HCSCP1103 防火墙智能选路

1、HCSCP1103，USG6000，V5R1，V3.0，石/swx296245，2017年2月18日，季晓东/jwx333220，新开发的防火墙智能路由，以及许多出口链路经常部署在网络出口处，以增加出口的带宽和可靠性。如果流量不能合理分配给链路，可能会导致网络拥塞、接入速度慢、链路资源利用不足和跨运营商接入。当FW作为网络出口设备有多条出口链路时，智能路由功能可以自动检测链路质量，并根据管理员设置的带宽、权重和优先级动态选择接口，从而保证链路资源得到充分利用，提高用户的在线体验。完成本课程后，您将能够：描述智能路由的基本概念，描述智能路由的使用场景，配置智能路由功能，描述智能路由应用，分析智能

2、路由的故障排除，多出口路由中存在的问题，以及如何确保贵宾流量通过高带宽链路，普通员工的流量加载到出口链路上。如何避免次优路径？如何及时发现链路故障并自动切换链路？工作组1，工作组2，VIP，如何实现多出口链路负载？100米、50米、50米、40米、40米，智能路由解决的问题，全局路由策略当有多条等价路由时，全局路由策略的带宽、链路质量、权重和优先级动态选择接口，保证链路资源得到充分利用，提高用户的在线体验。策略路由策略路由可以根据用户制定的策略转发数据。互联网服务提供商路由(基于互联网服务提供商路由的路由)可以通过互联网服务提供商路由功能实现根据运营商的流量转发，使得不同运营商网络中具有目的地

3、址的流量可以从相应的输出接口转发出去。健康检查FW可以检测服务器或链路的状态变化，并确保流量传输不受服务器或链路故障的影响。智能路由功能组件、智能路由应用场景、智能路由原理、全局路由策略描述、策略路由、ISP路由健康检查、智能路由应用分析、智能路由故障排除、全局路由策略负载分担模式，根据链路带宽负载分担，FW有三条输出接口链路，其中与ISP1相连的链路带宽为200M。与ISP2和ISP3相连的链路带宽均为100米。如果负载分担是基于链路带宽的，在FW转发流量一段时间后，在每条链路上传输的累积流量将分别占总流量的50%、25%和25%。根据链路带宽负载分担配置，选择“网络路由智能路由的全局路由策

4、略”，点击“配置”。选择“根据链路带宽进行负载分担”，根据链路质量负载分担，如果采用链路质量负载分担，FW向每个ISP中指定的设备发送5条探测消息，其中ISP1、ISP2和ISP3链路的丢包率分别为0.40%和100%。因此，FW确定ISP1具有最高质量，并将优先使用ISP1链路来转发流量。只要探测条目没有老化，FW将始终使用ISP1链路来转发流量，而不会使用ISP2链路和ISP3链路。根据链路质量负载分担配置，选择“网络路由智能路由的全局路由策略”，点击“配置”。选择“根据链路质量负载分担”，根据链路权重负载分担，FW拥有属于不同ISPs的三个输出接口链路。管理员设置的ISP1、ISP2和I

5、SP3的链路权重分别为5、3和2，权重比为5:2。当FW转发流量一段时间后，每条链路上的累计流量将分别占总流量的50%、30%和20%。根据链路权重负载分担配置，选择“网络路由智能路由的全局路由策略”，点击“配置”。选择“根据链路权重进行负载分担”，根据链路优先级，FW有三个属于不同ISP的输出接口链路。ISP1、ISP2和ISP3的链路优先级分别为8、6和2。ISP1具有最高的链路优先级，FW优先使用ISP1链路来转发流量。当ISP1的链路利用率超过过载阈值时，具有次高优先级的链路将能够转发流量。根据链路优先级主备份配置，选择 Gl从“智能路由方法”下拉菜单中选择“根据链路优先级进行主备份”

6、。选择“根据链路优先级进行主备份”，过载保护中存在的问题，会话保留，检查会话保留表条目，并使用显示会话持续表命令检查会话保留表条目。显示会话持久性表当前总会话持久性表： 2-RULE/ID SRCIP/MASK DSTIP/MASK MODE INTERCE LEft-TIME-Policy/1 10 . 1 . 1 . 0/24 3.3.3.3/32 DST千兆以太网1/0/1 300 Policy/2 10 . 1 . 2 . 0/24 3.3.3.3/32 DST千兆以太网1/0/2 300智能路由应用场景智能路由原则描述全局路由策略路由ISP路由健康检查智能路由应用分析智能路由故障排除

