secpath F1000-905-AI
- 0关注
- 0收藏，45浏览
策略路由实现
如下图所示，公司在网络出口部署了一台安全网关Device A，内网侧包含网络A（192.168.1.0/24）和网络B（192.168.2.0/24），外网侧租用了由不同运营商提供的线路A和线路B：其中线路A的接入设备为Device C，接入点IP地址为1.1.1.2/30；线路B的接入设备为Device D，接入点IP地址为2.2.2.2/30。需要实现如下需求：
网络A的用户访问外网时，优先使用线路A；网络B的用户访问外网时，优先使用线路B。
当线路A和B中的任何一条线路出现故障时，内网用户访问外网的流量还可以通过另外一条正常的线路进行转发。
/images/m230712x1z437/x_Img_x_png_0.png)
配置步骤
Device A的配置
配置接口的IP地址和安全域
# 选择“网络 > 接口 > 接口”，进入接口配置页面。
# 单击接口GE1/0/1右侧的<编辑>按钮，配置如下。
安全域：Trust
选择“IPv4地址”页签，配置IP地址/掩码：192.168.3.2/24
其他配置项使用缺省值
# 按照同样的步骤配置接口GE1/0/2，配置如下。
安全域：Untrust
选择“IPv4地址”页签，配置IP地址/掩码：1.1.1.1/30
其他配置项使用缺省值
# 按照同样的步骤配置接口GE1/0/3，配置如下。
安全域：Untrust
选择“IPv4地址”页签，配置IP地址/掩码：2.2.2.1/30
其他配置项使用缺省值
# 单击<确定>按钮，完成接口IP地址和安全域的配置。
配置路由
本举例仅以静态路由为例，若实际组网中需采用动态路由，请配置对应的动态路由协议。
# 选择“网络 > 路由 > 静态路由 > IPv4静态路由”，单击<新建>按钮，进入新建IPv4静态路由页面。
# 新建访问网络A的IPv4静态路由，并进行如下配置：
目的IP地址：192.168.1.0
掩码长度：24
下一跳IP地址：192.168.3.1
其他配置项使用缺省值
# 单击<确定>按钮，完成静态路由的配置。
# 新建访问网络B的IPv4静态路由，并进行如下配置：
目的IP地址：192.168.2.0
掩码长度：24
下一跳IP地址：192.168.3.1
其他配置项使用缺省值
# 单击<确定>按钮，完成静态路由的配置。
配置安全策略
# 选择“策略 > 安全策略 > 安全策略”，单击<新建>按钮，选择新建策略，进入新建安全策略页面。
# 新建安全策略secpolicy，并进行如下配置：
名称：secpolicy
源安全域：Trust
目的安全域：Untrust
类型：IPv4
动作：允许
源IPv4地址：192.168.1.0/24、192.168.2.0/24
其他配置项使用缺省值
# 单击<确定>按钮，完成安全策略secpolicy的配置。
配置ACL
# 选择“对象 > ACL > IPv4”，进入IPv4 ACL配置页面。
# 单击<新建>按钮，创建用于匹配网络A内用户访问外网流量的ACL，配置如下图所示。
图-2 新建编号为3000的ACL
/images/m230712x1z437/x_Img_x_png_1.png)
# 单击<确定>按钮，继续添加规则，配置如下图所示。
图-3 为编号为3000的ACL添加规则
/images/m230712x1z437/x_Img_x_png_2.png)
# 单击<确定>按钮，完成ACL 3000的配置。
# 再次单击<新建>按钮，创建用于匹配网络B内用户访问外网流量的ACL，配置如下图所示。
图-4 新建编号为3001的ACL
/images/m230712x1z437/x_Img_x_png_3.png)
# 单击<确定>按钮，继续添加规则，配置如下图所示。
图-5 为编号为3001的ACL添加规则
/images/m230712x1z437/x_Img_x_png_4.png)
# 单击<确定>按钮，完成ACL配置。
配置策略路由
# 选择“网络 > 路由 > 策略路由 > IPv4策略路由”，进入IPv4策略路由配置页面。
# 单击<新建>按钮，新建IPv4策略路由，配置如下图所示。
图-6 新建IPV4策略路由
/images/m230712x1z437/x_Img_x_png_5.png)
# 单击<新建>按钮，新建编号为5的策略节点，用于指导网络A内用户访问外网流量的转发，配置如下图所示。
图-7 新建编号为5的策略节点
/images/m230712x1z437/x_Img_x_png_6.png)
# 单击“设置报文转发的下一跳地址”下方的<新建>按钮，配置报文转发的下一跳地址，配置如下图所示。
图-8 设置报文转发的下一跳地址
