兩台USG310無法設定Policy Route

蘇介吾 · May 2020

Image: https://us.v-cdn.net/6029482/uploads/editor/i3/232u0itqqb7i.jpg

Image: https://us.v-cdn.net/6029482/uploads/editor/g1/rhzduu5vp6ql.jpg

Image: https://us.v-cdn.net/6029482/uploads/editor/ry/aouc65ygh0eu.jpg

Dear ZyXEL技術部，您好：

網路架構如附件，我打0800跟貴公司技術支援客服請教，終於設定好 VTI，但是文件上只教用『靜態路由』，但是網路上搜尋都說要設定『策略路由』！我擔心 HQ 的其中一路斷線後VPN不會自動切換，請教該如何設定?

Zyxel_Charlie · May 2020

@ 蘇介吾
以這個情境來說，HQ Site如果ge1和ge2_ppp2的VTI已設定完成，需要創建附載平衡策略和策略路由以讓VPN可自動切換。

Image: https://us.v-cdn.net/6029482/uploads/editor/nc/zqsjoo0z8qks.jpg

來源和目的地位址對應到是HQ site lan端和Branch site的lan端

Image: https://us.v-cdn.net/6029482/uploads/editor/1k/19kv29ny8huw.jpg

蘇介吾 · May 2020

請教一下，哪兩邊的靜態路由就要取消了，對嗎？

Zyxel_Charlie · May 2020

@蘇介吾
對的，在Branch要加一條策略路由。
來源: local端的IP，目的: remote端的local IP, 下個躍點:interface, 選你創建的VTI profile

蘇介吾 · May 2020

救命啊！設定完之後，VPN能互通 (只能互相 ping 對方 USG310內網 ip)，但是要 ping 到對方內網其他電腦都不行！而且設定靜態路由還會出錯！今天(109/05/28)下午可以幫忙連線看一下嗎？謝謝。

Image: https://us.v-cdn.net/6029482/uploads/editor/u9/103odg8p1rr2.jpg

Image: https://us.v-cdn.net/6029482/uploads/editor/yb/k81lip6gbjoi.jpg

Image: https://us.v-cdn.net/6029482/uploads/editor/l2/lzkkcoead83p.jpg

蘇介吾 · May 2020

Dear Charlie,

問題找到了... 原來是不小心把SNAT打開所致。

但是出現另一個問題，本來用單一條VPN或是VTI+靜態路由都可以 ping 到對面的 USG310，但是改成策略路由之後就 ping 不到、也連不上了，可以幫忙想看看問題出在哪裡嗎?

ps.打去你們公司，居然說沒有 Charlie 這個人?! 真奇怪。