華為USG6000V 多ISP接入Internet（基於ISP目的地址的多出口）
阿新 • • 發佈：2018-12-27
組網需求
1、如圖所示，某企業在網路邊界處部署了NGFW作為安全閘道器，並分別從運營商ISP1和ISP2處購買了寬頻上網服務，實現內部網路接入Internet的需求。
具體需求如下：
研發部門和市場部門中的PC可以通過運營商ISP1和ISP2訪問Internet，要求去往特定目的地址的流量必須經由相應的運營商來轉發。
當一條鏈路出現故障時，流量可以被及時切換到另一條鏈路上，避免業務中斷。
2、網路拓撲
3、配置思路
配置介面的地址，並將介面加入相應的安全區域。在配置介面GigabitEthernet 1/0/0和GigabitEthernet 1/0/2的地址時，分別指定預設閘道器為1.1.1.254和2.2.2.254。
配置多條靜態路由，使去往特定目的地址的流量經由相應的運營商來轉發。
配置安全策略，允許內部網路中的PC訪問Internet。
配置NAT策略，提供源地址轉換功能。
在運營商ISP1和ISP2網路的裝置上配置回程路由，該配置由運營商完成。
規劃內部網路中PC的地址，並將內部網路中PC的閘道器設定為10.3.0.254
二、操作步驟
1、配置防火牆介面IP地址
<USG6000V1>system-view [USG6000V1]interface GigabitEthernet 1/0/1 [USG6000V1-GigabitEthernet1/0/1]ip address 10.3.0.254 24 [USG6000V1-GigabitEthernet1/0/1]service-manage ping permit [USG6000V1-GigabitEthernet1/0/1]q [USG6000V1]interface GigabitEthernet 1/0/0 [USG6000V1-GigabitEthernet1/0/0]ip address 202.1.1.1 24 [USG6000V1-GigabitEthernet1/0/0]service-manage ping permit [USG6000V1-GigabitEthernet1/0/0]q [USG6000V1]interface GigabitEthernet 1/0/2 [USG6000V1-GigabitEthernet1/0/2]ip address 202.1.2.1 24 [USG6000V1-GigabitEthernet1/0/2]service-manage ping permit [USG6000V1-GigabitEthernet1/0/2]q
2、加入對應安全區域
[USG6000V1]firewall zone trust [USG6000V1-zone-trust]add interface GigabitEthernet 1/0/1 [USG6000V1-zone-trust]q [USG6000V1]firewall zone name ISP1 [USG6000V1-zone-ISP1]set priority 10 [USG6000V1-zone-ISP1]add interface GigabitEthernet 1/0/0 [USG6000V1-zone-ISP1]q [USG6000V1]firewall zone name ISP2 [USG6000V1-zone-ISP2]set priority 15 [USG6000V1-zone-ISP2]add interface GigabitEthernet 1/0/2 [USG6000V1-zone-ISP2]q
3、配置靜態路由
[USG6000V1]ip route-static 0.0.0.0 0.0.0.0 202.1.1.254
[USG6000V1]ip route-static 0.0.0.0 0.0.0.0 202.1.2.254 4、配置安全策略，允許內部網路PC訪問Internet
[USG6000V1]security-policy
[USG6000V1-policy-security]rule name trus_ISP1
[USG6000V1-policy-security-rule-trus_ISP1]source-zone trust
[USG6000V1-policy-security-rule-trus_ISP1]destination-zone ISP1
[USG6000V1-policy-security-rule-trus_ISP1]source-address 10.3.0.0 24
[USG6000V1-policy-security-rule-trus_ISP1]action permit
[USG6000V1-policy-security-rule-trus_ISP1]q
[USG6000V1]security-policy
[USG6000V1-policy-security]rule name trust_ISP2
[USG6000V1-policy-security-rule-trust_ISP2]source-zone trust
[USG6000V1-policy-security-rule-trust_ISP2]destination-zone ISP2
[USG6000V1-policy-security-rule-trust_ISP2]source-address 10.3.0.0 24
[USG6000V1-policy-security-rule-trust_ISP2]action permit
[USG6000V1-policy-security-rule-trust_ISP2]q5、配置NAT地址池
[USG6000V1]nat address-group address1
[USG6000V1-address-group-address1]section 202.1.1.10 202.1.1.12
[USG6000V1-address-group-address1]mode pat
[USG6000V1-address-group-address1]q
[USG6000V1]nat address-group address2
[USG6000V1-address-group-address2]section 202.1.2.10 202.1.2.12
[USG6000V1-address-group-address2]mode pat
[USG6000V1-address-group-address2]q6、配置NAT策略
[USG6000V1]nat-policy
[USG6000V1-policy-nat]rule name nat_isp1
[USG6000V1-policy-nat-rule-nat_isp1]source-zone trust
[USG6000V1-policy-nat-rule-nat_isp1]destination-zone ISP1
[USG6000V1-policy-nat-rule-nat_isp1]source-address 10.3.0.0 24
[USG6000V1-policy-nat-rule-nat_isp1]action nat address-group address1
[USG6000V1-policy-nat-rule-nat_isp1]q
[USG6000V1]nat-policy
[USG6000V1-policy-nat]rule name nat_ips2
[USG6000V1-policy-nat-rule-nat_ips2]source-zone trust
[USG6000V1-policy-nat-rule-nat_ips2]destination-zone ISP2
[USG6000V1-policy-nat-rule-nat_ips2]source-address 10.3.0.0 24
[USG6000V1-policy-nat-rule-nat_ips2]action nat address-group address2
[USG6000V1-policy-nat-rule-nat_ips2]q7、ISP配置介面IP
<Huawei>system-view
[Huawei]sysname ISP1
[ISP1]interface GigabitEthernet 0/0/0
[ISP1-GigabitEthernet0/0/0]ip address 202.1.1.254 24
[ISP1-GigabitEthernet0/0/0]q
<Huawei>system-view
[Huawei]sysname ISP2
[ISP2]interface GigabitEthernet 0/0/0
[ISP2-GigabitEthernet0/0/0]ip address 202.1.2.254 24
[ISP2-GigabitEthernet0/0/0]q8、ISP配置路由
[ISP1]ip route-static 10.3.0.0 24 202.1.1.1
[ISP2]ip route-static 10.3.0.0 24 202.1.2.19、內網PC測試ping，檢視防火牆nat會話
[USG6000V1]display firewall session table
Current Total Sessions : 10
icmp VPN: public --> public 10.3.0.1:33768[202.1.2.10:2049] --> 202.1.2.254:2
048
icmp VPN: public --> public 10.3.0.1:36328[202.1.1.10:2058] --> 202.1.1.254:2
048
icmp VPN: public --> public 10.3.0.1:36840[202.1.1.10:2060] --> 202.1.1.254:2
048
icmp VPN: public --> public 10.3.0.1:35048[202.1.1.10:2053] --> 202.1.1.254:2
048