校園/企業網路核心層常面臨單一出口防火牆效能瓶頸。升級高端設備成本高且存單點故障風險。本文實戰案例：利用思科 WS-C3750G 核心三層交換機配置策略路由 (PBR)，將關鍵業務流量導向原有防火牆，一般上網流量導向基於 MikroTik RouterOS 改造的軟路由叢集，實現低成本分流與高可用。

策略路由 (PBR) 核心原理

• 優先級高於靜態/動態路由：介面啟用 PBR 後，進入封包先匹配 PBR 政策，符合者按政策轉發，不符合者走傳統路由表。
• 政策依據：存取控制清單 (ACL) 定義匹配條件 (來源/目的 IP、協議、連接埠、DSCP、封包大小)。
• 三大常見類型：
  • 基於來源 IP (部門/區網分流)
  • 基於應用/連接埠 (業務分流：ERP/視訊/一般上網)
  • 基於封包大小 (大文件/備份流量導向低優先出口)

實戰拓撲與需求

• 核心：Cisco WS-C3750G-24TS (Layer 3 Switch)
• 出口 A：高效能防火牆 (原單一出口，保留關鍵業務：ERP、VPN、郵件、資料庫同步)
• 出口 B/C：3 台 MikroTik RouterOS 軟路由 (改造淘汰 PC，成本極低)，分擔一般上網、影音、下載流量。
• 目標：PBR 依據來源 VLAN/子網 或 目的連接埠 導向不同下一跳。

關鍵配置步驟 (IOS CLI)

1. 定義匹配流量的 ACL

! 關鍵業務網段 (伺服器農場、管理網段)
ip access-list extended CRITICAL_TRAFFIC
 permit ip 10.10.10.0 0.0.0.255 any
 permit ip 10.10.20.0 0.0.0.255 any

! 一般上網網段 (教室、辦公、宿舍)
ip access-list extended GENERAL_TRAFFIC
 permit ip 192.168.10.0 0.0.0.255 any
 permit ip 192.168.20.0 0.0.0.255 any

! 特定應用流量 (可選：依連接埠分流)
ip access-list extended VIDEO_TRAFFIC
 permit udp any any range 50000 60000  ! 視訊會議 RTP 範例

2. 建立 Route Map 關聯 ACL 與下一跳

route-map PBR_DIVERT permit 10
 match ip address CRITICAL_TRAFFIC
 set ip next-hop 172.16.1.1        ! 防火牆內網介面 IP
 set ip next-hop verify-availability  ! 可選：結合 IP SLA 監測下一跳可達性

route-map PBR_DIVERT permit 20
 match ip address GENERAL_TRAFFIC
 set ip next-hop 172.16.2.1        ! 軟路由叢集 VIP (VRRP/HSRP)

route-map PBR_DIVERT permit 30
 match ip address VIDEO_TRAFFIC
 set ip next-hop 172.16.3.1        ! 專線出口

3. 將 Route Map 套用至入向介面

interface Vlan10   ! 伺服器農場 VLAN
 ip policy route-map PBR_DIVERT

interface Vlan20   ! 教室/辦公 VLAN
 ip policy route-map PBR_DIVERT

進階優化與避坑指南

• IP SLA 監測下一跳健康：配合 track 物件，下一跳不可達時自動移除路由映射條目，實現秒級故障切換。
• 非對稱路由風險：回程流量必須能正確返回，確保防火牆/軟路由有正確路由指向核心交換機 VLAN 介面 IP。
• ICMP 重導向抑制：介面啟用 no ip redirects 避免主機學到次優路由。
• 硬體轉發限制：3750 系列 PBR 支援硬體轉發，但複雜匹配 (Layer 4 連接埠範圍) 可能回退軟體轉發，影響效能，壓測驗證。
• 測試驗證：debug ip policy、show route-map 計數器、來源端追蹤路由 traceroute 確認路徑符合預期。

成本效益分析

策略路由配合廉價軟路由叢集，以極低成本解決核心出口瓶頸，是中小型機構網路擴容的經典實戰範例。

方案	成本	可用性	部署時間
採購雙機熱備高端防火牆	高 (百萬級)	高 (HA)	週-月
PBR + 軟路由叢集 (本案)	極低 (淘汰 PC + 免費 ROS)	高 (多節點 + VRRP)	天