《防火墻技術(shù)項(xiàng)目化教程》課件-負(fù)載均衡

《防火墻技術(shù)》

——防火墻負(fù)載均衡功能與實(shí)現(xiàn)配置需求案例及分析某企業(yè)內(nèi)網(wǎng)192.168.2.0/24，要求：1、要求內(nèi)網(wǎng)訪問外網(wǎng)時兩條外網(wǎng)負(fù)載均衡；2、一旦其中一條鏈路出現(xiàn)故障后，可以通過另外一條鏈路訪問外網(wǎng)；配置步驟——設(shè)置接口地址，添加安全域1）新建一個外網(wǎng)的安全域telecom，為另一條鏈路的訪問提供可能，即內(nèi)網(wǎng)trust安全域到外網(wǎng)telecom安全域的訪問。打開網(wǎng)絡(luò)選項(xiàng)卡中的接口選項(xiàng)，點(diǎn)擊安全域進(jìn)行安全域配置。新建安全域telecom，該安全域可以配置IP地址，因此安全域類型選擇三層安全域，虛擬路由器選擇系統(tǒng)默認(rèn)的trust-vr。

參照ethernet0/2接口配置，完成ethernet0/3接口的配置操作。配置好的接口在接口列表中可以看到基本信息4在防火墻網(wǎng)絡(luò)選項(xiàng)卡中選擇路由選項(xiàng)，點(diǎn)擊子菜單中的源路由項(xiàng)，新增一條源路由，設(shè)置內(nèi)網(wǎng)網(wǎng)段192.168.2.0/24從下一條網(wǎng)關(guān)218.240.143.217訪問外網(wǎng)。配置步驟——添加源路由使用同樣的方法設(shè)置內(nèi)網(wǎng)網(wǎng)段192.168.3.0通過下一條網(wǎng)關(guān)222.1.1.1訪問外網(wǎng)6設(shè)置負(fù)載均衡方式負(fù)載均衡需要使用命令方式進(jìn)行設(shè)置，命令如下：DCFW-1800(config)#ecmp-route-select? by-5-tuple ConfigureECMPHashAs5Tuple by-src ConfigureECMPHashAsSourceIP by-src-and-dst ConfigureECMPHashAsSourceIPandDestIP其中：by-5-tuple-基于五元組（源IP地址、目的IP地址、源端口、目的端口和服務(wù)類型）做哈希選路（hash）。by-src-基于源IP地址作哈希選路（hash）。by-src-and-dst-基于源IP地址和目的IP地址作哈希選路（hash）。默認(rèn)情況下，基于源IP地址和目的IP作哈希選路（hash）。因此，我們選擇防火墻默認(rèn)配置模式：by-src-and-dst均衡方式。7設(shè)置負(fù)載均衡方式使用telnet遠(yuǎn)程登錄到防火墻，使用命令方式進(jìn)行配置，命令：telnet192.168.1.1，login:admin，password:admin，在命令方式下，密碼部分不顯示。使用configure命令進(jìn)入全局模式，進(jìn)行負(fù)載均衡配置。

8設(shè)置監(jiān)控地址設(shè)置監(jiān)控地址的目的是一旦檢測到監(jiān)控地址不能通訊時，則內(nèi)網(wǎng)訪問外網(wǎng)的數(shù)據(jù)包不再轉(zhuǎn)發(fā)到改外網(wǎng)口，只講數(shù)據(jù)包從另外一條外線轉(zhuǎn)發(fā)。防火墻操作系統(tǒng)4.0R4及之前版本只能在命令行下設(shè)置監(jiān)控地址，同樣可以采用telnet登錄方式進(jìn)行防火墻命令配置，這里就不在重復(fù)介紹了，參照2）中的telnet登錄防火墻方式。（1）設(shè)置監(jiān)控對象，監(jiān)控對象為track-for-eth0/2，監(jiān)控地址是218.240.143.217，監(jiān)控?cái)?shù)據(jù)包出接口ethernet0/2接口。具體如下：track“track-for-eth0/2”IP218.240.143.217interfaceethernet0/2（2）設(shè)置監(jiān)控對象，監(jiān)控對象為track-for-eth0/3，監(jiān)控地址是222.1.1.1，監(jiān)控?cái)?shù)據(jù)包出接口ethernet0/3接口。具體如下：track“track-for-eth0/3”IP222.1.1.1interfaceethernet0/3

9設(shè)置監(jiān)控地址（3）進(jìn)行監(jiān)控設(shè)置interfaceethernet0/2zone“untrust”IPaddress218.240.143.219255.255.255.248monitortrack“track-for-eth0/2”interfaceethernet0/3zone“untrust”IPaddress222.1.1.1255.255.255.0monitortrack“track-for-eth0/3”

10對兩條鏈路都要創(chuàng)建SNAT策略。這里就不在詳細(xì)描述了，具體參照任務(wù)1：防火墻SNAT配置。為兩條鏈路創(chuàng)建好的SNAT模式

。

配置步驟——設(shè)置源NAT策略為兩條鏈路創(chuàng)建安全策