华为防火墙实现多线路智能选路

布满荆棘的人生 2022-01-15 04:13 895阅读 0赞

分公司因项目需要，上线一台华为的防火墙，为了保障互联网出口的可用性，使用了两条SP链路，一条联通50M企业专线，一条电信200M拨号链路。项目的需求是：

1. 连接到总部的×××流量，优先使用联通线路；

2. 用户上网的流量，优先使用电信线路；

3. 当一条公网链路出现故障时，能自动进行切换。

需求出来后，就需要进行实施了，怎么实现需求呢：

1. 需置两条链路都要能上网

2. 配置健康状态检查，当检测到一条链路断开，就不会使用这条链路转发流量

3. 做策略路由，使用根据链路优先级主备模式的数据转发模式

接口配置：g1/0/0 联通专线，静态公网IP，另外配置了一个地址池；      g1/0/1，电信拨号链路，使用Easy IP的NAT方式；       g1/0/2，内网接口

安全区域：g1/0/0和g1/0/1都配置在untrust区域，LAN口配置在Trust区域

一、 配置上网，包括安全策略、NAT策略和默认路由

1. 接口配置：配置公网接口和内网接口的IP地址及选择相应的健康状态检查，第一步需要注意的就是，对上行的公网接口，需要选定健康状态检查的选项。

g1/0/0

[![image][]][image 1]

[![image][image 2]][image_image 2]

g1/0/1

[![image][image 3]][image_image 3]

[![image][image 4]][image_image 4]

2. 安全策略：对于从untrust到trust的所有流量，动作为permit。

[![image][image 5]][image_image 5]

3. NAT策略，需要两条

A. 一条是出接口为联通的，转换为addressgroup1中的地址。这个地址，在WEB界面，我只发现了在选择地址池那里新建，没有看到别的位置。命令行可以进行配置

nat address-group addressgroup1 0  
  mode pat  
  route enable  
  section 0 58.241.X.X 58.241.X.X

[![image][image 6]][image_image 6]

[![image][image 7]][image_image 7]

3. 默认路由和回包路由

写两条默认路由，分别指向电信和联通，由于电信是PPPOE拨号的，所以直接写成出接口Dialer0

[![image][image 8]][image_image 8]

二、 对上行的SP链路进行健康检查

这一步，应该放到最前面，并在接口下进行引用

链路健康状态的检查，实际上就是FW使用公网接口，每隔指定的时间（5秒），对目的地址进行连通性测试，如果测试失败，则认为这条上行链路断开，在使用策略路由后，会进行链路的切换

被测试的地址，如果你的链路是固定的公网IP，可以指定为网关，如果是拨号链路，可以指定为SP的一DNS地址。

[![image][image 9]][image_image 9]

三、配置策略路由，使用主备式的多出口方法，通过优先级来实现选路

由于我们的需求是将×××流量和普通上网流量进行区分，所以我这边的多出口选项，选用的是根据链路优先级进行主备备份的方式转发数据包。对于两条SP链路，你想使用哪一条转发，则将该接口的优先级调大。

1. ×××流量优先走联通（由于我们使用的×××是单臂模式进行部署的，所以我们的×××流量总是以×××设备为源地址转发到目的地址的。当然，这个流量也可以使用目的IP为对端的公网IP或者协议的端口号进行识别，此处需要了解IPSec  ×××的数据包封装的知识）

[![image][image 10]][image_image 10]

[![image][image 11]][image_image 11]

2. 上网流量，优先走电信

[![image][image 12]][image_image 12]

[![image][image 13]][image_image 13]

接下来可以进行测试了，在我的真实环境中，智能选路结果如下：

1. 对于上网的流量，丢包在0~2个，用户基本无感知

2. 对于IPSec ×××的流量，由于联通链路中断，会丢失×××连接，需要进行重新连接，断网在20秒左右

这样，就实现了我们的高可用需求。任意一条公网链路down掉，都不会影响用户使用网络办公。对于智能选路的方式，还有根据带宽比例负载等，这些可以根据大家的需求使用。

附华为USG6000系列FW的手册，更多内容可以参考手册。

[https://support.huawei.com/hedex/hdx.do?docid=EDOC1100068395&lang=zh&idPath=7919710%7C9856724%7C21430823%7C21100508%7C8661805][https_support.huawei.com_hedex_hdx.do_docid_EDOC1100068395_lang_zh_idPath_7919710_7C9856724_7C21430823_7C21100508_7C8661805]