7、和策略路由使用场景。策略路由是基于用户制定的策略的转发机制。策略路由的组成，策略路由规则的匹配过程，未满足，未满足，未满足，智能路由应用场景智能路由原理描述全局路由策略策略路由ISP路由健康检查智能路由应用分析智能路由故障排除，多ISP路由中存在的问题，路径1:最短路径，路径2:最短路径，路径3:次优路径，ISP路由实现原理，在配置ISP路由功能之前，管理员需要将每个ISP网络中的IP地址写入不同的csv文件(此文件称为ISP地址文件)，然后将文件导入FW。在指定的接口与运营商名称相关联之后，FW将批量生成到该运营商网络的ISP路由：目的地址是ISP地址文件中的IP地址，下一跳是在输出接口上配

8、置的网关地址。ISP路由也称为运营商路由。路由表中显示的协议类型是UNR(用户网络路由)，路由优先级是70。配置ISP路由以导入ISP地址文件，并选择“网络路由的智能路由”。选择进入“操作员地址库”标签。2，1，在这里你可以直接选择相应的操作员地址库，如果所需的地址库不在列表中，你可以选择导入其他操作员地址库。3，配置ISP路由应用程序配置文件并选择“网络接口”。单击界面的编辑。从下拉列表中选择创建的运算符。一般来说，将选择接口链接所属的操作员。5、4、智能路由应用场景智能路由原则描述全局路由策略策略路由ISP路由健康检查智能路由应用分析智能路由故障排除、健康检查智能路由场景、流量、健康检查流

9、量、ISP1、ISP2、ISP3、FW、用户，在使用健康检查功能后，防火墙检测到ISP1链路故障，当流量触发智能路由时，ISP1链路不再参与智能、健康检查ISP路由场景，在使用健康检查功能后，FW检测到服务器2无法正常访问，相应的ISP路由将被删除。如果ISP1和ISP2之间有互通路由，接入流量可以通过ISP1网络到达服务器2。虽然它不是最佳的接入路径，但它可以保证流量转发的可靠性，改善用户体验。防火墙可以根据不同类型的目的设备发送相应协议的探测消息，并通过分析响应消息来判断链路的可用性。智能路由应用场景智能路由原理描述智能路由应用分析Web配置命令行配置智能路由故障排除，策略路由场景应用，配

10、置思路，配置接口，选择“网络接口”，根据拓扑配置接口IP地址，将接口添加到安全区域。选择策略安全策略安全策略，然后单击新建以配置安全策略，如下图所示。配置IP链接功能，选择“系统高可靠性IP链接”，并选中“启用”以打开“IP链接功能”。在知识产权链接列表中，单击新建，并根据以下参数进行配置。配置策略路由，选择“网络路由的智能路由”，点击“策略路由”选项卡上的“新建”，配置如下图所示。,智能选路应用场景智能选路原理描述智能选路应用分析网配置命令行配置智能选路故障排除，配置接口，根据拓扑配置接口知识产权地址，并将接口加入安全区域千兆以太网1/0/2千兆以太网1/0/2ip地址10.10.1.1 2

11、55.255.255.0千兆以太网1/0/2退出千兆以太网1/0/3千兆以太网1/0/3ip地址10 .1 .1 .1 255 .255 .0千兆以太网1/0/3退出千兆以太网接口配置安全策略，配置安全策略，策略内容配置如下：FwSECURITy-策略Fw-策略-安全性规则名称policy _ sec _ trust _ un trust FW-policy-security-rule-policy _ sec _ trust _ un trust源-区域信任FW-policy _ sec _ trust _ un trust-policy-security-rule-区域联合国信任FW-po

12、licy-security-rule-policy _ sec _ trust _ un trust源-地址10。1 .1 .0 24，配置知识产权链接功能，开启知识产权链接功能，配置知识产权链接参数如下：FWip-链接检查启用FWip-链接名称pbr _ 1 Fw-iplink-pbr _ 1目的地10。10 .1 .2接口千兆以太网1/0/2 Fw-iplink-pbr _ 1退出FWip-链接名称pbr _ 2 Fw-iplink-pbr _ 2目的地10。20 .1 .2接口千兆以太网1/0/4，配置策略路由，配置策略路由，并绑定知识产权链接“，具体配置如下：基于FWpolicy的路由

13、Fw-PoLicy-pbr规则名称pbr _ 1 FW-策略-pbr-规则-pbr _ 1描述pbr _ 1 FW-policy-pbr-rule-pbr _ 1 source-zone trust FW-policy-pbr-rule-pbr _ 1 track IP-link pbr _ 1 FW-policy-pbr-rule-pbr _ 1 user-group/default/marketing FW-policy-pbr-rule-pbr _ 1 user-group/default/president FW-policy-pbr-rule-pbr _ 1 action pbr-exit-Giga介面智能选路应用场景智能选路原理描述智能选路应用分析智能选路故障排除，排障流程，策略路由维护，查看策略路由的配置和生效情况：用来查看策略路由规则的配置和匹配情况：显示基于策略的路由规则所有插槽中央处理器标识名称规则名称，显示基于策略的路由应用程序缓存所有tcp | udp ip地址节点编号插槽中央处理器，全局选路