USG防火墙上路由表中类型显赫OPR是啥？

HRP_M<USG6555F-1>dis ip routing-table 172.16.5.1
2026-09-17 15:43:46.920 +08:00
Proto: Protocol        Pre: Preference
Route Flags: R - relay, D - download to fib, T - to vpn-instance, B - black hole route
------------------------------------------------------------------------------
Routing Table : _public_
Summary Count : 1

Destination/Mask    Proto   Pre  Cost        Flags NextHop                                  Interface

     172.16.0.0/16  OPR     70   0             D   192.168.1.2                              Eth-Trunk1.99

一句话核心结论

V600 版本 HiSecEngine（USG6555F）里 OPR = UNR（User Network Route，用户网络路由），就是 IPsec 开启反向路由注入（RRI /route inject dynamic）之后，根据感兴趣流自动生成的隧道路由，不是 OSPF，是 VPN 模块注入的特殊路由，CLI 简写显示为 OPR华为。

V300 老版本直接显示 UNR；升级 V600R0xx 之后，路由表 Proto 字段缩写改成 OPR。

原理：IPsec 反向路由注入（RRI）

当你 IPsec 策略里勾选【反向路由注入】（route inject dynamic）：

1. IKE 协商成功、SA 建立后，防火墙读取感兴趣流 ACL 里的对端目标网段（172.16.0.0/16）
2. 自动生成这条 OPR/UNR 路由注入全局路由表
3. 路由优先级默认 Pre=70（你看到的就是 70），Cost 固定 0
4. 这条路由的作用：把去往对端保护网段的流量引到 IPsec 隧道进行 ESP 加密

注意：这条路由本质是IPsec 模块生成的虚拟路由，不是静态、不是 OSPF。
隧道 UP → 路由自动出现；隧道 Down → OPR 路由自动消失，自动撤掉。

为什么下一跳是 192.168.1.2，出接口 Eth-Trunk1.99？

你的组网特点：

• IPsec 不是直接绑定物理 WAN 口，是中间有一台上游网关 192.168.1.2
• 所以 RRI 生成 OPR 路由时，下一跳继承的是IPsec 对端网关的静态路由下一跳
• 流量转发：本地→Eth-Trunk1.99→192.168.1.2 → 公网 → 对端防火墙 → IPsec 隧道解密

重点区分容易踩坑的点

1. ✅ OPR 路由跟随 IPsec 隧道状态动态增删，隧道断，路由消失（这是 RRI 最大价值，双机 HRP 热备场景非常常用，正好你这台是 HRP_M 主墙）
2. ⚠️ 不要手动再写一条静态路由到 172.16.0.0/16：静态优先级 60，比 OPR (70) 更高，会覆盖 OPR，流量不会进 IPsec 隧道，直接明文转发，VPN 失效！
3. 优先级对比：静态 60 < OPR70 < OSPF 外部 150

查看这条 OPR 路由详细来源命令

display ip routing-table 172.16.0.0 255.255.0.0 verbose

里面会明确标注：来源为 IPsec RRI 反向注入。

关闭这条自动生成 OPR 路由（如需）

IPsec 策略视图下删除动态路由注入：

undo route inject dynamic

执行后隧道重新协商，就不再自动生成 OPR 路由，需要手工配置静态路由引流量进 VPN。

---

常见故障提示（你这个场景 HRP+IPsec）

• 主墙 HRP_M 隧道 UP，OPR 路由存在；切换到备墙 HRP_S，备墙协商成功后，备墙也会自动生成 OPR 路由，主墙路由自动撤销，满足双机热备 VPN 切换。
• 排查 ping 不通时：路由层面 OPR 正常存在 ≠ 流量一定加密，还需要：感兴趣流 ACL 匹配 + 域间安全策略放行 + IKE SA/IPsec SA 正常建立。