Deux liaisons montantes Internet sur un même routeur d'entreprise, configurées de deux façons différentes — routes statiques à préférence égale avec hachage par IP source pour le partage de charge, ou un écart de préférence entre les routes pour un basculement principal/secours — avec NAT Outbound sur chaque liaison et les commandes qui indiquent quelle liaison porte réellement le trafic en ce moment.
By Yuwen Zhang (Atlas), founder of AtlasCommTech — 13 years of carrier & enterprise network deployments · Updated July 2026
Redondance et bande passante sont deux problèmes différents, qui appellent deux configurations de route différentes sur la même paire de liaisons.
Un routeur d'entreprise avec une seule liaison montante Internet n'a qu'un seul mode de défaillance : cette liaison tombe, et le bureau se retrouve hors ligne avec elle. Ajouter une seconde liaison vers un second FAI règle ce problème — mais seulement si le routeur sait quoi faire de cette seconde liaison. Livrée à la seule sélection de route, deux routes par défaut de poids égal se contenteront de partager la charge, ce qui est excellent pour la bande passante mais signifie qu'une seule panne de liaison fait quand même tomber environ la moitié de toutes les sessions au lieu d'un basculement propre.
Voici les deux configurations sur lesquelles ce billet s'appuie : partage de charge par routes statiques sur deux liaisons via hachage par IP source, et une configuration principal/secours utilisant la priorité de route — les deux avec NAT Outbound configuré sur chaque liaison montante, et les commandes qui confirment quelle liaison porte réellement le trafic. Si votre bureau n'a encore qu'une seule adresse IP publique et n'a pas encore configuré de NAT Outbound de base, notre guide de configuration NAT Easy IP couvre cette première étape.
Un routeur, deux liaisons montantes IP statiques indépendantes vers deux FAI, et un segment interne — le même schéma physique sert les deux configurations ci-dessous.
Les légendes du schéma restent en anglais pour la clarté technique.
Adressage
| Élément | Valeur (cet exemple) |
|---|---|
| Interface de la liaison 1 — GigabitEthernet0/0/1 | 172.16.1.1/24 |
| Passerelle FAI1 (pair de la liaison 1) | 172.16.1.2/24 |
| Interface de la liaison 2 — GigabitEthernet0/0/2 | 10.1.1.1/24 |
| Passerelle FAI2 (pair de la liaison 2) | 10.1.1.2/24 |
| Interface interne (LAN) — GigabitEthernet0/0/3 | 192.168.1.1/24 |
| Segment LAN interne | 192.168.1.0/24 |
Deux routes par défaut à préférence égale plus un hachage par IP source — les deux liaisons montantes portent le trafic en même temps.
#
sysname Router
#
ip load-balance hash src-ip
#
acl number 3002
rule 5 permit ip source 192.168.1.0 0.0.0.255
#
interface GigabitEthernet0/0/1
undo portswitch
ip address 172.16.1.1 255.255.255.0
nat outbound 3002
#
interface GigabitEthernet0/0/2
undo portswitch
ip address 10.1.1.1 255.255.255.0
nat outbound 3002
#
interface GigabitEthernet0/0/3
undo portswitch
ip address 192.168.1.1 255.255.255.0
#
ip route-static 0.0.0.0 0.0.0.0 172.16.1.2
ip route-static 0.0.0.0 0.0.0.0 10.1.1.2
#
returnMême topologie physique, un seul chiffre change — donnez à la route de secours une valeur de préférence plus élevée, et elle reste hors de la table de routage tant que la liaison principale n'a pas réellement échoué.
