園區(qū)網(wǎng)多業(yè)務(wù)板卡配置指導(dǎo)書(shū)(參考版)
2024-08-27 18:57本頁(yè)面
【正文】 整機(jī)故障切換；當(dāng)S75E整機(jī)發(fā)生故障時(shí)，內(nèi)部網(wǎng)絡(luò)訪問(wèn)虛服務(wù)流量同樣依據(jù)OSPF在核心設(shè)備層進(jìn)行路由切換。圖13 IPS板卡故障切換示意圖IPS板卡故障切換對(duì)上下行流量一致，都是直接轉(zhuǎn)發(fā)，相當(dāng)于網(wǎng)絡(luò)中未部署IPS板卡。圖12 LB板卡故障切換示意圖由于LB板卡不支持狀態(tài)熱備，當(dāng)故障切換時(shí)，當(dāng)前已建立的LB連接都會(huì)斷開(kāi)，需要重新建連。圖11 FW板卡故障切換示意圖此組網(wǎng)中當(dāng)左側(cè)FW板卡故障時(shí)，所有流量在核心設(shè)備上根據(jù)OSPF路由選擇右邊75E交換機(jī)去往服務(wù)器，上下行流量來(lái)回路徑一致。圖9 S75E與園區(qū)核心相連鏈路故障切換示意圖交換機(jī)與服務(wù)器相連鏈路故障切換由于服務(wù)器組中多臺(tái)服務(wù)器提供相同服務(wù)，由LB根據(jù)服務(wù)器狀態(tài)進(jìn)行選擇，因此交換機(jī)與某臺(tái)服務(wù)器連接斷開(kāi)會(huì)導(dǎo)致LB板卡上此服務(wù)器狀態(tài)變成斷開(kāi)，流量會(huì)被LB板卡自動(dòng)分配到其他可用的服務(wù)器上。鏈路故障切換交換機(jī)與園區(qū)核心相連鏈路故障切換當(dāng)S75E與園區(qū)核心網(wǎng)絡(luò)相連鏈路故障時(shí)，網(wǎng)絡(luò)依靠OSPF自動(dòng)收斂。典型組網(wǎng)中的HA設(shè)計(jì)主要針對(duì)以下幾種故障切換：鏈路故障切換；板卡故障切換；整機(jī)故障切換；*接口板故障與鏈路故障一致，主控板故障與整機(jī)故障一致。二層回退功能缺省使能，也可以通過(guò)配置在當(dāng)前時(shí)刻強(qiáng)制執(zhí)行或永久關(guān)閉。當(dāng)系統(tǒng)激活后可以在75E上通過(guò)display acfp policyinfo與display acfp ruleinfo policy查看下發(fā)用來(lái)重定向流量的策略與規(guī)則。請(qǐng)參考前面安全區(qū)域配置中的建議。在安全區(qū)域未配置vlan的情況下，只有配置的IP對(duì)應(yīng)流量會(huì)被重定向至IPS，其他流量直接在交換機(jī)轉(zhuǎn)發(fā)。配置使用缺省策略，并將需要管理的內(nèi)部網(wǎng)絡(luò)地址添加上去。當(dāng)完成相關(guān)策略的配置后，將策略應(yīng)用在段上即可。*此處內(nèi)聯(lián)接口為IPS板卡接口，不需選擇，會(huì)直接填充。注意，目前SecBlade IPS不支持接口＋vlan＋ip的引流規(guī)則定義方式，當(dāng)三者都配置的時(shí)候，只有接口＋vlan生效。當(dāng)需要重定向到IPS處理的流量IP地址較規(guī)則，便于聚合，且聚合后IP地址組較少時(shí)，建議采用接口＋I(xiàn)P的方式定義引流；當(dāng)流量IP較為凌亂，聚合后地址規(guī)則較多時(shí)，建議采用接口＋vlan的方式定義引流。*安全區(qū)域配置中選定接口后可以選擇添加相應(yīng)vlan信息使用接口＋vlan規(guī)則組合進(jìn)一步縮小引流范圍，也可以選擇此處不添加vlan信息，而在后面段策略配置中添加內(nèi)部或外部域IP地址，使用接口＋I(xiàn)P規(guī)則進(jìn)行引流。首先在安全區(qū)域中配置內(nèi)部域接口域外部域接口，此處接口選擇的是IPS板卡通過(guò)ACFP協(xié)議從75E交換機(jī)上獲取到的交換機(jī)物理接口。