假设 ScreenOS 6.3.0 防火墙具有以下配置：
unset flow reverse-route clear-text
set interface "ethernet0/0" zone "Trust"
set interface ethernet0/0 ip 192.168.1.1/24
set interface ethernet0/2 ip 10.0.0.1/24
set interface ethernet0/2 mip 10.9.9.10 host 192.168.1.10 netmask 255.255.255.255 vr trust-vr
set interface ethernet0/2 mip 10.8.8.10 host 192.168.1.10 netmask 255.255.255.255 vr trust-vr
set route 0.0.0.0/0 interface ethernet0/2 gateway 10.0.0.254
...（并假设适当的策略）有没有办法控制防火墙为 192.168.1.10 发起的出站连接选择哪个 MIP？（大概是因为我希望上游 10.0.0.254 根据数据包的源 IP 对数据包执行不同的操作）。
更新：好的，我的情况是这样的：我有两个 ISP 上行链路，每个上行链路都给我一个不同的 IP 空间。每个 ISP 只会路由他们分配给我的 IP 空间。
因此，为了使两个 ISP 都能访问该服务器，我需要为同一台服务器设置两个 MIP，每个接口一个。使用“取消设置流量反向路由明文”选项后，入站流量将正常工作。
但是对于出站（想想电子邮件服务器发送消息），我需要一种方法来根据我希望系统使用的出站链接选择合适的 MIP，并且我希望它具有弹性，以便如果防火墙首选的链接在一夜之间中断，我不必手动翻转某些东西来保持邮件流动。
基本上，我试图避免购买链路平衡器设备（或者两个，因为我需要一个集群）。
有没有办法做到这一点？
答案1
假设您想同时对两个出站链路进行主动控制（即系统 A 使用 IP A 并发出上行链路 A，系统 B 使用 IP B 并发出上行链路 B），答案是否定的，您不能。您需要一个链路平衡器。
如果您不关心出站流量使用哪个链接，您可以设置两个 MIP（每个 ISP 链接一个）并设置 ip 跟踪路由，防火墙将选择“最佳”的 MIP（即它将使用一个，然后在失败时停止使用它）。您可以使用路由排序和指标来偏向选择。
但最重要的是，为了获得控制权，您需要一个链接平衡器。
如果您需要支持，请致电 JTAC。