AK125防火墙。想实现对指定网站的指定链路访问。
- 0关注
- 0收藏，236浏览
问题描述：
各位大佬，目前公司有一台AK-125的防火墙，接了双链路，一条电信，一条联通，目前所有的流量默认走g10/1口联通链路，由于最近发现联通链路访问腾讯会议***.***这个域名时通时不通，所以想指定内网用户在访问这个域名的时候走G1/0/2口的电信链路，应该怎么实现呢。做路由是没用的，因为必须要访问这个域名，域名对应的IP会变的。
- 2025-02-28提问
- 举报
-
(0)
最佳答案
负载均衡功能可以实现，参考案例：
组网需求
如下图所示，某企业为了满足业务流量快速转发和链路冗余备份的需求，分别从三个运营商ISP_A、ISP_B和ISP_C处租用了链路link-a、link-b和link-c。通过配置出方向链路负载均衡实现：
出方向流量根据访问运营商进行负载分担：当内网用户访问外网服务器时，将目的地址匹配ISP为ISP_A、ISP_B和ISP_C的流量分别从相应链路link-a、link-b和link-c转发出去。
财务部门（Host B：192.168.200.0/24网段）因为经常访问网银等支付平台，不希望出口IP地址经常变化。财务数据定向从运营商ISP_A的链路link-a转发出去，并希望当链路link-a流量负载超过带宽的90%后，后续流量负载到联通链路link-b上。
设备 | 接口 | IP地址 | 设备 | 接口 | IP地址 |
Device | GE1/0/1 | 30.1.1.1/24 | Router A | GE1/0/1 | 30.1.1.2/24 |
Device | GE1/0/2 | 20.1.1.1/24 | Router B | GE1/0/1 | 20.1.1.2/24 |
Device | GE1/0/3 | 10.1.1.124 | Router C | GE1/0/1 | 10.1.1.2/24 |
Device | GE1/0/4 | 192.168.100.82/24 |
|
|
|
配置步骤
配置接口的IP地址和安全域
# 选择“网络 > 接口与VRF > 接口”，进入接口配置页面。
# 单击接口GE1/0/1右侧的<编辑>按钮，配置如下。
安全域：Untrust
选择“IPv4地址”页签，配置IP地址/掩码：30.1.1.1/24
其他配置项使用缺省值
# 单击<确定>按钮，完成接口IP地址和安全域的配置。
# 按照同样的步骤配置接口GE1/0/2，配置如下。
安全域：Untrust
选择“IPv4地址”页签，配置IP地址/掩码：20.1.1.1/24
其他配置项使用缺省值
# 单击<确定>按钮，完成接口IP地址和安全域的配置。
# 按照同样的步骤配置接口GE1/0/3，配置如下。
安全域：Untrust
选择“IPv4地址”页签，配置IP地址/掩码：10.1.1.1/24
其他配置项使用缺省值
# 单击<确定>按钮，完成接口IP地址和安全域的配置。
# 按照同样的步骤配置接口GE1/0/4，配置如下。
安全域：Trust
选择“IPv4地址”页签，配置IP地址/掩码：192.168.100.82/24
其他配置项使用缺省值
# 单击<确定>按钮，完成接口IP地址和安全域的配置。
配置路由
本举例仅以静态路由为例，若实际组网中需采用动态路由，请配置对应的动态路由协议。
# 选择“网络 > 路由 > 静态路由 > IPv4静态路由”，单击<新建>按钮，进入新建IPv4静态路由页面。
# 新建IPv4静态路由，并进行如下配置：
目的IP地址：0.0.0.0
掩码长度：0
下一跳IP地址：30.1.1.2
其他配置项使用缺省值
# 单击<确定>按钮，完成静态路由的配置。
# 按照同样的步骤配置IPv4静态路由，配置如下。
目的IP地址：0.0.0.0
掩码长度：0
下一跳IP地址：20.1.1.2
其他配置项使用缺省值
# 按照同样的步骤配置IPv4静态路由，配置如下。
目的IP地址：0.0.0.0
掩码长度：0
下一跳IP地址：10.1.1.2
其他配置项使用缺省值
配置安全策略
# 选择“策略 > 安全策略> 安全策略”，单击<新建>按钮，进入新建安全策略页面。
# 新建安全策略Trust-to-Unrust，并进行如下配置：
名称：Trust-to-Untrust
源安全域：Trust
