双isp接入,防火墙activeactivefailover加非对称路由问题的解决.docVIP

双isp接入，防火墙active/active failover加非对称路由问题的解决有一家企业，对外提供服务，客户遍布全国，客户可能使用电信链路，可能使用网通链路，所以这家企业申请了两条链路，一条电信，一条网络，希望客户选择合适的链路来访问服务。使用了两台cisco防火墙分别连接电信和网通。后面连接整个内部网络，对外提供服务的服务器也在其中。原则：1.两条链路能够使用同时使用2.外部用户（不管使用哪条链路），都能正确访问注：大体上是需要从哪条链路进来的数据包，返回的数据包也要从这条链路回去。在防火墙上，非对称路由很可能会有问题的。3.如果能做到负载均衡那更加好。方法考虑：1.active/standby failover两条链路配置在不同的防火墙上面（接口ip地址不一样），而a/s failover要求两台防火墙配置一样，所以这个方案行不通。其中一台配置配置成active，两条链路同时接在上面，另外一台standby。这样的配置问题有很多：一台防火墙上面不能同时配置两条默认路由；即使其中一条链路写了明晰路由（如把网通主要的的路由写出来），在一台防火墙上面，也涉及到非对称路由的问题；方案1完全否决2.active/active failover两条链路可以同时使用，而且可以接在不同的防火墙上面。因为两台防火墙各有两个context（虚拟防火墙），