园区出口配置举例防火墙旁路Word文件下载.docx

园区出口配置举例防火墙旁路Word文件下载.docx

《园区出口配置举例防火墙旁路Word文件下载.docx》由会员分享，可在线阅读，更多相关《园区出口配置举例防火墙旁路Word文件下载.docx（32页珍藏版）》请在冰豆网上搜索。

图1-1园区出口组网图（防火墙旁挂，双机热备）

在一般的三层转发环境下，园区内外部之间的流量将直接通过交换机转发，不会经过FW1或FW2。

当流量需要从交换机转发至FW，经FW检测后再转发回交换机，就需要在交换机上配置VRF功能，将交换机隔离成两个相互独立的虚拟交换机VRF-A和根交换机Public。

Public作为连接出口路由器的交换机。

对于下行流量，它将外网进来的流量转发给FW进行检测；

对于上行流量，它接收经FW检测后的流量，并转发到路由器。

VRF-A作为连接内网侧的交换机。

对于下行流量，它接收经FW检测后的流量，并转发到内网；

对于上行流量，它将内网的流量转发到FW去检测。

根据上图中的流量转发路径可以将上图转换成如下所示的更容易理解的逻辑组网图。

图1-2交换机与路由器、防火墙之间物理接口连接示意图

本例所示核心交换机工作在三层模式，上图所示的逻辑组网图可以理解为防火墙上下行连接三层交换机的双机热备组网。

这种组网的特点是需要在防火墙的上下行业务接口上部署VRRP备份组，如下所示。

图1-3交换机与路由器、防火墙之间三层口连接示意图

如上图所示，内部用户访问外网的流量转发路径如下（上图中蓝色路径）：

1.当内部用户访问外网的流量到达VRF-A时，流量根据VRF-A上的静态路由（下一跳设置为防火墙下行VRRP的虚拟IP地址）被转发到防火墙。

2.防火墙完成对流量的安全检测后，会根据静态路由（下一跳设置为CSS的VLANIF20）将流量转发到Public上。

3.最后，Public通过到路由器的静态路由（下一跳设置为路由器VRRP的虚拟IP地址）将流量转发到路由器。

外部用户访问内网的流量转发路径如下（上图中红色路径）：

4.当外部用户访问内网的流量到路由器时，流量根据OSPF路由表被转发到Public上。

5.流量到达Public后，先根据Public上的静态路由（下一跳设置为防火墙上行VRRP的虚拟IP地址）被转发到防火墙。

6.防火墙完成对流量的安全检测后，会根据静态路由（下一跳设置为CSS的VLANIF30）将流量转发到VRF-A上。

7.VRF-A通过OSPF路由表将流量转发汇聚交换机，最后由汇聚交换机将流量转发到业务网络。

1.3数据规划

表1-1链路聚合接口规划

设备

接口编号

成员接口

VLANIF

IP地址

对端设备

对端接口编号

Router1

Eth-trunk1.100

10GE1/0/1

10GE1/0/2

-

10.10.4.2/24

Switch1

Switch2

Eth-Trunk1

Router2

10.10.4.3/24

Eth-Trunk2

Router1和Router2的VRRP

10.10.4.100/24

CSS（Switch1和Switch2）

Eth-trunk1

10GE1/4/0/0

10GE2/4/0/0

VLANIF10

10.10.4.1/24

Router1

Eth-trunk2

10GE1/4/0/1

10GE2/4/0/1

Router2

Eth-trunk4

GE1/1/0/7

GE2/1/0/7

VLANIF20

10.10.2.1/24

FW1

Eth-Trunk4

Eth-trunk5

GE1/1/0/8

GE2/1/0/8

VLANIF30

10.10.3.1/24

Eth-Trunk5

Eth-trunk6

GE1/2/0/7

GE2/2/0/7

FW2

Eth-Trunk6

Eth-trunk7

GE1/2/0/8

GE2/2/0/8

Eth-Trunk7

Eth-trunk8

GE1/3/0/1

GE2/3/0/1

VLANIF100

10.10.100.1/24

业务网络1

-（本案例不体现配置）

Eth-trunk9

GE1/3/0/2

GE2/3/0/2

VLANIF200

10.10.200.1/24

业务网络2

FW1

GE2/0/0

GE2/0/1

