華為雙鏈路出口調(diào)試步驟-文庫(kù)吧資料
2024-08-18 03:24本頁(yè)面
【正文】 [USGzonetrust] quit 創(chuàng)建安全區(qū)域ISP1，并將GigabitEthernet 0/0/2接口加入ISP1。操作步驟1. 配置USG各接口的IP地址并將接口加入安全區(qū)域。為了提高鏈路可靠性，避免業(yè)務(wù)中斷，需要配置兩條缺省路由。 為了實(shí)現(xiàn)去往不同運(yùn)營(yíng)商的流量由對(duì)應(yīng)接口轉(zhuǎn)發(fā)，需要收集ISP1和ISP2所屬網(wǎng)段的信息，并配置到這些網(wǎng)段的靜態(tài)路由。即創(chuàng)建兩個(gè)安全區(qū)域ISP1和ISP2（安全優(yōu)先級(jí)低于DMZ區(qū)域），并分別在Trust—ISP1域間、Trust—ISP2域間配置NAT outbound。 為了實(shí)現(xiàn)校園網(wǎng)用戶使用有限公網(wǎng)IP地址接入Internet，需要配置NAPT方式的NAT，借助端口將多個(gè)私網(wǎng)IP地址轉(zhuǎn)換為有限的公網(wǎng)IP地址。，—ISP2域間的NAT地址池2的地址。，—ISP1域間的NAT地址池1的地址。（5）接口號(hào)：GigabitEthernet 0/0/0IP地址：接口（5）是ISP2端與USG相連的接口。去往ISP2所屬網(wǎng)段的數(shù)據(jù)通過(guò)接口（3）轉(zhuǎn)發(fā)。（2）接口號(hào)：GigabitEthernet 0/0/2IP地址：安全區(qū)域：ISP1安全優(yōu)先級(jí)：15接口（2）是連接ISP1的接口，去往ISP1所屬網(wǎng)段的數(shù)據(jù)通過(guò)接口（2）轉(zhuǎn)發(fā)。 圖1 出口網(wǎng)關(guān)雙鏈路接入不同運(yùn)營(yíng)商舉例二組網(wǎng)圖項(xiàng)目數(shù)據(jù)說(shuō)明（1）接口號(hào)：GigabitEthernet 0/0/0IP地址：安全區(qū)域：Trust接口（1）是連接內(nèi)網(wǎng)匯聚交換機(jī)的接口。 該學(xué)校網(wǎng)絡(luò)需要實(shí)現(xiàn)以下需求： 學(xué)校分別通過(guò)兩個(gè)不同運(yùn)營(yíng)商（ISP1和ISP2）連接到Internet，兩個(gè)運(yùn)營(yíng)商分別為該校分配了3個(gè)IP地址。 校內(nèi)用戶主要分布在教學(xué)樓和宿舍區(qū)，通過(guò)匯聚交換機(jī)連接到USG。出口網(wǎng)關(guān)雙鏈路接入不同運(yùn)營(yíng)商舉例二USG作為校園或大型企業(yè)出口網(wǎng)關(guān)可以實(shí)現(xiàn)內(nèi)網(wǎng)用戶通過(guò)兩個(gè)運(yùn)營(yíng)商訪問(wèn)Internet，并保護(hù)內(nèi)網(wǎng)不受網(wǎng)絡(luò)攻擊。組網(wǎng)需求某學(xué)校網(wǎng)絡(luò)通過(guò)USG連接到Internet，校內(nèi)組網(wǎng)情況如下：～，～，掩碼均為24位。 校內(nèi)用戶能夠通過(guò)兩個(gè)運(yùn)營(yíng)商訪問(wèn)Internet，且去往不同運(yùn)營(yíng)商的流量由USG上連接該運(yùn)營(yíng)商的對(duì)應(yīng)的接口轉(zhuǎn)發(fā)。 當(dāng)一條鏈路出現(xiàn)故障時(shí)，流量可以被及時(shí)切換到另一條鏈路上，避免網(wǎng)絡(luò)長(zhǎng)時(shí)間中斷。 保護(hù)內(nèi)部網(wǎng)絡(luò)不受SYN Flood、UDP Flood和ICMP Flood的攻擊。，部署在Trust區(qū)域。（3）接口號(hào)：GigabitEthernet 5/0/0IP地址：安全區(qū)域：ISP2安全優(yōu)先級(jí)：20接口（3）是連接ISP2的接口。（4）接口號(hào)：GigabitEthernet 0/0/0IP地址：接口（4）是ISP1端與USG相連的接口。ISP1分配給學(xué)校的IP地址～，掩碼24位。ISP2分配給學(xué)校的IP地址～，掩碼24位。配置思路由于校園網(wǎng)連接兩個(gè)運(yùn)營(yíng)商，因此需要分別進(jìn)行地址轉(zhuǎn)換，將私網(wǎng)地址轉(zhuǎn)換為公網(wǎng)地址。使去往ISP1的流量通過(guò)連接ISP1的接口轉(zhuǎn)發(fā)，去往ISP2的流量通過(guò)連接ISP2的接口轉(zhuǎn)發(fā)。當(dāng)報(bào)文無(wú)法匹配靜態(tài)路由時(shí)，通過(guò)缺省路由發(fā)送給下一跳。 在USG上啟用攻擊防范功能，保護(hù)校園網(wǎng)內(nèi)部網(wǎng)絡(luò)。 配置USG各接口的IP地址。[USG] firewall zone name isp1[USGzoneisp1] set priority 15[USGzoneisp1] add interface GigabitEthernet 0/0/2[USGzoneisp1] quit 創(chuàng)建安全區(qū)域ISP2，并將GigabitEthernet 5/0/0接口加入ISP2。 配置Trust—ISP1的域間包過(guò)濾，允許校內(nèi)用戶訪問(wèn)ISP1。[USG] policy interzone trust isp2 outbound[USGpolicyinterzonetrustisp2outbound] policy 1[USGpolicyinterzonetrustisp2outbound1] policy source [USGpolicyinterzonetrustisp2outbound1] action permit[USGpolicyinterzonetrustisp2outbound1] quit[USGpolicyinterzonetrustisp2outbound] quit 在域間開(kāi)啟ASPF功能，防止多通道協(xié)議無(wú)法建立連接。 配置應(yīng)用于Trust—ISP1域間的NAT地址池1。[USG] nat addressgroup 2 在Trust—ISP1域間配置NAT outbound，將校內(nèi)用戶的私網(wǎng)IP地址轉(zhuǎn)換為ISP1提供的公網(wǎng)IP地址。[USG] natpolicy interzone trust isp2 outbound[USGnatpolicyinterzonetrustisp2outbound] policy 1[USGnatpolicyinterzonetrustisp2outbound1] policy source [USGnatpolicyinterzonetrustisp2outbound1] action sourcenat[USGnatpolicyinterzonetrustisp2outbound1] addressgroup 2[USGnatpolicyinterzonetrustisp2outbound1] quit[USGnatpolicyinterzonetrustisp2outbound] quit4. 配置多條靜態(tài)路由和兩條缺省路由，實(shí)現(xiàn)網(wǎng)絡(luò)的雙出口特性和鏈路的可靠性。注意： 實(shí)際場(chǎng)景中，可能需指定多條靜態(tài)路由，為特定目的IP地址配置明細(xì)路由。本例中僅給出了四條靜態(tài)路由的配置。[USG] ip routestatic GigabitEthernet 0/0/2 [USG] ip r
高考資料相關(guān)推薦
鄂ICP備17016276號(hào)-1