大型园区出口配置示例（防火墙直连部署）

大型园区出口配置示例（防火墙直连部署）

1 大型园区出口配置示例（防火墙直连部署）

1 组网需求

大型园区出口配置示例（防火墙直连部署）

如图1-1所示，在大型园区出口，核心交换机上行和防火墙进行直连，通过防火墙连接到出口网关，对出入园区的业务流量提供安全过滤功能，为网络安全提供保，网络要求如下：

? ? ? ?

内网用户使用私网IP地址，用户的IP地址使用DHCP自动分配。 部门A用户能够访问Internet，部门B用户不能访问Internet。 内外网用户都可以访问HTTP服务器。 保证网络的可靠性，每个节点都进行冗余设计。

文档版本 ()

华为专有和保密信息 版权所有 ? 华为技术有限公司

1

大型园区出口配置示例（防火墙直连部署）

1 大型园区出口配置示例（防火墙直连部署）

图1-1 园区出口组网图（防火墙直连）

Inernet接入点接入点GE0/0/2GE0/0/2Router 1GE0/0/1GE0/0/1Router 2OSPF 0GE1/0/1GE1/0/1GE1/0/7GE1/0/7FW 1GE2/0/3FW 2GE2/0/3GE2/0/4GE2/0/4Eth-Trunk 10Eth-Trunk 20Swich1(主)Swich2(备)CSSHTTP服务器OSPF 1部门AEth-Trunk100Eth-Trunk200OSPF 2部门BAGG1AGG2Switch5(主)Switch6(备)Switch3(主)Switch4(备)

文档版本 ()

华为专有和保密信息 版权所有 ? 华为技术有限公司

2

大型园区出口配置示例（防火墙直连部署）

1 大型园区出口配置示例（防火墙直连部署）

部署要点

?

路由部署：

? ?

Router ID：为每台设备配置一个Loopback地址，作为设备的Router ID。 出口路由器、防火墙、核心交换机作为OSPF骨干区域Area0，出口路由器作为ASBR，核心交换机为ABR。

部门A和部门B的的OSPF区域分别配置为Area 1和Area 2，并配置为NSSA区域，减少LSA在区域间的传播。

为了引导各设备的上行流量，在核心交换机上配置一条缺省路由，下一跳指向防火墙，在防火墙上配置一条缺省路由，下一跳指向出口路由器，出口路由器上配置一条缺省路由，下一跳指向运行商网络设备的对接地址（公网网关）。

?

?

?

可靠性部署：

推荐使用CSS+iStack+Eth-trunk无环以太网技术，让可靠性变得简单。

?

在核心交换机部署集群（CSS），汇聚交换机部署堆叠（iStack），保证设备级可靠性。

为提高链路可靠性、在核心交换机与防火墙之间、核心交换机和汇聚交换机之间、汇聚交换机和接入交换机之间均通过Eth-Trunk互连。 在防火墙上部署双机热备，两台防火墙之间实现负载分担。 核心交换机配置DHCP服务器，为用户自动分配IP地址。

在汇聚交换机上配置DHCP Relay，保证能够通过DHCP服务为用户分配IP地址。

为了使内网用户访问Internet，在两台出口路由器的上行口配置NAT，实现私网地址和公网地址之间的转换。通过ACL匹配部门A的源IP地址，从而实现部门A的用户可以访问Internet，而部门B的用户不能访问Internet。 为了保证外网用户能够访问HTTP服务器，在两台出口路由器上配置NAT Server。

?

? ?

DHCP部署：

? ?

?

NAT部署：

?

?

?

