USG防火墙在双线出口场景下部署主备NAT与ip-link联动技术指导.pdfVIP

文档名称 文档密级 USG防火墙在双线出口场景下部署主备NAT与ip-link联动 技术指导 关键词：USG,双线出口,NAT,快速主备切换,ip-link 产品：USG2210 摘要：某网络中，租用电信和联通线路作为出口，以电信为主链路，联通为备链路；内网通 过USG 防火墙做NAT 后访问公网，优先选用主链路，当主链路故障后，可通过ip-link特性快 速感知到故障而切换到备链路上。 1.1 组网和功能介绍： 出口设备连接电信和联通线路，以电信为主链路，联通为备链路；USG2210旁挂在出口 设备上；内部用户访问外网的流量到达出口设备后，通过重定向策略引流到USG2210上， USG2210配置NAT 策略，完成NAT 转换后将流量转发到外网上；同时在USG2210上配置主 备NAT 快速感知功能，当主链路故障后，可快速感知到故障而切换到备链路上。 A.A.A.201 B.B.B.5 电信 联通 A.A.A.202 B.B.B.6 电信:X.X.X.1 电信:Eth-Trunk1.1:X.X.X.2 联通:Y.Y.Y.1 联通:Eth-Trunk1.2:Y.Y.Y.2 出口设备 10.202.19.10 10.202.19.9 USG2210 内网用户 10.202.0.0/16 1.2 详细配置： 1、完成IP地址、端口和路由配置，实现USG2210 的公网地址可以访问外网； 注意：在出口设备上要配置到电信和联通的主备路由： ip route-static 0.0.0.0 0.0.0.0 A.A.A.201 descriptionTo-CT-default ip route-static 0.0.0.0 0.0.0.0 B.B.B.5 preference 80 description To-UT-default 2013-12-17 华为保密信息,未经授权禁止扩散 第1 页, 共3 页 文档名称 文档密级 2 、在出口设备上配置重定向策略，将访问外网的流量引入到USG2210上： acl number 3002 ///配置重定向acl description redirect to FW step 20 rule 100 permit ip source 10.202.0.0 0.0.255.255 # traffic classifier FW type or ///配置流分类 if-match acl 3002 # traffic behavior FW ///配置流行为 redirect vpn-instance pt-neiwang nexthop 10.202.19.10 # traffic policy pt-neiwang ///配置流策略 classifier FW behavior FW # Interface 10G1/0/1 ///应用流策略 traffic -policy FW inbound 3、在防火墙上配置NAT 功能 为清晰地体现双线的信息，可配置两个区域区分电信和联通，并将外网口加入到区域中： firewall zone name ispdianxin ///