V7防火牆多WAN鏈路負載均衡配置方法（命令行）

1 配置需求及說明

1.1  適用的產品係列

本案例適用於軟件平台為Comware V7係列防火牆：F100-X-G2、F1000-X-G2、F100-X-WiNet、F1000-AK、F10X0等。

1.2  配置需求及實現的效果

某公司為達到業務流量快速轉發和鏈路冗餘需求申請了三條不同運營商的外網線路，需要實現如下需求：

1）要求內網用戶訪問目的地址為移動鏈路數據從移動鏈路轉發、訪問目的地址為聯通鏈路數據從聯通鏈路轉發、訪問目的地址為電信鏈路數據從電信鏈路轉發需求。

2）財務部門因為經常訪問網銀等支付平台，目前不希望出口IP地址經常變化。指定財務數據從電信轉發並希望當電信流量負載到帶寬的90%後，後麵流量負載到聯通鏈路上。

2 組網圖

說明：

3 配置步驟

3.1  創建NQA探測組用於鏈路探測

探測組名稱為nqa，描述為test。用於檢測鏈路健康性。

<H3C>system

[H3C]nqa template icmp nqa 

[H3C-nqatplt-icmp-nqa]description test

[H3C-nqatplt-icmp-nqa]reaction trigger per-probe

[H3C-nqatplt-icmp-nqa]quit

3.2  基本組網配置

3.2.1  外網接口配置

配置電信鏈路接口地址，並開啟保存上一跳功能。

[H3C]interface GigabitEthernet1/0/1

[H3C-GigabitEthernet1/0/1]ip address 202.90.112.2 255.255.255.0

[H3C-GigabitEthernet1/0/1]ip last-hop hold

[H3C-GigabitEthernet1/0/1]nat outbound

[H3C-GigabitEthernet1/0/1]quit

配置聯通鏈路接口地址，並開啟保存上一跳功能。

[H3C]interface GigabitEthernet1/0/2

[H3C-GigabitEthernet1/0/2]ip address 14.204.0.2 255.255.255.0

[H3C-GigabitEthernet1/0/2]ip last-hop hold

[H3C-GigabitEthernet1/0/2]nat outbound

[H3C-GigabitEthernet1/0/2]quit

配置移動鏈路接口地址，並開啟保存上一跳功能。

[H3C]interface GigabitEthernet1/0/3

[H3C-GigabitEthernet1/0/3]ip address 218.200.5.8 255.255.255.0

[H3C-GigabitEthernet1/0/3]ip last-hop hold

[H3C-GigabitEthernet1/0/3]nat outbound

[H3C-GigabitEthernet1/0/3]quit

3.2.2  安全域及安全策略配置

將外網接口加入不信任區域

[H3C]security-zone name Untrust

[H3C-security-zone-Untrust]import interface Dialer1

[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/1

[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/2

[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/3

[H3C-security-zone-Untrust]quit

創建對象策略pass，因為本章內容主要介紹負載均衡，域間策略采用最簡配置請見諒。

[H3C]object-policy ip pass

[H3C-object-policy-ip-pass] rule 0 pass

[H3C-object-policy-ip-pass]quit

創建any到any域的域間策略調用pass策略。

[H3C]zone-pair security source any destination any

[H3C-zone-pair-security- Any-Any]object-policy apply ip pass

[H3C-zone-pair-security- Any-Any]quit

3.2.3  路由設置

設置路由防止在負載均衡配置前或者負載均衡失效後網絡不通問題

[H3C]ip route-static 0.0.0.0 0 218.200.5.9 preference 80

[H3C]ip route-static 0.0.0.0 0 14.204.0.1 preference 70

[H3C]ip route-static 0.0.0.0 0 202.90.112.1

3.3  配置鏈路組

設置鏈路失敗的reschedule：重定向連接，即把連接重定向到鏈路組中其它可用的鏈路上。並使用transparent enable關閉鏈路組本身的NAT功能並綁定nqa探測組。

3.3.1  配置移動鏈路組

[H3C]loadbalance link-group cmcc

[H3C-lb-lgroup-cmcc]fail-action reschedule

[H3C-lb-lgroup-cmcc]transparent enable

[H3C-lb-lgroup-cmcc]probe nqa.

[H3C-lb-lgroup-cmcc]quit

3.3.2  配置聯通鏈路組

[H3C]loadbalance link-group cnc

[H3C-lb-lgroup-cnc]fail-action reschedule

[H3C-lb-lgroup-cnc]transparent enable

[H3C-lb-lgroup-cnc]probe nqa.

