策略路由和NAT实现负载均衡实例

、组网需求：1. 正常情况下10.0.0.2从出口12.12.12.0NAT转化成100.0.0.0的地址，20.0.0.2从出口13.13.13.0NAT转化成200.0.0.0的地址，实现负载均衡。2. FW双出口的某一条链路down，所有用户NAT成同一地址段出去，实现链路冗余。二、实验组网2CNC100.0.034.34.34.2Z3200.G.034.34.324.24.24.2/37.12.12.W30+J13.113.1/3010.0.0.3+20.0.0.210.0.0.2P4.4.4.4+1：3：13.f3.2/3030.0.0：230.0.0.3四、关键配置USG5360(V100R003C01SPC007)：ipaddress-set100and200typeobjectaddress010.0.0.0mask24address120.0.0.0mask24#ipaddress-set10.0.0.2typeobjectaddress010.0.0.0mask24#ipaddress-set20.0.0.2typeobjectaddress020.0.0.0mask24aclnumber3001rule0permitipsource10.0.0.00.255.255.255aclnumber3002rule0permitipsource20.0.0.00.255.255.255#nataddress-group100NAT1100.0.0.1100.0.0.100nataddress-group200NAT2200.0.0.1200.0.0.100#trafficclassifier12if-matchacl3001trafficclassifier13if-matchacl3002#trafficbehavior12remarkip-nexthop12.12.12.2output-interfaceGigabitEthernet0/0/0trafficbehavior13remarkip-nexthop13.13.13.2output-interfaceGigabitEthernet0/0/1#qospolicyreclassifier12behavior12classifier13behavior13#interfaceGigabitEthernet0/0/0ipaddress12.12.12.1255.255.255.252interfaceGigabitEthernet0/0/1ipaddress13.13.13.1255.255.255.252#interfaceGigabitEthernet0/0/2ipaddress20.0.0.1255.255.255.0#interfaceGigabitEthernet0/0/3ipaddress10.0.0.1255.255.255.0#firewallzonelocalsetpriority100#firewallzonetrustsetpriority85qosapplypolicyreoutboundaddinterfaceGigabitEthernet0/0/2addinterfaceGigabitEthernet0/0/3#firewallzoneuntrustsetpriority5#firewallzonenamet100setpriority10addinterfaceGigabitEthernet0/0/0#firewallzonenamet200setpriority11addinterfaceGigabitEthernet0/0/1#nat-policyinterzonetrustuntrustoutbound#nat-policyinterzonetrustt100outboundpolicy0actionsource-natpolicysourceaddress-set100and200address-groupNAT1#nat-policyinterzonetrustt200outboundpolicy0actionsource-natpolicysourceaddress-set100and200address-groupNAT2iproute-static0.0.0.00.0.0.013.13.13.2iproute-static0.0.0.00.0.0.012.12.12.2五、实现原理按照实验要求，如果我们用传统的NAT,将10002nat成100.0.0.0/24网段，将20.0.0.2nat成200.0.0.0/24网段，这种方法是实现不了当FW双线上连线路任意断掉一条业务不断的实验要求。那么我们应如何解决这个问题呢？首先我们要了解防火墙的处理流程,如下图：NAT实际上在防火墙中也属于域间策略的一种,即从上图中我们可以知道NAT是在路由选路后进行的，而NAT的配置很简单，只是将匹配的地址（acl）进行一个地址转换的操作（如果不选no-pat方式还包括端口），所以我们不可能从NAT上进行某种操作来实现冗余。这时我们就可以考虑使用策略路由，建议大家在这个时候根据流程图画一张该实验的分析图。如下图：判定出几鏈口折展区威实现tnLst-oorrr域间翁畴出端H劉走總1曙衍風旳曲,端I.妣同g血判定耀录-12.12.12,2JTlCOt判定編苗下一麝曲加扫编皿備反喊根抓不同的目的风或实辺爪冋的域间策畴这叽拆不同的N4O判断卜漑为13.1113.2C援口J-tlOO）的fnJJtru5t-t200削析F桃为也血I器魁1,底!）的城间AtniiKfctiM实现口业1100的煎币策賂端【I接收輛丈T根样:IP报女中谕彼、目的企找癲农注：方便起见，图中文字的接口用ip地址来表示具体三层接口。从上图中，我们就可以知道，根据不同的下一跳接口，可以分类出两种不同的域间策略，这时我们就可以在不同的域间进行不同NAT，实现了实验要求的NAT需求。那么第二个实验要求能不能实现呢？答案是确定能实现的。我们可以仔细思考一下，利用策略路由我们可以实现不同源地址同一目的地址的不同下一跳操作（有点绕），而下一跳地址是否有效是由三层端口的链路状态决定的。那么此时，我们将FW上联线路断掉其中一条，自然FW就只存在唯一一条有效的路由下一跳，上图中的流程就不存在了双线，因为只有一个下一跳，也就只有一个目的域，即两个NAT中只有一个生效。通过上述分析，我们了解了利用策略路由+NAT实现双链路负载冗余的需求,即通过有限的功能实现变化多端的应用。从原理上分析，此解决方案是比较可行的，但在具体应用过程中，仍有几点需要注意：1. FW是基于会话的，如果真实的会话改变，那么必须手动清空会话表才能恢复业务，或者停止业务到一个会话的老化时间，再发起。2. 策略路由判断下一跳的方式，不同的产品是有差异的，要看产品具体的实现方式，USG5000的策略路由是通过检测路由表来判断下一跳是否有效，当存在默认路由的情况下，此方案就不能做到链路冗余，需要将默认路由修改为静态路由。3我司FW产品在配置上有所不同，需要根据具体产品的操作手册确认