深信服ngaf典型部署案例與上架問題參考手冊(cè)(已修改)
2025-04-29 05:30 本頁(yè)面
【正文】 NGAF典型案例與上架問題快速參考手冊(cè)目錄案例部分 1一、 路由模式部署 1單線路簡(jiǎn)單部署by謝輝 1單線路+專線互聯(lián)by李繪東 11多線路+sangfor vpn互聯(lián)by李寧 22二、 網(wǎng)橋模式部署by孫陽(yáng)華 31三、 功能測(cè)試案例by黃翔 42問題部分 48一、 斷網(wǎng)問題 48路由模式 48網(wǎng)橋模式 50二、 目的地址轉(zhuǎn)換/雙向地址轉(zhuǎn)換不通問題 52目的地址轉(zhuǎn)換 52雙向地址轉(zhuǎn)換 53三、 經(jīng)過AF訪問公網(wǎng)速度變慢 53案例部分一、 路由模式部署單線路簡(jiǎn)單部署by謝輝【網(wǎng)絡(luò)現(xiàn)狀】Internet——NGAF——內(nèi)網(wǎng)（PC和服務(wù)器）現(xiàn)有1條外網(wǎng)出口線路，20M出口帶寬.內(nèi)網(wǎng)lan口接核心交換機(jī)，服務(wù)器區(qū)也在lan區(qū)域.【客戶需求】AF代理內(nèi)網(wǎng)上網(wǎng)對(duì)外發(fā)布服務(wù)雙向地址映射流量控制 【設(shè)備配置】（1）配置lan口，設(shè)置為路由口，由于是內(nèi)網(wǎng)口，固不勾選 wan口（2）配置WAN口，設(shè)置為路由口，選擇wan口。（3）設(shè)置區(qū)域，一個(gè)接口屬于一個(gè)區(qū)域，如圖：（4）配置系統(tǒng)路由(添加回包路由和缺省路由，缺省路由必須要添加。)（5）配置源地址轉(zhuǎn)換，即代理上網(wǎng)功能。 源區(qū)域選擇lan，目標(biāo)區(qū)域選擇wan。源地址轉(zhuǎn)換選擇出接口地址，如果有多個(gè)公網(wǎng)IP可以選擇IP范圍。（6）設(shè)置目的地址轉(zhuǎn)換（即對(duì)外發(fā)布服務(wù)）。源區(qū)域選擇wan，目的區(qū)域?yàn)榛疑?，不可選，IP組應(yīng)當(dāng)設(shè)置wan口映射IP，可以通過IP組來發(fā)布需要映射的公網(wǎng)IP，客戶需要將公網(wǎng)的8080端口映射到內(nèi)部服務(wù)器的80端口，固需要將8080端口轉(zhuǎn)換成80端口，以實(shí)現(xiàn)客戶需求。（7）客戶需要在內(nèi)網(wǎng)訪問公網(wǎng)地址來訪問內(nèi)部服務(wù)器，需要我們做雙向映射來實(shí)現(xiàn)，源區(qū)域和目的區(qū)域都選擇lan區(qū)，應(yīng)用服務(wù)器是通過:7890來訪問的,固目標(biāo)端口設(shè)置7890，該端口不需要轉(zhuǎn)換所以目標(biāo)端口轉(zhuǎn)換選擇不轉(zhuǎn)換，如果是域名，則用dnsmapping即可。所有映射條目如下圖：（8）映射設(shè)置完畢后，需要放通相應(yīng)的應(yīng)用控制策略。 注意：做雙向映射后，應(yīng)當(dāng)放通lanlan的規(guī)則。（9）配置流控模塊1. 先配置虛擬線路，如圖所示：2. 配置正確的線路帶寬，將WAN區(qū)域的接口設(shè)置為外出接口，本例中eth2為WAN口，如下圖： 3. 設(shè)置流控策略，設(shè)置流控策略基本和AC一致。至此配置完成單線路+專線互聯(lián)by李繪東【網(wǎng)絡(luò)現(xiàn)狀】現(xiàn)在出口設(shè)備為5年前的PIX防火墻，PIX防火墻老化，有時(shí)會(huì)出現(xiàn)斷電后起不來的現(xiàn)象，且PIX不能滿足客戶對(duì)內(nèi)網(wǎng)安全情況和全網(wǎng)流量的了解和服務(wù)器防護(hù)的需求。