在ensp上做IP-Link和静态路由联动

搭建网络拓扑图

第一步：配置终端设备PC1、PC2

第二步：配置R1和R2的IP地址和静态路由

路由器一（R1）

[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]ip add 11.1.1.1 24
[R1-GigabitEthernet0/0/1]q
[R1]int g0/0/2
[R1-GigabitEthernet0/0/2]ip add 21.1.1.1 24
[R1-GigabitEthernet0/0/2]q

[R1]ip route-static 1.1.1.0 24 11.1.1.21
[R1]ip route-static 2.2.2.0 24 21.1.1.22

路由器二（R2）

[R2]int g0/0/1
[R2-GigabitEthernet0/0/1]ip add 22.1.1.2 24
[R2-GigabitEthernet0/0/1]q
[R2]int g0/0/2
[R2-GigabitEthernet0/0/2]ip add 12.1.1.2 24
[R2-GigabitEthernet0/0/2]q

[R2]ip route-static 1.1.1.0 24 12.1.1.21
[R2]ip route-static 2.2.2.0 24 22.1.1.22

第三步：配置防火墙IP地址，把接口加入到安全区域

配置接口的IP地址

[FW1]int g1/0/1
[FW1-GigabitEthernet1/0/1]ip add 11.1.1.21 24
[FW1-GigabitEthernet1/0/1]q
[FW1]int g1/0/2
[FW1-GigabitEthernet1/0/2]ip add 12.1.1.21 24
[FW1-GigabitEthernet1/0/2]q
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]ip add 1.1.1.254 24
[FW1-GigabitEthernet1/0/0]q
[FW1]

把接口加入到安全区域

[FW1]firewall zone name isp1
[FW1-zone-isp1]set priority 45
[FW1-zone-isp1]add int g1/0/1
[FW1-zone-isp1]q
[FW1]firewall zone name isp2
[FW1-zone-isp2]set priority 40
[FW1-zone-isp2]add int g1/0/2
[FW1-zone-isp2]q	
[FW1]firewall zone trust 
[FW1-zone-trust]add int g1/0/0
[FW1-zone-trust]q

[FW2]firewall zone name ISP1
[FW2-zone-ISP1]set priority 40
[FW2-zone-ISP1]add int g1/0/2
[FW2-zone-ISP1]q
[FW2]firewall zone name ISP2
[FW2-zone-ISP2]set priority 45
[FW2-zone-ISP2]add int g1/0/1
[FW2-zone-ISP2]q
[FW2]firewall zone trust
[FW2-zone-trust]add int g1/0/0
[FW2-zone-trust]q

第四步：配置IP-Link，分别检测R1-FW2和R1-FW1的链路

[FW1]ip-link check enable   
[FW1]ip-link name isp1   
[FW1-iplink-isp1]destination 21.1.1.22 int G1/0/1 next-hop 11.1.1.1 
[FW1-iplink-isp1]

[FW2]ip-link check enable 
[FW2]ip-link name isp1		
[FW2-iplink-isp1]destination 11.1.1.21 int g1/0/2 next-hop 21.1.1.1
[FW2-iplink-isp1]dis this
[FW2-iplink-isp1]

第五步：在FW1和FW2上分别配置两条默认静态路由（一主一备），默认优先级是60.且数字越小越优先。

[FW1]ip route-static 0.0.0.0 0 11.1.1.1 
[FW1]ip route-static 0.0.0.0 0 12.1.1.2 preference 70

[FW2]ip route-static 0.0.0.0 0 21.1.1.1
[FW2]ip route-static 0.0.0.0 0 22.1.1.2 preference 70 

第六步：开启ping测试功能。因为IP-Link需要通过发包收报检测状态。

[FW1]int g1/0/1	
[FW1-GigabitEthernet1/0/1]service-manage ping permit 
[FW1-GigabitEthernet1/0/1]q

[FW2]int g1/0/2	
[FW2-GigabitEthernet1/0/2]service-manage ping permit 
[FW2-GigabitEthernet1/0/2]q

第七步：静态路由绑定IP-Link

[FW1]ip route-static 0.0.0.0 0 11.1.1.1 track ip-link isp1

[FW2]ip route-static 0.0.0.0 0 21.1.1.1 track ip-link isp1

第八步：做精细路由

[FW1]ip route-static 21.1.1.22 32 11.1.1.1

[FW2]ip route-static 11.1.1.21 32 21.1.1.1

第九步：设置安全策略

[FW1]security-policy
[FW1-policy-security]default action permit 
[FW1-policy-security]q

[FW2]security-policy 
[FW2-policy-security]default action permit 
[FW2-policy-security]q

第十步：测试结果

dis ip-link    //可以看到ISP1的状态为up