VPN站点的机器也想上互联网？三条静态路由把公私网缝起来

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

专网里的机器上互联网，难在哪？

企业分支跑在MPLS VPN里，图的是业务隔离、安全可控。可时间一长总有新需求：分支里有台机器要访问外面的服务，走审批、走审计、还要留痕——直接给它拉根互联网线肯定不行，那等于把隔离打穿了。比较稳妥的做法是让VPN站点经运营商骨干去访问互联网，而且出口收敛到一台代理服务器上，谁上过网、上了什么，全在掌控里。

难点在于PE设备的公网、私网两套路由表天然隔离：VPN实例里的路由出不了公网，公网路由也进不了私网。想打通，得在PE上把两条方向的路由各补一笔，还得防着私网路由泄到公网。官方案例用三条静态路由干净利落地解决了，思路是：基本BGP/MPLS IP VPN先配好，然后——CE1上加一条指向PE1的默认路由；PE1上加一条从VPN实例到互联网的默认路由，下一跳指公网地址；PE1再加一条回程路由指回代理服务器，并用IGP发布出去。

三条静态路由怎么缝？

基础VPN配置（PE间MP-IBGP、PE与CE间EBGP、VPN实例）按标准骨架来，这里不重复。核心就是下面三笔。

第一笔，CE1上的默认路由：

[CE1] ip route-static 0.0.0.0 0 10.1.1.2

第二笔，PE1上从VPN实例引向公网的默认路由，注意命令末尾的public关键字——它的作用是把下一跳11.1.1.2声明为公网地址，让这条挂在VPN实例下的缺省路由能落到公网出接口上：

[PE1] ip route-static vpn-instance vpn1 0.0.0.0 0 11.1.1.2 public

第三笔，PE1上的回程路由，把代理服务器所在网段指回CE1，并且注明这条路由属于VPN实例：

[PE1] ip route-static 11.3.1.0 24 vpn-instance vpn1 10.1.1.1

最后把回程路由发布进公网IGP，让互联网侧的设备知道怎么回到代理服务器：

[PE1] ospf 1
[PE1-ospf-1] import-route static
[PE1-ospf-1] quit

效果怎么验？

代理服务器本身地址配11.3.1.1/24、网关指CE1（11.3.1.2/24），并运行代理软件。验证分三看：PE1上display ip routing-table vpn-instance，VPN路由表里要有那条下一跳11.1.1.2的缺省路由；display ip routing-table，公网表里要有11.3.1.0/24这条静态；再从骨干P设备ping代理服务器，五个包全回来就通了。

依据：华为官方典型配置案例（2026-11 版）。

这套方案好在哪里？

这个方案有两层设计意图值得体会：一是出口收敛在代理服务器，互联网侧只知道这一个网段，VPN里其他机器根本暴露不出去；二是全程没用NAT，靠的是公私网路由各补一条，路径清晰、排障简单——display看两张表就能把来路去路对上。当然，如果客户站点要上网的机器多，那就要回到运营商侧的NAT方案，这是后话。

贵州诚鑫致达科技给客户做VPN专网时，凡是涉及"专网里点对点访问外部资源"的需求，都按这个收敛思路走：出口唯一、路径可审计，比放任各机器各显神通省心太多。