目的安全域：Untrust
类型：IPv4
动作：允许
源IPv4地址：192.168.100.0/24,192.168.200.0/24
其他配置项使用缺省值
# 单击<确定>按钮，完成安全策略的配置。
# 按照同样的步骤配置安全策略Local-to-Untrust，配置如下。
名称：Local-to-Untrust
源安全域：Local
目的安全域：Untrust
类型：IPv4
动作：允许
目的IPv4地址：10.1.1.0/24,20.1.1.0/24,30.1.1.0/24
其他配置项使用缺省值
配置ICMP类型的健康检测模板
# 选择“对象 > 负载均衡 > 健康检测”，进入健康检测模板配置页面。
# 单击<新建>按钮，配置如下。
图-2 健康检测模板ta配置
# 单击<确定>按钮，完成健康检测模板ta配置。
# 按照同样的步骤配置健康检测模板tb，配置如下。
图-3 健康检测模板tb配置
# 单击<确定>按钮，完成健康检测模板tb配置。
# 按照同样的步骤配置健康检测模板tc，配置如下。
图-4 健康检测模板tc配置
# 单击<确定>按钮，完成健康检测模板tc配置。
配置NAT出方向地址转换
# 选择“策略 > 策略NAT”，进入策略NAT页面。
# 单击<新建源地址转换>按钮，配置如下。
图-5 NAT源地址转换规则配置
# 单击<确定>按钮，完成NAT源地址转换规则的配置。
配置链路
# 选择“对象 > 负载均衡 > 链路”，进入链路配置页面。
# 单击<新建>按钮，配置如下。
图-6 链路link-a配置
# 单击<确定>按钮，完成链路link-a配置。
# 按照同样的步骤配置链路link-b，配置如下。
图-7 链路link-b配置
# 单击<确定>按钮，完成链路link-b配置。
# 按照同样的步骤配置链路link-c，配置如下。
图-8 链路link-c配置
# 单击<确定>按钮，完成链路link-c配置。
配置链路组
# 选择“策略 > 负载均衡 > 链路负载均衡 > 出链路负载均衡 > 链路组”，进入链路组配置页面。
# 单击<新建>按钮，配置如下。
图-9 链路组link-group-a配置
# 单击<确定>按钮，完成链路组link-group-a配置。
# 按照同样的步骤配置链路组link-group-b，配置如下。
图-10 链路组link-group-b配置
# 单击<确定>按钮，完成链路组link-group-b配置。
# 按照同样的步骤配置链路组link-group-c，配置如下。
图-11 链路组link-group-c配置
# 单击<确定>按钮，完成链路组link-group-c配置。
导入ISP文件
# 选择“对象 > 负载均衡 > ISP”，进入ISP地址段配置页面。
# 选择ISP文件lbispinfo.tp。
# 单击<导入>按钮，导入的ISP信息如下。
图-12 ISP文件导入
配置流量特征
# 选择“策略 > 负载均衡 > 链路负载均衡 > 出链路负载均衡 > 流量特征”，进入流量特征配置页面。
# 单击<新建>按钮，配置如下。
图-13 流量特征class-isp-a配置
# 单击<确定>按钮，完成流量特征class-isp-a配置。
# 按照同样的步骤配置流量特征class-isp-b，配置如下。
图-14 流量特征class-isp-b配置
# 单击<确定>按钮，完成流量特征class-isp-b配置。
# 按照同样的步骤配置流量特征class-isp-c，配置如下。
图-15 流量特征class-isp-c配置
# 单击<确定>按钮，完成流量特征class-isp-c配置。
# 按照同样的步骤配置流量特征class-finance，配置如下。
图-16 流量特征class-finance配置
# 单击<确定>按钮，完成流量特征class-finance配置。
配置IPv4选路策略
# 选择“策略 > 负载均衡 > 链路负载均衡 > 出链路负载均衡 > IPv4选路策略”，进入IPv4选路策略配置页面。
# 开启“负载均衡服务”和“带宽繁忙保护功能”，配置如下。
图-17 IPv4选路策略全局配置
# 单击<新建>按钮，新建匹配流量特征class-finance的IPv4选路策略，配置如下。
图-18 匹配流量特征class-finance的IPv4选路策略配置
