华为中小型园区分支出口综合配置举例.docx

2.1??中小型园区/分支出口综合配置举例园区网出口简介园区网出口一般位于企业网内部网络与外部网络的连接处，是内部网络与外部网络之间数据流的唯一出入口。对于中小型企业来说，考虑到企业网络建设的初期投资与长期运维成本，一般希望将多种业务部署在同一设备上。企业网络用户一般同时需要访问Internet和私网VPN，而对于中小型企业来说考虑到建设及维护成本问题，一般租用运营商Internet网络组建私网VPN。对于部分可靠性要求较高的园区网络，一般考虑部署两台出口路由器做冗余备份实现设备级可靠性，同时应用链路聚合、VRRP、主备路由等技术保证园区出口的可靠性。华为AR系列路由器配合华为S系列交换机是中小型园区网出口设备的理想解决方案。区出口设备需要具备NAT Outbound及NAT Server的功能，实现私网地址和公网地址之间的转换，以满足用户访问Internet或者Internet用户访问内网服务器的需求。园区出口设备需要具备通过Internet构建私网VPN的功能，以满足企业用户各个机构之间私网VPN互通的需求园区出口设备需要具备数据加密传输的功能，以保证数据的完整性和机密性，保障用户业务传输的安全中小型园区出口需要具备可靠性、安全性、低成本、易维护等特点。配置注意事项本配置案例适用于中小型企业园区/分支出口解决方案。本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为S系列园区交换机快速配置中的“中小园区组网场景”。组网需求某企业总部和分支分别位于不同的城市，地域跨度较远，总部存在A、B两个不同的部门，分支只有一个部门。现在需要建设跨地域的企业园区网络，需要实现的需求如下：总部和分支都需要实现用户访问Internet的需求。总部划分为A、B两个部门，其中A部门的用户可以访问Internet，但是B部门的用户不能访问Internet；分支所有用户都可以访问Internet。总部有Web服务器，对外提供WWW服务，外网用户可以访问内网服务器。总部和分支之间需要通过Internet进行私网VPN互通，通信内容需要有安全保护。总部园区出口可靠性要求较高，需要考虑链路级的可靠性和设备级的可靠性。分支可以适当降低可靠性要求。方案介绍根据用户需求，可以给出如图2-1所示的综合配置解决方案，该方案具备层次化、模块化、冗余性、安全性的特点，适用于中小型企业/分支的园区网络部署。图2-1??中小型园区/分支出口综合配置组网图?在网络的接入层部署华为S2700S3700交换机（ACC1、ACC2、SwitchA），在网络的核心部署华为S5700交换机（CORE），在园区出口部署华为AR3200路由器（RouterA、RouterB、RouterC）。总部采用双AR出口冗余备份方式，保证设备级的可靠性。分支部署一台AR路由器做出口。总部核心交换机采用两台S5700交换机做堆叠，保证设备级的可靠性。总部接入交换机与核心交换机之间以及核心交换机与出口路由器之间采用Eth-Trunk方式组网，保证链路级的可靠性。总部每个部门业务划分到一个VLAN中，部门间的业务在核心交换机CORE上通过VLANIF三层互通。总部核心交换机作为用户及服务器网关，部署DHCP Server为用户分配IP地址。分支用户的网关直接部署在出口路由器上。总部两个出口路由器之间部署VRRP，保证可靠性。总部和分支之间通过Internet构建IPSec VPN进行私网互通，同时保证数据传输的安全性。总部两台出口路由器和核心交换机之间部署OSPF，用于发布用户路由，便于后期扩容及维护。配置思路采用如下思路部署中小型园区/分支出口综合配置举例：部署总部及分支园区内网总部：部署堆叠、链路聚合，配置各VLAN及IP地址、部署DHCP Server，实现园区内网互通。部门内部通过接入层交换机进行二层互通，部门间通过核心交换机CORE上的VLANIF进行三层互通。分支：配置接入层交换机及出口路由器的各接口VLAN及IP地址，部署DHCP Server，实现分支园区内网互通。部署VRRP为了保证总部核心交换机与两个出口路由器之间的可靠性，在两个出口路由器之间部署VRRP，VRRP的心跳报文经过核心交换机进行交互。RouterA为Master设备，RouterB为Backup设备。为了防止总部RouterA上行链路故障的时候业务断流，将VRRP状态与RouterA的上行口进行联动，保证上行链路故障时VRRP进行快速倒换。部署路由为了引导各设备的上行流量，在总部核心交换机上配置一条缺省路由，下一跳指向VRRP的虚地址，在总部及分支的出口路由器上各配置一条缺省路由，下一跳指向运营商网络设备的对接地址（公网网关）。为了引导总部两个出口路由器的回程流量，在两个出口路由器和核心交换机之间部署O