流量疏导及防火墙配制.ppt

流量疏导及防火墙配置,目录,知识结构,配置接口地址及路由,流量疏导及防火墙配置,与移动网络互联实现方式,防火nat配置,流量疏导方法,光纤FE口接入,光纤GE口接入,策略路由方式,静态路由方式（含默认路由）,故障处理,单个地址资源故障,互联出口或防火墙故障,1与移动网络互联实现方式,1.1、资源准备具备光缆资源、光纤收发器、防火墙设备、城域网具备相关接入资源。,1.2、城域网核心与防火墙互联提前将防火墙与城域网核心路由器互联，可采用静态路由方式或动态路由方式，根据自身情况作出选择。,1.3、防火墙与移动城域网互联分公司与移动沟通，调试光路；要求移动公司提供互联接口地址（最好是一段地址）；测试地址能否联通互联网；根据要求选择GE方式还是FE方式（建议选择GE方式）。,1与移动网络互联实现方式,1.4、接入示意图,防火墙,BAS,BAS,BAS,城域网核心,省网核心,本地网点2,本地网点3,移动城域网网,本地网点1,核心路由器,192.168.2.1/29,192.168.3.1/30,1与移动网络互联实现方式,1.5、设备互联配置脚本（动态路由）核心路由器：interfaceGigabitEthernet1/0/3/与防火墙互联接口descriptionTo_ED500undoshutdownipaddress192.168.3.2255.255.255.252#ospf1import-routestaticarea0.0.0.0network192.168.1.20.0.0.0/核心路由器idnetwork192.168.3.00.0.0.3#防火墙：interfaceGigabitEthernet1/0/0/与路由器互联接口descriptionTo_NE40A_1-0-3ipaddress192.168.3.1255.255.255.252#ospf1area0.0.0.0network192.168.1.30.0.0.0/防火墙idnetwork192.168.3.00.0.0.3#,1与移动网络互联实现方式,interfaceGigabitEthernet2/0/0/与移动互联接口descriptionTo_mobileipaddress192.168.2.2255.255.255.248#iproute-static0.0.0.00.0.0.0192.168.2.1/默认路由,2流量疏导方法,根据需要，可以按目的地址方式和按源地址方式疏导。2.1、静态路由方式静态路由实现简单，只需一条命令即可。但只能疏导目的地址资源。2.2、策略路由方式策略路由是一种比基于目标网络进行路由更加灵活的数据包路由转发机制。策略路由的实现相对复杂一些，应用策略路由，必须要指定策略路由使用的路由图，并且要创建路由图。一个路由图由很多条策略组成，每个策略都定义了1个或多个的匹配规则和对应操作。一个接口应用策略路由后，将对该接口接收到的所有包进行检查，不符合路由图任何策略的数据包将按照通常的路由转发进行处理，符合路由图中某个策略的数据包就按照该策略中定义的操作进行处理。,2流量疏导方法,2.3、两种实现方式的优缺点静态路由实现简单，但只能疏导目的地址资源。随着目的地址资源的增多，一旦发生故障路由器中的静态路由信息需要大量地调整，这一工作量非常大。策略路由大体上分为两种：一种是根据路由的目的地址来进行的策略称为：目的地址路由；另一种是根据路由源地址来进行策略实施的称为：源地址路由！所以，策略路由可以根据需要灵活采用，实现不同的功能。策略路由数据制作相对静态路由要复杂的多，但是链路一旦故障，可以通过策略快速进行调整。,2流量疏导方法,2.4、两种实现方式脚本以搜狐网为例，看到搜狐服务器主页地址为221.179.180.4,221.179.180.2。静态路由实现脚本：iproute-static221.179.180.432192.168.3.1iproute-static221.179.180.232192.168.3.1或合并iproute-static221.179.180.224192.168.3.1策略路由实现脚本：aclnumber15012ruleipdestination221.179.180.20.0.0.0#aclnumber15013ruleipdestination218.179.180.40.0.0.0#,2流量疏导方法,trafficclassifiersq15012if-matchacl15012trafficclassifiersq15013if-matchacl15013#trafficbehaviorto_mobileredirectip-nexthop192.168.3.1GigabitEthernet1/0/3#trafficpolicysq_mobileclassifiersq15011behaviorto_mobileprecedence32classifiersq15012behaviorto_mobileprecedence35#,2流量疏导方法,interfaceGigabitEthernet1/0/0/在入方向绑定策略descriptionTo_5200Gtraffic-policysq_mobileinbound#committrafficpolicy/使接口策略生效interfaceGigabitEthernet1/0/0/删除策略undotraffic-policyinboundqdisplayqospolicysq_mobileinbound/查看策略是否生效策略生效后，5200G下用户访问搜狐主页流量即从本地移动走。,3防火墙nat配置,3.1地址转换示意图,当内部PC（192.168.1.3）向外部服务器（202.120.10.2）发送一个数据报1时，数据报将通过NAT服务器。NAT进程查看报头内容，发现该数据报是发往外部网络的。那么它将数据报1的源地址字段的私有地址192.168.1.3换成一个可在Internet上选路的公有地址202.169.10.1，并将该数据报发送到外部服务器，同时在网络地址转换表中记录这一映射。外部服务器给内部PC发送应答报文2（其初始目的地址为202.169.10.1），到达NAT服务器后，NAT进程再次查看报头内容，然后查找当前网络地址转换表的记录，用原来的内部PC的私有地址192.168.1.3替换目的地址。,3防火墙nat配置,3.2配置步骤,3.2.1ACL的配置aclnumber2000rule5permit/允许所有地址通过也可添加具体地址#3.2.2地址池部分的配置配置起始IP地址为192.168.2.2，结束IP地址为192.168.2.6，编号为0的地址池。nataddress-group0192.168.2.2192.168.2.6#3.2.3配置NATOutbound模式下ACL和地址池关联firewallzonetrustsetpriority85addinterfaceGigabitEthernet1/0/0#firewallzoneuntrustsetpriority5addinterfaceGigabitEthernet2/0/0#firewallinterzonetrustuntrustnatoutbound2000address-group1#所有经过NAT网关的报文的源地址都会被指定的地址池中的一个IP所替代。,4故障处理,4.1、链路故障造成互联出口中断采用静态路由方式疏导的需将所有静态路由删除。采用策略路由方式疏导的只需将策略从接口下删除即可，可快速将流量撤回本网。,4.2、单个地址资源路由故障采用静态路由方式疏导的将故障地址静态路由删除；displayiproute-tableXX.XX.XX.XX采用策略路由方式疏导的，删除单个地址比较麻烦，需先策略从所有接口下退出，逐层删除。然后在所需的端口下重新应用策略。,本章小结,谢谢！,