关于防火墙链路负载均衡配置
- 2关注
- 8收藏，2922浏览
问题描述：
客户现场采用 一百兆电信出口，二百兆移动出口，内网有五个网段需要访问外网，同时每根专线都映射了几台服务器到公网。现在采用的策略路由的方式，经常出现某一条链路负载高，另外一条链路负载比较低。现在想换成负载均衡的配置，想问一下各位大佬，这种情况应该采用哪种负载均衡，还有配置思路跟步骤，感谢！
组网及组网描述：
- 2020-08-23提问
- 举报
-
(0)
最佳答案
V7防火墙多WAN链路负载均衡配置方法（命令行）
目录
3.5.4 建立财务负载规则匹配172.16.0.0财务网段... 6
1 配置需求及说明
1.1 适用的产品系列
本案例适用于软件平台为Comware V7系列防火墙：F100-X-G2、F1000-X-G2、F100-X-WiNet、F1000-AK、F10X0等。
1.2 配置需求及实现的效果
某公司为达到业务流量快速转发和链路冗余需求申请了三条不同运营商的外网线路，需要实现如下需求：
1）要求内网用户访问目的地址为移动链路数据从移动链路转发、访问目的地址为联通链路数据从联通链路转发、访问目的地址为电信链路数据从电信链路转发需求。
2）财务部门因为经常访问网银等支付平台，目前不希望出口IP地址经常变化。指定财务数据从电信转发并希望当电信流量负载到带宽的90%后，后面流量负载到联通链路上。
2 组网图
说明：
|
ISP |
外网接口 |
公网地址/掩码 |
公网网关 |
|
移动 |
1/0/3 |
218.200.5.8/24 |
218.200.5.9 |
|
联通 |
1/0/2 |
14.204.0.2/24 |
14.204.0.1 |
|
电信 |
1/0/1 |
202.90.112.2/24 |
202.90.112.1 |
3 配置步骤
3.1 创建NQA探测组用于链路探测
探测组名称为nqa，描述为test。用于检测链路健康性。
<H3C>system
[H3C]nqa template icmp nqa
[H3C-nqatplt-icmp-nqa]description test
[H3C-nqatplt-icmp-nqa]reaction trigger per-probe
[H3C-nqatplt-icmp-nqa]quit
3.2 基本组网配置
3.2.1 外网接口配置
配置电信链路接口地址，并开启保存上一跳功能。
[H3C]interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1]ip address 202.90.112.2 255.255.255.0
[H3C-GigabitEthernet1/0/1]ip last-hop hold
[H3C-GigabitEthernet1/0/1]nat outbound
[H3C-GigabitEthernet1/0/1]quit
配置联通链路接口地址，并开启保存上一跳功能。
[H3C]interface GigabitEthernet1/0/2
[H3C-GigabitEthernet1/0/2]ip address 14.204.0.2 255.255.255.0
[H3C-GigabitEthernet1/0/2]ip last-hop hold
[H3C-GigabitEthernet1/0/2]nat outbound
[H3C-GigabitEthernet1/0/2]quit
配置移动链路接口地址，并开启保存上一跳功能。
[H3C]interface GigabitEthernet1/0/3
[H3C-GigabitEthernet1/0/3]ip address 218.200.5.8 255.255.255.0
[H3C-GigabitEthernet1/0/3]ip last-hop hold
[H3C-GigabitEthernet1/0/3]nat outbound
[H3C-GigabitEthernet1/0/3]quit
3.2.2 安全域及安全策略配置
将外网接口加入不信任区域
[H3C]security-zone name Untrust
[H3C-security-zone-Untrust]import interface Dialer1
[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/1
[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/2
[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/3
[H3C-security-zone-Untrust]quit
创建对象策略pass，因为本章内容主要介绍负载均衡，域间策略采用最简配置请见谅。
[H3C]object-policy ip pass
[H3C-object-policy-ip-pass] rule 0 pass
[H3C-object-policy-ip-pass]quit
创建any到any域的域间策略调用pass策略。
[H3C]zone-pair security source any destination any
[H3C-zone-pair-security- Any-Any]object-policy apply ip pass
[H3C-zone-pair-security- Any-Any]quit
3.2.3 路由设置
设置路由防止在负载均衡配置前或者负载均衡失效后网络不通问题
[H3C]ip route-static 0.0.0.0 0 218.200.5.9 preference 80
[H3C]ip route-static 0.0.0.0 0 14.204.0.1 preference 70
[H3C]ip route-static 0.0.0.0 0 202.90.112.1
3.3 配置链路组
设置链路失败的reschedule：重定向连接，即把连接重定向到链路组中其它可用的链路上。并使用transparent enable关闭链路组本身的NAT功能并绑定nqa探测组。
3.3.1 配置移动链路组
[H3C]loadbalance link-group cmcc
[H3C-lb-lgroup-cmcc]fail-action reschedule
[H3C-lb-lgroup-cmcc]transparent enable
[H3C-lb-lgroup-cmcc]probe nqa.