出口鏈路有2條，公網(wǎng)電信20M，外加一條2M的專線，電信公網(wǎng)線路上有多個(gè)公網(wǎng)IP，用來做內(nèi)網(wǎng)用戶上網(wǎng)的PAT和服務(wù)器端口映射用，內(nèi)網(wǎng)用戶訪問專線的流量，一部分走路由，一部分在專線上起端口映射。【客戶需求】AF代理內(nèi)網(wǎng)上網(wǎng)，實(shí)現(xiàn)公網(wǎng)走電信、專網(wǎng)流量走專線等需求。內(nèi)網(wǎng)有服務(wù)器需要在AF上通過端口映射發(fā)布出去，部署拓?fù)鋱D如下：目前需要通過NGAF下一代應(yīng)用防火墻保證內(nèi)網(wǎng)用戶訪問互聯(lián)網(wǎng)的安全以及保護(hù)內(nèi)部服務(wù)器的安全?！驹O(shè)備配置】1.2.3.4.（1）配置物理接口Lan口為三層路由口，填上相應(yīng)的IP地址和掩碼，測(cè)試的時(shí)候不是很趕時(shí)間的話，盡量完善描述，方便后面查看。配置WAN口，這里的WAN口有多個(gè)公網(wǎng)地址，但是在pix的wan口只配置了一個(gè)公網(wǎng)地址，其他公網(wǎng)地址都是在端口映射里體現(xiàn)出來。這里我們把公網(wǎng)地址一個(gè)不漏的都配置上來。還是要提一下，下一跳網(wǎng)關(guān)是做鏈路檢測(cè)和做策略路由用的，與默認(rèn)路由沒關(guān)系。接下來配置專線的屬性。專線也有2個(gè)IP地址，一個(gè)用來跑路由，一個(gè)用來做IP地址映射用的，在翻譯PIX的配置時(shí)，一定要細(xì)心不能漏掉。還有一點(diǎn)，專線也勾選了“Wan口”屬性，我去測(cè)試時(shí)差點(diǎn)忽視了這一點(diǎn)，后來趕在設(shè)備上架前申請(qǐng)到了多線路序列號(hào)（默認(rèn)只有一條線路授權(quán)）。如果沒有勾wan口屬性的話，可能會(huì)有如下后果(引用:5/dedecms/plus/?aid=1078)：l 流量控制不生效l 策略路由設(shè)置有障礙（策略路由出接口無法選擇非wan口，實(shí)際上直接填寫下一跳網(wǎng)關(guān)為非wan接口的網(wǎng)關(guān)，配置也是生效的。）l 腳本過濾、插件過濾不生效l 流量審計(jì)不生效（網(wǎng)關(guān)運(yùn)行狀態(tài)應(yīng)用流量排行看不到內(nèi)容）l 沒有啟用wan屬性，則啟用免費(fèi)arp功能后，也不會(huì)主動(dòng)廣播該接口的mac出去，可能導(dǎo)致前置設(shè)備不能更新自己的mac。 （同時(shí)啟用arp欺騙防御可以解決此問題）。l 其他功能如靜態(tài)路由、NAT、應(yīng)用識(shí)別等不會(huì)影響。所以專線還是勾上“wan口”屬性，客戶可能會(huì)用到那些功能。（2）區(qū)域設(shè)置（3）路由設(shè)置記得設(shè)置默認(rèn)路由，這里涉及到的路由包括默認(rèn)路由（上網(wǎng)和服務(wù)器回公網(wǎng)訪問包用的），專線路由，內(nèi)網(wǎng)回程路由，檢查路由的時(shí)候也可以按照這幾類去排查。（4）DNS設(shè)置，設(shè)置設(shè)備的DNS，啟用DNS代理（5）NAT配置防火墻配置，二層協(xié)議使用默認(rèn)的全部放行，這里二層全是以太。關(guān)鍵是配置地址轉(zhuǎn)換這一塊。由于先前客戶使用PIX防火墻，所以地址轉(zhuǎn)換的配置首先需要把PIX上的地址轉(zhuǎn)換配置原封不動(dòng)的翻譯過來，保證內(nèi)網(wǎng)服務(wù)器發(fā)布，上網(wǎng)，專線通信正常。PIX的配置如下： 翻譯后的配置:幾條典型的命令翻譯：global (outside) 1 interface
//指定外部地址范圍，也就是說，內(nèi)網(wǎng)用戶訪問外網(wǎng)，地址被轉(zhuǎn)換為這個(gè)接口
教學(xué)教案相關(guān)推薦
鄂ICP備17016276號(hào)-1