華為雙鏈路出口調(diào)試步驟(已修改)
2025-08-17 03:24 本頁面
【正文】 出口網(wǎng)關(guān)雙鏈路接入不同運(yùn)營商舉例二USG作為校園或大型企業(yè)出口網(wǎng)關(guān)可以實(shí)現(xiàn)內(nèi)網(wǎng)用戶通過兩個(gè)運(yùn)營商訪問Internet，并保護(hù)內(nèi)網(wǎng)不受網(wǎng)絡(luò)攻擊。組網(wǎng)需求某學(xué)校網(wǎng)絡(luò)通過USG連接到Internet，校內(nèi)組網(wǎng)情況如下： 校內(nèi)用戶主要分布在教學(xué)樓和宿舍區(qū)，通過匯聚交換機(jī)連接到USG。 學(xué)校分別通過兩個(gè)不同運(yùn)營商（ISP1和ISP2）連接到Internet，兩個(gè)運(yùn)營商分別為該校分配了3個(gè)IP地址?！?，～，掩碼均為24位。該學(xué)校網(wǎng)絡(luò)需要實(shí)現(xiàn)以下需求： 校內(nèi)用戶能夠通過兩個(gè)運(yùn)營商訪問Internet，且去往不同運(yùn)營商的流量由USG上連接該運(yùn)營商的對應(yīng)的接口轉(zhuǎn)發(fā)。 當(dāng)一條鏈路出現(xiàn)故障時(shí)，流量可以被及時(shí)切換到另一條鏈路上，避免網(wǎng)絡(luò)長時(shí)間中斷。 保護(hù)內(nèi)部網(wǎng)絡(luò)不受SYN Flood、UDP Flood和ICMP Flood的攻擊。 圖1 出口網(wǎng)關(guān)雙鏈路接入不同運(yùn)營商舉例二組網(wǎng)圖項(xiàng)目數(shù)據(jù)說明（1）接口號：GigabitEthernet 0/0/0IP地址：安全區(qū)域：Trust接口（1）是連接內(nèi)網(wǎng)匯聚交換機(jī)的接口。，部署在Trust區(qū)域。（2）接口號：GigabitEthernet 0/0/2IP地址：安全區(qū)域：ISP1安全優(yōu)先級：15接口（2）是連接ISP1的接口，去往ISP1所屬網(wǎng)段的數(shù)據(jù)通過接口（2）轉(zhuǎn)發(fā)。（3）接口號：GigabitEthernet 5/0/0IP地址：安全區(qū)域：ISP2安全優(yōu)先級：20接口（3）是連接ISP2的接口。去往ISP2所屬網(wǎng)段的數(shù)據(jù)通過接口（3）轉(zhuǎn)發(fā)。（4）接口號：GigabitEthernet 0/0/0IP地址：接口（4）是ISP1端與USG相連的接口。（5）接口號：GigabitEthernet 0/0/0IP地址：接口（5）是ISP2端與USG相連的接口。ISP1分配給學(xué)校的IP地址～，掩碼24位。，—ISP1域間的NAT地址池1的地址。ISP2分配給學(xué)校的IP地址～，掩碼24位。，—ISP2域間的NAT地址池2的地址。配置思路 為了實(shí)現(xiàn)校園網(wǎng)用戶使用有限公網(wǎng)IP地址接入Internet，需要配置NAPT方式的NAT，借助端口將多個(gè)私網(wǎng)IP地址轉(zhuǎn)換為有限的公網(wǎng)IP地址。由于校園網(wǎng)連接兩個(gè)運(yùn)營商，因此需要分別進(jìn)行地址轉(zhuǎn)換，將私網(wǎng)地址轉(zhuǎn)換為公網(wǎng)地址。即創(chuàng)建兩個(gè)安全區(qū)域ISP1和ISP2（安全優(yōu)先級低于DMZ區(qū)域），并分別在Trust—ISP1域間、Trust—ISP2域間配置NAT outbound。 為了實(shí)現(xiàn)去往不同運(yùn)營商的流量由對應(yīng)接口轉(zhuǎn)發(fā)，需要收集ISP1和ISP2所屬網(wǎng)段的信息，并配置到這些網(wǎng)段的靜態(tài)路由。使去往ISP1的流量通過連接ISP1的接口轉(zhuǎn)發(fā)，去往ISP2的流量通過連接ISP2的接口轉(zhuǎn)發(fā)。為了提高鏈路可靠性，避免業(yè)務(wù)中斷，需要配置兩條缺省路由。當(dāng)報(bào)文無法匹配靜態(tài)路由時(shí)，通過缺省路由發(fā)送給下一跳。 在USG上啟用攻擊防范功能，保護(hù)校園網(wǎng)內(nèi)部網(wǎng)絡(luò)。操作步驟1. 配置USG各接口的IP地址并將接口加入安全區(qū)域。 配置USG各接口的IP地址。USG systemview[USG] interface GigabitEthernet 0/0/0[USGGigabitEthernet0/0/0] ip address 16[USGGigabitEthernet0/0/0] quit[USG] interface GigabitEthernet 0/0/2[USGGigabitEthernet0/0/2] ip address 24[USGGigabitEthernet0/0/2] quit[USG] interface GigabitEthernet 5/0/0[USGGigabitEthernet5/0/0] ip address 24[USGGigabitEthernet5/0/0] quit 將GigabitEthernet 0/0/0接口加入Trust安全區(qū)域[USG] firewall zone trust[USGzonetrust] add interface GigabitEthernet 0/0/0[USGzonetrust] quit 創(chuàng)建安全區(qū)域ISP1，并將GigabitEthernet 0/0/2接口加入ISP1。[USG] firewall zone name isp1[USGzoneisp1] set priority 15[USGzoneisp1] add interface GigabitEthernet 0/0/2[USGzoneisp1] quit 創(chuàng)建安全區(qū)域ISP2，并將GigabitEthernet 5/0/0接口加入ISP2。[USG] firewall zone name isp2[USGzoneisp2] set priority 20[USGzoneisp2] add interface GigabitEthernet 5/0/0[USGzoneisp2] quit2. 配置域間包過濾及ASPF功能，對校內(nèi)外數(shù)據(jù)流進(jìn)行訪問控制。 配置Trust—ISP1的域間包過濾，允許校內(nèi)用戶訪問ISP1。[USG] policy interzone trust isp1 outbound[USGpolicyinterzonetrustisp1outbound] policy 1[USGpolicyinterzonetrustisp1outbound1] policy source [USGpolicyinterzonetrustisp1outbound1] action permit[USGpolicyinterzonetrustisp1outbound1] quit[USGpolicyinterzonetrustisp1outbound] quit 配置Trust—ISP2的域間包過濾，允許校內(nèi)用戶訪問ISP2。[
高考資料相關(guān)推薦
鄂ICP備17016276號-1