acg1000配置

关键配置步骤​​

​​1. ACG1000SE防火墙配置​​

​​a. 配置WAN接口（上行链路）​​

• •

  GE0（联通专线，固定IP）：

  interface GigabitEthernet0 ip address 1.1.1.2 255.255.255.252 # 假设运营商分配IP为1.1.1.2/30 nat outbound enable # 启用NAT
• •

  GE1/GE2（PPPoE拨号聚合 可行性分析见下文第3节）：

  # 创建聚合组（如不支持PPPoE多拨聚合，则单独配置双WAN策略路由） interface Bridge-Aggregation1 # 创建逻辑聚合口 pppoe-client dial-bundle-number 1 # 绑定PPPoE会话 nat outbound enable # 启用NAT # 物理端口加入聚合组 interface GigabitEthernet1 port link-aggregation group 1 interface GigabitEthernet2 port link-aggregation group 1

⚠️ ​​拨号线路聚合限制​​：

​​ACG防火墙的物理接口不支持直接对PPPoE拨号线路做LACP聚合​​（需通过策略路由分流），建议采用 ​​多EIP会话+路由权重​​ 实现双拨号负载均衡。

​​替代方案（双WAN负载均衡）​​：

​​b. 配置下行聚合接口（GE3-GE4 → S5560）​​

​​2. S5560汇聚交换机配置​​

​​a. 配置上行聚合接口（连接ACG）​​

​​b. 配置默认路由指向防火墙​​

​​3. 网关部署方案（二选一）​​

​​推荐方案​​：

• •

  ​​中小型网络​​：网关部署在 ​​ACG防火墙​​（利用其安全功能）

• •

  ​​大型网络​​：网关部署在 ​​S5560交换机​​（通过interface Vlan-interface配置）

​​三、GE1/GE2拨号聚合可行性分析​​

1. 1.

   ​​物理层聚合（LACP）​​：

   ❌ ​​不可行​​

   • •

     PPPoE拨号需建立独立会话，LACP聚合会破坏PPPoE协商。

2. 2.

   ​​逻辑层聚合（多WAN负载均衡）​​：

   ✅ ​​替代方案​​

   • •

     配置 ​​两条默认路由+相同优先级​​（权重负载）：

     ip route-static 0.0.0.0 0 dialer 1 preference 60 ip route-static 0.0.0.0 0 dialer 2 preference 60
   • •

     启用 ​​会话保持​​ 避免同一连接跨线路中断：

     loadbalance default-route sticky # 启用基于源IP的会话保持

​​四、验证命令​​

1. 1.

   ​​检查聚合状态（ACG）​​：

   display link-aggregation summary # 查看聚合组状态 display interface Bridge-Aggregation2 # 检查聚合口带宽
2. 2.

   ​​测试网关互通​​：

   ping 10.1.1.1 # 从交换机Ping防火墙网关 tracert 114.114.114.114 # 跟踪外网路径
3. 3.

   ​​检查路由（S5560）​​：

   display ip routing-table # 确认默认路由指向防火墙

​​五、关键注意事项​​

1. 1.

   ​​LACP协商参数一致​​：

   • •

     聚合模式（如mode active/passive）、Hash算法需两端匹配。

2. 2.

   ​​MTU设置​​：

   • •

     PPPoE拨号接口MTU建议设为 ​​1492​​（避免分片）：

     interface Dialer1 mtu 1492
3. 3.

   ​​安全策略​​：

   • •

     防火墙需放行内网到WAN的trust-untrust策略。

通过以上配置，可实现：

• •

  GE3/GE4 → 2Gbps聚合带宽

• •

  双PPPoE线路负载均衡（总带宽≈2000M）

• •

  网关与路由高效协同