#
sysname Router
#
acl number 3002
rule 5 permit ip source 192.168.1.0 0.0.0.255
#
interface GigabitEthernet0/0/1
undo portswitch
ip address 172.16.1.1 255.255.255.0
nat outbound 3002
#
interface GigabitEthernet0/0/2
undo portswitch
ip address 10.1.1.1 255.255.255.0
nat outbound 3002
#
interface GigabitEthernet0/0/3
undo portswitch
ip address 192.168.1.1 255.255.255.0
#
ip route-static 0.0.0.0 0.0.0.0 172.16.1.2
ip route-static 0.0.0.0 0.0.0.0 10.1.1.2 preference 100
#
returnCelles qui font qu'une configuration double WAN fait silencieusement le contraire de ce qui était prévu.
SYMPTÔMELa liaison de secours a été configurée avec une préférence de 100 en s'attendant à ce qu'elle soit prioritaire, mais la liaison principale continue de porter tout le trafic tant que les deux sont actives — ce qui, en fait, est correct.
CAUSEPour les routes statiques, un nombre de préférence plus élevé signifie une priorité plus basse, pas plus haute. La valeur par défaut est 60 ; régler le secours sur 100 le rend numériquement plus grand et donc moins prioritaire, exactement comme prévu pour une route de secours.
SOLUTIONLaissez la route principale à la préférence par défaut (60) et n'augmentez le nombre que sur la route destinée à être le secours — ne baissez jamais le nombre de la route principale en pensant la rendre « plus principale ».
SYMPTÔMEDeux routes par défaut à préférence égale sont configurées, une via chaque FAI, mais tout le trafic sortant part encore par une seule liaison.
CAUSEDeux routes statiques de même préférence coexistent dans la table de routage, mais le routeur doit encore recevoir l'instruction explicite de répartir le trafic entre elles — la configuration à deux routes seule ne sélectionne pas de méthode de hachage.
SOLUTIONAjoutez ip load-balance hash src-ip. Sans cela, avoir deux routes à préférence égale est nécessaire au partage de charge mais pas suffisant en soi.
ip load-balance hash src-ipSYMPTÔMELe trafic envoyé via la liaison 2 n'arrive nulle part, même si sa route et son interface sont toutes deux configurées et actives.
CAUSEnat outbound se configure par interface. L'appliquer uniquement à GigabitEthernet0/0/1 en oubliant GigabitEthernet0/0/2 signifie que toute session routée par la seconde liaison n'est jamais traduite — elle part avec une adresse source privée que le FAI rejettera simplement.
SOLUTIONAppliquez nat outbound avec la même ACL sur chaque interface de liaison montante individuellement — dans cet exemple, à la fois GigabitEthernet0/0/1 et GigabitEthernet0/0/2.
interface GigabitEthernet0/0/1
nat outbound 3002
interface GigabitEthernet0/0/2
nat outbound 3002SYMPTÔMESur une liaison montante basée sur PPPoE, un nat outbound appliqué à l'interface Ethernet physique sous la session d'appel ne traduit rien du tout.
CAUSELorsqu'une liaison montante compose en PPPoE, l'adresse IP appartient en réalité à l'interface Dialer, pas au port physique portant la session PPPoE — les commentaires de configuration du document source signalent cela explicitement pour cette raison précise.
SOLUTIONConfigurez nat outbound sur l'interface Dialer elle-même, en suivant le même schéma que pour une liaison montante à IP statique mais pointé vers le Dialer plutôt que vers le port GigabitEthernet physique.
interface Dialer1
nat outbound 3002La table de routage indique quelle route est Active en ce moment — c'est différent des routes qui existent simplement.
<Router> display ip routing-table protocol static
Route Flags: R - relay, D - download to fib, T - to vpn-instance
------------------------------------------------------------------------------
Public routing table : Static
Destinations : 1 Routes : 2 Configured Routes : 2
Static routing table status : <Active>
Destinations : 0 Routes : 0
Static routing table status : <Inactive>
Destinations : 1 Routes : 2
Destination/Mask Proto Pre Cost Flags NextHop Interface
0.0.0.0/0 Static 60 0 172.16.1.2 Unknown
0.0.0.0/0 Static 60 0 10.1.1.2 UnknownConfiguration de partage de charge : les deux routes par défaut portent la même préférence (60) — c'est ce poids égal qui permet au hachage par IP source de répartir le trafic entre elles.
