分公司因项目需要,上线一台华为的防火墙,为了保障互联网出口的可用性,使用了两条SP链路,一条联通50M企业专线,一条电信200M拨号链路。项目的需求是:

1. 连接到总部的×××流量,优先使用联通线路;

2. 用户上网的流量,优先使用电信线路;

3. 当一条公网链路出现故障时,能自动进行切换。


需求出来后,就需要进行实施了,怎么实现需求呢:

1. 需置两条链路都要能上网

2. 配置健康状态检查,当检测到一条链路断开,就不会使用这条链路转发流量

3. 做策略路由,使用根据链路优先级主备模式的数据转发模式





接口配置:g1/0/0 联通专线,静态公网IP,另外配置了一个地址池;      g1/0/1,电信拨号链路,使用Easy IP的NAT方式;       g1/0/2,内网接口

安全区域:g1/0/0和g1/0/1都配置在untrust区域,LAN口配置在Trust区域


一、 配置上网,包括安全策略、NAT策略和默认路由

1. 接口配置:配置公网接口和内网接口的IP地址及选择相应的健康状态检查,第一步需要注意的就是,对上行的公网接口,需要选定健康状态检查的选项。

g1/0/0

华为防火墙实现多线路智能选路_第1张图片

华为防火墙实现多线路智能选路_第2张图片

g1/0/1

华为防火墙实现多线路智能选路_第3张图片

华为防火墙实现多线路智能选路_第4张图片


2. 安全策略:对于从untrust到trust的所有流量,动作为permit。

华为防火墙实现多线路智能选路_第5张图片

3. NAT策略,需要两条

A. 一条是出接口为联通的,转换为addressgroup1中的地址。这个地址,在WEB界面,我只发现了在选择地址池那里新建,没有看到别的位置。命令行可以进行配置

nat address-group addressgroup1 0
  mode pat
  route enable
  section 0 58.241.X.X 58.241.X.X

华为防火墙实现多线路智能选路_第6张图片

华为防火墙实现多线路智能选路_第7张图片

3. 默认路由和回包路由

写两条默认路由,分别指向电信和联通,由于电信是PPPOE拨号的,所以直接写成出接口Dialer0

华为防火墙实现多线路智能选路_第8张图片

二、 对上行的SP链路进行健康检查

这一步,应该放到最前面,并在接口下进行引用

链路健康状态的检查,实际上就是FW使用公网接口,每隔指定的时间(5秒),对目的地址进行连通性测试,如果测试失败,则认为这条上行链路断开,在使用策略路由后,会进行链路的切换

被测试的地址,如果你的链路是固定的公网IP,可以指定为网关,如果是拨号链路,可以指定为SP的一DNS地址。

华为防火墙实现多线路智能选路_第9张图片

三、配置策略路由,使用主备式的多出口方法,通过优先级来实现选路

由于我们的需求是将×××流量和普通上网流量进行区分,所以我这边的多出口选项,选用的是根据链路优先级进行主备备份的方式转发数据包。对于两条SP链路,你想使用哪一条转发,则将该接口的优先级调大。


1. ×××流量优先走联通(由于我们使用的×××是单臂模式进行部署的,所以我们的×××流量总是以×××设备为源地址转发到目的地址的。当然,这个流量也可以使用目的IP为对端的公网IP或者协议的端口号进行识别,此处需要了解IPSec  ×××的数据包封装的知识)

华为防火墙实现多线路智能选路_第10张图片

华为防火墙实现多线路智能选路_第11张图片


2. 上网流量,优先走电信

华为防火墙实现多线路智能选路_第12张图片

华为防火墙实现多线路智能选路_第13张图片


接下来可以进行测试了,在我的真实环境中,智能选路结果如下:

1. 对于上网的流量,丢包在0~2个,用户基本无感知

2. 对于IPSec ×××的流量,由于联通链路中断,会丢失×××连接,需要进行重新连接,断网在20秒左右


这样,就实现了我们的高可用需求。任意一条公网链路down掉,都不会影响用户使用网络办公。对于智能选路的方式,还有根据带宽比例负载等,这些可以根据大家的需求使用。


附华为USG6000系列FW的手册,更多内容可以参考手册。

https://support.huawei.com/hedex/hdx.do?docid=EDOC1100068395&lang=zh&idPath=7919710%7C9856724%7C21430823%7C21100508%7C8661805