/images/m230712x1z437/x_Img_x_png_7.png)
# 单击<确定>按钮，完成下一跳地址配置。
# 单击<确定>按钮，完成策略节点配置。
# 再次单击<新建>按钮，新建编号为10的策略节点，用于指导网络B内用户访问外网流量的转发，配置如下图所示。
图-9 新建编号为10的策略节点
/images/m230712x1z437/x_Img_x_png_8.png)
# 单击“设置报文转发的下一跳地址”下方的<确定>按钮，配置报文转发的下一跳地址，配置如下图所示。
图-10 设置报文转发的下一跳地址
/images/m230712x1z437/x_Img_x_png_9.png)
# 单击<确定>按钮，完成下一跳地址配置。
# 单击<确定>按钮，完成策略节点配置。
# 单击<确定>按钮，完成IPv4策略路由配置。
Device B的配置
# 配置静态路由，确保内网用户访问外网的报文能被转发到Device A的接口GE1/0/1上，配置步骤略。
F1000-905-AI Web 配置：内网 192.168.1.0/24 全部走 G1/0/1 固定公网口（静态 1.1.1.1），G1/0/2 动态拨号做备用
两种方案：方案 1（最简：优先级默认路由，推荐）、方案 2（策略路由 PBR 强制出口）
接口说明：G1/0/1 = 固定静态公网 Untrust；G1/0/2=DHCP/PPPoE 动态公网 Untrust；内网口 = Trust 域（192.168.1.0/24）
方案一【最简优先，只改默认路由优先级，首选】
原理：G1/0/1 默认路由优先级 60（默认），G1/0/2 动态默认路由优先级改成 80（数值越大优先级越低），所有内网上网自动优先走 G1/0/1，G1/0/1 断网自动切 G1/0/2
菜单：网络→路由→IPv4 静态路由
①新建主默认路由（G1/0/1）
目的：0.0.0.0，掩码0，出接口：GigabitEthernet1/0/1，下一跳填运营商网关（1.1.1.1 对端网关），优先级60（默认不用改）→保存
②G1/0/2 动态线路（PPPoE/DHCP）：
PPPoE 拨号：拨号生成的默认路由，在拨号配置页把路由优先级改成80
DHCP 获取网关：静态路由新增 0.0.0.0 0 出接口 G1/0/2，优先级80
NAT 配置：两个外网口都配置源 NAT outbound，内网 192.168.1.0/24
菜单：策略→NAT→源 NAT，分别绑定 G1/0/1、G1/0/2 接口，源 192.168.1.0/24。
效果：正常全部走 G1/0/1，G1/0/1 掉线自动切 G1/0/2 动态线路。
方案二【策略路由强制固定出口（严格必须只走 G1/0/1，不自动切备用）】
步骤 1：新建高级 ACL 匹配内网网段
菜单：对象→ACL→IPv4 高级 ACL→新建 ACL3000
ACL 编号：3000
添加规则：协议 IP，源地址：192.168.1.0/255.255.255.0，目的：0.0.0.0/0.0.0.0（全网），动作允许→保存规则
步骤 2：新建 IPv4 策略路由
菜单：网络→路由→策略路由→IPv4 策略路由→新建
策略名称：IN_TO_G101
新建节点：Node 5（数字越小优先级越高）
匹配 ACL：勾选，选择 ACL3000
转发动作：指定出接口 GigabitEthernet1/0/1，或填写 G1/0/1 对端网关下一跳（二选一即可）
不配置备用下一跳 = 强制只能走 G1/0/1，断网无法上网；如需故障切 G1/0/2 再加备用下一跳 / 出接口
保存策略节点
步骤 3：在内网入接口应用策略路由（关键）
菜单：网络→接口→找到内网 Trust 接口（接内网交换机口）→编辑
IPv4 策略路由：下拉选中IN_TO_G101→勾选启用→确定保存
步骤 4：NAT 放行两个外网口
源 NAT：G1/0/1、G1/0/2 都配置 NAT，源 192.168.1.0/24，保证两条线路 NAT 可用。
补充关键配置（必做）
安全策略：Trust→Untrust 全通放行（内网访问外网安全策略允许）
菜单：策略→安全策略，源 Trust、目的 Untrust、动作允许。
G1/0/2 动态线路（PPPoE/DHCP）正常拨号上线即可，不改动原有拨号配置。
快速区分选型
想要主线路故障自动切备用动态网：用【方案一 优先级路由】
想要强制只能走 G1/0/1，不准走动态口、故障断网：用【方案二 策略路由】
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
如何检查对应的流量日志，配置没有发现什么问题