防火墻技術(shù)案例5雙機(jī)熱備負(fù)載分擔(dān)資料組網(wǎng)下的ipsec配置-資料下載頁
2025-04-17 12:53本頁面
【正文】 來自分支A和B的去和回的流量通過NGFW_C時(shí)開銷減少10：HRP_A[NGFW_C]routepolicy rp permit node 3HRP_A[NGFW_Croutepolicy]ifmatch acl 2002HRP_A[NGFW_Croutepolicy]ifmatch backupstatus activeHRP_A[NGFW_Croutepolicy]apply cost 10HRP_A[NGFW_Croutepolicy]quit當(dāng)NGFW_C作為備用設(shè)備（NGFW_C故障）時(shí)，來自分支A和B的去和回的流量通過NGFW_C時(shí)開銷增加10：HRP_A[NGFW_C]routepolicy rp permit node 4HRP_A[NGFW_Croutepolicy]ifmatch acl 2002HRP_A[NGFW_Croutepolicy]ifmatch backupstatus standbyHRP_A[NGFW_Croutepolicy]apply cost + 10HRP_A[NGFW_Croutepolicy]quit3）最后我們需要在OSPF中引入直連和靜態(tài)路由，并將自身的路由發(fā)布出去?！緩?qiáng)叔點(diǎn)評(píng)】這里引入的直連路由是Tunnel接口的路由；引入的靜態(tài)路由是下面配置的使回程流量進(jìn)入隧道的路由。HRP_A[NGFW_C]ospf 1HRP_A[NGFW_C]ip routestatic 24 tunnel 1HRP_A[NGFW_C]ip routestatic 24 tunnel 2HRP_A[NGFW_Cospf1]importroute direct routepolicy rpHRP_A[NGFW_Cospf1]importroute static routepolicy rpHRP_A[NGFW_Cospf1]area HRP_A[]network HRP_A[]network HRP_A[]quitHRP_A[NGFW_Cospf1]quit4）在NGFW_D上配置路由和路由策略。按照NGFW_C的配置舉一反三，我想各位小伙伴肯定沒問題的?！窘Y(jié)果驗(yàn)證】當(dāng)雙機(jī)熱備負(fù)載分擔(dān)狀態(tài)正常運(yùn)行時(shí)，）的流量通過NGFW_C轉(zhuǎn)發(fā)（）。而去往Tunnel2接口（）的流量通過NGFW_D轉(zhuǎn)發(fā)（）。當(dāng)雙機(jī)熱備負(fù)載分擔(dān)狀態(tài)正常運(yùn)行時(shí)，可以在Router2上看到總部回復(fù)分支A（）的流量通過NGFW_C轉(zhuǎn)發(fā)（）；總部回復(fù)分支B（）的流量通過NGFW_D轉(zhuǎn)發(fā)（）。以上兩步可以看出在路由層面，我們的配置滿足了組網(wǎng)需求。在NGFW_C和D上執(zhí)行display ike sa、display ipsec sa命令查看IPSec的隧道建立情況。下面僅給出NGFW_C上的截圖，可以看到NGFW_C的tunnel1接口與NGFW_A的GE1/0/1接口成功建立隧道?！九陌阁@奇】此案例的驚奇之處在于結(jié)合了雙機(jī)熱備、IPSec和并不常用的路由策略功能，而且三種功能結(jié)合的十分巧妙。此案例的另一驚奇之處在于負(fù)載分擔(dān)組網(wǎng)下的IPSec只有在華為比較新版本的防火墻上才支持，是一個(gè)比較新的功能。另外看完此案例，小伙伴們應(yīng)該對(duì)雙機(jī)熱備、IPSec、以及路由策略的配置方法和流程有了一定的了解。【強(qiáng)叔問答】 本案例中強(qiáng)叔并沒有詳細(xì)講述防火墻安全策略的配置，但其實(shí)在配置雙機(jī)熱備及PSec功能時(shí)，安全策略的配置 還是有所講究的。請小伙伴們思考雙機(jī)熱備和IPSec這兩個(gè)功能的安全策略如何配置？
教學(xué)教案相關(guān)推薦
鄂ICP備17016276號(hào)-1