别再让软路由拖慢全网速了！FortiGate策略路由实战：精准控制流量走向（含配置截图）

FortiGate策略路由实战：精准控制流量走向的网络优化方案

许多网络管理员在尝试通过软路由提升整体网络性能时，常常陷入一个误区——认为将所有流量都经过软路由就能获得速度提升。然而实际情况往往相反，这种一刀切的做法反而会导致网络延迟增加、带宽浪费甚至关键业务受阻。本文将深入探讨如何利用FortiGate防火墙的策略路由功能实现智能流量引导，解决这一常见问题。

1. 为什么全流量走软路由会降低网络性能

软路由确实能为特定类型的流量提供优化，但并非所有流量都适合经过软路由处理。以下是几个关键原因：

• 处理能力瓶颈：大多数软路由设备的硬件性能有限，当承担全部流量转发时，CPU和内存容易成为瓶颈
• 路径非最优：某些本地或低延迟服务（如内网文件服务器、视频会议）经过软路由反而增加了不必要的跳数
• 带宽浪费：国际流量优化可能对国内直连服务产生负面影响，消耗额外带宽
• 策略冲突：安全策略可能在不同网络路径上产生不一致的应用效果

提示：在实际案例中，我们将某企业全部流量导入软路由后，内部视频会议延迟从15ms激增至85ms，而国际网站访问速度仅提升10%

通过tracert工具分析，可以清晰看到流量路径变化：

# 优化前路径（直连） 1 192.168.1.1 1ms 2 10.10.10.1 2ms 3 203.156.xx.xx 15ms # 全走软路由后路径 1 192.168.1.1 1ms 2 192.168.2.1 (软路由) 3ms 3 10.20.20.1 5ms 4 203.156.xx.xx 28ms

2. FortiGate策略路由的核心机制

FortiGate的策略路由(Policy-Based Routing)与传统路由表的最大区别在于其决策维度的丰富性。它不仅基于目标IP地址，还能考虑以下因素：

策略路由的工作流程可分为四个关键阶段：

1. 流量识别：基于五元组(源/目标IP、端口、协议)或应用特征码识别
2. 策略匹配：按照配置的优先级顺序检查策略条件
3. 动作执行：重定向到指定网关或接口
4. 日志记录：在FortiView中生成流量日志和统计

3. 实战配置：构建智能流量引导系统

3.1 基础环境准备

在开始配置前，需要确认以下信息：

• FortiGate设备型号和固件版本（建议7.0以上）
• 网络拓扑中各网段的IP规划
• 需要特殊路由的流量特征（如目标国家、特定应用）
• 可用出口网关及其属性（带宽、延迟、费用等）

3.2 策略路由配置步骤

以下是一个典型的分流配置示例，将视频会议流量直连，国际流量走优化线路：

1. 创建地址对象：

   config firewall address edit "VideoConf_Servers" set type iprange set start-ip 203.0.113.10 set end-ip 203.0.113.20 next edit "US_IP_Ranges" set type geography set country "US" next end

2. 配置策略路由规则：

   config router policy edit 1 set input-device "port1" set src "192.168.1.0/24" set dst "VideoConf_Servers" set gateway 172.16.1.1 set output-device "port2" next edit 2 set input-device "port1" set dst "US_IP_Ranges" set gateway 192.168.100.1 next end

3. 启用应用识别（如需基于应用分流）：

   config firewall service custom edit "Zoom-Traffic" set category "Network.Service" set protocol TCP/UDP/SCTP set tcp-portrange 8801-8802,3478-3479 next end

3.3 验证与优化

配置完成后，通过以下方法验证效果：

• 实时监控：FortiView中的策略路由监控视图
• 路径追踪：对比优化前后的tracert结果
• 性能测试：使用iperf3测量关键应用的带宽和延迟
• 流量统计：检查各出口的带宽利用率

常见优化调整包括：

• 为高优先级业务设置更小的策略ID（更高优先级）
• 对延迟敏感应用启用ECMP（等价多路径路由）
• 配置SD-WAN健康检查自动切换备用路径

4. 高级应用场景与疑难解答

4.1 多线路负载均衡配置

对于拥有多条ISP线路的环境，可以结合策略路由和SD-WAN实现智能负载：

config system sdwan set status enable config service edit 1 set name "VIP_LoadBalance" set mode priority set dst "VIP_Servers" config sla edit 1 set link-measurement latency set latency-threshold 50 next end set priority-members 1 2 next end end

4.2 策略路由与安全策略的协同

策略路由执行在路由决策阶段，而安全策略在后续阶段生效，需注意：

• 确保策略路由后的流量仍然会经过必要的安全检查
• 对于跨安全域的路由，需同时配置相应的防火墙策略
• 使用同一组地址对象可保持策略一致性

4.3 常见问题排查

当策略路由不生效时，按以下顺序检查：

1. 策略顺序：低ID策略优先执行，检查是否有更高优先级的策略匹配
2. 地址对象：确认对象定义准确，特别是地理地址需要更新IP库
3. 接口绑定：input-device必须匹配流量实际进入的接口
4. 路由可达：指定的下一跳网关必须能够到达目标网络
5. 系统资源：查看CPU和会话数是否达到设备上限

5. 性能影响与最佳实践

策略路由虽然功能强大，但不当使用可能带来性能开销。以下是实测数据对比：

基于这些数据，我们推荐：

• 策略精简：合并相似策略，使用地址组和服务组
• 硬件加速：启用NP6芯片的流量卸载
• 定期审计：删除不再使用的策略规则
• 分级部署：对核心流量使用策略路由，其余走默认路由

在实际部署中，我们通常先对20%的关键流量应用策略路由，这部分往往能带来80%的优化效果。例如某跨国企业通过仅对CRM和ERP系统配置策略路由，就将跨国办公效率提升了65%，而整体配置复杂度降低了70%。