track檢測運行商鏈路

近期碰到工程師組網時，有如下需求，在組網的出口是我司的一台F1080防火牆，出口線路為一條移動100M和兩條50M的聯通鏈路。

工程師希望：

（1）內網用戶在進行外網訪問時，根據DNS解析出的目的地址所在的運營商類型，讓出口流量走相應的運營商出口線路，非移動聯通運營商歸屬的地址，選擇配置一條默認的運營商線路走。

（2）對於DNS解析出的目的地址為聯通的，需要由兩條聯通的出口線路出去流量，使用簡單的輪詢機製在兩條聯通出口線路間進行負載均衡選路即可。

為了實現工程師的需求，我們根據工程師現網已有資源和相關環境進行了規劃和指導。

,為了實現工程師的需求，我們根據工程師現網已有資源和相關環境進行了組網規劃，大致組網圖如下：

組網說明：

1.內網終端使用網段為192.168.0.0/16

2.內網的網絡出口為我司的F1080高性能防火牆，在該組網中使用該型號防火牆通過配置來實現組網中的負載均衡需求

3.防火牆連接移動線路的公網出口地址為100.0.0.1，該移動線路出口帶寬為100M

4.防火牆連接聯通線路的公網出口有兩條，分別為與RT3相連的接口，地址為200.0.0.1，該線路出口帶寬為50M

另一條與RT4連接的公網出口地址為200.1.0.1，該聯通線路出口帶寬也為50M。

5.根據內網訪問公網時的DNS解析出的目的地址所屬的運營商進行出口選路，目的地址歸屬移動的走移動出口，目的地址歸屬聯通的在聯通兩個出口中進行輪詢的方式選擇一條線路出去（官網給出的出方向鏈路負載均衡配置指導為配置就近行探測後選擇一條鏈路質量優的鏈路走，有工程師谘詢配置該方式後出現另一條線路不走流量的情況，建議參考本案例修改）

6.當DNS解析後的目的地址非移動聯通所屬地址時，走默認出口為移動鏈路。

1.配置相應的安全域和域間策略，V7防火牆下默認所有的安全域之間都是沒有放通的，這點配置時請注意，在出口（三層物理口或者三層Vlan虛接口）下注意配置nat outbound，此處不作為重點介紹，請自行配置。

2.負載均衡配置：

#   //配置NQA探測模板t1，用來探測鏈路質量
nqa template icmp t1
 reaction trigger per-probe        //將探測結果進行回送反饋
 quit
#
loadbalance link-group lg1        //創建鏈路組1
 predictor hash address source-ip-port    //配置鏈路組內鏈路調度算法為原地址hash方式
 transparent enable             
 probe t1
#
loadbalance link-group lg2         //創建鏈路組2
 predictor hash address source-ip-port    //配置鏈路組內鏈路調度算法為原地址hash方式
 transparent enable
 probe t1
#
loadbalance class lc1 type link-generic     //創建去往移動出口的負載均衡類lc1
 match 1 isp cmcc                  //匹配DNS解析的地址為所屬移動
#              
loadbalance action la1 type link-generic    //創建負載均衡動作la1，類型為鏈路負載均衡類
 link-group lg1                  //流量走鏈路組lg1
 fallback-action continue
#
loadbalance class lc2 type link-generic        //創建去往聯通出口的負載均衡類lc2
 match 1 isp cnc                    //匹配DNS解析的地址為所屬聯通
#
loadbalance action la2 type link-generic     //創建負載均衡動作la2，類型為鏈路負載均衡類
 link-group lg2                     //流量走鏈路組lg2
 fallback-action continue
#
loadbalance policy lp type link-generic   //創建負載均衡策略lp
 class lc1 action la1              //將類lc1和動作la1進行綁定
 class lc2 action la2              //將類lc2和動作la2進行綁定
#
virtual-server vs type link-ip     //創建鏈路負載型的虛服務      
 virtual ip address 0.0.0.0 0      //對所有的地址做虛服務的匹配操作
 lb-policy lp                   //執行鏈路負載均衡策略lp
 default link-group lg2         //對於未匹配上的流量走默認走鏈路組lg2
 service enable
#
 loadbalance isp file lbispinfo.tp      //導入運營商歸屬地址的文件，下載鏈接//www.yolosolive.com/cn/Service/Software_Download/IP_Security/ISP_File/LB_ISP_File/從該鏈接中下載文件後進行解壓上傳至設備根目錄中。
#
loadbalance link link1          //創建移動鏈路link1
 router ip 100.0.0.2         //移動下一跳地址
 link-group lg1             //將鏈路1加入鏈路組1
 probe t1
#
loadbalance link link2       //創建聯通鏈路link2
 router ip 200.0.0.2       //聯通鏈路1下一跳地址
 link-group lg2          //歸屬鏈路組lg2
 probe t1
#
loadbalance link link3         //創建聯通鏈路link3
 router ip 200.1.0.2       //聯通鏈路2下一跳地址
 link-group lg2             //歸屬鏈路組lg2
 probe lt
#

1.配置過程中注意注意在每條鏈路及鏈路組中添加probe的鏈路探測模板t1，用於檢驗鏈路質量並進行鏈路信息反饋

2.要實現基於運營商的鏈路負載均衡，一定要在配置之前先從華三官網鏈接//www.yolosolive.com/cn/Service/Software_Download/IP_Security/ISP_File/LB_ISP_File/下下載相應的ISP地址文件然後在進行類的配置。

3.由以上配置過程大家可以看出：

（1）如果需要對流量做基於不同運營商DNS解析的地址進行選路，我們可以將不同運營商的出口鏈路分別加入不同的鏈路組，然後配置相應的負載均衡類對地址進行識別，然後再按照策略中的負載均衡動作進行相應運營商出口所在鏈路組的選取，如果策略中的類匹配成功則流量走該策略中動作指定的鏈路組內的出口鏈路。

（2）本案例中將兩條聯通線路加入了鏈路組2中，由於本案例中未對鏈路組2進行選路算法及規則的配置，則鏈路組2內使用默認的輪詢算法進行兩個聯通出口鏈路的選路。若無基於DNS解析的選路需求，則直接可以將不同的運營商鏈路加入同一個鏈路組中，然後根據鏈路組內配置的相應算法進行選路。