这是最常见的需求。企业同时拥有多条互联网线路(如一条电信、一条联通),希望通过防火墙将内部用户访问互联网的流量智能地分发到不同的链路上,实现增加带宽、链路冗余和优化体验的目的。
配置步骤:
配置接口:分别将两个接口(如G1/0/1和G1/0/2)连接到两个不同的运营商,并配置好IP地址、子网掩码和默认网关。
interface GigabitEthernet1/0/1
description Link_to_ChinaTelecom
ip address 202.96.128.10 255.255.255.252
quit
interface GigabitEthernet1/0/2
description Link_to_ChinaUnicom
ip address 211.90.1.10 255.255.255.252
quit
配置NAT:为两个出接口分别配置NAT,确保流量从各自接口出去时能做地址转换。
# 创建ACL 2000,匹配需要上互联网的内网网段(例如 192.168.1.0/24)
acl basic 2000
rule permit source 192.168.1.0 0.0.0.255
quit
# 在电信接口下应用NAT
interface GigabitEthernet1/0/1
nat outbound 2000
quit
# 在联通接口下应用NAT
interface GigabitEthernet1/0/2
nat outbound 2000
quit
这是实现负载均衡的核心。策略路由可以绕过传统的路由表,根据源IP、目的IP等条件指定流量的出口。
创建ACL匹配流量:创建高级ACL来定义需要被负载均衡的流量。
acl advanced 3000
rule permit ip source 192.168.1.0 0.0.0.255 destination any
quit
创建流行为(Traffic Behavior):定义动作,即设置报文的下一跳或出接口。
# 创建流行为,命名为LB-TELECOM,指定下一跳为电信网关
traffic behavior LB-TELECOM
apply ip-address next-hop 202.96.128.9
quit
# 创建流行为,命名为LB-UNICOM,指定下一跳为联通网关
traffic behavior LB-UNICOM
apply ip-address next-hop 211.90.1.9
quit
创建流分类(Traffic Classifier)并绑定流行为:将ACL和流行为关联起来,形成完整的策略。
# 创建流分类,匹配ACL 3000
traffic classifier LB-Traffic operator and
if-match acl 3000
quit
# 创建QoS策略,并将流分类与不同的流行为绑定
qos policy LB-Policy
classifier LB-Traffic behavior LB-TELECOM mode load-sharing 50 # 50%的流量走电信
classifier LB-Traffic behavior LB-UNICOM mode load-sharing 50 # 50%的流量走联通
quit
mode load-sharing 50
表示按权重进行负载分担,这里权重各为50,即1:1分流。
应用QoS策略:在内网接口的入方向应用该策略。
interface GigabitEthernet1/0/0 # 假设这是内网接口
qos apply policy LB-Policy inbound
quit
为了实现链路故障时自动切换,需要为每条线路配置NQA检测,检测对端网关或DNS是否可达。
配置NQA
# 创建NQA管理员
nqa entry admin telcom-test
type icmp-echo
destination ip 202.96.128.9 # 电信网关
frequency 1000
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
quit
nqa schedule admin telcom-test start-time now lifetime forever
nqa entry admin unicom-test
type icmp-echo
destination ip 211.90.1.9 # 联通网关
frequency 1000
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
quit
nqa schedule admin unicom-test start-time now lifetime forever
在策略路由中关联NQA:修改之前的流行为,加入跟踪NQA。
traffic behavior LB-TELECOM
apply ip-address next-hop 202.96.128.9 track nqa admin telcom-test
quit
traffic behavior LB-UNICOM
apply ip-address next-hop 211.90.1.9 track nqa admin unicom-test
quit
这样配置后,当NQA检测到电信网关不可达时,会自动将全部流量切换到联通线路上。
此场景用于对外提供服务的多台服务器(如Web集群)。防火墙将外部用户发来的请求,按一定算法分发到内部多台真实的服务器上。
配置步骤:
创建实服务器(Real Server)
ip loadbalance real-server rs1 # 创建实服务器rs1
ip 192.168.10.10 # 真实服务器1的IP
quit
ip loadbalance real-server rs2
ip 192.168.10.11 # 真实服务器2的IP
quit
创建实服务器组(Real Server Group)并添加成员
ip loadbalance real-server-group web-group
predictor round-robin # 调度算法:轮询
real-server rs1
real-server rs2
quit
创建虚拟服务器(Virtual Server)
ip loadbalance virtual-server vs-web
vip 61.136.145.20 tcp 80 # 对外提供的公网IP和端口
virtual-server-group web-group # 绑定真实的服务器组
sticky enable # (可选)开启会话保持
quit
配置NAT Server:将虚拟服务器的公网IP映射到实服务器组。
interface GigabitEthernet1/0/1 # 在出接口上配置
nat server protocol tcp global 61.136.145.20 80 inside server-group web-group
quit
功能 | 核心技术 | 主要命令 |
---|---|---|
出向负载均衡 | 策略路由 (PBR) + NQA |
|
入向负载均衡 | 服务器负载均衡 (SLB) |
|
配置后验证:
出向负载:在内网多次执行 tracert www.qq.com
,观察下一跳地址是否在不同运营商的网关之间变化。或在防火墙上使用 display qos policy interface GigabitEthernet1/0/0 inbound
查看策略匹配的报文计数。
入向负载:从外网多次访问虚拟IP,观察后台真实服务器的访问日志,看请求是否被轮流分配。
故障切换:手动断开一条运营商线路,观察NQA状态 (display nqa result
),并测试内网用户上网是否依然正常。
请注意: 以上配置为通用模板,实际配置需根据您的网络拓扑和IP地址进行调整。建议在操作前备份配置,并在变更窗口进行。
(0)
暂无评论
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论