双链路网络安全解决方案.docxVIP

双链路网络安全解决方案需求分析：为业务提供所承诺的7/24的可靠服务是至关重要的。一个提供Internet接入和网站访问的服务商不仅需要保证链路和网站内所有的WEB服务器、应用服务器和数据库服务器的高可用性，还必须保证链路和站点本身的高可用性。保证Internet接入的稳定性对于Internet服务商来说是非常重要的。现在的服务商采用一条Internet接入，也就是说使用一个ISP的链路。显然，一个ISP无法保证它提供的Internet链路的持续可用性，从而可能导致Internet访问和网站WAN接入的中断，而Internet接入的中断则意味着高额的损失。一个企业可以采用多链路（Multi-Homing）和集群HA的解决方案来避免Internet接入中断所造成的损失。在这里所提及的”Multi-Homing通常指同时使用不同ISP提供的多条Internet接入链路；”集群HA”是指在接入点利用同品牌通型号的两个或者多个防火墙形成互为备份/冗余的功能。由于多链路解决方案能够提供更好的可用性和性能，它正在被越来越多的Internet服务商和企业所采用。可用性的提高来自于多条链路的使用，而性能提高则是因为同时使用多条链路增加了带宽，而加入集群的同时更加保护网络不受因单点故障而导致网络中断的风险。方案描述多链路冗余起到在多个运营商之间故障的转移，但是防火墙作为内外网的接入点，当设备出现故障便会导致内外网之间的网络业务的全部中断,引起单点故障,影响业务正常运行。因此在网络接入点部署多台设备形成备份/冗余是非常必要的，其中一台设备发生故障时，数据便会切换到另外一台设备上继续传输,而且还可以做设备性能的叠加增强。下面是网络拓扑图：功能实现3.1双链路功能3.1.1对于外向型连接多重连接将以速度为目标对外向型互联网连接进行优化。多重连接使用来自于各个ISP的源IP地址检测与服务器的连接情况。反馈速度最快的连接可以继续进行工作。因此，每个连接都必定是速度最快的连接，其结果是，综合数据吞吐率将远远超过一个服务性能不稳定的单个连接。经过累加，暂时性工作性能高峰将为整个系统的工作带来优势，还可以避免延迟现象的发生。3.1.2对于内向型连接多重连接技术中将对内向型连接进行负载均衡，并以获得最高水平的可用性为目标而进行优化，因此，用户在访问您的站点时将不会出现延迟现象或服务中断。通过对服务器使用特殊IP地址，多重连接技术将可以实现这一目标；此时，服务器上将被配置多个IP地址，而这些IP地址来自于由多个ISP所分配的IP地址范围当中。3.1.3线路负载均衡原理通过Watchguard卓越有效的Link Load Balancing功能为总部多条ISP多条链路无缝实现链路负载均衡。目前Watchguard可实现多种负载均衡方式：Routing table：本方式通常用来解决南电信北网通互通难的问题，从而实现访问电信线路出去访问电信网络，反之通过网通线路出去。Failover：线路备份，Watchguard提供备份优先级，并可指定那些预留线路不参与线路备份，保证关键业务的持续有效。Round-robin：真正的负载均衡实现多条链路的叠加，Watchguard也可以指定预留线路不参与负载均衡。对不同质量的线路也可以加权处理。Interface Overflow：通过这种负载均衡的方式可以保证每条链路的带宽都能充分利用从而实现投资最大化。3.1.4 线路切换机制通过配置多链路事件的粘滞连接、故障回复来实现线路之间的相互切换。粘滞连接：在规定的时间段内持续使用同一个WAN 接口的连接。在为多WAN 使用“循环法”或“接口溢出”选项时，可以设置粘滞连接参数。粘滞特性可确保：当数据包通过某个外部接口发送出去时，在指定时间段内，源IP 地址和目标IP 地址对之间的所有未来的数据包都使用同一个外部接口。默认情况下，粘滞连接会在3 分钟内使用同一个接口。故障回复：当发生故障转移事件时希望WatchGuard设备执行的操作，使主外部接口重新处于活动状态。发生此情况后，所有新连接将立即故障回复到主外部接口。可以选择在发生故障回复时为正在处理的连接使用此方法。3.2 集群功能3.2.1触发故障转移的事件群集主控设备的被监控接口出现链路故障如果群集主控设备的被监控接口无法发送或接收流量，将触发故障转移。您可以在Policy Manager 的FireCluster配置中查看被监控接口的列表。群集主控设备没有完全正常运转如果在群集主控设备中检测到软件故障或硬件故障，或群集主控设备上的关键进程失败，将触发故障转移。群集收到来自于Firebox System Manager 的“故障转移主设备”命令主控设备故障转移到备份主控设备。3.2.2 发生故障转移当群集主控设备发生故障转移之后