10.1.1.1/24

FW2

GE1/0/0

GE1/0/1

10.10.2.2/24

GE1/1/0

GE1/1/1

10.10.3.2/24

10.1.1.2/24

10.10.2.3/24

10.10.3.3/24

FW1和FW2的VRRP1（上行）

10.10.2.5/24

FW1和FW2的VRRP2（下行）

10.10.3.5/24

1.4配置思路

采用如下思路配置园区出口举例：

8.配置核心交换机集群CSS。

9.配置交换机与防火墙、路由器之间的接口及IP地址。

为提高链路可靠性，在交换机与防火墙、交换机与路由器之间配置跨框Eth-Trunk接口。

在防火墙的接口上配置安全区域。

10.在出口路由器上部署VRRP。

为了保证核心交换机与两个出口路由器之间的可靠性，在两个出口路由器之间部署VRRP，VRRP的心跳报文经过核心交换机进行交互。

Router1为Master设备，Router2为Backup设备。

11.部署路由。

交换机上配置VRF功能，将交换机隔离成两个相互独立的虚拟交换机VRF-A和根交换机Public，以隔离业务网段路由与公网路由。

为了引导各设备的上行流量，在核心交换机上配置一条缺省路由，下一跳指向出口路由器VRRP的虚地址。

为了引导园区两个出口路由器的回程流量，在两个出口路由器和核心交换机之间部署OSPF，核心交换机上将所有用户网段发布到OSPF里面，通告给两个出口路由器。

为了将业务网络的上行流量引导至防火墙，在交换机上配置一条缺省路由，下一跳指向防火墙VRRPVRID2的虚拟IP。

为了将到业务网络1的下行流量引导至防火墙，在交换机上配置一条缺省路由，下一跳指向防火墙VRRPVRID1的虚拟IP。

为了将到业务网络2的下行流量引导至防火墙，在交换机上配置一条缺省路由，下一跳指向防火墙VRRPVRID1的虚拟IP。

为了将业务网络的上行流量引导至交换机，在防火墙上配置一条缺省路由，下一跳指向交换机VLANIF20的IP地址。

为了将到业务网络1的下行流量引导至交换机，在防火墙上配置一条缺省路由，下一跳指向交换机VLANIF30的IP地址。

为了将到业务网络2的下行流量引导至交换机，在防火墙上配置一条缺省路由，下一跳指向交换机VLANIF30的IP地址。

12.配置防火墙双机热备。

1.5操作步骤

步骤1交换机：

配置交换机集群。

13.连接集群卡的线缆。

下图以S12700交换机的EH1D2VS08000集群卡连线为例。

本例连线示意图中，S12700主控板、交换网板和集群卡都是满配的情况。

实际使用时，S12700每框至少配置一块主控板和一块交换网板即可。

推荐每框配置两块交换网板并插上两块集群卡。

图1-1集群卡连线示意图

●两框之间至少要连接一根集群线缆。

●一块集群卡只能与对框一块集群卡相连，不能连接到多块集群卡，且不能与本框集群卡相连。

●集群卡上组1的任意接口只能与对框集群卡上组1的任意接口相连，组2的要求同组1。

●每块集群卡上连接集群线缆的数量相同（如果不相同会影响总的集群带宽），且两端按照接口编号的顺序对接。

14.在Switch1上配置集群。

#集群连接方式为集群卡（缺省值，不需配置）。

集群ID采用缺省值1（不需配置）。

优先级为100。

<

HUAWEI>

system-view

[HUAWEI]setcssmodecss-card//设备缺省值，不需再执行命令配置,此步骤仅用作示范命令。

[HUAWEI]setcssid1//设备缺省值，不需再执行命令配置,此步骤仅用作示范命令。

[HUAWEI]setcsspriority100//集群优先级缺省为1，修改主交换机的优先级大于备交换机

[HUAWEI]cssenable

Warning:

TheCSSconfigurationtakeseffectonlyafterthesystemisrebooted.ThenextCSSmodeisCSS-card.Rebootnow?

[Y/N]:

y//重启交换机

15.在Switch2上配置集群。

集群连接方式为集群卡（缺省值，不需配置）。

集群ID为2。

优先级采用缺省值1（不需配置）。

[HUAWEI]setcssid2//集群ID缺省为1，修改备交换机的ID为2

16.交换机完成重启后，查看集群状态。

−在集群系统的主交换机Switc