园区出口配置举例(防火墙旁路).docx

1 大型园区出口配置示例(防火墙旁路部署)
1.1 配置注意事项
l 本举例中得交换机以华为公司得Ｓ系列框式交换机为例、防火墙以UＳG系列为例、路由器以NE系列为例。
l 本配置案例仅涉及企业网络出口相关配置，涉及企业内网得相关配置请参见华为S系列园区交换机快速配置中得“大型园区组网场景”。
l 本例仅涉及防火墙与交换机得对接配置以及防火墙得双机热备配置。防火墙上得安全业务规划及园区安全策略、攻击防范、带宽管理、IPSeｃ等功能得配置示例请参见《防火墙配置案例集》。
l 本例仅涉及园区出口路由器与交换机得对接配置。路由器在公网侧得配置示例请参见ＮE系列路由器《配置指南》。
1.2 组网需求
在大型园区出口，核心交换机上行通过路由器访问外网。防火墙旁挂于核心交换机,对业务流量提供安全过滤功能。
为了简化网络并提高可靠性,在核心层交换机通常部署集群。
在防火墙上部署双机热备（主备模式）,当其中一台故障时,业务可以平滑切换到另一台。
核心交换机双归接入２台出口路由器，路由器之间部署VＲRＰ确保可靠性。
为提高链路可靠性,在核心交换机与出口路由器之间,核心交换机与防火墙之间,２台防火墙之间均通过Etｈ-Trunk互连。
如下图所示。
图1-1 园区出口组网图(防火墙旁挂，双机热备）

在一般得三层转发环境下,园区内外部之间得流量将直接通过交换机转发,不会经过FW1或FW２。当流量需要从交换机转发至FＷ,经FW检测后再转发回交换机,就需要在交换机上配置VRＦ功能,将交换机隔离成两个相互独立得虚拟交换机VRF－Ａ和根交换机Public。
Public作为连接出口路由器得交换机。对于下行流量，她将外网进来得流量转发给FＷ进行检测；对于上行流量,她接收经FW检测后得流量，并转发到路由器。
VRF-A作为连接内网侧得交换机。对于下行流量,她接收经FW检测后得流量,并转发到内网;对于上行流量,她将内网得流量转发到ＦＷ去检测。
根据上图中得流量转发路径可以将上图转换成如下所示得更容易理解得逻辑组网图。
图1-2 交换机与路由器、防火墙之间物理接口连接示意图

本例所示核心交换机工作在三层模式,上图所示得逻辑组网图可以理解为防火墙上下行连接三层交换机得双机热备组网。这种组网得特点就就是需要在防火墙得上下行业务接口上部署VＲＲP备份组,如下所示。
图1-3 交换机与路由器、防火墙之间三层口连接示意图

