双出口不赌运气：USG健康检查让业务自动避开断掉的线路

整理自华为官方发布的典型配置案例。

不少中小企业为稳妥接了两条运营商线路：一条快但贵，一条便宜但一般。理想状态是业务流量走好线、日常流量走便宜线，而且哪条断了，防火墙能自己发现并切走，不用等员工打电话来报修。这件事的关键底座是防火墙的健康检查——先让设备知道每条线路是死是活，智能选路和策略路由才有判断依据。

场景规划

某企业在网络出口部署防火墙 DeviceA，两条链路分别连 ISP-A（速度快、稳定但费用较高）与 ISP-B（费用低但相对慢）。规划：重要业务流量从接口 GE0/0/1 经 ISP-A 出网，日常流量从接口 GE0/0/2 经 ISP-B 出网。为 ISP-A、ISP-B 链路各建一个健康检查，探测目的网段分别选运营商侧可达的地址。

健康检查配置（CLI 原样）

进入系统视图后开启健康检查功能并新建检查项：

system-view
healthcheck enable
healthcheck name isp-a

给检查项添加侦测节点（探测目的地址走对应出接口，协议按对端支持选 icmp 或 tcp）：

destination 192.0.2.1 interface gigabitethernet 0/0/1 protocol icmp

几个可调参数按需加上：

source-ip 10.10.1.1
least active-linknumber 1
tx-interval 5
times 3

• source-ip：探测报文源地址，公网探测用公网 IP；不配则用接口地址；
• least active-linknumber：存活节点数下限，低于此值健康检查整体判 DOWN；
• tx-interval / times：探测间隔与失败次数，连续失败达到次数即判节点不可用。

ISP-B 链路照同样方法再建一个检查项（如 healthcheck name isp-b，destination 指向 ISP-B 侧可达地址、出接口 GE0/0/2）。

在选路里用起来

健康检查建好后，在 Web 管理界面"网络 > 接口"下把两个健康检查分别应用到对应出接口，配合智能选路或策略路由使用：基于应用的策略路由可以把重要业务类流量指到 ISP-A、把普通流量指到 ISP-B。链路探测状态变为 DOWN 时，对应线路自动从选路中摘除，业务切换到存活的线路；线路恢复后探测状态回 UP，流量再自动回来。

两点经验

一是探测地址要选稳：选对端运营商网关地址或该 ISP 侧高可用地址，探测对象本身不稳会造成误判。二是探测参数别太敏感：间隔和失败次数设得过紧，网络抖一下就切线，来回震荡反而影响业务；一般 3 次失败再切是稳妥值。

双出口是中小企业花钱少、见效快的可靠性改造。贵州诚鑫致达科技提供防火墙双出口与链路备份方案的落地实施，想评估现有出口值不值得做冗余，欢迎找我们聊聊。

企业存储选型参考｜贵州诚鑫致达

做海量监控接入与长期归档，群晖机型参考：HD6500 · RS3621xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州、贵阳及周边市县的企业找群晖 NAS、企业存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西藏·拉萨企业数据存储与备份容灾，支持远程与驻场。