此時(shí)在75E交換機(jī)上也可以通過(guò)以下命令查看ACFP狀態(tài)，IPS板卡是否與交換機(jī)通信成功。*SNMP及ip地址與前面75E配置舉例對(duì)應(yīng)，當(dāng)配置完成后點(diǎn)擊確定。*IPS板卡的10GE接口缺省為down狀態(tài)，第一次使用時(shí)需要將其手工配置up。一般采用meth0/2接口作為web管理接口，H3Csystemview[H3C]interface meth0/2[H3Cif]ip address 24*console登陸缺省用戶名密碼均為H3C，區(qū)分大小寫(xiě)。switchmode l2enhanced―― 配置交換機(jī)主控板的流量轉(zhuǎn)發(fā)模式為enhanced（主控板流量轉(zhuǎn)發(fā)模式配置完畢后需保存配置并重啟整個(gè)交換機(jī)，所做配置才會(huì)整機(jī)生效）*上述配置完成后需要保存配置并重啟交換機(jī)才能全部生效。*接口必須配置macaddress maclearning disable，禁止MAC學(xué)習(xí)能力。mibstyle new―― 全局模式下配置MIB為H3C品牌新風(fēng)格，即設(shè)備sysOID與私有MIB均在H3CID 25506下。流量重定向的關(guān)鍵動(dòng)作都是在IPS上完成，S75E只需要配置OAA相關(guān)內(nèi)容和IPS板卡接口即可。圖8 SecBlade IPS部署典型組網(wǎng)流量圖S75E側(cè)部署說(shuō)明OAA與接口配置在75E交換機(jī)上，通過(guò)OAA架構(gòu)實(shí)現(xiàn)流量重定向ACL向交換機(jī)接口的下發(fā)。由于IPS在整個(gè)網(wǎng)絡(luò)中屬于2層透明轉(zhuǎn)發(fā)設(shè)備，不會(huì)對(duì)報(bào)文進(jìn)行任何修改，整個(gè)網(wǎng)絡(luò)從連通性上看加入IPS后不會(huì)產(chǎn)生任何變化影響。隨后流量從IPS板卡轉(zhuǎn)出時(shí)還是在同一vlan中，再到交換機(jī)的接口做vlan轉(zhuǎn)發(fā)。vlan 12 description FWToLBvlan 100 description LBToServer―― 配置LB板卡需要承載vlaninterface TenGigabitEthernet4/0/1 port linktype trunk port trunk permit vlan 12 100―― 配置75E的LB板卡接口承載上述vlanSecBlade IPS設(shè)計(jì)部署SecBlade IPS部署典型組網(wǎng)SecBlade IPS在本部署方案中使用在線部署方式，需要對(duì)上下行流量進(jìn)行雙向引流重定向上IPS板卡處理。雙機(jī)環(huán)境下備LB的虛服務(wù)大部分配置與主LB完全一致，只有真實(shí)服務(wù)器地址需要填寫(xiě)對(duì)應(yīng)網(wǎng)段地址。然后將真實(shí)服務(wù)器加入服務(wù)器組中。―― 配置vlan12對(duì)應(yīng)FW板卡，vlan100對(duì)應(yīng)服務(wù)器組―― 配置缺省路由，網(wǎng)關(guān)指向FW板卡接口雙機(jī)環(huán)境下，備機(jī)接口及路由部署如下：虛服務(wù)部署本文檔只簡(jiǎn)單介紹創(chuàng)建虛服務(wù)過(guò)程，更詳細(xì)配置內(nèi)容請(qǐng)參考產(chǎn)品相關(guān)手冊(cè)。*缺省登陸用戶名與密碼均為h3c，區(qū)分大小寫(xiě)接口與路由部署在接口管理中建立新的三層子接口對(duì)應(yīng)典型組網(wǎng)中的兩個(gè)子網(wǎng)。圖7 SecBlade LB部署結(jié)構(gòu)圖LB側(cè)部署說(shuō)明WEB管理接口配置SecBlade F
語(yǔ)文相關(guān)推薦
鄂ICP備17016276號(hào)-1