外网防火墙双机热备组网分析_第1页
外网防火墙双机热备组网分析_第2页
外网防火墙双机热备组网分析_第3页
全文预览已结束

下载本文档

版权说明：本文档由用户提供并上传，收益归属内容提供方，若内容存在侵权，请进行举报或认领

文档简介

1、把GX 02救崔同一金VLAN中”二展遭传目录拓扑结构分析 1不建议的组网方式2拓扑结构分析把G1仏G20, G30放在司一个VI.ANj二层透传无论是莫膵汪是VRKF,柳会虛拟出来的 -I卩对外，另外需婆蘭个IP配畳崔物理 投口上，总柴雷畫工卜外网堆址匚防火塘啊际収配碍迅霍液法做盡抠I卩 一样读怎么样违恙样*囲为对外的列 关为唐那曲I卩处址，向虑空押-敌量铸络 梅厘接口 a在这样的组网结构中，内部要访问互联网，对于 ISP的选择是如何实现的 呢？比如说内部员工 A需要访问放在联通机房的 WEB服务器，这时候只能靠 防火墙上的路由来进行选路了，路由的选路又有两种方式，一种是基于源地址 来分流，

2、另一种是基于目标地址来分流，所谓基于源地址，假如员工A的子网为192.168.1.0，而路由策略为192.168.1.0源地址下一跳是联通的网关，那么 员工 A 的的数据流是通过接联通网络的防火墙， 你可能会说， 这不是正好吗？ 但假如员工 B 也是在这个子网内，而他要访问的是电信的服务器，很明显，按 这样的路由策略来执行的是不合理的。最合理的做法是基于目标地址的路由，通过路由策略让避免访问者跨运营 商访问的难题，虽然说联通与电信分配使用的 IP 地址都是不一样的，但是其 路由条目之庞大是超乎我们想像的，所以要基于目标地址的路由，工作量非常 大，而且还要做后续的路由更新才能保证正确率，因此有了

3、负载均衡设备。前面说的是内部到外部的选路，再说说从外面访问内部服务器是如何选路 的。外内服务器一般放在 DMZ 区域，通过地址映射把服务器发布出去，在这 样的组网方式中，映射的地址是接口的物理地址，可以是联通的 IP ，也可以是 电信的IP，如果有做服务器集群的话，那这样是可以实现ISP链路的负载均衡 的。不建议的组网方式请千万别像下面这样去组网如上图所示，每一台防火墙单独承担一个ISP出口的流量，数据的分流通 过路由策略来选路。假如两台防火墙也做了集群或 VRRP配置，它们可以运行 在主/备,或主/主方式，在这种状态下的防火墙，靠存活机制来相互监控，这时 防火墙设备需要维护每条会话的状态等相关信息，当主设备故障、流量切换到 备份设备时，要求备份设备上有正确的会话信息才能继续处理会话报文，否则 会话报文会被丢弃从而导致会话中断，我们上图的结构因为做了同步机制不会 造成会话中断。没错，听起来好像很好，但上面的架构能实现这样的效果吗？不能。假设防火墙A故障了，那么当前A的会话是不能实时迁移到 B防 火墙的，原因是B防火墙没有该ISP可达的物理链路。这时候，内部员工的访 问，虽然内

人人文库> 全部分类> 行业资料 > 管理策划

温馨提示

  • 1. 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

最新文档

评论

0/150

提交评论