安全部署：

防火墙配置安全策略，对流量进行过滤，保证网络安全。

设备规划

设备类型 路由器Router1、Router2 防火墙FW1、FW2 核心交换机做CSS 汇聚交换机做iStack

设备型号 华为AR3600系列路由器 华为USG9000系列防火墙 华为S7700/S9700/S12700交换机 华为S5720EI系列交换机，使用业务口做堆叠 文档版本 ()

华为专有和保密信息 版权所有 ? 华为技术有限公司

3

大型园区出口配置示例（防火墙直连部署）

1 大型园区出口配置示例（防火墙直连部署）

数据规划

设备 Router1 接口编号 GE0/0/1 GE0/0/2 成员接口 - - VLANIF - - IP地址 10.1.1.1/24 202.10.1.1/24 10.2.1.1/24 202.10.2.1/24 10.1.1.2/24 10.10.1.1/24 10.3.1.1/24 10.2.1.2/24 10.10.1.2/24 10.4.1.1/24 10.100.1.1 10.3.1.2/24 对端设备 FW1 对端接口编号 GE1/0/1 假设此接口用于连接运营商设备接口，IP地址为运营商分配的公网IP。 FW2 GE1/0/1 Router2 GE0/0/1 GE0/0/2 - - 假设此接口用于连接运营商设备接口，IP地址为运营商分配的公网IP。 Router1 FW2 CSS GE0/0/1 GE1/0/7 Eth-Trunk10 Router2 FW1 CSS GE0/0/1 GE1/0/7 Eth-Trunk20 HTTP服务器 FW1 FW1 GE1/0/1 GE1/0/7 Eth-Trunk10 - - GE2/0/3 GE2/0/4 - - GE2/0/3 GE2/0/4 - GE1/1/0/3 GE2/1/0/3 - - - FW2 GE1/0/1 GE1/0/7 Eth-Trunk20 - - - CSS GE1/1/0/10 Eth-Trunk10 VLANIF300 - 以太网接口 Eth-Trunk10 Eth-Trunk20 GE1/1/0/4 GE2/1/0/4 - 10.4.1.2/24 FW2 Eth-Trunk20 Eth-Trunk100 GE1/2/0/3 GE2/2/0/3 VLANIF100 10.5.1.1/24 AGG1 Eth-Trunk100 文档版本 ()

华为专有和保密信息 版权所有 ? 华为技术有限公司

4

大型园区出口配置示例（防火墙直连部署）

1 大型园区出口配置示例（防火墙直连部署）

设备 接口编号 Eth-Trunk200 成员接口 GE1/2/0/4 GE2/2/0/4 GE1/0/1 GE2/0/1 GE1/0/5 GE2/0/5 VLANIF VLANIF200 IP地址 10.6.1.1/24 对端设备 AGG2 对端接口编号 Eth-Trunk200 AGG1 Eth-Trunk100 Eth-Trunk 500 VLANIF100 VLANIF500 10.5.1.2/24 192.168.1.1/24 CSS Eth-Trunk100 假设此接口用于连接部门A，并作为部门A用户的网关 AGG2 Eth-Trunk100 Eth-Trunk 600 GE1/0/1 GE2/0/1 GE1/0/5 GE2/0/5 VLANIF200 VLANIF600 10.6.1.2/24 192.168.2.1/24 CSS 假设此接口用于连接部门B，并作为部门B用户的网关 GE1/1/0/10 HTTP服务器

以太网接口 - - 10.100.1.10/24 CSS 配置思路

采用如下思路配置园区出口： 步骤 1 配置思路 1）核心交换机配置集群（CSS） 2）汇聚交换机配置堆叠(iStack) 涉及产品 核心交换机Switch1和Switch2，汇聚交换机Switch3、Switch4、Switch5、Switch6 核心交换机（CSS）、防火墙（FW1、FW2）、汇聚交换机（AGG1、AGG2） 2 配置接口，为提高链路可靠性 1）核心交换机(CSS)和防火墙之间配置Eth-Trunk 2）核心交换机(CSS)和汇聚交换机(AGG)之间配置Eth-Trunk 3）汇聚交换机和接入交换机之间的Eth-Trunk 3 配置各接口IP地址 1）配置Router上下行接口IP地址 路由器（Router1、Router2）、防火墙 文档版本 ()

华为专有和保密信息 版权所有 ? 华为技术有限公司

5