V7+防火墙基于ISP出链路负载均衡的配置举例

案例类型：典型配置

标题：V7 防火墙基于ISP出链路负载均衡的配置举例

关键字：防火墙，ISP，负载均衡

产品：安全产品F1000系列

技术分类：安全产品技术

功能需求：

本文主要介绍了V7版本防火墙基于ISP的出链路负载均衡的配置要点及注意事项。

主要需要实现的需求有两个：

1.为提高链路可靠性和稳定性，避免单条链路负载过大，需要内网用户访问外网能够基于ISP表项选择不同的运营商线路；

2.在内网用户访问外网的同时，外网也需要能够访问内网服务器。

组网信息及描述：

如图所示，内网用户192.168.0.1/24通过FW出口访问公网，FW根据其ISP表项将其报文发给不同的运营商线路，在本例中，具体使用电信众多ISP表项中的

101.102.100.0网段代替说明电信链路，同样，使用221.0.0.0网段代替说明联通链路，防火墙通往电信链路路由器RT2 100.0.0.2的出口地址为100.0.0.1，通往联通链路

路由器RT3 200.0.0.2的出口地址为200.0.0.1。

配置步骤：

1.配置接口IP地址及静态路由，放通turst,local,untrust域（略）。

2.导入ISP表项：

在H3C官网下载最新的ISP表项文件导入FW设备。

# 导入ISP文件loadbalance isp file isp-file-name

3.配置逻辑链路组及逻辑链路

#配置链路组lg1/2

loadbalance link-group lg1

loadbalance link-group lg2

#配置逻辑链路 link1/2

Loadbalance link link1

router ip 100.0.0.2

link-group lg1

loadbalance link link2

router ip 200.0.0.2

link-group lg1

4.配置虚服务器

#配置虚服务器

virtual-server vs type link-ip

virtual ip address 0.0.0.0 0

default link-group lg1

service enable

5.配置负载均衡策略

#配置负载均衡类

loadbalance class chinatel type link-generic

match 1 isp chinatel

loadbalance class chinauni type link-generic

match 2 isp cnc

#配置负载均衡动作

loadbalance action 1 type link-generic

link-group lg1

loadbalance action 2 type link-generic

link-group lg2

#配置负载均衡策略

loadbalance policy 1 type link-generic

class chinatel action 1

loadbalance policy 2 type link-generic

class cnc action 2

在Client和防火墙上查看路由表，均没有到达公网的路由：

测试链路连通性：

[client]ping 101.102.100.2

Ping 101.102.100.2 (101.102.100.2): 56 data bytes, press CTRL_C to break

56 bytes from 101.102.100.2: icmp_seq=0 ttl=253 time=1.000 m s

56 bytes from 101.102.100.2: icmp_seq=1 ttl=253 time=2.000 m s

查看debug信息：

Debug nat ：

*Nov 10 18:58:31:927 2017 LB NAT/7/COMMON: -Context=1;

PACKET: (GigabitEthernet1/0/0-out-session) Protocol: ICMP

192.168.0.1: 0 - 101.102.100.2: 0(VPN: 0) ------>

100.0.0.1: 0 - 101.102.100.2: 0(VPN: 0)

内网访问联通网段结果一样，防火墙上并没有路由，说明访问公网负载均衡生效。

6.公网访问内网的配置

#nat地址转换

nat server protocol icmp global 100.0.0.1 inside 192.168.0.1

nat server protocol icmp global 200.0.0.1 inside 192.168.0.1

#保持上一跳

ip last-hop hold

配置完后测试结果：

[RTA]ping 100.0.0.1

Ping 100.0.0.1 (100.0.0.1): 56 data bytes, press CTRL_C to break

Request time out

Request time out

7.nat server转换后仍旧匹配了全0的虚服务，因此链路不通。

解决方案：

#链路组loadbalance link-group lan

transparent enable

probe 1

#链路loadbalance link ser

router ip 192.168.1.1

link-group lan

#虚服务virtual-server ser type link-ip

virtual ip address 192.168.1.0 24

default link-group lan

service enable

测试结果：

ping 100.0.0.1

Ping 100.0.0.1 (100.0.0.1): 56 data bytes, press CTRL_C to break

56 bytes from 100.0.0.1: icmp_seq=0 ttl=254 time=1.612 ms

56 bytes from 100.0.0.1: icmp_seq=1 ttl=254 time=1.091 ms

或进行相关策略配置：

acl advanced 3501

rule 0 permit ip destination 100.0.0.0 0

rule 1 permit ip destination 200.0.0.0 0

acl advanced 3502

rule 0 permit ip destination 192.168.1.0 0.0.0.255

loadbalance class lc type link-generic match-any#创建负载均衡类

match 1 acl 3501#创建ACL类匹配规则

match 2 acl 3502

loadbalance action la type link-generic

forward all#配置负载均衡动作为转发

loadbalance policy lp type link-generic

class lc action la#配置负载均衡策略

virtual-server vs type link-ip

virtual ip address 0.0.0.0

lb-policy lp

8.查看debug报文

H3C>debugging nat packet *Nov 14 21:07:04:117 2017 L1000-M-OldWeb NAT/7/COMMON: -Context=1;

PACKET: (GigabitEthernet1/0/2-in-config) Protocol: ICMP

100.0.0.2:13109 - 100.0.0.1: 2048(VPN: 0) ------>

100.0.0.2:13109 - 192.168.1.1: 2048(VPN: 0)

公网访问内网有nat地址的转换，表示可以成功访问内网。

至此，需要内网用户访问外网能够基于ISP表项选择不同的运营商线路；在内网用户访问外网的同时，外网也需要能够访问内网服务器，这两条需求也就实现了。