深信服SD-WAN产品使用说明书

深信服SD-WAN 产品使用手册

目录

前言 (11)

手册内容 (11)

本书约定 (12)

技术支持 (13)

致谢 (13)

第1 章SDWAN 的安装 (15)

1.1. 环境要求 (15)

1.2. 电源 (15)

1.3.产品形态 (15)

1.3.1.SD-WAN-MIG 一体化网关 (16)

1.3.2.SD-WAN-WOC (16)

1.3.3.SDWAN 虚拟网元 (16)

1.3.4.管控平台X-Central (17)

1.3.5.硬件性能参数 (18)

1.4.配置与管理 (19)

1.5.设备接线方式 (19)

1.6.设备开机方式 (20)

第2 章SDWAN 组网方式 (21)

2.1.hub-spoken 组网 (21)

2.2.full mesh 组网 (21)

2.3.partial mesh 组网 (22)

第3 章SDWAN 的部署 (24)

3.1.网关模式部署 (24)

3.2.网桥模式部署 (24)

3.3.网桥VPN 模式部署 (25)

3.4.网桥多线路模式部署 (26)

3.5.双网桥模式部署 (27)

3.6.单臂模式的部署 (28)

3.7.双单臂模式部署 (30)

第4 章SD-WAN 易部署和应用选路 (32)

4.1.分支邮件易部署 (32)

4.2.AutoVPN (33)

4.3.SD-WAN 应用选路 (34)

4.3.1.指定线路 (34)

4.3.2.高质量选路选路 (34)

4.3.3.按剩余带宽负载 (35)

4.3.4.带宽叠加 (35)

4.3.5.线路质量探测原理与淘汰机制 (36)

第5 章SDWAN 终端设备 (38)

5.1.ssh 登录 (38)

5.2.登录WebUI 配置界面 (38)

5.3. 状态 (39)

5.3.1.广域网优化状态 (39)

5.3.2.流量监控 (42)

5.3.3.DHCP 状态 (48)

5.3.4.设备运行状态 (48)

5.3.5.EoIP 状态 (48)

5.4.路由设置 (49)

5.4.1.系统设置 (50)

5.4.2.部署设置 (54)

5.4.3.路由设置 (85)

5.4.4.用户管理 (93)

5.4.5.网络对象 (97)

5.4.6.DHCPv4 设置 (105)

5.4.7.DHCPv6 设置 (108)

5.4.8.Syslog & SNMP (109)

5.4.9.SC 设置 (113)

5.5.SD-WAN VPN (114)

5.5.1.SDWAN 选路 (114)

5.5.2. 服务端 (115)

5.5.3. 客户端 (134)

5.5.4. 多线路 (137)

5.5.5.第三方认证 (140)

5.5.6.高级设置 (144)

5.6.SD-WAN VPN (153)

5.6.1.第一阶段 (153)

5.6.2.第二阶段 (156)

5.6.3.安全选项 (159)

5.6.4.EoIP 设置 (160)

5.7.流量管理 (164)

5.7.1.对象设置 (164)

5.7.2.策略设置 (177)

5.7.3.流控设置 (186)

5.7.4.策略故障排除 (206)

5.7.5.高级设置 (207)

5.8.应用识别 (210)

5.8.1.识别是管理的基础 (210)

5.8.2.应用库说明 (211)

5.9.NAT 设置 (212)

5.9.1.代理上网网段 (212)

5.9.2.端口映射 (214)

5.10.安全防护能力 (216)

5.10.1.端对端传输加密 (216)

5.10.2.过滤规则 (217)

5.10.3.防DoS 攻击 (219)

5.10.4.ARP 欺骗防护 (221)

5.10.5.涉及产品 (222)

5.10.6.僵木蠕一次清理，保障终端安全 (223)

5.10.7.已知威胁 (223)

5.10.8.未知威胁 (224)

5.11.高可用冗余保护 (225)

5.11.1.双机部署方式 (226)

5.11.2.双机维护 (227)

5.13. 维护 (229)

5.13.1. 日志 (230)

5.13.2. 序列号 (231)

5.13.3. 自动升级 (232)

5.13.4. 备份/恢复 (233)

5.13.5. 关机 (236)

5.13.6.页面控制台 (236)

5.13.7.远程技术支持 (238)

第6 章方案整体设计 (240)

6.1. 总部端 (240)

(241)

(241)

(241)

6.2. 数据中心互联 (241)

6.3. 分支端 (242)

6.4.大中型分支 (243)

6.5.跨国分支 (244)

