園區(qū)網(wǎng)多業(yè)務(wù)板卡配置指導(dǎo)書(shū)-資料下載頁(yè)
2025-08-16 18:57本頁(yè)面
【正文】 rol GatewayHwInfo: OSInfo: iWare AppInfo: Beta 2104Client IP: Client Mode: redirect mirror安全區(qū)域配置完成OAA相關(guān)設(shè)備，并查看OAA協(xié)議狀態(tài)均正確情況下，可以進(jìn)行安全區(qū)域配置、段配置和段策略配置。首先在安全區(qū)域中配置內(nèi)部域接口域外部域接口，此處接口選擇的是IPS板卡通過(guò)ACFP協(xié)議從75E交換機(jī)上獲取到的交換機(jī)物理接口。*此處配置TenGe3/0/1為與外部網(wǎng)絡(luò)FW板卡相連接口，TenGe4/0/1為與內(nèi)部網(wǎng)絡(luò)LB板卡相連接口。*安全區(qū)域配置中選定接口后可以選擇添加相應(yīng)vlan信息使用接口＋vlan規(guī)則組合進(jìn)一步縮小引流范圍，也可以選擇此處不添加vlan信息，而在后面段策略配置中添加內(nèi)部或外部域IP地址，使用接口＋I(xiàn)P規(guī)則進(jìn)行引流。這兩種組合方式適用于不同的需求場(chǎng)景。當(dāng)需要重定向到IPS處理的流量IP地址較規(guī)則，便于聚合，且聚合后IP地址組較少時(shí)，建議采用接口＋I(xiàn)P的方式定義引流；當(dāng)流量IP較為凌亂，聚合后地址規(guī)則較多時(shí)，建議采用接口＋vlan的方式定義引流。簡(jiǎn)單來(lái)說(shuō)就是先選組合后規(guī)則少的，規(guī)則數(shù)相同情況下IP優(yōu)于vlan，配置的規(guī)則數(shù)量可在后面幾步都完成后在75E交換機(jī)上通過(guò)display acfp ruleinfo policy命令查看。注意，目前SecBlade IPS不支持接口＋vlan＋ip的引流規(guī)則定義方式，當(dāng)三者都配置的時(shí)候，只有接口＋vlan生效。段配置安全區(qū)域配置完成后，配置段，并將相應(yīng)安全區(qū)域加入段。*此處內(nèi)聯(lián)接口為IPS板卡接口，不需選擇，會(huì)直接填充。段策略配置接下來(lái)進(jìn)行段策略的配置，此部分包括IPS、帶寬管理、URL過(guò)濾、防病毒攻擊和DDoS等內(nèi)容，具體配置請(qǐng)參考產(chǎn)品相關(guān)配置手冊(cè)。當(dāng)完成相關(guān)策略的配置后，將策略應(yīng)用在段上即可。此處以應(yīng)用帶寬管理策略為例。配置使用缺省策略，并將需要管理的內(nèi)部網(wǎng)絡(luò)地址添加上去。*此處可以填寫(xiě)內(nèi)部或外部域IP，配合引流處理。在安全區(qū)域未配置vlan的情況下，只有配置的IP對(duì)應(yīng)流量會(huì)被重定向至IPS，其他流量直接在交換機(jī)轉(zhuǎn)發(fā)。若安全區(qū)域中已配置vlan，則此處配置IP對(duì)應(yīng)流量會(huì)進(jìn)行相關(guān)段策略處理，其他流量會(huì)依據(jù)vlan配置被重定向上IPS板卡，但直接在IPS進(jìn)行二層轉(zhuǎn)發(fā)，不作任何處理。請(qǐng)參考前面安全區(qū)域配置中的建議。全部配置完成后進(jìn)行激活，顯示激活完成則配置成功。當(dāng)系統(tǒng)激活后可以在75E上通過(guò)display acfp policyinfo與display acfp ruleinfo policy查看下發(fā)用來(lái)重定向流量的策略與規(guī)則。二層回退配置IPS板卡在遇到CPU運(yùn)行高等系統(tǒng)資源占用嚴(yán)重導(dǎo)致的流量轉(zhuǎn)發(fā)可能會(huì)出現(xiàn)丟包時(shí)，提供了二層回退功能，可以將流量進(jìn)行二層直接轉(zhuǎn)發(fā)，保證了IPS板卡處理性能不夠時(shí)不會(huì)影響正常業(yè)務(wù)流量轉(zhuǎn)發(fā)導(dǎo)致丟包。