FortiGate 双宿主异步路由解决方案.pdf

FortiGate双宿主异步路由解决方案 版本 1.0 时间 2014年9月 支持的版本 v5.0. 作者 林春龙 状态 反馈 support_cn@ Fortinet公司 1 录 描述3 拓扑图4 需求5 解决方案5 检查9 Fortinet公司 2 描述 文档描述了这样一个异步路由环境：FortiGate设备通过BGP双宿主方式连接 到同一个ISP，并且从ISP接收一条默认路由。 后续将会描述FortiGate在该异步路由环境中一种的解决方案。该解决方案主 要是在FortiGate创建一个专门的路由VDOM，该VDOM将激活异步路由功能， 我们有时候叫 “Gatekeeper”VDOM，它相对其他解决方案的优势是：不需要在 客户或者ISP改变任何BGP配置，并且子VDOM保持RPF和防火墙的所有功能。 需要注意的是，该环境还有其他的解决方案，比如在ISP配置BGP的本地优 先级或者MED值来控制返回FortiGate的路径，但这需要和ISP配合。 同时需要注意该环境是假设流量出ISP时不做任何NAT转换，如果启用了NAT 转换，流量只会返回起始出去的接口。也就没有异步路由的问题。 Fortinet公司 3 拓扑图 绿色箭头描述了 54访问 54的流量走向，在步 骤5，返回的流量进入了wan2 ，但是 FGT-Customer没有通过wan2返回 54的有效路由。所以FGT-Customer会因为反向路径检查而丢 弃返回的数据。 查看 FGT-Customer当前路由表： FGT-Customer#getrouterinforouting-tableall B* /0[20/0]via01,wan1,00:25:03 C /24isdirectlyconnected,wan1 Fortinet公司 4 C /24isdirectlyconnected,wan2 C /23isdirectlyconnected,internal C /24isdirectlyconnected,dmz 通过sniffer观察到echoreply进入wa 2但是没有转发到dmz接口 ： FGT-Customer#diagnose snifferpacket anyhost544 1.612126dmzin54-54:icmp:echorequest 1.612170wan1out54-54:icmp:echorequest 1.615987wan2in54-54:icmp:echoreply 2.616253dmzin54-54:icmp:echorequest