# 单击<确定>按钮，完成匹配流量特征class-finance的IPv4选路策略的配置。
# 按照同样的步骤配置匹配流量特征class-isp-a的IPv4选路策略，配置如下。
图-19 匹配流量特征class-isp-a的IPv4选路策略配置
# 单击<确定>按钮，完成匹配流量特征class-isp-a的IPv4选路策略的配置。
# 按照同样的步骤配置匹配流量特征class-isp-b的IPv4选路策略，配置如下。
图-20 匹配流量特征class-isp-b的IPv4选路策略配置
# 单击<确定>按钮，完成匹配流量特征class-isp-b的IPv4选路策略的配置。
# 按照同样的步骤配置匹配流量特征class-isp-c的IPv4选路策略，配置如下。
图-21 匹配流量特征class-isp-c的IPv4选路策略配置
# 单击<确定>按钮，完成匹配流量特征class-isp-c的IPv4选路策略的配置。
验证配置
# 选择“监控 > 负载均衡 > 出链路负载均衡 > 链路统计”，进入链路统计页面。
# 来自财务部门192.168.200.0/24网段的流量匹配流量特征class-finance，走链路组link-group-a，查看链路link-a有流量统计显示如下。
图-22 来自财务部门192.168.200.0/24网段的流量统计
# 访问ISP-A的流量匹配流量特征class-isp-a，走链路组link-group-a，查看链路link-a有流量统计显示如下。
图-23 访问ISP_A的流量统计
# 访问ISP-B的流量匹配流量特征class-isp-b，走链路组link-group-b，查看链路link-b有流量统计显示如下。
图-24 访问ISP_B的流量统计
# 访问ISP-C的流量匹配流量特征class-isp-c，走链路组link-group-c，查看链路link-c有流量统计。显示如下
图-25 访问ISP_C的流量统计
- 2025-02-28回答
- 评论(0)
- 举报
-
(0)
要实现内网用户在访问特定域名时，流量强制通过G1/0/2口的电信链路，可以通过配置策略路由（Policy-Based Routing, PBR）来实现。策略路由允许你根据特定的条件（如源IP、目的IP、端口号等）来决定数据包的转发路径。
以下是配置策略路由的基本步骤：
1. **定义访问控制列表（ACL）**：用于匹配目的IP地址为特定域名的流量。由于域名对应的IP可能变化，你可能需要使用DNS过滤或动态更新的列表来确保ACL规则的准确性。
2. **创建策略路由**：在策略路由中，指定匹配ACL的流量应通过G1/0/2口进行转发。
3. **应用策略路由**：将策略路由应用到接口上，通常是内网接口，以确保所有出站流量都经过策略路由的检查。
具体配置命令可能如下（示例，具体命令可能根据设备型号和操作系统有所不同）：
```bash
# 配置ACL匹配特定域名的流量
[Device] acl advanced 3000
[Device-acl-ipv4-adv-3000] rule 5 permit ip destination any
[Device-acl-ipv4-adv-3000] quit
# 创建策略路由
[Device] policy-based-route aa permit node 5
[Device-pbr-aa-5] if-match acl 3000
[Device-pbr-aa-5] apply next-hop 192.168.1.1 # 假设192.168.1.1是G1/0/2口的下一跳IP
[Device-pbr-aa-5] quit
# 应用策略路由到接口
[Device] interface GigabitEthernet1/0/1
[Device-GigabitEthernet1/0/1] ip policy-based-route aa
[Device-GigabitEthernet1/0/1] quit
```
请注意，上述配置需要根据实际网络环境和设备类型进行调整。在配置前，建议详细阅读设备的用户手册或技术文档，以确保正确配置并避免网络故障。
- 2025-02-28回答
- 评论(0)
- 举报
-
(0)
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论