一、默认路由与链路备份
如图,企业分别从电信、联通租用一条链路,组成双出口网络,其中,电信为主链路、联通为备用链路。
在防火墙可配置两条默认路由,其中电信出口的默认路由优先级高于联通出口的默认路由,实现链路的备份,正常情况下,流量均经过电信链路实现访问互联网,当电信链路故障时,其默认路由失效,所有流量将从联通链路访问互联网。
[USG6000V1]ip route-static 0.0.0.0 0 10.1.1.2 preference 60
[USG6000V1]ip route-static 0.0.0.0 0 10.1.2.2 preference 65
[USG6000V1]display ip routing-table verbose
2024-03-02 07:40:39.580
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Routing Tables: Public
Destinations : 9 Routes : 10
Destination: 0.0.0.0/0
Protocol: Static Process ID: 0
Preference: 60 Cost: 0
NextHop: 10.1.1.2 Neighbour: 0.0.0.0
State: Active Adv Relied Age: 00h00m20s
Tag: 0 Priority: medium
Label: NULL QoSInfo: 0x0
IndirectID: 0x80000003
RelayNextHop: 0.0.0.0 Interface: GigabitEthernet1/0/1
TunnelID: 0x0 Flags: RD
Destination: 0.0.0.0/0
Protocol: Static Process ID: 0
Preference: 65 Cost: 0
NextHop: 10.1.2.2 Neighbour: 0.0.0.0
State: Inactive Adv Relied Age: 00h03m30s
Tag: 0 Priority: medium
Label: NULL QoSInfo: 0x0
IndirectID: 0x80000002
RelayNextHop: 0.0.0.0 Interface: GigabitEthernet1/0/2
TunnelID: 0x0 Flags: R
二、等价路由
使用默认路由实现链路备份很简单,但是同一时刻只能使用一条链路,另一条处于备用状态,很浪费带宽资源,此时可以配置等价路由,两条路由优先级是一致的,仍以上面网络为例。
[USG6000V1]ip route-static 0.0.0.0 0 10.1.1.2
[USG6000V1]ip route-static 0.0.0.0 0 10.1.2.2
[USG6000V1]interface g1/0/1
[USG6000V1-GigabitEthernet1/0/1]gateway 10.1.1.2
[USG6000V1-GigabitEthernet1/0/1]quit
[USG6000V1]interface g1/0/2
[USG6000V1-GigabitEthernet1/0/2]gateway 10.1.2.2
可以用传统的方式配置,也可以在防火墙接口视图下,指定网关的方式,设置等价默认路由。
配置完成,采用抓包,分别抓取防火墙G1/0/1、G1/0/2接口。
防火墙根据每条流的源目地址,用HASH算法计算,并选择链路,地址不同,计算结果也就不同,网络中访问的流量的源目地址是随机的,很难实现等价路由负载分担。
三、ISP路由与ISP选路
还是以上图企业网络为例,配置防火墙两条默认路由,每个ISP一条,当企业内网用户访问外网服务器时,报文到达防火墙有两条路径,很明显,通过联通可以很快到达服务器,而电信则绕了远路,严重影响用户体验。
此时可以配置明细路由,报文会优先匹配明细路由,之后再查找默认路由,以最上面组网为例的明细路由为:
[USG6000V1]ip route-static 10.10.10.10 32 10.1.1.2
[USG6000V1]ip route-static 10.10.20.20 32 10.1.2.2
现实环境中,网络复杂,不可能一条一条配置明细路由,此时需要ISP路由,每个ISP都会有自己的公网知名网段,如果ISP的所有公网知名网段配置成明细路由,则可以避免绕路问题。
1、收集ISP内所有的公网网段,把地址网段填写到后缀为.csv文件中,即ISP地址库文件。
可以去华为安全中心平台查找中国移动、电信、联通等主流ISP地址库文件。
2、编辑完成ISP地址库文件后,将其上传到防火墙根目录的ISP文件夹下。
相当于执行了:ip name chinaisp et filename ispDemo.cv
3、在IP路由界面,新建IP路由,为chinaip指定下一跳和出接口。
相当于执行了:ip route-服务器托管网isp chinaisp interface g1/0/1 10.1.1.2
由于ensp模拟器无法模拟此web配置,为此忽略。
参考资料:防火墙和VPN技术与实践——李学昭
服务器托管,北京服务器托管,服务器租用 http:服务器托管网//www.fwqtg.net
相关推荐: Android native层c++调用java层API
在Android开发中,从本地(native)代码调用Java层的接口是一个常见的需求,尤其是在使用JNI(Java Native Interface)进行混合编程时。以下是一个基本的步骤指南,展示如何从C++代码调用Java方法: 1. 定义Java类和方法…