Hillstone安全网关高级功能配置手册v50初版.pdfVIP

服务热线：400 828 6655 Hillstone 山石网科 多核安全网关 高级功能配置手册 V 5.0 版本 一．链路负载均衡 3 1.1 基于目的路由的流量负载4 1.2 基于源路由的流量负载6 1.3 基于策略路由的流量负载7 1.4 智能链路负载均衡9 二．流量控制QOS 配置10 2.1 配置IP QOS10 2.2 配置应用QOS 14 2.3 配置混合QOS 16 2.4 配置QOS 白名单18 三．NBC 网络行为控制配置19 3.1 URL 过滤(有URL 许可证) 20 3.2 URL 过滤（无URL 库许可证）25 3.3 网页关键字过滤28 3.4 网络聊天控制33 四．VPN 高级配置35 4.1 基于USB-KEY 的SCVPN 配置35 4.2 PNP-VPN48 五．高可靠性HA 配置60 一．链路负载均衡 当防火墙有多条链路接入，同时需要对内网的流量根据源地址，目的地址或者 服务进行流量的负载分摊时，需要进行负载均衡的配置，以便保证流量的负载分 担；在配置源地址，目的地址的负载均衡时，可以实现冗余，当某一条路由失效 时，可以保证正常的流量转发。 配置多链路负载均衡前，先保证接口，snat 和策略都配置正确。 1.确认接口的地址和掩码都配置正确，其中掩码的位数一定和运行商确认： 2.两条源地址转换，使内网的流量可以分别nat 成对应公网出口地址池的地址， 去访问互联网： 3.确认流量穿越防火墙时，防火墙策略允许 （源和目的地址以及服务可以根据 具体情况作相应修改）： 1.1 基于目的路由的流量负载 例：e0/1 口接入10M 电信，e0/2 接入20M 网通；实现所有访问公网的流量按 1：2 的比例分别从e0/1 口和e0/2 口转发出去。即当设备总共转发3 数值的流 量时，e0/1 转发1 数值；e0/2 口转发2 数值。 Web 页面配置如下： 1．网络-〉路由-〉新建 : 2．创建一条默认路由权值为2，即可得到配置如下： 如此即可实现流量从 e0/1 转发和从 e0/2 转发的比是 10：20 即流量的 1：2 负载。具体比例可根据出口带宽的大小以及实际使用率确定。 1.2 基于源路由的流量负载 首先要确认流量需要负载的网段比如：/24， Web 页面新建源路由如下 1．网络-路由-源路由-新建： 2．重复上述操作并将网关改为；路由权值改为2 （根据需求）： 如此即可实现来自 /24 网段的流量从e0/1 转发和从e0/2 转发的 比是1：2，具体比例可根据出口带宽的大小以及实际使用率确定。 1.3 基于策略路由的流量负载 例子：需要负载的网段是/24，此网段去往 的HTTP 流量 从e0/1 口转发；去往 的ICMP 流量从e0/2 口转发。 Web 页面配置如下： 1．网络-路由-策略路由-新建：先配置源地址： 2．配置目的地址和服务： 3．同样方法再新建一条策略路由，其中的服务选择ICMP 得到配置如下 ： 按上述流程配置即可实现/24 网段对目的地址是 的http 和icmp 流量负载。 1.4 智能链路负载均衡 当内网用户向外网目标地址首次发起访问时，系统对只匹配到缺省路由的流量 在符合条件的各条链路上进行探测，对响应相对快速的接口生成静态路由，后续 报文将直接按照路由转发不再探测；如果生成的静态，路由在一定时间内不被命 中，则自动老化。 配置如下图： 配置动态检测路由的老化时间和对应子网掩码： 二．流量控制QOS 配置 2.1 配置IP QoS 1．进入配置界面，配置-控制-流量管理，点击IP QoS-新建： 2．设置IP QoS 的具体参数： 3．设置具体的限制带宽，以上行为例： 例：要配置 至00 范围内IP 在e0/2 每IP 上下行预 留带宽200K，最大带宽1M，配置如下图所示： IP QoS 的高级配置： 点击高级配置选项卡，进入高级配置页面： 弹性QoS：可设置最大弹性带宽，当接口存在闲置带宽时可暂时突破QoS 的 闲置以避免资源浪费，必须在主页开启全局弹性QoS 时才能生效 细粒