企业内网多出口智能选路本质是按需分发流量、自动故障切换与负载分担；依托NAT网关集成策略路由、ISP路由库、健康检测及permit-inside功能，实现基于目的ISP、源地址+业务策略的精细化选路与内外网一致访问。
企业内网多出口的智能选路，本质是让不同流量按需走指定ISP链路，同时具备故障自动切换和负载分担能力。NAT网关（如华为USG、FortiGate、H3C SecPath或深信服AF）不是单纯做地址转换，而是把NAT策略、策略路由、链路健康检测和ISP路由库协同起来用。
基于目的地址的智能选路
这是最常用也最实用的方式。防火墙内置了主流ISP的IP地址段（电信、联通、移动、教育网等），配置时只需选择“按目的ISP选路”，再绑定对应出口接口：
- 访问中国移动IP段的流量 → 自动从移动专线出口转发，并执行该出口的源NAT
- 访问中国电信IP段的流量 → 自动从电信专线出口转发，并执行该出口的源NAT
- 未匹配到任何ISP库的流量 → 走默认出口（可设为带宽最大或稳定性最高的链路）
无需手动维护庞大静态路由表，ISP库支持定期在线更新，适配运营商地址变更。
基于源地址+业务策略的精细化控制
当需要对特定用户或部门强制走某条链路时（例如财务电脑必须走电信链路以满足审计要求），就要结合策略路由（PBR）：
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- 先定义条件：源IP为10.0.2.10，目的地址为any，协议为tcp/udp
- 再指定动作：强制下一跳为电信出口接口（如G1/0/1），并关联该接口对应的NAT地址池
- 注意：策略路由需在安全策略之前生效，且要确保对应的安全策略已放行该流量方向
这种配置可与全局ISP选路共存——全局规则管“大多数”，策略路由管“关键少数”。
链路状态感知与自动切换
智能选路不是静态配置，必须能感知链路是否可用。NAT网关通过以下方式实现高可用：
- 对每个出口配置健康检查：向公网DNS（如114.114.114.114）或运营商网关（如211.137.130.19）持续发ICMP或TCP探测包
- 当连续3次失败，立即将该链路标记为down，所有依赖它的选路策略暂停生效
- 原走该链路的流量自动重路由至备用链路，整个过程通常在5秒内完成，用户无感
- 链路恢复后，按预设策略（如优先级或权重）决定是否切回，避免震荡
内外网一致访问与NAT协同
内网用户用公网IP访问内部服务器（比如通过域名www.company.com解析到202.10.1.10），容易因路由环路失败。解决方法是启用permit-inside功能：
- 在NAT策略中开启“允许内网用户使用公网地址访问内网服务器”选项
- 防火墙收到目的为202.10.1.10的包后，不查路由表，直接做目标NAT反向转换，转给真实服务器192.168.10.100
- 该机制绕过传统“先路由、后NAT”的流程限制，同时保障外网用户也能正常访问
这样，无论用户在内网还是外网，输入同一个域名，都能抵达同一台服务器，运维和用户体验更统一。