6.6.智能应用选路 (245)

第7 章广域网优化（SD-WAN 接入网元） (251)

7.1.分钟级上线 (251)

7.2.AUTO VPN (252)

7.3.广域网数据传输优化 (253)

7.4.广域网传输安全加固 (262)

7.5.广域网立体安全防护 (263)

7.6.应用及流量可视化，打造一张可管理的广域网 (267)

7.7.应用识别功能 (267)

对象设置 (270)

策略设置 (283)

流控设置 (292)

7.7.1.HTP 高速传输协议解决高延迟高丢包 (312)

7.7.2.改进型TCP 实现快速TCP 传输 (314)

7.8.冗余数据削减技术，提高带宽吞吐 (314)

7.8.1.基于码流特征的数据优化 (314)

7.8.2.高效的数据流压缩算法 (316)

7.8.3.全局IP 流量压缩，降低TCP 和UDP 流量占用 (316)

7.9.应用加速，提升核心业务系统访问速度，提升工作效率 (317)

7.9.1.传输协议优化 (317)

7.9.2.应用协议优化 (318)

7.9.3.CIFS 协议优化技术 (318)

7.9.4.HTTP 和FTP 协议优化技术 (319)

7.9.5.Exchange MAPI 协议优化技术 (320)

7.9.6.RDP 与Citrix ICA 协议优化技术 (320)

7.9.7.OracleTNS 协议优化技术 (320)

7.9.8.常见应用系统加速效果 (321)

7.10.广域网流量管理，实现流量整形和基于应用的带宽保障 (322)

7.10.1.基于应用和内容的流量管理技术 (322)

7.10.2.带宽通道实现智能带宽保证 (322)

7.10.3.虚拟线路技术有效保障视频会议带宽，提升访问体验 (323)

7.11.视频会议优化，零距离协同办公 (323)

7.11.1.智能带宽保障 (323)

7.11.2.丢包补偿（UDP 代理+FEC 前向校验） (324)

7.11.3.业务数据压缩 (325)

7.12.SD-WAN 广域网优化其他亮点技术 (326)

7.12.1.移动客户端的广域网优化 (326)

7.12.2.多线路复用 (327)

7.12.3.HTTP 和FTP 文件预取功能 (327)

7.12.4.数据中心智能报表，帮助用户智慧决策 (328)

7.12.5.策略路由 (329)

7.13.SD-WAN 广域网优化能为您解决的问题 (329)

7.14.服务配置说明 (331)

7.14.1.应用设置 (332)

7.14.2.流缓存设置 (339)

7.14.3.视频优化设置 (339)

7.14.4. 服务端 (340)

7.14.5. 客户端 (346)

7.14.6.数字证书 (352)

7.14.7.高级设置 (359)

7.14.8.LDAP 服务器 (362)

7.14.9.高级设置 (364)

第8 章灰白盒化交付 (369)

8.1.产品介绍 (369)

8.2.集中可视可控运营管理 (371)

第9 章虚拟化SD-WAN (377)

9.1.性能部署要求 (377)

9.1.1.场景描述 (377)

9.1.2.性能相关要求 (377)

9.1.3.检测性能参数 (377)

9.1.4.场景拓扑 (378)

9.2.前期准备 (378)

9.3.部署操作 (378)

9.3.1. 云部署 (378)

9.3.2.WOC 基础配置 (398)

9.3.3.VPN 配置 (402)

9.3.4.配置引流策略 (405)

9.3.5.验证VPN 业务 (405)

9.4.业务配置 (406)

9.4.1.加速配置 (406)

9.4.2.流量管理 (406)

9.4.3.SDWAN 智能选路 (406)

9.5. FAQ (407)

第10 章SDWAN 管控平台使用说明 (408)

10.1.平台性能参数 (408)

10.2.首页地图 (408)

10.3.智能监控 (410)

10.3.1.智能告警 (410)

10.3.2.设备配置管理 (411)

10.4.Restful API (412)

10.4.1.协议规范说明 (412)

10.4.2.用户管理接口格式 (413)

10.4.3.设备管理接口格式 (414)

10.4.4.虚拟网元管理网络编排接口格式 (414)

10.4.5.设备功能调用接口格式 (415)

10.4.6.平台管理接口格式 (415)

10.4.7.数据分析输出接口格式 (415)

第11 章数据中心的使用 (417)

11.1. 首页 (417)

11.2.流量分析 (418)

11.2.1.流量排名 (418)

11.2.2.带宽分布 (421)

11.3.带宽优化 (423)

