ENSP-NGFW防火墙智能选举

目录

Topo

​需求

办公区设备可以通过电信链路和移动链路上网（多对多NAT，并且需要保留一个公网IP不能用来转换）

分公司设备可以通过总公司的移动链路和电信链路访问到DMZ区域的HTTP服务器

多出口环境基于带宽比例进行选择，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%

分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过该域名访问到分公司内部服务器

游客区域仅能通过移动链路访问互联网

解决

需求1：办公区设备可以通过电信链路和移动链路上网（多对多NAT，并且需要保留一个公网IP不能用来转换）

需求2：分公司设备可以通过总公司的移动链路和电信链路访问到DMZ区域的HTTP服务器

需求3：多出口环境基于带宽比例进行选择，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%

需求4：分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过该域名访问到分公司内部服务器

需求5：游客区域仅能通过移动链路访问互联网

Thanks

---

Topo

需求

1. 办公区设备可以通过电信链路和移动链路上网（多对多NAT，并且需要保留一个公网IP不能用来转换）

2. 分公司设备可以通过总公司的移动链路和电信链路访问到DMZ区域的HTTP服务器

3. 多出口环境基于带宽比例进行选择，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%

4. 分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过该域名访问到分公司内部服务器

5. 游客区域仅能通过移动链路访问互联网

解决

需求1：办公区设备可以通过电信链路和移动链路上网（多对多NAT，并且需要保留一个公网IP不能用来转换）

1，办公区到电信链路和移动链路的NAT

2，配置地址池和保留一个公网IP

需求2：分公司设备可以通过总公司的移动链路和电信链路访问到DMZ区域的HTTP服务器

1，配置UNTRUST区域到DMZ区域的安全策略

2，配置服务器的映射关系（电信、移动）

3，配置分公司防火墙的安全策略和NAT服务

需求3：多出口环境基于带宽比例进行选择，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。链路开启过载保护，保护阈值80%

1，配置多出口环境并设置过载阈值

2，配置基于带宽比例进行优选

3，配置办公区10.0.2.10设备只能通过电信链路访问互联网的策略路由

需求4：分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过该域名访问到分公司内部服务器

1，配置分公司HTTP服务器端口映射及安全策略

2，配置DNS服务器及解析

3，公网设备通过域名访问分公司HTTP服务器

4，分公司内部通过域名访问本地的HTTP服务器（首先因为TCP三次握手源地址不同导致内部无法通过外网建立TCP连接所以需要先配置NAT用防火墙当作中间人转换地址并转发）

需求5：游客区域仅能通过移动链路访问互联网

1，配置游客区安全策略和NAT策略（由于安全策略我已经配过就略过）

Thanks