ensp防火墙出口路由双链路运营商，负载分担及设备冗余

 USG作为校园或大型企业出口网关可以实现内网用户通过两个运营商访问Internet，并保护内网不受网络攻击。

    学习内容：

        用户网关在出口防火墙接口处，汇聚交换机作为中转站不做配置，直接连接下面的接入交换机，简单的三层配置。

     实验目标：

        1、校内用户能够通过两个运营商访问Internet，且去往不同运营商的流量由USG上连接该运营商的对应的接口转发。

       2、当通往两个运营商链路都正常工作的情况下，宿舍区用户通过运营商ISP1访问Internet,教学楼用户通过运营商ISP2访问Internet。

       3、当一条链路出现故障时，流量可以被及时切换到另一条链路上，避免网络长时间中断。

    配置思路：

1、校内用户主要分布在教学楼和宿舍区，通过汇聚交换机连接到USG

2、内网可以访问服务器，不连接外网。

2、学校分别通过两个不同运营商（ISP1和ISP2）连接到Internet，两个运营商分别为该校分配了4个IP地址。ISP1分配的IP地址是200.1.1.1～200.1.1.4，ISP2分配的IP地址是220.1.1.1～220.1.1.4，掩码均为24位。

---

    拓扑图：

 配置如下：

FW配置：
一、基本配置：
Username:
Username:admin
Password:
The password needs to be changed. Change now? [Y/N]: y
Please enter old password: 
Please enter new password: 
Please confirm new password: 
<USG6000V1>language-mode Chinese 
Change language mode, confirm? [Y/N] y
提示：改变语言模式成功。
<USG6000V1>sy
进入系统视图，键入Ctrl+Z退回到用户视图。
[USG6000V1]sys FW
[FW]int g1/0/0
[FW-GigabitEthernet1/0/0]ip add 10.1.1.1 16
[FW-GigabitEthernet1/0/0]int g1/0/1
[FW-GigabitEthernet1/0/1]ip add 172.1.1.1 24
[FW-GigabitEthernet1/0/1]int g 1/0/2
[FW-GigabitEthernet1/0/2]ip add 200.1.1.1 24
[FW-GigabitEthernet1/0/2]int g1/0/3
[FW-GigabitEthernet1/0/3]ip add 220.1.1.1 24

二、安全域配置：
[FW]fir zone trust
[FW-zone-trust]add int g1/0/0
[FW-zone-trust]fir zone dmz 
[FW-zone-dmz]add int g1/0/1
[FW-zone-dmz]fir zone name ISP1
[FW-zone-ISP1]add int g1/0/2
[FW-zone-ISP1]set priority 15
[FW-zone-ISP1]fir zone name ISP2
[FW-zone-ISP2]add int g1/0/3
[FW-zone-ISP2]set priority 20

三、区域间放行策略配置：
[FW]security-policy
[FW-policy-security]rule name trust_IPS1
[FW-policy-security-rule-trust_IPS1]source-zone trust
[FW-policy-security-rule-trust_IPS1]source-address 10.1.0.0 mask 255.255.0.0
[FW-policy-security-rule-trust_IPS1]destination-zone ISP1
[FW-policy-security-rule-trust_IPS1]action permit
[FW-policy-security-rule-trust_IPS1]rule name trust_ISP2
[FW-policy-security-rule-trust_ISP2]source-zone trust
[FW-policy-security-rule-trust_ISP2]source-address 10.1.0.0 mask 255.255.0.0
[FW-policy-security-rule-trust_ISP2]destination-zone ISP2
[FW-policy-security-rule-trust_ISP2]action permit
[FW-policy-security]rule name trust_dmz 
[FW-policy-security-rule-trust_dmz]source-zone trust
[FW-policy-security-rule-trust_dmz]source-address 10.1.0.0 mask 255.255.0.0
[FW-policy-security-rule-trust_dmz]destination-zone dmz
[FW-policy-security-rule-trust_dmz]destination-address 172.16.1.0 mask 255.255.2
55.0
[FW-policy-security-rule-trust_dmz]action permint

四、在域间开启ASPF功能，防止多通道协议无法建立连接：
[FW]firewall interzone trust ISP1
[FW-interzone-trust-ISP1]detect ftp
[FW-interzone-trust-ISP1]detect qq
[FW-interzone-trust-ISP1]detect msn
[FW]firewall interzone trust ISP2
[FW-interzone-trust-ISP2]detect ftp
[FW-interzone-trust-ISP2]detect qq
[FW-interzone-trust-ISP2]detect msn

五、建立nat地址池及nat转换策略
[FW]nat address-group 1
[FW-address-group-1]section 0 200.1.1.2 200.1.1.3
[FW-address-group-1]nat address-group 2
[FW-address-group-2]section 0 220.1.1.2 220.1.1.3

[FW]nat-policy
[FW-policy-nat]rule name ISP1
[FW-policy-nat-rule-ISP1]source-zone trust
[FW-policy-nat-rule-ISP1]destination-zone ISP1
[FW-policy-nat-rule-ISP1]action source-nat address-group 1
[FW-policy-nat-rule-ISP1]
[FW-policy-nat-rule-ISP1]rule name ISP2
[FW-policy-nat-rule-ISP2]source-zone trust 
[FW-policy-nat-rule-ISP2]destination-zone ISP2
[FW-policy-nat-rule-ISP2]action source-nat address-group 2

六、配置IP-Link、多条静态路由和两条缺省路由，实现网络的双出口特性和链路的可靠性。
配置链路可达性检查后，当发现该链路不可达时，则选择另一条链路可达的路由。
# 配置IP-Link，并使用ICMP报文进行链路检测
[FW]ip-link check enable 
[FW]ip-link name ISP1
[FW-iplink-ISP1]destination 200.1.1.4 mode icmp
[FW-iplink-ISP1]ip-link name ISP2
[FW-iplink-ISP2]destination 220.1.1.4 mode icmp

七、配置缺省路由：
[FW]ip route-s 0.0.0.0 0 g1/0/2 200.1.1.4 track ip-link  ISP1
[FW]ip route-s 0.0.0.0 0 g1/0/3 220.1.1.4 track ip-link ISP2

八、配置策略路由：
[FW]policy-based-route
[FW-policy-pbr]rule name ISP1
[FW-policy-pbr-rule-ISP1]ingress-interface g1/0/0
[FW-policy-pbr-rule-ISP1]source-address 10.1.1.1 mask 255.255.255.128
[FW-policy-pbr-rule-ISP1]action pbr egress-interface g1/0/2 next-hop 200.1.1.4

[FW-policy-pbr-rule-ISP1]rule name ISP2
[FW-policy-pbr-rule-ISP2]ingress-interface g1/0/0
[FW-policy-pbr-rule-ISP2]source-address 10.1.1.128 mask 255.255.255.128
[FW-policy-pbr-rule-ISP2]action pbr egress-interface g1/0/3 next-hop 220.1.1.4

---

总结：目前该拓扑只做了负载分担和冗余配置，未做其服务器外网访问配置及更细节的配置，用户网关配置在防火墙，一般情况下应配置在核心交换机上。ACL及vlan均未划分。有很多拓展的空间。路由策略大致相同，等学习到更多的路由协议再做更改，现在也是在一边学习，一边修改，一边实践中。

---