HUAWEI防火牆雙出口根據鏈路優先順序主備備份

組網圖形

　　　　

組網需求

通過配置根據鏈路優先順序主備備份，FW可以在主介面鏈路故障時，使用備份介面鏈路轉發流量，提高傳輸的可靠性。

• 如圖1所示，企業從ISP1租用2條鏈路，頻寬均為50M，從ISP2租用1條鏈路，頻寬為10M。
• 企業希望優先使用ISP1的2條鏈路傳輸上網流量，只有當ISP1的2條鏈路均故障時，才使用ISP2鏈路。
• 企業的稅務申報業務優先使用ISP2鏈路，只有當ISP2鏈路故障時，才使用ISP1鏈路。

配置思路

由於企業希望優先使用ISP1鏈路，所以全域性智慧選路方式可以設定為根據鏈路優先順序主備備份，指定2條ISP1鏈路的優先順序均為2，ISP2鏈路的優先順序為1。而稅務申報業務需要優先使用ISP2鏈路，所以要針對稅務申報應用配置策略路由智慧選路，選路方式也是根據鏈路優先順序主備備份，並指定ISP2鏈路的優先順序為2，2條ISP1鏈路的優先順序均為1。為了保證主介面鏈路故障時，FW可以使用備份介面鏈路轉發流量，還需要配置健康檢查功能。

• 1.配置健康檢查功能，分別為ISP1和ISP2鏈路配置健康檢查。
• 2.配置介面的IP地址、安全區域、閘道器地址和頻寬，並在介面上應用健康檢查。
• 3.配置全域性選路策略。配置智慧選路方式為根據鏈路優先順序主備備份，介面GE1/0/1和GE1/0/2加入一個介面組ifgrp1，並和介面GE1/0/7一起作為智慧選路成員。分別為介面組ifgrp1和介面GE1/0/7設定優先順序，介面GE1/0/1和GE1/0/2的優先順序即等於介面組ifgrp1的優先順序。
• 4.配置策略路由智慧選路。為稅務申報應用新建一條策略路由，配置智慧選路方式為根據鏈路優先順序主備備份，分別為介面組ifgrp1和介面GE1/0/7設定優先順序。
• 5.配置基本的安全策略，允許企業內網使用者訪問外網資源。

說明：

本例著重介紹智慧選路相關的配置，其餘配置如NAT請根據實際組網進行配置。

操作步驟

• 1.可選：開啟健康檢查功能，併為ISP1和ISP2鏈路分別新建一個健康檢查。假設ISP1網路的目的地址網段為3.3.10.0/24，ISP2網路的目的地址網段為9.9.20.0/24。

<FW> system-view
[FW] healthcheck enable
[FW] healthcheck name isp1_health_01
[FW-healthcheck-isp1_health_01] destination 3.3.10.10 interface GigabitEthernet 1/0/1 protocol tcp-simple destination-port 10001
[FW-healthcheck-isp1_health_01] destination 3.3.10.11 interface GigabitEthernet 1/0/1 protocol tcp-simple destination-port 10002
[FW-healthcheck-isp1_health_01] quit
[FW] healthcheck name isp1_health_02
[FW-healthcheck-isp1_health_02] destination 3.3.10.12 interface GigabitEthernet 1/0/2 protocol tcp-simple destination-port 10001
[FW-healthcheck-isp1_health_02] destination 3.3.10.13 interface GigabitEthernet 1/0/2 protocol tcp-simple destination-port 10002
[FW-healthcheck-isp1_health_02] quit
[FW] healthcheck name isp2_health
[FW-healthcheck-isp2_health] destination 9.9.20.20 interface GigabitEthernet 1/0/7 protocol tcp-simple destination-port 10003
[FW-healthcheck-isp2_health] destination 9.9.20.21 interface GigabitEthernet 1/0/7 protocol tcp-simple destination-port 10004
[FW-healthcheck-isp2_health] quit

•  2.配置介面的IP地址和閘道器地址，配置介面所在鏈路的頻寬，並應用對應的健康檢查。

[FW] interface GigabitEthernet 1/0/1
[FW-GigabitEthernet1/0/1] ip address 1.1.1.1 255.255.255.0
[FW-GigabitEthernet1/0/1] gateway 1.1.1.254
[FW-GigabitEthernet1/0/1] bandwidth ingress 50000
[FW-GigabitEthernet1/0/1] bandwidth egress 50000
[FW-GigabitEthernet1/0/1] healthcheck isp1_health_01
[FW-GigabitEthernet1/0/1] quit
[FW] interface GigabitEthernet 1/0/2
[FW-GigabitEthernet1/0/2] ip address 1.1.2.2 255.255.255.0
[FW-GigabitEthernet1/0/2] gateway 1.1.2.254
[FW-GigabitEthernet1/0/2] bandwidth ingress 50000
[FW-GigabitEthernet1/0/2] bandwidth egress 50000
[FW-GigabitEthernet1/0/2] healthcheck isp1_health_02
[FW-GigabitEthernet1/0/2] quit
[FW] interface GigabitEthernet 1/0/3
[FW-GigabitEthernet1/0/3] ip address 10.3.0.1 255.255.255.0
[FW-GigabitEthernet1/0/3] quit
[FW] interface GigabitEthernet 1/0/7
[FW-GigabitEthernet1/0/7] ip address 2.2.2.2 255.255.255.0
[FW-GigabitEthernet1/0/7] gateway 2.2.2.254
[FW-GigabitEthernet1/0/7] bandwidth ingress 10000
[FW-GigabitEthernet1/0/7] bandwidth egress 10000
[FW-GigabitEthernet1/0/7] healthcheck isp2_health
[FW-GigabitEthernet1/0/7] quit

