VPN网关：配置策略路由

策略路由匹配规则（包含策略优先级）

VPN网关在转发流量时，按照以下规则为流量匹配策略路由：

1. 系统默认按照策略路由的策略优先级从高到低（策略优先级数字越小，优先级越高）逐条匹配策略路由，然后按照匹配到策略路由转发流量。

   如果VPN网关实例配置了主备策略路由，仅生效的策略路由参与匹配过程，不生效的策略路由不会参与匹配过程。主备策略路由生效规则说明如下：

   • 如果系统检测到主策略路由关联的IPsec连接是连通的（IPsec连接协商成功且健康检查正常），则主策略路由生效，备策略路由不生效。

   • 如果系统检测到主策略路由关联的IPsec连接不通（IPsec连接协商失败或者IPsec连接协商成功但健康检查异常）但备策略路由关联的IPsec连接是连通的，则备策略路由生效，主策略路由不生效。

   • 如果系统检测到主策略路由和备策略路由关联的IPsec连接均不通，则系统默认主策略路由生效，备策略路由不生效。

2. 如果流量匹配到了多条策略优先级相同的策略路由，则系统会按照策略路由的顺序逐条匹配路由，一旦能够匹配到策略路由，立即按照当前策略路由转发流量。

   策略路由的顺序由策略路由被下发至系统的时间决定。通常是先配置的策略路由被优先下发至系统，但当前情况无法完全保证，因此有可能存在后配置的策略路由被优先下发至系统，造成后配置的策略路由的优先级高于先配置的策略路由的优先级。

策略路由配置建议

为确保流量按照您期望的路径进行转发，在配置策略路由时，建议您为每条策略路由配置不同的策略优先级以保证流量仅可匹配到一条策略路由。

如果VPN网关实例需要配置主备策略路由，则主备策略路由建议配置相同的策略优先级。

策略路由匹配规则示例

如上图所示，本地IDC_1通过IPsec连接1和VPC_1互通，本地IDC_2通过IPsec连接2和VPC_1互通。本地IDC_1待互通网段为192.168.1.0/24和192.168.2.0/24，本地IDC_2待互通网段为192.168.5.0/24，VPC_1待互通网段为172.16.0.0/16。

在配置策略路由时，您首先配置了VPC_1去往本地IDC_2的路由，然后将VPC_1去往本地IDC_1的路由的目标网段聚合为192.168.0.0/21进行配置，两条策略路由的策略优先级相同。配置完成后，策略路由并未按照您的配置顺序被下发至系统，导致策略路由表各策略路由条目的顺序发生了变化，如下表所示。

由于两条策略路由的策略优先级相同，VPN网关在转发VPC_1去往本地IDC_2的流量时，会按照策略路由的顺序逐条匹配路由，经系统分析VPC_1去往本地IDC_2的流量可以匹配上顺序为1的策略路由，则VPC_1去往本地IDC_2的流量会通过IPsec连接1被转发至本地IDC_1中。

在上述场景中策略路由被下发至系统的时间不可控，导致策略路由未按照期望的顺序进行排列，进而导致流量未按照期望的路径进行转发。为了避免上述现象，在配置策略路由时，建议您为策略路由配置不同的策略优先级，以确保流量仅可匹配到一条策略路由，不受策略路由顺序的影响。

在本示例中，建议您配置如下表所示的策略路由，虽然顺序为1的策略路由被先下发至系统，但是顺序为1的策略路由的策略优先级较低，VPN网关在转发VPC_1去往本地IDC_2的流量时，流量会优先匹配到顺序为2的策略路由，流量会按照期望的路径被转发至本地IDC_2。

策略路由匹配规则（不包含策略优先级）

在VPN网关转发流量时，不按照最长掩码匹配规则匹配策略路由，VPN网关会按照策略路由的顺序逐条匹配路由，一旦能够匹配到策略路由，立即按照当前策略路由转发流量。

• 策略路由的顺序由策略路由被下发至系统的时间决定。通常是先配置的策略路由被优先下发至系统，但当前情况无法完全保证，因此有可能存在后配置的策略路由被优先下发至系统，造成后配置的策略路由的优先级高于先配置的策略路由的优先级。

• 如果VPN网关实例配置了主备策略路由，仅生效的策略路由参与匹配过程，不生效的策略路由不会参与匹配过程。主备策略路由生效规则说明如下：

  • 如果系统检测到主策略路由关联的IPsec连接是连通的（IPsec连接协商成功且健康检查正常），则主策略路由生效，备策略路由不生效。

  • 如果系统检测到主策略路由关联的IPsec连接不通（IPsec连接协商失败或者IPsec连接协商成功但健康检查异常）但备策略路由关联的IPsec连接是连通的，则备策略路由生效，主策略路由不生效。

  • 如果系统检测到主策略路由和备策略路由关联的IPsec连接均不通，则系统默认主策略路由生效，备策略路由不生效。

策略路由配置建议

为确保流量按照您期望的路径进行转发，在您配置策略路由时，请尽量添加精确的策略路由以保证流量仅可匹配到一条策略路由。

策略路由匹配规则示例

如上图所示，本地IDC_1通过IPsec连接1和VPC_1互通，本地IDC_2通过IPsec连接2和VPC_1互通。本地IDC_1待互通网段为192.168.1.0/24和192.168.2.0/24，本地IDC_2待互通网段为192.168.5.0/24，VPC_1待互通网段为172.16.0.0/16。

在配置策略路由时，您首先配置了VPC_1去往本地IDC_2的路由，然后将VPC_1去往本地IDC_1的路由的目标网段聚合为192.168.0.0/21进行配置，配置完成后，策略路由并未按照您的配置顺序被下发至系统，导致策略路由表各策略路由条目的顺序发生了变化，如下表所示。

VPN网关在转发VPC_1去往本地IDC_2的流量时，会按照策略路由的顺序逐条匹配路由，经系统分析VPC_1去往本地IDC_2的流量可以匹配上顺序为1的策略路由，则VPC_1去往本地IDC_2的流量会通过IPsec连接1被转发至本地IDC_1中。

在上述场景中由于策略路由被下发至系统的时间不可控，导致策略路由未按照期望的顺序进行排列，进而导致流量未按照期望的路径进行转发。为了避免上述现象，在配置策略路由时，建议您尽量配置精确的策略路由，以确保流量仅可匹配到一条策略路由，不受策略路由顺序的影响。

在本示例中，建议您配置如下表所示的策略路由，VPN网关在转发VPC_1去往本地IDC_2的流量时，流量仅会匹配到顺序为2的策略路由，流量会按照期望的路径被转发至本地IDC_2。