企业多出口网络路由及流量负载均衡研究

企业多出口网络路由及流量负载均衡研究
摘要：随着企业慢慢不断发展壮大，互联网出口越来越多，每个新增出口都有一台防火墙设备单独和运营商连接，这种情况加大了网络维护工作量。

如果有一个出口出现设备或者链路故障，相应出口的业务会受到影响导致中断，如果想尽快恢复临时调整到其它出口，会增加网络维护的工作量并导致其它出口流量拥塞。

由于希望任何出口出问题时不会影响到该出口所涉及业务的正常使用，并减少网络维护的工作量和出口设备数量，因此需要对内部网络做出口网络路由和负载均衡改造。

关键词：出口网络；路由策略；虚拟防火墙；链路冗余；负载均衡
export enterprise network routing and flow load balance research
wang wei
(operation and maintenance department of henan catv network group co., ltd.,zhengzhou branch,zhengzhou450000,china) abstract:along with the enterprise slowly the constant development and expansion,the internet export more and more,each new export has a firewall equipment alone and operators connection,this increases the network maintenance.if there is an exit appear equipment or link
failures,the corresponding business can be affected the export to interrupt,if want to recover as soon as possible to other temporary adjust export,will increase network maintenance workload and cause other outlet flow congestion.because any export out problems to won’t affect the export involved the normal use of the business,and reduce the network maintenance workload and export equipment quantity,so need to internal network routing and do export network load balance reform.
keywords:export network;routing strategies;virtual firewall;link redundancy;load balance
一、出口网络结构
（一）企业现在网络拓扑图
企业目前内部网络有多个出口，每个出口经过一台防火墙连接运营商。

（二）企业改造后的网络拓扑
企业改造后把接联通链路的多个防火墙替换为一台防火墙,把接电信链路的多个防火墙也替换为一台防火墙。

二、出口网络路由策略
企业内部网络通过公共互联网协议（bgp协议方式）直接向上级运营商发布自己获得的公网ip地址，并接受所有的互联网路由。

通过路由发布策略和接收策略实现业务流量的调整。

通过路由策略过滤，将企业内部的私网路由与外网隔离。

通过防火墙设备将地址转换为公网地址，并将出网地址进行汇总，通过ebgp或静态路由将自身路由发布至互联的运营商。

企业出口路由器通过ibgp下发全业务路由或部分业务路由或默认路由给内部路由器，实现流量的出网访问和负荷管理。

企业出口路由器通过运营商明细路由和源地址策略实现出网流量在两条链路上的负载优化和均衡，实现经常访问电信侧服务器走电信网络，联通侧服务器走联通网络。

回程流量也在相应的链路上实现负载均衡和优化。

如运营商不发送其国内明细路由，可只接受其发送过来的默认路由，同时在企业出口路由器上配置发布相应的接收或本地配置的静态路由，实现出口业务负载的均衡和优化。

三、出口网络路由及流量负载均衡策略
在两台企业出口路由器上通过指向联通的静态路由和指向电信的全零默认路由将访问电信侧服务器的流量引入电信链路，访问联通侧服务器的流量引入联通链路，首先匹配目的地址为联通网段的静态路由，如不能匹配说明访问的目的地址为电信侧服务器地址，则通过匹配默认路由将流量引入电信链路，回程流量也在相应的链路上实现负载均衡，同时也可手动通过源或目标策略路由进行链路流量的调整。

流量负载均衡策略可通过自动或手动两种方式实现。

自动方式
下，通过防火墙负载均衡模块（lb）实时探测多条出口链路状态，监测电信侧和联通侧的出网流量，将业务流量根据动态加权最小连接算法或动态带宽算法分发给多条联通出口链路或电信出口链路，实现链路的智能选择和负载均衡，保证流量通过最优链路转发。

手动方式下，如监测到某一出口路由器上的联通链路流量过高，而电信链路的流量不高，则通过手动应用预先定义的基于联通目标地址的策略路由，将下一跳地址改为这台出口路由器电信链路所连接防火墙上的内口，并在防火墙上将访问源地址转换为电信地址池中的公网地址，通过电信与联通之间的链路访问联通网站，回程流量也将通过这条电信链路。

或者还可通过将源地址按奇数、偶数网段分开的基于源地址的策略路由，从而实现电信和联通两条链路的负载均衡。

四、流量控制、入侵防御及流量清洗策略
通过防火墙应用控制网关模块（acg）可对网络中的各种应用类型，如p2p/im、网游、以及多媒体应用等行为进行精细化识别和控制，全面了解网络流量趋势。

并在识别多业务的基础上对关键业务进行带宽保证，对其他非关键业务按优先级进行智能流量调度，实现对网络的业务控制和qos保证。

结合防火墙入侵防御模块（ips），对网络流量按照端口和协议层次进行解析，并对协议载荷进行相应的解码和特征识别后按结果进行过滤和筛选，可实时阻断网络流量中隐藏的各种病毒、蠕虫、木
马等攻击和恶意行为，保护内网用户和网络性能不受侵害。

流量清洗策略是由防火墙的流量清洗模块（afc）来实现的。

通过对进入企业内部网络的数据流量进行实时监控，及时发现包括dos/ddos攻击在内的异常流量，在不影响正常业务的前提下，将可疑流量从原网络路径中牵引至清洗模块上进行恶意流量的识别和剥离，还原出的合法流量再重新回注到原路径中转发给目标地址，同时保证合法流量的转发路径不受影响。

五、出口网络防火墙策略
两台防火墙分别部署在企业出口路由器与电信、联通网络之间，防火墙与出口路由器做串接，防止来自外部网络的网络攻击和非法访问，屏蔽内部网络。

出口路由器通过按源或目标地址策略方式终结业务流量，将私网地址流量引至相应的业务防火墙，完成业务私网地址转换功能。

防火墙把访问电信或联通的流量分别送入所绑定的虚拟防火墙（vfw），并可分别对电信流量和联通流量应用不同的安全策略。

（一）nat策略
防火墙启用三层功能，采用nat或pat转换，将访问目的地址为电信侧服务器的内网源地址转换为电信地址池中的公网地址，将访问目的地址为联通侧服务器的内网源地址转换为联通地址池中的公网地址。

（二）链路检测策略
防火墙自动向远端的电信或联通设备发送检测信息，实时检测各条出口链路的通信状态，检测链路正常与中断情况。

通过检测所得出链路的不同状态采取预先设定的路由策略以实现流量及路由保护。

（三）链路冗余保护策略
防火墙实时监控连接的出口链路的链路状态，当监测到电信或联通的某条出口链路通信中断时，将不再从此端口转发流量，而是通过预先设定的策略，将业务流量导向连接正常出口链路的端口，保证业务不中断。

六、结束语
企业多条独立出口链路通过防火墙路由策略和流量负载均衡后，当某一条链路发生故障后，企业出口路由器会根据预先设定的路由策略，自动将业务流量导向同一台防火墙上的其它正常出口或者另一台防火墙上的运营商出口链路，保证业务始终不中断。