<Router> display ip routing-table protocol static
Route Flags: R - relay, D - download to fib, T - to vpn-instance
------------------------------------------------------------------------------
Public routing table : Static
Destinations : 1 Routes : 2 Configured Routes : 2
Static routing table status : <Active>
Destinations : 0 Routes : 0
Static routing table status : <Inactive>
Destinations : 1 Routes : 2
Destination/Mask Proto Pre Cost Flags NextHop Interface
0.0.0.0/0 Static 60 0 172.16.1.2 Unknown
0.0.0.0/0 Static 100 0 10.1.1.2 UnknownConfiguration principal/secours : la préférence de la route de secours (100) est la valeur numériquement plus grande, donc de priorité plus basse. Dans la capture de laboratoire du document source, les deux routes apparaissent sous la section Inactive plutôt qu'Active — cela reflète l'accessibilité du tronçon suivant lors de ce test de laboratoire particulier ; dans un déploiement réel, la route correspondant à une passerelle réellement joignable apparaît en Active.
Ce billet s'appuie sur deux configurations testées issues du même document source : liaisons montantes à IP statique en mode partage de charge et en mode principal/secours, toutes deux utilisant la préférence de route et, pour le partage de charge, le hachage par IP source. Il ne couvre pas les routes statiques liées à NQA — qui sondent activement une adresse distante et retirent une route de la table dès que ce sondage échoue, détectant une panne côté FAI même si l'interface locale elle-même reste active, ce qu'un basculement basé uniquement sur la préférence ne peut pas détecter ici. Il ne couvre pas non plus les protocoles de routage dynamique pour la sélection multi-liaisons, ni trois liaisons montantes ou plus à la fois. Si l'une des liaisons montantes n'est qu'une seule adresse IP publique que vous configurez tout juste pour un accès Internet de base, commencez par notre guide de configuration NAT Easy IP.
Tirées des mêmes cas de configuration sur lesquels ce billet s'appuie.
Le partage de charge garde les deux liaisons portant du trafic en même temps, réparti par un hachage de l'adresse source — bon pour la bande passante agrégée, mais une panne d'une seule liaison fait quand même tomber tout le trafic qui y était haché. Le principal/secours garde une liaison inactive dans la table de routage jusqu'à ce que la route principale ne soit plus valide, donc le basculement est propre mais la bande passante de la liaison de secours reste inutilisée au quotidien.
Oui, pendant toute la durée de cette attribution de hachage — ip load-balance hash src-ip répartit différentes adresses source entre les deux routes de préférence égale, mais les sessions d'une même adresse source restent fixées sur la liaison où son hachage tombe, plutôt que d'être réparties paquet par paquet entre les deux.
Oui — le document source sur lequel s'appuie ce billet inclut exactement cette combinaison. La liaison à IP statique se configure comme montré ici ; la route de la liaison PPPoE pointe vers son interface Dialer plutôt qu'une adresse de passerelle, et sa règle NAT Outbound réside sur cette même interface Dialer plutôt que sur le port physique sous-jacent.
Exécutez à nouveau display ip routing-table protocol static après avoir coupé la liaison principale. La route de secours (préférence 100 dans cet exemple) devrait maintenant être celle affichée comme Active, et un ping vers l'adresse de passerelle FAI2 devrait réussir tandis que la passerelle FAI1 ne répond plus.
Pas tant que la seconde liaison montante n'est pas réellement en place. Un bureau à liaison montante unique devrait commencer par un NAT Outbound Easy IP de base — voir notre guide de configuration NAT Easy IP — et revenir à ce billet une fois qu'une seconde connexion FAI est en cours d'ajout.
Indiquez-nous si vous avez besoin de partage de charge, d'un basculement propre, ou des deux, et si l'une des liaisons est en PPPoE — nous vous aiderons à bien régler les priorités de route et le placement du NAT Outbound du premier coup.