如上图所示,内部用户访问外网得流量转发路径如下(上图中蓝色路径):
1. 当内部用户访问外网得流量到达VＲＦ-A时,流量根据VＲF-Ａ上得静态路由(下一跳设置为防火墙下行VRRP得虚拟IP地址)被转发到防火墙。
2. 防火墙完成对流量得安全检测后,会根据静态路由（下一跳设置为CSS得VLＡNIF２0）将流量转发到Ｐubｌiｃ上。
3. 最后,Publｉc通过到路由器得静态路由(下一跳设置为路由器VRRP得虚拟IP地址)将流量转发到路由器。
外部用户访问内网得流量转发路径如下(上图中红色路径）:
1. 当外部用户访问内网得流量到路由器时,流量根据OSＰF路由表被转发到Ｐubliｃ上。
2. 流量到达Pｕbｌic后,先根据Public上得静态路由（下一跳设置为防火墙上行VRRP得虚拟IP地址)被转发到防火墙。
3. 防火墙完成对流量得安全检测后，会根据静态路由（下一跳设置为CSS得VLＡNIF30）将流量转发到VRＦ-A上。
4. VRＦ-A通过OSPF路由表将流量转发汇聚交换机，最后由汇聚交换机将流量转发到业务网络。
1.3 数据规划
表1-1 链路聚合接口规划
设备
接口编号
成员接口
VLANIF
IP地址
对端设备
对端接口编号
Rｏuter1
Eth-trｕnk1、10０
10GE1／０/1
10GＥ1/0/2
－
10、10、4、2/２4
Switch 1
Swｉtch 2
Eｔh-Ｔrunk1
Ｒoｕｔer2
Ｅth-tｒunk1、１00
10GE１／0/１
10GE１/0/2
-
１0、１0、4、3／24
Switch 1
Switch ２
Etｈ-Trｕnk2
Roｕtｅr １和Rｏuter ２得VRRP
－
-
-
10、10、4、１０0/２４
-
-
CSS(Switch　1和Switｃｈ 2)
Etｈ-tｒunk1
1０GE１/4/0／0
10GE2/４／0／0
VLANIF１0
10、１0、４、1/２4
Roｕｔer 1
Ｅｔh-Trunk1
Ｅtｈ－tｒuｎk２
1０GE１/4／0/1
10GE2/４／0/1
VLＡNIF１0
10、１0、４、1/２4
Rｏutｅr 2
Eth－Tｒunk1
Eth-trunk4
GE1/1/0/7
GE2/1/0／７
VLＡNＩF20
10、10、2、1/24
FW １
Etｈ-Ｔrunk4
Eth-trunｋ５
GE１/1/0/8
ＧE2/1／０/８
VLAＮIF3０
10、１0、３、1/2４
FＷ　1
Ｅｔｈ-Trunｋ5
Ｅtｈ-tｒunk6
GE1/2／０/７
GE2/２/０/7
VLANIF2０
10、1０、２、1/2４
FＷ　2
Eth-Tｒuｎk6
Eth-ｔrunk7
GE１/2/0/8
GE2/2／0/8
VLANIＦ3０
１0、10、3、1／24
FW 2
Eth－Ｔrunk7
Eｔｈ-truｎｋ8
GE1/3/0/1
GＥ2/３/０/1
VLANIF100
10、１0、1００、１/24
业务网络1
-(本案例不体现配置)

Eth-truｎｋ９
GE１／３/0／2
ＧＥ2/３/0/2
ＶLANIF20０
1０、10、200、1/2４
业务网络2
-(本案例不体现配置)
FW1
Eth-tｒunk１
GE2/0／0
GＥ2／0/1
-
10、1、1、1/2４
FW2
Ｅth-Trunk1
Eth－Trｕｎk4
GE1/0／０
ＧＥ１/0/1
-
10、１0、2、2／２4
Ｓwitch 1
Ｓwitｃｈ ２
Ｅth-Trunk4
Eth－Trｕｎk５
GE1/1/０
ＧＥ1/1/1
－
10、1０、3、2/24
Switｃｈ 1
Swｉｔch 2
Eth-Trｕnk5
FW2
Eｔh-ｔrunk1
GE2/0／0
GE2/０/1
-
10、1、1、２/2４
ＦW1
Ｅtｈ－Trｕnk１
Eth-Trunk6
GE１／0／0
GE1/0/1
-
1０、10、2、3／24
Swiｔｃｈ　1
Swｉtch ２
Ｅth-Tｒunk6
Eth－Tｒunk７
ＧE1/１/０
GＥ１/１/1
-
10、１0、3、3/2４
Switch １
Sｗitｃh 2
Eｔh-Truｎk７
FＷ 1和FW 2得VRＲP1（上行)
-
-
-
10、1０、2、5/２4
-
-
FW 1和FW 2得VRRP2(下行)
-
-
-
１０、１0、３、5／24
-
-
1.4 配置思路
采用如下思路配置园区出口举例：
1. 配置核心交换机集群ＣSS。
2. 配置交换机与防火墙、路由器之间得接口及IP地址。
为提高链路可靠性，在交换机与防火墙、交换机与路由器之间配置跨框Eth-Trunk接口。
在防火墙得接口上配置安全区域。
3. 在出口路由器上部署VRRＰ。
为了保证核心交换机与两个出口路由器之间得可靠性,在两个出口路由器之间部署VRRP,VRRＰ得心跳报文经过核心交换机进行交互。Roｕter1为Masｔeｒ设备,Rｏuter2为Ｂacｋup设备。
4. 部署路由。
交换机上配置ＶRF功能,将交换机隔离成两个相互独立得虚拟交换机VRＦ-Ａ和根交换机Puｂｌic,以隔离业务网段路由与公网路由。
为了引导各设备得上行流量,在核心交换机上配置一条缺省路由,下一跳指向出口路由器VRＲＰ得虚地址。
为了引导园区两个出口路由器得回程流量，在两个出口路由器和核心交换机之间部署OSPF，核心交换机上将所有用户网段发布到OＳＰF里面,通告给两个出口路由器。
为了将业务网络得上行流量引导至防火墙,在交换机上配置一条缺省路由，下一跳指向防火墙VRRP VRID2得虚拟IＰ。
为了将到业务网络１得下行流量引导至防火墙，在交换机上配置一条缺省路由，下一跳指向防火墙VRＲＰ VRID1得虚拟IP。
为了将到业务网络2得下行流量引导至防火墙,在交换机上配置一条缺省路由,下一跳指向防火墙VＲRP　VRＩD1得虚拟IＰ。
为了将业务网络得上行流量引导至交换机,在防火墙上配置一条缺省路由,下一跳指向交换机ＶLＡNIF２0得IＰ地址。
为了将到业务网络1得下行流量引导至交换机，在防火墙上配置一条缺省路由,下一跳指向交换机ＶLAＮIF30得IＰ地址。
为了将到业务网络2得下行流量引导至交换机,在防火墙上配置一条缺省路由，下一跳指向交换机VLANIＦ3０得IP地址。
5. 配置防火墙双机热备。
1.5 操作步骤
步骤 1 交换机：配置交换机集群。
1. 连接集群卡得线缆。
下图以Ｓ12７00交换机得EH1D２ＶS08000集群卡连线为例。本例连线示意图中,S1２70０主控板、交换网板和集群卡都就就是满配得情况。实际使用时,S１２７0０每框至少配置一块主控板和一块交换网板即可。推荐每框配置两块交换网板并插上两块集群卡。
图1-5 集群卡连线示意图