[H3C-lb-lgroup-cnc]quit

3.3.3  配置電信鏈路組

[H3C]loadbalance link-group china-isp

[H3C-lb-lgroup-china-isp]fail-action reschedule

[H3C-lb-lgroup-china-isp]transparent enable

[H3C-lb-lgroup-china-isp]probe nqa

[H3C-lb-lgroup-china-isp]quit

3.3.4  配置財務鏈路組

[H3C]loadbalance link-group caiwu

[H3C-lb-lgroup-caiwu]fail-action reschedule

[H3C-lb-lgroup-caiwu]transparent enable

[H3C-lb-lgroup-caiwu]probe nqa

[H3C-lb-lgroup-caiwu]quit

3.4  配置鏈路

router ip指鏈路的網關地址，將鏈路綁定鏈路組後該鏈路才能生效。

3.4.1  配置移動鏈路

[H3C]loadbalance link cmcc-link

[H3C-lb-link-cmcc-link]router ip 218.200.5.9

[H3C-lb-link-cmcc-link]link-group cmcc

[H3C-lb-link-cmcc-link]probe nqa

[H3C-lb-link-cmcc-link]quit

3.4.2  配置聯通鏈路

[H3C]loadbalance link cnc-link

[H3C-lb-link-cnc-link]router ip 14.204.0.1

[H3C-lb-link-cnc-link]link-group cnc

[H3C-lb-link-cnc-link]probe nqa

[H3C-lb-link-cnc-link]quit

3.4.3  配置電信鏈路

將電信鏈路帶寬調整為100M，設置帶寬繁忙比當帶寬利用率超過90%*100M=90M，新建session會負載到其他鏈路。

[H3C]loadbalance link chinanet-link

[H3C-lb-link-cnc-chinanet-link]router ip 202.90.112.1

[H3C-lb-link-cnc-chinanet-link]link-group china-isp

[H3C-lb-link-cnc-chinanet-link]probe nqa

[H3C-lb-link-cnc-chinanet-link]max-bandwidth outbound 102400

[H3C-lb-link-cnc-chinanet-link]bandwidth outbound busy-rate 90

[H3C-lb-link-cnc-chinanet-link]quit

3.4.4  配置財務鏈路

[H3C]loadbalance link link-caiwu

[H3C-lb-link- link-caiwu] router ip 202.90.112.1

[H3C-lb-link- link-caiwu] link-group caiwu

[H3C-lb-link- link-caiwu]quit

3.5  配置負載均衡規則匹配運營商路由表

3.5.1  建立移動負載規則匹配移動數據

[H3C]loadbalance class cmcc type link-generic match-any

[H3C-lbc-link-generic-cmcc]match 1 isp cmcc

[H3C-lbc-link-generic-cmcc]quit

3.5.2  建立聯通負載規則匹配聯通數據

[H3C]loadbalance class cnc type link-generic match-any

[H3C-lbc-link-generic-cnc]match 1 isp cnc

[H3C-lbc-link-generic-cnc]quit

3.5.3  建立電信負載規則匹配電信數據

[H3C]loadbalance class chinanet type link-generic match-any

[H3C-lbc-link-generic-chinanet]match 1 isp chinatel

[H3C-lbc-link-generic-chinanet]quit

3.5.4  建立財務負載規則匹配172.16.0.0財務網段

[H3C] loadbalance class caiwu type link-generic match-any

[H3C-lbc-link-generic-caiwu]match 1 source ip address 172.16.0.0 24

[H3C-lbc-link-generic-caiwu]quit

3.6  配置負載均衡行為匹配各鏈路組

配置負載行為綁定各鏈路組，設置轉發失敗規則為繼續匹配。

3.6.1  建立移動負載均衡行為匹配移動鏈路組

[H3C]loadbalance action cmcc type link-generic

[H3C-lbc-link-generic- cmcc]link-group cmcc

[H3C-lbc-link-generic- cmcc]fallback-action continue

[H3C-lbc-link-generic- cmcc]quit

3.6.2  建立聯通均衡行為匹配聯通鏈路組

[H3C]loadbalance action cnc type link-generic

[H3C-lbc-link-generic-cnc]link-group cnc

[H3C-lbc-link-generic-cnc]fallback-action continue

[H3C-lbc-link-generic-cnc]quit

3.6.3  建立電信負載均衡行為匹配電信鏈路組

[H3C]loadbalance action chinanet type link-generic

[H3C-lbc-link-generic-chinanet]link-group china-isp

[H3C-lbc-link-generic-chinanet]fallback-action continue

[H3C-lbc-link-generic-chinanet]quit

3.6.4  建立財務負載均衡行為匹配財務鏈路組

[H3C]loadbalance action caiwu type link-generic

[H3C-lbc-link-generic-caiwu]link-group caiwu

[H3C-lbc-link-generic-caiwu]fallback-action continue

[H3C-lbc-link-generic-caiwu]quit

3.7  配置負載均衡策略

負載均衡策略嚴格按照配置順序進行匹配，如果需要財務數據優先匹配需要將優先配置。

[H3C]loadbalance policy 1 type link-generic

[H3C-lbp-link-generic-1]class caiwu action caiwu

[H3C-lbp-link-generic-1]class chinanet action chinanet

[H3C-lbp-link-generic-1]class cmcc action cmcc

[H3C-lbp-link-generic-1]class cnc action cnc

3.8  配置虛服務策略

配置LB虛服務，虛服務地址為0.0.0.0/0表示內網訪問所有的數據將會匹配虛服務進行轉發，lb策略調用之前創建的策略1，如果無法匹配運營商的數據缺省從移動轉發。

[H3C]virtual-server outbound type link-ip

[H3C-vs-link-ip-outbound]virtual ip address 0.0.0.0 0

[H3C-vs-link-ip-outbound]lb-policy 1

[H3C-vs-link-ip-outbound]default link-group cmcc

[H3C-vs-link-ip-outbound]service enable

[H3C-vs-link-ip-outbound]quit

3.9  保存配置

[H3C]quit

<H3C>save force