[H3C-lb-lgroup-cmcc]quit
3.3.2 配置联通链路组
[H3C]loadbalance link-group cnc
[H3C-lb-lgroup-cnc]fail-action reschedule
[H3C-lb-lgroup-cnc]transparent enable
[H3C-lb-lgroup-cnc]probe nqa.
[H3C-lb-lgroup-cnc]quit
3.3.3 配置电信链路组
[H3C]loadbalance link-group china-isp
[H3C-lb-lgroup-china-isp]fail-action reschedule
[H3C-lb-lgroup-china-isp]transparent enable
[H3C-lb-lgroup-china-isp]probe nqa
[H3C-lb-lgroup-china-isp]quit
3.3.4 配置财务链路组
[H3C]loadbalance link-group caiwu
[H3C-lb-lgroup-caiwu]fail-action reschedule
[H3C-lb-lgroup-caiwu]transparent enable
[H3C-lb-lgroup-caiwu]probe nqa
[H3C-lb-lgroup-caiwu]quit
3.4 配置链路
router ip指链路的网关地址，将链路绑定链路组后该链路才能生效。
3.4.1 配置移动链路
[H3C]loadbalance link cmcc-link
[H3C-lb-link-cmcc-link]router ip 218.200.5.9
[H3C-lb-link-cmcc-link]link-group cmcc
[H3C-lb-link-cmcc-link]probe nqa
[H3C-lb-link-cmcc-link]quit
3.4.2 配置联通链路
[H3C]loadbalance link cnc-link
[H3C-lb-link-cnc-link]router ip 14.204.0.1
[H3C-lb-link-cnc-link]link-group cnc
[H3C-lb-link-cnc-link]probe nqa
[H3C-lb-link-cnc-link]quit
3.4.3 配置电信链路
将电信链路带宽调整为100M，设置带宽繁忙比当带宽利用率超过90%*100M=90M，新建session会负载到其他链路。
[H3C]loadbalance link chinanet-link
[H3C-lb-link-cnc-chinanet-link]router ip 202.90.112.1
[H3C-lb-link-cnc-chinanet-link]link-group china-isp
[H3C-lb-link-cnc-chinanet-link]probe nqa
[H3C-lb-link-cnc-chinanet-link]max-bandwidth outbound 102400
[H3C-lb-link-cnc-chinanet-link]bandwidth outbound busy-rate 90
[H3C-lb-link-cnc-chinanet-link]quit
3.4.4 配置财务链路
[H3C]loadbalance link link-caiwu
[H3C-lb-link- link-caiwu] router ip 202.90.112.1
[H3C-lb-link- link-caiwu] link-group caiwu
[H3C-lb-link- link-caiwu]quit
3.5 配置负载均衡规则匹配运营商路由表
3.5.1 建立移动负载规则匹配移动数据
[H3C]loadbalance class cmcc type link-generic match-any
[H3C-lbc-link-generic-cmcc]match 1 isp cmcc
[H3C-lbc-link-generic-cmcc]quit
3.5.2 建立联通负载规则匹配联通数据
[H3C]loadbalance class cnc type link-generic match-any
[H3C-lbc-link-generic-cnc]match 1 isp cnc
[H3C-lbc-link-generic-cnc]quit
3.5.3 建立电信负载规则匹配电信数据
[H3C]loadbalance class chinanet type link-generic match-any