11.4. 报表 (425)

11.5. 日志 (430)

11.5.1.管理日志 (430)

11.5.2.防火墙日志 (431)

11.6.系统设置 (433)

11.6.1.数据库清理 (433)

11.6.3. 子网 (435)

第12 章案例集 (438)

12.1.双单臂模式部署配置案例 (438)

12.2.VLAN 环境下的单网桥部署配置案例 (439)

12.3.网桥VPN 部署配置案例 (442)

12.4.网桥多线路部署配置案例 (443)

12.5.WCCP 的应用场景及配置案例 (445)

12.6.MAC 跟踪的应用场景及配置案例 (447)

12.7.加速本地子网和静态路由的配置案例 (450)

12.8.网关VPN 模式EoIP 部署案例 (452)

12.9.添加加速用户的案例 (460)

12.10.Sangfor VPN 的配置案例 (462)

12.10.1.隧道内NAT 案例 (462)

12.10.2.移动PDLAN 用户接入WOC 设备的案例 (466)

12.10.3.VPN 内网权限的设置案例 (472)

12.10.4.VPN 多线路配置案例 (476)

12.10.5.移动用户使用LDAP 认证接入案例 (481)

12.10.6.VPN 多子网配置案例 (484)

12.10.7.通过隧道间路由实现分支间互访的案例 (487)

12.10.8.通过目的路由用户上网的配置案例 (489)

12.11.和CISCO PIX 标准IPSEC VPN 互连的案例 (492)

12.12.WOC 加速互连的案例 (500)

12.12.1.为分支WOC 设备创建用户并关联策略的案例 (500)

12.12.2.加速HTTP 或HTTPS 访问的Oracle EBS 案例 (501)

12.12.3.加速访问Citrix 服务器的案例 (504)

12.12.4.加速访问RDP 服务器的案例 (507)

12.12.5.跟总部建立加速连接的配置案例 (510)

12.12.6.加速Outlook Anywhere 访问Exchange 服务器的案例 (511)

12.12.7.使用透明传输模式的案例 (516)

12.12.8.使用反向加速建立双向加速连接的案例 (517)

12.12.9.对FTP 服务器的预取案例 (524)

12.12.10.通过排除规则对指定网段进行加速的案例 (525)

12.13.UDP 优化配置案例 (527)

12.14.委派的配置案例 (532)

12.15.策略路由配置案例 (540)

12.16.综合案例 (546)

12.16.1.客户环境与需求 (546)

12.16.2.配置思路 (546)

12.16.3.总部WOC 设备配置步骤 (547)

12.16.4.分支WOC 设备配置步骤 (553)

附录A：SANGFOR 设备升级系统的使用 (556)

附录B：通过USB 口恢复默认配置 (559)

功能1：使用U 盘查看网口配置 (559)

功能2：使用U 盘恢复控制台密码 (559)

注意事项 (560)

