大型园区出口配置示例（防火墙直连部署）(2)

大型园区出口配置示例（防火墙直连部署）

1 大型园区出口配置示例（防火墙直连部署）

步骤 配置思路 2）配置FW上下行接口IP地址 3）配置核心交换机上下行接口IP地址 4）配置汇聚交换机上下行接口IP地址 涉及产品 （FW1、FW2）、核心交换机（CSS）、汇聚交换机（AGG1、AGG2） 路由器（Router1、Router2）、防火墙（FW1、FW2）、核心交换机（CSS） 4 配置路由协议，内网使用OSPF协议 1）路由器、防火墙、核心交换机上行接口配置为骨干区域Area 0 2）核心交换机下行接口、汇聚交换机配置为NSSA区域Area1、Area2 3）在核心交换机上配置一条缺省路由，下一跳指向防火墙，在防火墙上配置一条缺省路由，下一跳指向出口路由器，出口路由器上配置一条缺省路由，下一跳指向运行商网络设备的对接地址（公网网关） 5 配置防火墙各接口所属安全区域 1）将连接外网的接口加入到Untrust区域 2）将连接内网的接口加入到Trust区域 3）将双机热备心跳线加入到DMZ区域 防火墙（FW1、FW2） 6 配置双机热备 1）配置VGMP监控上下行接口 2）指定心跳线，启用双机热备 3）使能快速备份功能，保证两台防火墙实现负载分担 防火墙（FW1、FW2） 7 配置DHCP 1）在核心交换机上配置DCHP服务器功能，指定地址池和网关 2）在汇聚交换上配置是DHCP中继功能 核心交换机(CSS)、汇聚交换机（AGG1、AGG2） 8 配置NAT 1）在两台出口路由器上配置NAT，让部门A的用户可以访问Internet，部门B用户不能访问Internet 2）在在两台出口路由器上配置NAT Server，保证外部用户能够访问HTTP服务器 出口路由器Router1、Router2 9 配置攻击防范，在防火墙上开启SYN Flood、HTTP Flood攻击防范功能，保护内部服务器不受攻击 防火墙

文档版本 ()

华为专有和保密信息 版权所有 ? 华为技术有限公司

6

大型园区出口配置示例（防火墙直连部署）

1 大型园区出口配置示例（防火墙直连部署）

操作步骤

步骤 1 核心交换机：配置交换机集群

1. 连接集群卡的线缆，下图以EH1D2VS08000集群卡连线为例。

一块集群卡只能与对框一块集群卡相连，不能连接到多块集群卡，且不能与本框集群卡相连。

? ?

?

集群卡上组1的任意接口只能与对框集群卡上组1的任意接口相连，组2的要求同组1。 每块集群卡上连接集群线缆的数量相同（如果不相同会影响总的集群带宽），且两端按照接口编号的顺序对接。

2. 在Switch1上配置集群，集群连接方式为集群卡（缺省值，不需配置）。集群ID采用缺省值1（不需配置），优先级为100

system-view

[HUAWEI] set css mode css-card //设备缺省值，不需再执行命令配置,此步骤仅用作示范命令 [HUAWEI] set css id 1 //设备缺省值，不需再执行命令配置,此步骤仅用作示范命令

[HUAWEI] set css priority 100 //集群优先级缺省为1，修改主交换机的优先级大于备交换机 [HUAWEI] css enable

Warning: The CSS configuration takes effect only after the system is rebooted. The next CSS mode is CSS-Card. Reboot now? [Y/N]:Y //重启交换机

3. 在Switch2上配置集群。集群连接方式为集群卡（缺省值，不需配置）。集群ID

为2。优先级采用缺省值1（不需配置）。

system-view

[HUAWEI] set css id 2 //集群ID缺省为1，修改备交换机的ID为2 [HUAWEI] css enable

文档版本 ()

华为专有和保密信息 版权所有 ? 华为技术有限公司

7

大型园区出口配置示例（防火墙直连部署）

1 大型园区出口配置示例（防火墙直连部署）

Warning: The CSS configuration takes effect only after the system is rebooted. The next CSS mode is CSS-Card. Reboot now? [Y/N]:Y //重启交换机

4. 交换机完成重启后，查看集群状态

集群系统主的CSS MASTER灯绿色常亮，如

dc_cfg_campus_001#fig_dc_cfg_campus_00103所示。

?

Switch1的两块主控板上编号为1的CSS ID灯绿色常亮，Switch2的两块主控板上编号为2的CSS ID灯绿色常亮。

集群卡上有集群线缆连接的端口LINK/ALM灯绿色常亮。

主框上所有集群卡的MASTER灯绿色常亮，备框上所有集群卡的MASTER灯常灭。

? ?

集群建立后，后续交换机的配置都在主交换机上进行，数据会自动同步到备交换机。 在集群系统中，接口编号会变为4维，例如，10GE1/1/0/9。其中左边第一位表示集群ID。

步骤 2 汇聚交换机：配置堆叠（iStack），这里以S5720EI系列交换机为例，使用业务口做堆

叠

以Switch3和Swtich4为例，Switch5和Swtich6做堆叠类似，不做赘述。 在配置堆叠前，先不要连线，等配置完成之后再连线

1. 配置逻辑堆叠端口并加入物理成员接口

本端设备逻辑堆叠端口stack-port n/1里的物理成员端口只能与对端设备逻辑堆叠端口stack-port n/2里的物理成员端口相连。

# 配置Switch3的业务口GE0/0/28为物理成员端口，并加入到相应的逻辑堆叠端口。

文档版本 ()

华为专有和保密信息 版权所有 ? 华为技术有限公司

8

大型园区出口配置示例（防火墙直连部署）

1 大型园区出口配置示例（防火墙直连部署）

[Switch3] interface stack-port 0/1

[Switch3-stack-port0/1] port interface gigabitethernet 0/0/28 enable

Warning: Enabling stack function may cause configuration loss on the interface, continue?[Y/N]:Y

Info: This operation may take a few seconds. Please wait for a moment....... [Switch3-stack-port0/1] quit

# 配置Switch4的业务口GE0/0/28为物理成员端口，并加入到相应的逻辑堆叠端口。

[Switch4] interface stack-port 0/2

[Switch4-stack-port0/2] port interface gigabitethernet 0/0/28 enable

Warning: Enabling stack function may cause configuration loss on the interface, continue?[Y/N]:Y

Info: This operation may take a few seconds. Please wait for a moment....... [Switch4-stack-port0/2] quit

2. 配置堆叠ID和堆叠优先级

# 配置Switch3的堆叠优先级为200。

[Switch3] stack slot 0 priority 200

Warning: Please do not frequently modify Priority, it will make the stack split, continue?[Y/N]:Y

# 配置Switch3的堆叠ID为1。

[Switch3] stack slot 0 renumber 1

Warning: All the configurations related to the slot ID will be lost after the slot ID is modified.

Please do not frequently modify slot ID, it will make the stack split. Continue?[Y/N]:Y

Info: Stack configuration has been changed, and the device needs to restart to make the c …… 此处隐藏：3911字，全部文档内容请下载后查看。喜欢就下载吧 ……