转载于:https://blog.51cto.com/liu008qing/2384205

[image]: https://s1.51cto.com/images/blog/201904/24/d624ca1aff7470d6110cb02116061081.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 1]: https://s1.51cto.com/images/blog/201904/24/1707f393cde3896b3baa789267d28aea.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 2]: https://s1.51cto.com/images/blog/201904/24/582a3a067c5105dacbf5d357fbbc2dfa.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 2]: https://s1.51cto.com/images/blog/201904/24/3d04f32437cd81ae5cbd349da2a76de0.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 3]: https://s1.51cto.com/images/blog/201904/24/20ff42c47b6994e1a313e97d491328fd.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 3]: https://s1.51cto.com/images/blog/201904/24/61a8e47776a8b5a16a2c3f1ef45493c4.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 4]: https://s1.51cto.com/images/blog/201904/24/bed101a9739cd6d3defad919386f9bf1.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 4]: https://s1.51cto.com/images/blog/201904/24/b020a107da06fd59beef0615cf5a2d48.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 5]: https://s1.51cto.com/images/blog/201904/24/5dfde1334110e7f8496b80b6ab8441dd.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 5]: https://s1.51cto.com/images/blog/201904/24/ffbdd36cb5bb675f45a236cc0074980c.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 6]: https://s1.51cto.com/images/blog/201904/24/402f6acd4e9da72cdf921cab90490bec.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 6]: https://s1.51cto.com/images/blog/201904/24/4f87508a1242e4370526f8204dd530e7.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 7]: https://s1.51cto.com/images/blog/201904/24/28cdf5dee7371e57d7c2777e9e8df002.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 7]: https://s1.51cto.com/images/blog/201904/24/cdc31159e441c08c81311bdf13d25233.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 8]: https://s1.51cto.com/images/blog/201904/24/3429959ba1103a02a9829e30671151d1.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 8]: https://s1.51cto.com/images/blog/201904/24/eeb22963b628ec3785b30ff784402e4f.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 9]: https://s1.51cto.com/images/blog/201904/24/22d5070ad61f87e48494d51eaa9ec4ff.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 9]: https://s1.51cto.com/images/blog/201904/24/1192cb12df130ca964d3a144819a1613.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 10]: https://s1.51cto.com/images/blog/201904/24/8628d0ebe0c520f51f5ede4dd9fbe88b.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 10]: https://s1.51cto.com/images/blog/201904/24/b2a9e57a0918763cb5c4c9829b5de016.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 11]: https://s1.51cto.com/images/blog/201904/24/4b0807f2dd460f9c745f9129f03398fc.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 11]: https://s1.51cto.com/images/blog/201904/24/6e1cb3dbb51f4fd02929bfc34b4632d8.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 12]: https://s1.51cto.com/images/blog/201904/24/df64dfea98c2e10ea5b18493f56539c8.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 12]: https://s1.51cto.com/images/blog/201904/24/20c60ed028f09fbaf06d3bbd0e1f3d72.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image 13]: https://s1.51cto.com/images/blog/201904/24/763a2c8f60f6aa7c9e64efa0ca8fa591.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[image_image 13]: https://s1.51cto.com/images/blog/201904/24/40992935dd5ed7ed5ea626255de26ee4.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=
[https_support.huawei.com_hedex_hdx.do_docid_EDOC1100068395_lang_zh_idPath_7919710_7C9856724_7C21430823_7C21100508_7C8661805]: https://support.huawei.com/hedex/hdx.do?docid=EDOC1100068395&lang=zh&idPath=7919710%7C9856724%7C21430823%7C21100508%7C8661805