l 两框之间至少要连接一根集群线缆。
l 一块集群卡只能与对框一块集群卡相连，不能连接到多块集群卡,且不能与本框集群卡相连。
l 集群卡上组1得任意接口只能与对框集群卡上组1得任意接口相连,组２得要求同组１。
l 每块集群卡上连接集群线缆得数量相同(如果不相同会影响总得集群带宽)，且两端按照接口编号得顺序对接。
2. 在Swiｔch １上配置集群。
# 集群连接方式为集群卡(缺省值,不需配置)。集群ＩD采用缺省值1(不需配置）。优先级为１00。
syｓtｅm-ｖiew ﻫ［HＵＡＷＥI] sｅt css mｏde　cｓs-card 　／/设备缺省值，不需再执行命令配置,此步骤仅用作示范命令。
[HUAWEＩ] ｓet　ｃｓｓ ｉd 1 　//设备缺省值,不需再执行命令配置,此步骤仅用作示范命令。
[HUAWEI] set ｃss ｐrioriｔy 100　　//集群优先级缺省为1，修改主交换机得优先级大于备交换机
[HUＡWEI］ css　ｅnａｂle ﻫWａrniｎｇ: Tｈe ＣSS confiｇuratiｏn　takes ｅfｆｅct ｏｎｌy afｔeｒ thｅ systeｍ ｉs rebｏｏｔeｄ、　Tｈｅ neｘｔ　CＳS ｍodｅ is　CSS－ｃａrｄ、　Reｂoｏt ｎｏw? [Y/N]:y//重启交换机　ﻫ
3. 在Sｗitｃh　2上配置集群。
集群连接方式为集群卡(缺省值，不需配置)。集群IＤ为2。优先级采用缺省值1(不需配置)。
＜HUAWEＩ＞ sysｔｅｍ－viｅw
[HUAＷＥI]　ｓｅt　css ｉd　2 　//集群ID缺省为１,修改备交换机得ID为2 ﻫ[HUAWＥＩ] cｓｓ ｅｎabｌe
Ｗarning: Tｈe ＣＳS configuｒatiｏn ｔakes ｅｆｆｅct ｏnly　afｔer the system ｉs rebｏoted、　The next ＣSS mode is CSS-card、　Rebooｔ now?　[Y/N]:y//重启交换机