二層回退功能缺省使能，也可以通過(guò)配置在當(dāng)前時(shí)刻強(qiáng)制執(zhí)行或永久關(guān)閉。整網(wǎng)雙機(jī)HA設(shè)計(jì)部署整網(wǎng)雙機(jī)HA部署前面的各設(shè)備板卡配置說(shuō)明中已經(jīng)涵蓋了部分HA設(shè)計(jì)部署，此處對(duì)整網(wǎng)HA做統(tǒng)一說(shuō)明，并對(duì)各種故障下的流量路徑切換進(jìn)行描述，對(duì)重點(diǎn)配置進(jìn)行說(shuō)明。典型組網(wǎng)中的HA設(shè)計(jì)主要針對(duì)以下幾種故障切換：鏈路故障切換；板卡故障切換；整機(jī)故障切換；*接口板故障與鏈路故障一致，主控板故障與整機(jī)故障一致。正常情況下的上下行流量路徑請(qǐng)參考本文檔前面流量設(shè)計(jì)組網(wǎng)圖，以下各個(gè)故障切換圖中均以上行流量切換路徑為例，切換后上下行流量來(lái)回路徑一致。鏈路故障切換交換機(jī)與園區(qū)核心相連鏈路故障切換當(dāng)S75E與園區(qū)核心網(wǎng)絡(luò)相連鏈路故障時(shí)，網(wǎng)絡(luò)依靠OSPF自動(dòng)收斂。主路徑75E斷開(kāi)，流量將從核心設(shè)備選擇備路徑S75E傳輸。圖9 S75E與園區(qū)核心相連鏈路故障切換示意圖交換機(jī)與服務(wù)器相連鏈路故障切換由于服務(wù)器組中多臺(tái)服務(wù)器提供相同服務(wù)，由LB根據(jù)服務(wù)器狀態(tài)進(jìn)行選擇，因此交換機(jī)與某臺(tái)服務(wù)器連接斷開(kāi)會(huì)導(dǎo)致LB板卡上此服務(wù)器狀態(tài)變成斷開(kāi)，流量會(huì)被LB板卡自動(dòng)分配到其他可用的服務(wù)器上。圖10 75E與服務(wù)器相連鏈路故障切換示意圖板卡故障切換FW板卡故障切換S75E的FW板卡故障時(shí)，由于與FW相連的vlan接口down，因此靜態(tài)路由配置的下一跳失效，OSPF不再向內(nèi)部園區(qū)核心發(fā)布相關(guān)路由。圖11 FW板卡故障切換示意圖此組網(wǎng)中當(dāng)左側(cè)FW板卡故障時(shí)，所有流量在核心設(shè)備上根據(jù)OSPF路由選擇右邊75E交換機(jī)去往服務(wù)器，上下行流量來(lái)回路徑一致。LB板卡故障切換當(dāng)LB板卡故障，S75E的NQA追蹤失敗，導(dǎo)致靜態(tài)路由項(xiàng)失效，OSPF不再向園區(qū)發(fā)布此路由，園區(qū)內(nèi)部選路走備路徑S75E設(shè)備，當(dāng)流量從備LB板卡去往服務(wù)器時(shí)，根據(jù)配置的SNAT使能，將流量的源地址變換為備LB板卡的服務(wù)器網(wǎng)段地址，流量從服務(wù)器返回時(shí)以此地址作為目的地址，確保上下行流量來(lái)回路徑一致。圖12 LB板卡故障切換示意圖由于LB板卡不支持狀態(tài)熱備，當(dāng)故障切換時(shí)，當(dāng)前已建立的LB連接都會(huì)斷開(kāi)，需要重新建連。IPS板卡故障切換IPS板卡目前支持故障時(shí)S75E交換機(jī)直接轉(zhuǎn)發(fā)，不會(huì)發(fā)生主備機(jī)之間的切換。圖13 IPS板卡故障切換示意圖IPS板卡故障切換對(duì)上下行流量一致，都是直接轉(zhuǎn)發(fā)，相當(dāng)于網(wǎng)絡(luò)中未部署IPS板卡。如果IPS板卡遇到某些板卡轉(zhuǎn)發(fā)表項(xiàng)滿或者CPU過(guò)高問(wèn)題時(shí)，還支持二層回退功能，對(duì)上IPS的報(bào)文不進(jìn)行處理直接返回交換機(jī)，保障流量不會(huì)中斷。整機(jī)故障切換；當(dāng)S75E整機(jī)發(fā)生故障時(shí)，內(nèi)部網(wǎng)絡(luò)訪問(wèn)虛服務(wù)流量同樣依據(jù)OSPF在核心設(shè)備層進(jìn)行路由切換。上下行流量來(lái)回路徑一致圖14 整機(jī)故障切換示意圖37 / 37
語(yǔ)文相關(guān)推薦
鄂ICP備17016276號(hào)-1