd-session），备用链路配同目的路由但优先级更低（数值更大）；业务网段要逐段覆盖，不能只给默认路由做冗余。上线前必须真断一次主链路，记录切换耗时与丢包。
  Q2. BFD 会话起不来，通常是什么原因？
      最常见三类：两端鉴别符（discriminator）没有互指或与其它会话重复；源/目的 IP 与出接口配错；对端设备不支持 BFD 联动，导致只能靠路由超时。排查时先 `display bfd session all` 看状态，再核对两端参数是否成对。
  Q3. 策略路由和已有策略冲突怎么办？
      先梳理接口上已经绑定了哪几条策略，再显式设置 precedence（数值越小越优先），并分别用两类流量验证：应命中新策略的走新路径，应命中旧策略的保持原路径。改完留好原配置，异常时立即回退。
  Q4. 一栋楼里接入多家单位，怎么保证互不干扰？
      按单位划 VLAN 与网段，共享设备（打印机、文件服务器）单独一段；跨段访问写成访问矩阵并按「源、目的、端口」逐条放行，默认拒绝；验收时逐条实测「该通的通、不该通的不通」，并把矩阵交付给各方确认。
  Q5. 设备还在用 Telnet，加固要动哪些？
      五件套：开启 SSH、关闭 Telnet、VTY 绑定管理网段 ACL、设置空闲超时、日志外发到日志服务器。改之前确认 Console 或带外通道可用，改完先登录验证一次，避免把自己关在门外。

四、相关文章与案例
  - 防火墙安全域与 NAT 配置实务（防火墙上的策略路由）　https://tfor.cn/news/fw-zone-nat-fw-pbr
  - BFD 联动双默认路由做主备出口（BFD 与静态路由配置）　https://tfor.cn/news/bfd-dual-route-bfd-static-route
  - BFD 联动双默认路由做主备出口（多分支链路的 BFD 编排）　https://tfor.cn/news/bfd-dual-route-multi-branch-bfd
  - BFD 联动双默认路由做主备出口（切换演练与回切观察）　https://tfor.cn/news/bfd-dual-route-bfd-failover-drill
  - 防火墙安全域与 NAT 配置实务（安全域与地址对象组）　https://tfor.cn/news/fw-zone-nat-zone-object
  - 防火墙安全域与 NAT 配置实务（源 NAT 与地址池配置）　https://tfor.cn/news/fw-zone-nat-nat-source
  - 三层互通与网关配置（VLANIF / SVI / 防火墙网关）（华为 VLANIF 网关）　https://tfor.cn/news/switch-l3-huawei
  - 三层互通与网关配置（VLANIF / SVI / 防火墙网关）（H3C Vlan-interface 网关）　https://tfor.cn/news/switch-l3-h3c
  - 三层互通与网关配置（VLANIF / SVI / 防火墙网关）（思科 SVI 网关）　https://tfor.cn/news/switch-l3-cisco
  - 三层互通与网关配置（VLANIF / SVI / 防火墙网关）（锐捷三层互通）　https://tfor.cn/news/switch-l3-ruijie
  - 多出口与 SD-WAN 选路配置（华为策略路由与 NQA）　https://tfor.cn/news/multi-isp-huawei-isp
  - 策略路由（PBR）引流实战（基础配置与验证）　https://tfor.cn/news/pbr-redirect-pbr-basic
  - 案例：专网出口双链路主备改造　https://tfor.cn/cases/dedicated-net-dual-uplink
  - 案例：新校区核心与出口安全建设　https://tfor.cn/cases/campus-new-core-firewall
  - 案例：多分支专网策略路由与割接　https://tfor.cn/cases/branch-pbr-cutover

需要针对你们的现场出方案？联系方式：- / -