【文章內(nèi)容簡(jiǎn)介】 cess vlan 10interface BridgeAggregation2description ToAccessSwitch port linktype trunk port trunk permit vlan 100ip routestatic ospf 1importroute staticarea network 核心層HP A12500部署舉例接口路由配置vlan 10interface BridgeAggregation1 description ToHP A750006EIRF port access vlan 10 interface Vlaninterface10 ip address interface TenGigabitEthernet1/2/0/1 port access vlan 10 port linkaggregation group 1 interface TenGigabitEthernet1/2/0/2 port access vlan 10 port linkaggregation group 1 interface TenGigabitEthernet2/2/0/1 port access vlan 10 port linkaggregation group 1 interface TenGigabitEthernet2/2/0/2 port access vlan 10 port linkaggregation group 1 ospf 1area network IRF配置irf macaddress persistent always irf autoupdate enableundo irf linkdelayirf member 1 priority 32 irfport 1/1 port group interface TenGigabitEthernet1/2/0/8irfport 2/2 port group interface TenGigabitEthernet2/2/0/8 ―― IRF建立過程同前面HP A7500配置舉例，請(qǐng)參考前文。接入層HP A5800部署舉例接口配置vlan 100interface BridgeAggregation1 description ToHP A750006IRF port linktype trunk port trunk permit vlan 101 to 103interface GigabitEthernet1/0/1 description to Server port access vlan 100 interface GigabitEthernet1/0/2 description to Server port access vlan 100 interface TenGigabitEthernet1/0/27 port linktype trunk port trunk permit vlan 101 to 103 port linkaggregation group 1 interface TenGigabitEthernet1/0/28 port linktype trunk port trunk permit vlan 101 to 103 port linkaggregation group 1 interface TenGigabitEthernet2/0/51 port linktype trunk port trunk permit vlan 101 to 103 port linkaggregation group 1 interface TenGigabitEthernet2/0/52 port linktype trunk port trunk permit vlan 101 to 103 port linkaggregation group 1IRF配置irf macaddress persistent always irf autoupdate enableundo irf linkdelayirf member 1 priority 32 irfport 1/1 port group interface TenGigabitEthernet1/0/25 mode enhancedirfport 2/2 port group interface TenGigabitEthernet2/0/25 mode enhanced―― IRF建立過程同前面HP A7500配置舉例，區(qū)別在于HP A5800屬于盒式設(shè)備，不需要配置chassis convert mode irf命令。其它具體配置過程請(qǐng)參考前文。SecBlade FW板卡設(shè)計(jì)部署SecBlade FW部署典型組網(wǎng)一圖10 SecBlade FW部署結(jié)構(gòu)圖部署說(shuō)明在本最佳實(shí)踐中FW板卡主要處理園區(qū)用戶通過LB訪問WEB服務(wù)器、園區(qū)用戶直接訪問APP服務(wù)器及各服務(wù)器間互訪流量。因此需要在FW上部署多個(gè)三層接口分別連接HP A7500與各服務(wù)器。主備FW板卡只是接口IP地址與VRRP的主備配置區(qū)別，其他配置完全一致。（對(duì)于入侵檢測(cè)等防火墻功能具體實(shí)現(xiàn)請(qǐng)參考相關(guān)產(chǎn)品配置手冊(cè)。）WEB管理接口配置SecBlade FW屬于WEB界面管理設(shè)備，首先需要在console界面下配置面板上的某個(gè)接口作為網(wǎng)管口，通過HTTP連接再進(jìn)行后續(xù)配置。一般采用GE0/1接口作為web管理接口，interface GigabitEthernet0/1ip address ―― 可以將接口IP地址修改為與管理PC同一網(wǎng)段地址通過WEB進(jìn)行管理接下來(lái)就可以通過WEB界面進(jìn)行登陸配置管理了。*缺省登陸用戶名與密碼均為h3c，區(qū)分大小寫三層接口與安全區(qū)域部署首先在接口管理中建立新的三層子接口對(duì)應(yīng)典型組網(wǎng)中的兩個(gè)子網(wǎng)。