[H3C-lbc-link-generic-chinanet]match 1 isp chinatel
[H3C-lbc-link-generic-chinanet]quit
3.5.4 建立财务负载规则匹配172.16.0.0财务网段
[H3C] loadbalance class caiwu type link-generic match-any
[H3C-lbc-link-generic-caiwu]match 1 source ip address 172.16.0.0 24
[H3C-lbc-link-generic-caiwu]quit
3.6 配置负载均衡行为匹配各链路组
配置负载行为绑定各链路组，设置转发失败规则为继续匹配。
3.6.1 建立移动负载均衡行为匹配移动链路组
[H3C]loadbalance action cmcc type link-generic
[H3C-lbc-link-generic- cmcc]link-group cmcc
[H3C-lbc-link-generic- cmcc]fallback-action continue
[H3C-lbc-link-generic- cmcc]quit
3.6.2 建立联通均衡行为匹配联通链路组
[H3C]loadbalance action cnc type link-generic
[H3C-lbc-link-generic-cnc]link-group cnc
[H3C-lbc-link-generic-cnc]fallback-action continue
[H3C-lbc-link-generic-cnc]quit
3.6.3 建立电信负载均衡行为匹配电信链路组
[H3C]loadbalance action chinanet type link-generic
[H3C-lbc-link-generic-chinanet]link-group china-isp
[H3C-lbc-link-generic-chinanet]fallback-action continue
[H3C-lbc-link-generic-chinanet]quit
3.6.4 建立财务负载均衡行为匹配财务链路组
[H3C]loadbalance action caiwu type link-generic
[H3C-lbc-link-generic-caiwu]link-group caiwu
[H3C-lbc-link-generic-caiwu]fallback-action continue
[H3C-lbc-link-generic-caiwu]quit
3.7 配置负载均衡策略
负载均衡策略严格按照配置顺序进行匹配，如果需要财务数据优先匹配需要将优先配置。
[H3C]loadbalance policy 1 type link-generic
[H3C-lbp-link-generic-1]class caiwu action caiwu
[H3C-lbp-link-generic-1]class chinanet action chinanet
[H3C-lbp-link-generic-1]class cmcc action cmcc
[H3C-lbp-link-generic-1]class cnc action cnc
3.8 配置虚服务策略
配置LB虚服务，虚服务地址为0.0.0.0/0表示内网访问所有的数据将会匹配虚服务进行转发，lb策略调用之前创建的策略1，如果无法匹配运营商的数据缺省从移动转发。
[H3C]virtual-server outbound type link-ip
[H3C-vs-link-ip-outbound]virtual ip address 0.0.0.0 0
[H3C-vs-link-ip-outbound]lb-policy 1
[H3C-vs-link-ip-outbound]default link-group cmcc
[H3C-vs-link-ip-outbound]service enable
[H3C-vs-link-ip-outbound]quit
3.9 保存配置
[H3C]quit
<H3C>save force
3.10 配置验证
3.10.1 测试电信链路
在内网找一台地址为192.168.0.2的电脑，访问外网一个地址看是从哪个接口出？用来
判断ISP路由是否配置正确？将外网模拟设备的IP地址修改为1.4.1.1进行测试。
设备内置的电信路由表：
Teacert结果：
防火墙会话：
查看数据是否从对应链路组转发。
3.10.2 测试联通链路