前言

手册内容

第1 部分SANGFOR SDWAN 产品介绍和安装。该部分主要介绍SDWAN 的外观特点、

配置方式以及连接前的准备和注意事项。

第 2 部分SANGFOR SDWAN 的部署。该部分主要介绍SDWAN 设备的各种部署方式。

第3 部分SANGFOR SDWAN 设备控制台的使用。该部分主要介绍SDWAN 设备控制

台界面的使用及功能说明。

第4 部分SANGFOR SDWAN 数据中心的使用。该部分主要介绍SDWAN 设备内置数

据中心的使用及功能说明。

第5 部分案例集。该部分主要是一些SDWAN 的典型案例及其配置方式。

附录A 升级系统的使用。

附录B 通过USB 恢复默认配置。

本手册以深信服SDWAN-1000-D400 型号为例进行配置。不同型号产品硬件规格存在一定差异，但功能及配置方式没有区别。

本书约定

1、图形界面格式约定

2、CLI 约定

当出现命令行界面(CLI)命令的语法时，使用以下约定：?在中括号[ ]中的任何内容都是可选的。

?在大括号{ }中的任何内容都是必需的。

?如果选项不止一个，则使用管道( | )分隔每个选项。例如：ip wccp 60 redirect { in | out }

?C LI 命令以加粗方式出现。例如：

configure terminal

?变量以斜体方式出现。例如：

interface e0/1

3、标志约定

本书还采用各种醒目标志来表示在操作过程中应该特别注意的地方，这些标志的意义如下：

小心、注意：提醒操作中应注意的事项，不当的操作可能会导致设置无法生效、数据

丢失或者设备损坏。

警告：该标志后的注释需给予格外的关注，不当的操作可能会给人身造成伤害。

说明、提示、窍门：对操作内容的描述进行必要的补充和说明。

第1 章SDWAN 的安装

本部分主要介绍了SANGFOR SDWAN 系列产品的硬件安装。硬件安装正确之后，您才可以进行配置和调试。

1.1. 环境要求

SDWAN 设备可在如下的环境下使用：

工作电压：应能够工作在 100～240V/47-63Hz

环境温度：-5～55 摄氏度

相对湿度：5%～95%RH（非凝结）

抗雷击：应符合YD/T993-2006《电信终端设备防雷技术要求及试验方法》标准要求。

为保证系统能长期稳定地运行，应保证电源有良好的接地措施、防尘措施，保持使用环境的空气通畅和室温稳定。本产品符合关于环境保护方面的设计要求，产品的安放、使用和报废应遵照相关法律、法规要求进行。

1.2. 电源

SANGFOR SDWAN 系列产品使用交流120V 到240V 电源。

在您接通电源之前，请保证您的电源有良好的接地措施。

SDWAN 设备需工作在稳定电压情况下，当电压波动频率较大时需额外添加稳压器。

1.3. 产品形态

深信服SD-WAN 产品形态分为物理网元和虚拟化网元两种形态。物理网元支持基于机框插槽式硬件路由器平台设备。虚拟化网元应支持基于虚拟机的云化部署方式，并可基于容器的部署方式。

1.3.1.SD-WAN-MIG 一体化网关

设备正面板图

产品外观以实物为准，图片仅供参考。1.3.2.SD-WAN-WOC

设备正面板图

产品外观以实物为准，图片仅供参考。1.3.3.SDWAN 虚拟网元

虚拟网元云化部署1.3.4.管控平台X-Central

管理平台云化部署产品外观以实物为准，图片仅供参考。

1.3.5.硬件性能参数

常用局端网元和平台参数：

1.4. 配置与管理

在配置网关之前，您需要配备一台电脑，配置之前请确定该电脑的网页浏览器（只支持IE 内核的浏览器，比如Internet Explorer、Maxthon 等，Opera、Firefox、Safari、Chrome 等浏览器无法正常配置）能正常使用，然后把电脑与SANGFOR SDWAN 设备LAN 口连接在同一个局域网内，通过网络对设备进行配置。

1.5. 设备接线方式

请依据不同设备型号，使用标准的RJ-45 以太网线或光纤将LAN 口与内部局域网连接，对SDWAN 设备进行配置。

请依据不同设备型号，使用标准的RJ-45 以太网线或光纤将WAN1 口与Internet 接入设备相连接，如路由器、光纤收发器或ADSL Modem 等。

请依据不同设备型号，使用标准RJ-45 以太网线或光纤将DMZ 口与DMZ 区的网络连接，一般而言，DMZ 区放置对外提供服务的WEB 服务器、EMAIL 服务器等。SDWAN 可以为这些服务器提供安全保护。

WAN 口连接路由器应使用交叉线；LAN 口连接交换机应使用直连线、直接连接电脑网口应使用交叉线。当指示灯显示正常，但不能正常连接的时候，请检查连接线是否使用

错误。直连网线与交叉网线的区别在于网线两端的线序不同，如下图:

1.6. 设备开机方式

在设备背板连接电源线，依据不同型号，SDWAN 设备使用不同的开机方式。

部分设备使用的是弹性开关，此开关按下之后会自动弹回，使用此开关的设备开机时需要

先按住开关几秒钟，待设备正常通电之后再松开即可。

部分低端设备无开关按键，直接连接电源线即可。

打开电源开关后，此时前面板Power 灯(绿色，电源指示灯)和Alarm 灯(红色，告警灯) 会点亮，大约1-2 分钟后Alarm 灯熄灭，说明设备正常工作。

SDWAN 正常工作时ALARM 灯不亮，WAN 口和LAN 口LINK 灯长亮，ACT 灯在有数据流量时会不停闪烁。ALARM 红色指示灯只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。如果在安装时此红灯长亮，请将设备断电重启，重启之后若红灯一直长亮不能熄灭，请与我们联系。

第2 章SDWAN 组网方式

根据用户使用环境的不同，SDWAN 设备支持以下三种组网方式。

2.1. hub-spoken 组网

SDWAN Hub-spoken 组网：

2.2. full mesh 组网

SDWAN full mesh 组网：

2.3. partial mesh 组网

SDWAN partial mesh 组网：