CLI舉例：配置ISP選路實現(xiàn)報文按運營商轉(zhuǎn)發(fā)

介紹通過配置ISP選路實現(xiàn)報文按運營商轉(zhuǎn)發(fā)的配置舉例。

組網(wǎng)需求

如圖1所示，F(xiàn)W作為安全網(wǎng)關(guān)部署在網(wǎng)絡(luò)出口，企業(yè)分別從ISP1和ISP2租用一條鏈路。

• 企業(yè)希望訪問Server 1的報文從ISP1鏈路轉(zhuǎn)發(fā)，訪問Server 2的報文從ISP2鏈路轉(zhuǎn)發(fā)。

• 當(dāng)其中一條鏈路故障時，后續(xù)流量可以通過另一條鏈路轉(zhuǎn)發(fā)，保證傳輸?shù)目煽啃浴?/p>

圖1?ISP選路組網(wǎng)圖

配置思路

1. 配置健康檢查功能，分別為ISP1和ISP2鏈路配置健康檢查。

2. 配置接口的IP地址、安全區(qū)域和網(wǎng)關(guān)地址，并在接口上應(yīng)用健康檢查。

3. 制作isp1.csv和isp2.csv兩個ISP地址文件，將Server 1的IP地址3.3.3.3寫入isp1.csv文件中；將Server 2的IP地址9.9.9.9寫入isp2.csv文件中，并上傳到FW上。

4. 配置ISP選路功能，使訪問Server 1的報文從ISP1鏈路轉(zhuǎn)發(fā)，訪問Server 2的報文從ISP2鏈路轉(zhuǎn)發(fā)。

5. 配置基本的安全策略，允許企業(yè)內(nèi)部用戶訪問外網(wǎng)資源。

本例著重介紹ISP選路相關(guān)的配置，其余配置如NAT請根據(jù)實際組網(wǎng)進行配置。

操作步驟

1. 開啟健康檢查功能，并為ISP1和ISP2鏈路分別新建一個健康檢查。

   <FW> system-view
   [FW] healthcheck enable
   [FW] healthcheck name isp1_health
   [FW-healthcheck-isp1_health] destination 3.3.10.10 interface GigabitEthernet 1/0/1 protocol tcp-simple destination-port 10001
   [FW-healthcheck-isp1_health] destination 3.3.10.11 interface GigabitEthernet 1/0/1 protocol tcp-simple destination-port 10002
   [FW-healthcheck-isp1_health] quit
   [FW] healthcheck name isp2_health
   [FW-healthcheck-isp2_health] destination 9.9.20.20 interface GigabitEthernet 1/0/7 protocol tcp-simple destination-port 10003
   [FW-healthcheck-isp2_health] destination 9.9.20.21 interface GigabitEthernet 1/0/7 protocol tcp-simple destination-port 10004
   [FW-healthcheck-isp2_health] quit

   此處假設(shè)3.3.10.10、3.3.10.11和9.9.20.20、9.9.20.21分別為ISP1和ISP2網(wǎng)絡(luò)中已知的設(shè)備地址。

   如果健康檢查配置完后，狀態(tài)一直為down，請檢查健康檢查的配置。

   對于V500R001C80之前的版本，需要在FW上配置對應(yīng)的安全策略，允許FW向目的設(shè)備發(fā)送健康檢查探測報文。對于V500R001C80及之后的版本，健康檢查的探測報文不受安全策略控制，默認放行，無需配置相應(yīng)安全策略。

2. 配置接口的IP地址和網(wǎng)關(guān)地址，并應(yīng)用對應(yīng)的健康檢查。

   [FW] interface GigabitEthernet 1/0/1
   [FW-GigabitEthernet1/0/1] ip address 1.1.1.1 255.255.255.0
   [FW-GigabitEthernet1/0/1] gateway 1.1.1.254
   [FW-GigabitEthernet1/0/1] healthcheck isp1_health
   [FW-GigabitEthernet1/0/1] quit
   [FW] interface GigabitEthernet 1/0/3
   [FW-GigabitEthernet1/0/3] ip address 10.3.0.1 255.255.255.0
   [FW-GigabitEthernet1/0/3] quit
   [FW] interface GigabitEthernet 1/0/7
   [FW-GigabitEthernet1/0/7] ip address 2.2.2.2 255.255.255.0
   [FW-GigabitEthernet1/0/7] gateway 2.2.2.254
   [FW-GigabitEthernet1/0/7] healthcheck isp2_health
   [FW-GigabitEthernet1/0/7] quit

3. 上傳ISP地址文件到FW，可以使用SFTP方式進行傳輸，導(dǎo)入的ISP地址文件固定存放在根目錄下名稱為isp的文件夾內(nèi)，具體步驟略。
4. 為ISP1和ISP2分別創(chuàng)建運營商名稱isp1_ifgrp和isp2_ifgrp，并關(guān)聯(lián)對應(yīng)的ISP地址文件。

   [FW] isp name isp1_ifgrp set filename isp1.csv
   [FW] isp name isp2_ifgrp set filename isp2.csv