在内网找一台地址为192.168.0.2的电脑，访问外网一个地址看是从哪个接口出？用来
判断ISP路由是否配置正确？将外网模拟设备的IP地址修改为27.50.128.1进行测试。
设备内置的联通路由表：
Teacert结果：
防火墙会话：
3.10.3 测试移动链路
在内网找一台地址为192.168.0.2的电脑，访问外网一个地址看是从哪个接口出？用来
判断ISP路由是否配置正确？将外网模拟设备的IP地址修改为43.251.244.1进行测试。
设备内置的移动路由表：
Teacert结果：
防火墙会话：
3.10.4 测试总结
测试结果符合需求预期，可以达到数据的准确转发。
V7防火墙多WAN负载负载后虚拟服务器映射异常解决方法（命令行）
目录
1.4.1 配置LB策略将服务器流量强制到内网进行转发... 2
1 配置需求及说明
1.1 适用的产品系列
本案例适用于软件平台为Comware V7系列防火墙：F100-X-G2、F1000-X-G2、F100-X-WiNet、F1000-AK、F10X0等。
1.2 问题现象
某公司为达到业务流量快速转发和链路冗余需求申请了两条不同运营商的外网线路，目前需要配置负载均衡将公司内网数据负载到两条运营商链路，部署前内网有一台WEB服务器可以被外网访问，但是在配置负载均衡后链路负载功能正常，但是服务器映射功能失效，导致访问服务器业务中断。
组网图
说明：
|
ISP |
外网接口 |
公网地址/掩码 |
公网网关 |
|
移动 |
1/0/3 |
218.200.5.8/24 |
218.200.5.9 |
|
电信 |
1/0/1 |
202.90.112.2/24 |
202.90.112.1 |
1.3 问题原因分析
1.3.1 配置分析
下面配置为现场虚服务的相关配置，在“virtual ip address”位置填写了0.0.0.0/0。
virtual-server outbound type link-ip
virtual ip address 0.0.0.0 0
lb-policy 1
default link-group cmcc
service enable
通常出方向链路均衡虚服务配置为通配地址 0.0.0.0/0，协议任意/端口号任意，此时如果有外网发起的到内网的连接请求，就匹配0.0.0.0/0这个虚服务，所以现场到外网的负载均衡业务正常，但是当服务器数据从外网转发过来是也会同样匹配这条0.0.0.0/0的虚服务，即访问服务器的数据又被匹配负载均衡策略转发至外网。
1.4 问题解决方法
1.4.1 配置LB策略将服务器流量强制到内网进行转发
具体实现原理：将服务器的流量也看做一条链路，匹配对应数据后匹配路由表转发。
\\创建匹配到内网服务器的流量不做负载的访问控制表，192.168.0.100为内网服务器的地址，218.200.5.8为映射的公网地址。
acl advanced 3002
rule 0 permit ip destination 192.168.0.100 0
rule 5 permit ip destination 218.200.5.8 0
\\配置服务规格匹配到服务器的流量
loadbalance class server type link-generic match-any
match 1 acl 3002
\\配置负载均衡动作为转发，即匹配策略的数据按照设备自身路由表转发。
loadbalance action server type link-generic
forward all
fallback-action continue
\\在LB策略中将服务器策略置顶
loadbalance policy 1 type link-generic
class server action server \\匹配服务器的流量
class caiwu action caiwu \\财务的流量优先走电信
class cmcc action cmcc
class cnc action cnc
class chinanet action chinanet
- 2020-08-23回答
- 评论(1)
- 举报
-
(0)
您好，请知：
由于防火墙在出口的位置，可使用出方向的负载均衡，以下是配置举例，请参考：
3.18.1? 出方向链路负载均衡基本组网配置举例
1. 组网需求
用户从两个运营商ISP 1和ISP 2处分别租用了链路Link 1和Link 2，这两条链路的路由器跳数、带宽和成本均相同，但Link 1的网络延迟小于Link 2。通过配置链路负载均衡，使Host访问Server时优先选择这两条链路中的最优链路。
2. 组网图
图3-4 出方向链路负载均衡基本组网配置组网图
?
