有客戶反饋，無法通過sdwan鏈路訪問總部及其他分支機(jī)構(gòu)的網(wǎng)絡(luò)，總部的IT人員要求在核心交換機(jī)上寫三條靜態(tài)路由，分別到達(dá)總部和另外兩個(gè)分支機(jī)構(gòu)，但是，在此之前，我就看過核心交換機(jī)，這些靜態(tài)路由本就存在，并未刪除或者修改。

要求客戶在他電腦上執(zhí)行命令：tracert -d 172.16.1.254

192.168.240.254是網(wǎng)關(guān)IP，下一跳全是*，就是到奇安信防火墻上了，顯然路徑已經(jīng)不對了。

因?yàn)橥負(fù)鋱D是下面這樣的，所以下一跳應(yīng)該是sdwan才對。

看了一下路由表，想到應(yīng)該是優(yōu)先級的問題，所有請求全部從默認(rèn)路由出去了，并不會走sd-wan鏈路。

此時(shí)，我遠(yuǎn)程登錄華為S5700交換機(jī)，發(fā)現(xiàn)瀏覽器版本太高，只能看，沒辦法修改，于是讓客戶修改默認(rèn)路由的優(yōu)先級為70，并且保存配置。

其實(shí)在此之前，我就讓他們把優(yōu)先級設(shè)置為100，但是當(dāng)時(shí)我的消息可能被他們忽略了，輸入命令的時(shí)候，后面的“preference 100”沒打上去，導(dǎo)致優(yōu)先級都是一樣的60。

本以為修改優(yōu)先級后，問題能解決，誰知道，還是無法通過sd-wan鏈路訪問總部的網(wǎng)絡(luò)。

Sd-wan設(shè)備無權(quán)登錄，一時(shí)無法判斷問題，原來的IP信息也不是很清楚，于是問客戶要來核心交換機(jī)沒改過配置前的備份文件，分析問題。

從配置文件看到，原vlan240的ip是192.168.240.1，那sd-wan設(shè)備就是192.168.240.2了。

核心原來的vlan1是192.168.0.0/24，現(xiàn)在不再使用這個(gè)網(wǎng)段了，核心上把VLAN1的端口全部劃分到vlan240了，原來vlan1的ip是192.168.0.254，所以順手把vlan240改成了192.168.240.254，雖然上網(wǎng)是沒問題了，但是與sd-wan就跑不通了。

問題找到了，要么登錄 sd-wan設(shè)備，修改回程路由，要么還是修改核心VLAN240的ip，還是改回192.168.240.1，但是由于客戶有線網(wǎng)絡(luò)環(huán)境非DHCP，所以得逐一修改網(wǎng)關(guān)IP，比較麻煩，好在臺式電腦不多。

于是，趁著午休時(shí)間，核心交換機(jī)上把vlan240的IP修改為192.168.240.1，經(jīng)測試sd-wan正常通訊，與總部網(wǎng)絡(luò)通了，臺式電腦逐一修改網(wǎng)關(guān)即可。

到此，排查結(jié)束，問題解決。

總結(jié)：修改網(wǎng)絡(luò)設(shè)備的配置之前，首先要把需要達(dá)成的目標(biāo)了解清楚，然后務(wù)必先把拓?fù)鋱D畫出來，關(guān)聯(lián)IP地址標(biāo)注清楚，理清思路后，方可實(shí)施。

順便再提一下，其實(shí)拓?fù)鋺?yīng)該改一下，更為妥當(dāng)——既然有硬件防火墻，當(dāng)然讓sd-wan接入防火墻更有安全保障吧。

這種架構(gòu)，一是提高了安全性，二是便于管理：sd-wan與互聯(lián)網(wǎng)一樣，被當(dāng)做外部鏈路，今后無論它怎么改，都跟內(nèi)網(wǎng)沒關(guān)系。