•  3.新建介面組ifgrp1，並將介面GE1/0/1和GE1/0/2加入介面組。

[FW] interface-group 1 name ifgrp1
[FW-interface-group-1] add interface GigabitEthernet 1/0/1
[FW-interface-group-1] add interface GigabitEthernet 1/0/2
[FW-interface-group-1] quit

•  4.配置全域性選路策略，流量根據鏈路優先順序主備備份。

[FW] multi-interface
[FW-multi-inter] mode priority-of-userdefine
[FW-multi-inter] add interface-group ifgrp1 priority 2
[FW-multi-inter] add interface GigabitEthernet1/0/7
[FW-multi-inter] quit

•  5.自定義稅務申報應用，假設應用伺服器的IP地址為8.8.8.8，埠為20001。

[FW] sa
[FW-sa] user-defined-application name UD_tax_system
[FW-sa-user-defined-app-UD_tax_system] rule name 1
[FW-sa-user-defined-app-UD_tax_system-rule-1] ip-address 8.8.8.8 32
[FW-sa-user-defined-app-UD_tax_system-rule-1] port 20001
[FW-sa-user-defined-app-UD_tax_system-rule-1] quit
[FW-sa-user-defined-app-UD_tax_system] quit
[FW-sa] quit

•  6.為稅務申報應用配置策略路由智慧選路，流量根據鏈路優先順序主備備份。

[FW] policy-based-route
[FW-policy-pbr] rule name tax_system
[FW-policy-pbr-rule-tax_system] source-zone trust
[FW-policy-pbr-rule-tax_system] application app UD_tax_system
[FW-policy-pbr-rule-tax_system] action pbr egress-interface multi-interface
[FW-policy-pbr-rule-tax_system-multi-inter] mode priority-of-userdefine
[FW-policy-pbr-rule-tax_system-multi-inter] add interface-group ifgrp1
[FW-policy-pbr-rule-tax_system-multi-inter] add interface GigabitEthernet1/0/7 priority 2
[FW-policy-pbr-rule-tax_system-multi-inter] quit
[FW-policy-pbr] quit

•  7.將介面加入安全區域。

[FW] firewall zone trust
[FW-zone-trust] add interface GigabitEthernet 1/0/3
[FW-zone-trust] quit
[FW] firewall zone untrust
[FW-zone-untrust] add interface GigabitEthernet 1/0/1
[FW-zone-untrust] add interface GigabitEthernet 1/0/2
[FW-zone-untrust] add interface GigabitEthernet 1/0/7
[FW-zone-untrust] quit

•  8.配置Local到Untrust區域的安全策略，允許FW向目的裝置傳送相應的健康檢查探測報文。

[FW] security-policy
[FW-policy-security] rule name policy_sec_local_untrust
[FW-policy-security-rule-policy_sec_local_untrust] source-zone local
[FW-policy-security-rule-policy_sec_local_untrust] destination-zone untrust
[FW-policy-security-rule-policy_sec_local_untrust] destination-address 3.3.10.10 32
[FW-policy-security-rule-policy_sec_local_untrust] destination-address 3.3.10.11 32
[FW-policy-security-rule-policy_sec_local_untrust] destination-address 3.3.10.12 32
[FW-policy-security-rule-policy_sec_local_untrust] destination-address 3.3.10.13 32
[FW-policy-security-rule-policy_sec_local_untrust] destination-address 9.9.20.20 32
[FW-policy-security-rule-policy_sec_local_untrust] destination-address 9.9.20.21 32
[FW-policy-security-rule-policy_sec_local_untrust] service tcp
[FW-policy-security-rule-policy_sec_local_untrust] action permit
[FW-policy-security-rule-policy_sec_local_untrust] quit

•  9.配置Trust到Untrust區域的安全策略，允許企業內網使用者訪問外網資源。假設內部使用者網段為10.3.0.0/24。

[FW-policy-security] rule name policy_sec_trust_untrust
[FW-policy-security-rule-policy_sec_trust_untrust] source-zone trust
[FW-policy-security-rule-policy_sec_trust_untrust] destination-zone untrust
[FW-policy-security-rule-policy_sec_trust_untrust] source-address 10.3.0.0 24
[FW-policy-security-rule-policy_sec_trust_untrust] action permit
[FW-policy-security-rule-policy_sec_trust_untrust] quit
[FW-policy-security] quit