創(chuàng)建子網(wǎng)接口時(shí)建議接口名稱對(duì)應(yīng)接口vlan的VID，這樣便于區(qū)分不同三層接口。―― 配置子接口30對(duì)應(yīng)HP A7500交換機(jī)，子接口101103對(duì)應(yīng)各服務(wù)器創(chuàng)建安全區(qū)域，對(duì)應(yīng)多組服務(wù)器。修改安全區(qū)域，在untrust與新創(chuàng)建的WEB/APP/DB域中添加相應(yīng)接口。備FW板卡接口部署如下：路由部署SecBlade FW本典型組網(wǎng)中采用靜態(tài)路由方式建立路由表項(xiàng)。將缺省路由網(wǎng)關(guān)指向HP A7500直連網(wǎng)段的VRRP虛地址。訪問控制策略部署SecBlade FW通過訪問控制策略對(duì)流量報(bào)文進(jìn)行控制，缺省不允許流量從優(yōu)先級(jí)低的方向訪問優(yōu)先級(jí)高的方向，因此需要配置訪問控制策略。（此部分更具體的配置請(qǐng)參考產(chǎn)品相關(guān)手冊(cè)，本配置以允許所有訪問舉例）創(chuàng)建untrust、WEB、APP和DB區(qū)域間訪問控制列表，允許控制權(quán)限內(nèi)的訪問。VRRP部署在雙機(jī)環(huán)境中，兩臺(tái)FW需要配置VRRP作為服務(wù)器主備網(wǎng)關(guān)，提供故障切換功能。同時(shí)還需要在與HP A7500相連vlan子接口配置VRRP，使故障切換時(shí)上下行流量路徑一致。l 主FW板卡：首先在VRRP界面中找到需要配置的接口進(jìn)行操作。以配置與HP A7500相連接口VRRP為例。然后新建對(duì)應(yīng)的VRRP項(xiàng)。再對(duì)建立好的VRRP通過操作進(jìn)行參數(shù)設(shè)置。修改主FW板卡的VRRP優(yōu)先級(jí)為120（缺省為100），并使能搶占方式。都完成后，可以在接口VRRP狀態(tài)中看到對(duì)應(yīng)的狀態(tài)為Master。l 備FW板卡：備板卡配置方式與主相同，優(yōu)先級(jí)使用缺省值100，可以看到建立完成后運(yùn)行在Backup狀態(tài)。SecBlade FW部署典型組網(wǎng)二圖11 SecBlade FW部署結(jié)構(gòu)圖部署說(shuō)明SecBlade FW板卡采用三層路由模式為園區(qū)網(wǎng)絡(luò)用戶與服務(wù)器間的流量提供轉(zhuǎn)發(fā)，并提供攻擊防御、策略管理等功能，可對(duì)園區(qū)用戶訪問服務(wù)器提供訪問控制能力。FW部署靜態(tài)路由將去往LB虛服務(wù)的路由下一跳指向LB的VRRP地址，將缺省路由指向HP A7500設(shè)備。l 主FW板卡配置：l 備FW板卡配置：VRRP與訪問策略等配置方法與典型組網(wǎng)一相同，只是地址有所區(qū)別，此處不再重述。SecBlade LB設(shè)計(jì)部署SecBlade LB部署典型組網(wǎng)一在本部署方案中，LB板卡采用單臂旁掛方式部署，雙機(jī)環(huán)境中通過VRRP保證主備冗余保護(hù)。圖12 SecBlade LB部署結(jié)構(gòu)圖部署說(shuō)明SecBlade LB板卡采用單臂旁掛部署方式。缺省網(wǎng)關(guān)指定在HP A7500上。外部用戶訪問虛服務(wù)的流量在LB板卡上進(jìn)行負(fù)載分擔(dān)與源目的地址變換后，再通過FW訪問內(nèi)部服務(wù)器。WEB管理接口配置SecBlade LB屬于WEB界面管理設(shè)備，首先需要在console界面下配置面板上的某個(gè)接口作為網(wǎng)管口，通過HTTP連接再進(jìn)行后續(xù)配置。一般采用GE0/1接口作為web管理接口，interface GigabitEthernet0/1ip address ―― 可以將接口IP地址修改為與管理PC同一網(wǎng)段地址通過WEB進(jìn)行管理接下來(lái)就可以通過WEB界面進(jìn)行登陸配置管理了。*缺省登陸用戶名與密碼均為h3c，區(qū)分大小寫接口與路由部署在接口管理中建立新的三層子接口對(duì)應(yīng)典型組網(wǎng)中的子網(wǎng)。建議接口名稱對(duì)應(yīng)接口vlan的VID。―― 配置vlan20子接口與HP A7500相連―― 配置缺省路由，網(wǎng)關(guān)指向HP A7500直連接口的地址虛服務(wù)部署本文檔只簡(jiǎn)單介紹創(chuàng)建虛服務(wù)過程，更詳細(xì)配置內(nèi)容請(qǐng)參考產(chǎn)品相關(guān)手冊(cè)。首先創(chuàng)建真實(shí)服務(wù)器組。然后將真實(shí)服務(wù)器加入服務(wù)器組中。最后配置虛服務(wù)并使能*此處注意在雙機(jī)環(huán)境下需要配置SNAT使能項(xiàng)，這樣真實(shí)服務(wù)器對(duì)外部回應(yīng)的連接可以根據(jù)主備不同的接口地址進(jìn)行回應(yīng)到正確的LB板卡上。雙機(jī)環(huán)境下備LB的虛服務(wù)配置與主LB完全一致。雙機(jī)環(huán)境下LB板卡的VRRP部署除具體IP地址外，配置方式與FW板卡完全相同，請(qǐng)參考前面FW板卡配置部署，此處不再重述。SecBlade LB部署典型組網(wǎng)二在本部署方案中，LB板卡采用在線方式部署，雙機(jī)環(huán)境中通過VRRP保證主備冗余保護(hù)。圖13 SecBlade LB部署結(jié)構(gòu)圖部署說(shuō)明SecBlade LB板卡采用在線部署方式。缺省網(wǎng)關(guān)指定在FW的VRRP虛地址上。外部用戶訪問虛服務(wù)的流量在LB板卡上進(jìn)行負(fù)載分擔(dān)后，再通過HP A7500二層交換訪問內(nèi)部服務(wù)器。l 主LB板卡：l 備LB板卡：VRRP與虛服務(wù)等配置方法與典型組網(wǎng)一相