3. 配置步骤
(1) 配置接口IP地址、路由、安全域及域间策略保证网络可达，具体配置步骤略。
(2) 配置链路组
# 创建ICMP类型的NQA模板t1，并配置每次探测结果发送机制。
[Device] nqa template icmp t1
[Device-nqatplt-icmp-t1] reaction trigger per-probe
[Device-nqatplt-icmp-t1] quit
# 指定缺省就近性探测方法为t1，并配置就近性计算的网络延迟权值为200。
[Device] loadbalance proximity
[Device-lb-proximity] match default probe t1
[Device-lb-proximity] rtt weight 200
[Device-lb-proximity] quit
# 创建链路组lg，并开启就近性功能。
[Device] loadbalance link-group lg
[Device-lb-lgroup-lg] proximity enable
# 关闭NAT功能。
[Device-lb-lgroup-lg] transparent enable
[Device-lb-lgroup-lg] quit
(3) 配置链路
# 创建链路link1，配置其下一跳IPv4地址为10.1.1.2，并加入链路组lg。
[Device] loadbalance link link1
[Device-lb-link-link1] router ip 10.1.1.2
[Device-lb-link-link1] link-group lg
[Device-lb-link-link1] quit
# 创建链路link2，配置其下一跳IPv4地址为20.1.1.2，并加入链路组lg。
[Device] loadbalance link link2
[Device-lb-link-link2] router ip 20.1.1.2
[Device-lb-link-link2] link-group lg
[Device-lb-link-link2] quit
(4) 配置虚服务器
# 创建LINK-IP类型的虚服务器vs，配置其VSIP为通配0.0.0.0/0，指定其缺省主用链路组为lg，并开启此虚服务器。
[Device] virtual-server vs type link-ip
[Device-vs-link-ip-vs] virtual ip address 0.0.0.0 0
[Device-vs-link-ip-vs] default link-group lg
[Device-vs-link-ip-vs] service enable
[Device-vs-link-ip-vs] quit
4. 验证配置
# 显示所有链路的简要信息。
[Device] display loadbalance link brief
Link ????????????Route IP???????? ????State??????? VPN instance? ?Link group
link1??????????? 10.1.1.2 ????????????Active???????? ?????????????lg
link2??????????? 20.1.1.2 ????????????Active???????? ?????????????lg
# 显示所有链路组的详细信息。
[Device] display loadbalance link-group
Link group: lg
? Description:
? Predictor: Round robin
? Proximity: Enabled
? NAT: Disabled
? SNAT pool:
? Failed action: Keep
? Active threshold: Disabled
? Slow-online: Disabled
? Selected link: Disabled
? Probe information:
??? Probe success criteria: All
??? Probe method:
?? ?t1
? Total link: 2
? Active link: 2
? Link list:
? Name????????? State???????? VPN instance? Router IP??????????? Weight Priority
? link1???????? Active?????? ???????????????10.1.1.2? ???????????100?? ?4
? link2???????? Active?????? ???????????????20.1.1.2 ????????????100?? ?4
# 显示所有虚服务器的详细信息。
[Device] display virtual-server
Virtual server: vs
? Description:
? Type: LINK-IP
? State: Active
? VPN instance:
? Virtual IPv4 address: 0.0.0.0/0
? Virtual IPv6 address: --
? Port: 0
? Primary link group: lg (in use)
? Backup link group:
? Sticky:
? LB policy:
? LB limit-policy:
? Connection limit: --
? Rate limit:
??? Connections: --
??? Bandwidth: --
??? Inbound bandwidth: --
??? Outbound bandwidth: --
? Connection synchronization: Disabled
? Sticky synchronization: Disabled
? Bandwidth busy protection: Disabled
? Interface bandwidth statistics: Disabled
? Route advertisement: Disabled
# 显示所有IPv4就近性表项的简要信息。
[Device] display loadbalance proximity ip
(*) - Real server object
Slot 1:
??? IPv4 address/Mask length?????? Timeout???? Best link
??? ------------------------------------------------------------
??? 10.1.0.0/24??????????????????? 50????????? link1
?
以下是负载均衡的用户手册链接，请参考：
https://www.h3c.com/cn/d_202006/1307656_30005_0.htm#_Toc43156067
- 2020-08-23回答
- 评论(0)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
https://zhiliao.h3c.com/topic/huati/1248