配置ISP选路实现报文按运营商转发

​

在我们日常的网络中为了达到冗余要求往往我们都会接入多家运营商的线路到出口设备。

这里我们介绍通过配置ISP选路实现报文按运营商转发的配置举例。

实验要求：

FW作为安全网关部署在网络出口，企业分别从ISP1和ISP2租用一条链路。
企业希望访问Server 1的报文从ISP1链路转发，访问Server 2的报文从ISP2链路转发。
当其中一条链路故障时，后续流量可以通过另一条链路转发，保证传输的可靠性。
ISP选路组网图

配置思路
配置健康检查功能，分别为ISP1和ISP2链路配置健康检查。
配置接口的IP地址、安全区域和网关地址，并在接口上应用健康检查。
制作isp1.csv和isp2.csv两个ISP地址文件，将Server 1的IP地址3.3.3.3写入isp1.csv文件中；将Server 2的IP地址9.9.9.9写入isp2.csv文件中，并上传到FW上。
配置ISP选路规则功能，使访问Server 1的报文从ISP1链路转发，访问Server 2的报文从ISP2链路转发。
配置基本的安全策略，允许企业内部用户访问外网资源。
操作步骤
开启健康检查功能，并为ISP1和ISP2链路分别新建一个健康检查。

<FW> system-view
[FW] healthcheck enable
[FW] healthcheck name isp1_health
[FW-healthcheck-isp1_health] destination 3.3.10.10 interface GigabitEthernet 0/0/1 protocol tcp-simple destination-port 10001
[FW-healthcheck-isp1_health] destination 3.3.10.11 interface GigabitEthernet 0/0/1 protocol tcp-simple destination-port 10002
[FW-healthcheck-isp1_health] quit
[FW] healthcheck name isp2_health
[FW-healthcheck-isp2_health] destination 9.9.20.20 interface GigabitEthernet 0/0/7 protocol tcp-simple destination-port 10003
[FW-healthcheck-isp2_health] destination 9.9.20.21 interface GigabitEthernet 0/0/7 protocol tcp-simple destination-port 10004
[FW-healthcheck-isp2_health] quit

2.配置接口的IP地址和网关地址，并应用对应的健康检查。

[FW] interface GigabitEthernet 0/0/1
[FW-GigabitEthernet0/0/1] ip address 1.1.1.1 255.255.255.0
[FW-GigabitEthernet0/0/1] gateway 1.1.1.254
[FW-GigabitEthernet0/0/1] healthcheck isp1_health
[FW-GigabitEthernet0/0/1] quit
[FW] interface GigabitEthernet 0/0/3
[FW-GigabitEthernet0/0/3] ip address 10.3.0.1 255.255.255.0
[FW-GigabitEthernet0/0/3] quit
[FW] interface GigabitEthernet 0/0/7
[FW-GigabitEthernet0/0/7] ip address 2.2.2.2 255.255.255.0
[FW-GigabitEthernet0/0/7] gateway 2.2.2.254
[FW-GigabitEthernet0/0/7] healthcheck isp2_health
[FW-GigabitEthernet0/0/7] quit

3.上传ISP地址文件到FW，可以使用SFTP方式进行传输，具体步骤略。
4.为ISP1和ISP2分别创建运营商名称isp1_ifgrp和isp2_ifgrp，并关联对应的ISP地址文件。
这里需要的isp路由需要大家自己去找或者可以关注公众号回复：“ips路由”来获取。

[FW] isp name isp1_ifgrp set filename isp1.csv
[FW] isp name isp2_ifgrp set filename isp2.csv

5.为ISP1和ISP2分别新建一个ISP接口组，并将接口加入对应的ISP接口组，缺省下发对应的ISP路由。

[FW] interface-group 1 isp isp1_ifgrp
[FW-interface-isp-group-1] add interface GigabitEthernet 0/0/1
[FW-interface-isp-group-1] quit
[FW] interface-group 2 isp isp2_ifgrp
[FW-interface-isp-group-2] add interface GigabitEthernet 0/0/7
[FW-interface-isp-group-2] quit

6.将接口加入安全区域。

[FW] firewall zone trust
[FW-zone-trust] add interface GigabitEthernet 0/0/3
[FW-zone-trust] quit
[FW] firewall zone untrust
[FW-zone-untrust] add interface GigabitEthernet 0/0/1
[FW-zone-untrust] add interface GigabitEthernet 0/0/7
[FW-zone-untrust] quit

7.配置Trust到Untrust区域的安全策略，允许企业内网用户访问外网资源。假设内部用户网段为10.3.0.0/24。

[FW-policy-security] rule name policy_sec_trust_untrust
[FW-policy-security-rule-policy_sec_trust_untrust] source-zone trust
[FW-policy-security-rule-policy_sec_trust_untrust] destination-zone untrust
[FW-policy-security-rule-policy_sec_trust_untrust] source-address 10.3.0.0 24
[FW-policy-security-rule-policy_sec_trust_untrust] action permit
[FW-policy-security-rule-policy_sec_trust_untrust] quit
[FW-policy-security] quit

配置脚本

#
 isp name isp1_ifgrp set filename isp1.csv
 isp name isp2_ifgrp set filename isp2.csv
#
healthcheck enable
healthcheck name isp1_health
 destination 3.3.10.10 interface GigabitEthernet0/0/1 protocol tcp-simple destination-port 10001
 destination 3.3.10.11 interface GigabitEthernet0/0/1 protocol tcp-simple destination-port 10002
healthcheck name isp2_health
 destination 9.9.20.20 interface GigabitEthernet0/0/7 protocol tcp-simple destination-port 10003
 destination 9.9.20.21 interface GigabitEthernet0/0/7 protocol tcp-simple destination-port 10004
#
interface GigabitEthernet0/0/1
 ip address 1.1.1.1 255.255.255.0
 healthcheck isp1_health
 gateway 1.1.1.254
#
interface GigabitEthernet0/0/3
 ip address 10.3.0.1 255.255.255.0
#
interface GigabitEthernet0/0/7
 ip address 2.2.2.2 255.255.255.0
 healthcheck isp2_health
 gateway 2.2.2.254
#
 firewall zone trust
  set priority 85
  add interface GigabitEthernet0/0/3
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet0/0/1
 add interface GigabitEthernet0/0/7
#
security-policy
 rule name policy_sec_trust_untrust
  source-zone trust
  destination-zone untrust
  source-address 10.3.0.0 mask 255.255.255.0
  action permit
#
interface-group 1 isp isp1_ifgrp
 add interface GigabitEthernet0/0/1
#
interface-group 2 isp isp2_ifgrp
 add interface GigabitEthernet0/0/7
#
return

关注公众号回复：“ips路由”来获取isp路由文件。