5. 為ISP1和ISP2分別新建一個ISP接口組，并將接口加入對應(yīng)的ISP接口組，缺省下發(fā)對應(yīng)的ISP路由。

   [FW] interface-group 1 isp isp1_ifgrp
   [FW-interface-isp-group-1] add interface GigabitEthernet 1/0/1
   [FW-interface-isp-group-1] quit
   [FW] interface-group 2 isp isp2_ifgrp
   [FW-interface-isp-group-2] add interface GigabitEthernet 1/0/7
   [FW-interface-isp-group-2] quit

6. 將接口加入安全區(qū)域。

   [FW] firewall zone trust
   [FW-zone-trust] add interface GigabitEthernet 1/0/3
   [FW-zone-trust] quit
   [FW] firewall zone untrust
   [FW-zone-untrust] add interface GigabitEthernet 1/0/1
   [FW-zone-untrust] add interface GigabitEthernet 1/0/7
   [FW-zone-untrust] quit

7. 配置Local到Untrust區(qū)域的安全策略，允許FW向目的設(shè)備發(fā)送相應(yīng)的健康檢查探測報文。

   對于V500R001C80之前的版本，需要在FW上配置對應(yīng)的安全策略，允許FW向目的設(shè)備發(fā)送健康檢查探測報文。對于V500R001C80及之后的版本，健康檢查的探測報文不受安全策略控制，默認放行，無需配置相應(yīng)安全策略。文章來源地址http://www.zghlxwxcb.cn/news/detail-840431.html

   [FW] security-policy
   [FW-policy-security] rule name policy_sec_local_untrust
   [FW-policy-security-rule-policy_sec_local_untrust] source-zone local
   [FW-policy-security-rule-policy_sec_local_untrust] destination-zone untrust
   [FW-policy-security-rule-policy_sec_local_untrust] destination-address 3.3.10.10 32
   [FW-policy-security-rule-policy_sec_local_untrust] destination-address 3.3.10.11 32
   [FW-policy-security-rule-policy_sec_local_untrust] destination-address 9.9.20.20 32
   [FW-policy-security-rule-policy_sec_local_untrust] destination-address 9.9.20.21 32
   [FW-policy-security-rule-policy_sec_local_untrust] service tcp
   [FW-policy-security-rule-policy_sec_local_untrust] action permit
   [FW-policy-security-rule-policy_sec_local_untrust] quit

8. 配置Trust到Untrust區(qū)域的安全策略，允許企業(yè)內(nèi)網(wǎng)用戶訪問外網(wǎng)資源。假設(shè)內(nèi)部用戶網(wǎng)段為10.3.0.0/24。

   [FW-policy-security] rule name policy_sec_trust_untrust
   [FW-policy-security-rule-policy_sec_trust_untrust] source-zone trust
   [FW-policy-security-rule-policy_sec_trust_untrust] destination-zone untrust
   [FW-policy-security-rule-policy_sec_trust_untrust] source-address 10.3.0.0 24
   [FW-policy-security-rule-policy_sec_trust_untrust] action permit
   [FW-policy-security-rule-policy_sec_trust_untrust] quit
   [FW-policy-security] quit

配置腳本

#
 isp name isp1_ifgrp set filename isp1.csv
 isp name isp2_ifgrp set filename isp2.csv
#
healthcheck enable
healthcheck name isp1_health
 destination 3.3.10.10 interface GigabitEthernet1/0/1 protocol tcp-simple destination-port 10001
 destination 3.3.10.11 interface GigabitEthernet1/0/1 protocol tcp-simple destination-port 10002
healthcheck name isp2_health
 destination 9.9.20.20 interface GigabitEthernet1/0/7 protocol tcp-simple destination-port 10003
 destination 9.9.20.21 interface GigabitEthernet1/0/7 protocol tcp-simple destination-port 10004
#
interface GigabitEthernet1/0/1
 ip address 1.1.1.1 255.255.255.0
 healthcheck isp1_health
 gateway 1.1.1.254
#
interface GigabitEthernet1/0/3
 ip address 10.3.0.1 255.255.255.0
#
interface GigabitEthernet1/0/7
 ip address 2.2.2.2 255.255.255.0
 healthcheck isp2_health
 gateway 2.2.2.254
#
 firewall zone trust
  set priority 85
  add interface GigabitEthernet1/0/3
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/1
 add interface GigabitEthernet1/0/7
#
security-policy
 rule name policy_sec_local_untrust
  source-zone local
  destination-zone untrust
  destination-address 3.3.10.10 mask 255.255.255.255
  destination-address 3.3.10.11 mask 255.255.255.255
  destination-address 9.9.20.20 mask 255.255.255.255
  destination-address 9.9.20.21 mask 255.255.255.255
  service tcp 
  action permit      
 rule name policy_sec_trust_untrust
  source-zone trust
  destination-zone untrust
  source-address 10.3.0.0 mask 255.255.255.0
  action permit
#
interface-group 1 isp isp1_ifgrp
 add interface GigabitEthernet1/0/1
#
interface-group 2 isp isp2_ifgrp
 add interface GigabitEthernet1/0/7
#
return

到了這里，關(guān)于華為配置ISP選路實現(xiàn)報文按運營商轉(zhuǎn)發(fā)的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！