实验拓扑

双出口对于保证企业网稳定运行意义重大，为了安全考虑部分用户采用防火墙作为出口网关，利用相关安全策略提高安全性。本实验模拟企业网利用防火墙作为出口，双营运商出口线路使用，默认情况流量负载分担，链路故障时配合ip-link检测自动切换。

实验拓扑说明：AR1 AR2分别模拟两家营运商的接入路由,OSPF区域为营运商网络；Server1模拟互联网服务器；FW1模拟用户接入防火墙。

实验配置：

1. 基础配置。各设备接口配置IP地址，营运商部分配置OSPF协议，使得各链路互通。

　PC１PC2配置静态IP

内网交换机采用默认配置，无需特别配置。

AR1配置

sysname AR1

interface GigabitEthernet0/0/0

ip address 1.1.1.254 255.255.255.0

interface GigabitEthernet0/0/1

ip address 12.1.1.1 255.255.255.0

ospf 1

silent-interface GigabitEthernet0/0/0

area 0.0.0.0

network 1.1.1.254 0.0.0.0

network 12.1.1.1 0.0.0.0

AR2配置

sysname AR2

interface GigabitEthernet0/0/0

ip address 2.2.2.254 255.255.255.0

interface GigabitEthernet0/0/1

ip address 13.1.1.1 255.255.255.0

ospf 1

silent-interface GigabitEthernet0/0/0

area 0.0.0.0

network 2.2.2.254 0.0.0.0

network 13.1.1.1 0.0.0.0

AR3配置

sysname AR3

interface GigabitEthernet0/0/0

ip address 12.1.1.2 255.255.255.0

interface GigabitEthernet0/0/1

ip address 13.1.1.2 255.255.255.0

interface GigabitEthernet0/0/2

ip address 8.8.8.254 255.255.255.0

ospf 1

silent-interface GigabitEthernet0/0/2

area 0.0.0.0

network 8.8.8.254 0.0.0.0

network 12.1.1.2 0.0.0.0

network 13.1.1.2 0.0.0.0

Server1配置静态地址

2.出口防火墙配置

防火墙各接口IP地址配置，并加入相应的区域，两个出口自定义两个区域。

system-view

sysname FW1

interface GigabitEthernet1/0/0

ip address 10.1.1.1 255.255.255.0

interface GigabitEthernet1/0/1

ip address 1.1.1.1 255.255.255.0

interface GigabitEthernet1/0/2

ip address 2.2.2.2 255.255.255.0

firewall zone trust

add interface GigabitEthernet1/0/0

firewall zone name isp1

set priority 10

add interface GigabitEthernet1/0/1

firewall zone name isp2

set priority 20

add interface GigabitEthernet1/0/2

　　　　　　　　　　//ISP1 ISP2两个区域对应两条出口链路

ip-link check enable

//开始ip-link检测能力

//ip-link每隔3s发送一个ICMP包，当对端5次没有回应时，判断为链路故障，

//知更新路由表

//即使故障，ip-link也会不停发送ICMP包，当回应时，ip-link通知路由表，恢复之

//前的最优路径

ip-link name tr-isp1

destination 12.1.1.2 interface GigabitEthernet1/0/1 mode icmp next-hop 1.1.1.254

ip-link name tr-isp2

destination 13.1.1.2 interface GigabitEthernet1/0/2 mode icmp next-hop 2.2.2.254

//配置ip-link检测两条链路的远端地址

ip route-static 0.0.0.0 0.0.0.0 1.1.1.254 track ip-link tr-isp1

ip route-static 0.0.0.0 0.0.0.0 2.2.2.254 track ip-link tr-isp2

//配置静态路由与ip-link联动

nat-policy

rule name isp1

source-zone trust

destination-zone isp1

source-address 10.1.1.0 mask 255.255.255.0

service http

service icmp

action source-nat easy-ip

rule name isp2

source-zone trust

destination-zone isp2

source-address 10.1.1.0 mask 255.255.255.0

service http

service icmp

action source-nat easy-ip

//配置NAT，EASY IP方式，转换内网HTTP和ICMP服务

policy-based-route

rule name isp1 1

ingress-interface GigabitEthernet1/0/0

source-address 10.1.1.100 mask 255.255.255.255

destination-address 8.8.8.8 mask 255.255.255.255

service http

service icmp

track ip-link tr-isp1

action pbr egress-interface GigabitEthernet1/0/1 next-hop 1.1.1.254

rule name isp2 2

ingress-interface GigabitEthernet1/0/0

source-address 10.1.1.200 mask 255.255.255.255

destination-address 8.8.8.8 mask 255.255.255.255

service http

service icmp

track ip-link tr-isp2

action pbr egress-interface GigabitEthernet1/0/2 next-hop 2.2.2.254

//配置策略路由，跟踪ip-link检测结果

security-policy

default action permit

//配置安全策略，实际根据需要放行相应条目，实验中选择全部放行

icmp ttl-exceeded send

// 配置防火墙允许tracert 回显,显示相应的返回信息，便于观察现象

3.实验结果测试

配置完成后，查看FW1的路由表，有两条默认路由；可以看到PC1 PC2访问互联网Server，分别通过两个ISP链路。

模拟ISP1远端故障，关闭AR3的G0/0/0接口，FW1的默认路由只剩一条

在PC1上测试连接Server1，访问实际通过ISP2链路，PC2访问则无变化

重新将AR3的g0/0/0接口恢复，PC1恢复ISP1访问链路。

模拟ISP2远端链路故障现象类似，不再重复。

至此，实验成功。

本实验环境为华为ENSP模拟器。