4. 交换机完成重启后,查看集群状态。
− 在集群系统得主交换机Switｃh 1上,主用主控板上得CＳS　MASTＥR灯绿色常亮。(图1）
− Switcｈ 1得两块主控板上编号为1得CＳS IＤ灯绿色常亮，Sｗｉtcｈ 2得两块主控板上编号为2得CＳS ID灯绿色常亮。（图1)
− 集群卡上有集群线缆连接得端口LINＫ／ALM灯绿色常亮。(图2)
− 主框上所有集群卡得MASＴER灯绿色常亮,备框上所有集群卡得MＡSTEＲ灯常灭。(图2)
图1-6 CSＳ系统指示灯示意图

l 集群建立后,后续交换机得配置都在主交换机(Ｓwitch 1)上进行，数据会自动同步到备交换机（Ｓwｉtch 2）。
l 在集群系统中,接口编号会变为４维,例如,10ＧＥ1／4/0/0。其中左边第一位表示集群ID。
步骤 2 配置CＳS与FW、路由器之间得跨框Eｔh－Truｎｋ口,CSS上得VＬＡNIＦ口以及IP地址。
1. 配置交换机与路由器之间得跨框Eｔh-Trunｋ，ＶＬAＮIF以及IP地址
＃ 在CSS上创建Etｈ-Trunk1，用于连接Ｒoｕter１，并加入Eth-Ｔrunk成员接口。
＜HUAＷＥＩ> systeｍ-vｉew
［HUAWＥＩ] sｙsnａme ＣSＳ　 //给集群系统重新命名。
[CSＳ] ｉnteｒfａｃe　Eth-Trunk 1
［ＣSＳ-Eth-Tｒｕnｋ1] ｑuit ﻫ[CSS]　interface ＸＧｉgaｂitetheｒｎet 1/4/0／０ //在Etｈ-Tｒunｋ1中加入主交换机上得成员接口
[CSＳ-XGｉgabiｔEthernet1/4/0/0]　Eｔh-Trunk 1 ﻫ[ＣSS-XＧigabitＥtheｒnet1/４/0／０］ qｕit ﻫ[CSS]　inteｒfaｃe　XGigaｂitｅtherｎeｔ 2/４/0／0　 /／在Eth-Tｒunk1中加入备交换机上得成员接口　ﻫ［CＳS－XGｉgabｉｔＥthernet2/4/0／０] Eth-Trunｋ　1
[CSS－XＧｉgａbitEthｅrnet2/4/０／0] qｕit
　ﻫ
#　在ＣＳＳ上创建Eth-Trunｋ2，用于连接Router2,并加入Ｅtｈ-Trunｋ成员接口。
［ＣＳＳ］ ｉnterｆａce　Eth-Trunk 2 ﻫ[CSＳ-Ｅｔh－Truｎk2]　quiｔ ﻫ［ＣＳＳ]　iｎteｒｆａｃe XGiｇａbiｔetｈｅrnet 1／4/0/1　 //在Eth-Trunk2中加入主交换机上得成员接口
[CSS-ＸGiｇabiｔＥthｅrｎet1/4/0/1] Ｅth-Trunｋ 2
[CSＳ－XGigabｉｔEｔｈernet１／4／0/1］ qｕiｔ
[CSS] ｉnｔerface ＸGｉｇａbitetheｒneｔ 2/4／0/1　 //在Ｅth-Trunk2中加入备交换机上得成员接口　
[CSＳ－XGigａbｉtＥtherneｔ２/4／0/１] Eｔｈ－Trｕnｋ 2
[CSS-XＧigabｉtＥthernｅt2/4/0／1] quｉt
　ﻫ
# 创建VLANIF,并配置IP地址。
［CSＳ] vlan baｔcｈ　10
[CSS] ｉｎtｅrfaｃe Etｈ-Trunｋ １ /／将Eth-Trunｋ1加入ＶLAN10 ﻫ[CSS-Eth－Trunk１] pｏrt　link－ｔype ｔrunｋ
[CSS-Eth-Trunｋ１] port tｒｕnk allow-pass　ｖlan 10 ﻫ[CＳS－Eth-Tｒuｎｋ１]　quiｔ　
[CSS］ ｉｎterfａce Eｔh-Trunｋ 2 /／将Eth-Ｔrunk2加入VLＡN10 ﻫ[ＣＳS-Eｔh-Truｎk２] port ｌink-typｅ　tｒｕnｋ
［ＣSS-Eｔh－Ｔｒuｎk2] port truｎk　alｌｏｗ-pasｓ vlan 10 ﻫ[CＳS-Ｅtｈ-Trunk2] quit
［CＳS] intｅrfａce　Vｌaniｆ １0 //创建VLANIF１０,用于ＣSS与Routeｒ1、Roｕter2通信 ﻫ[ＣSS－Vｌanｉf１0]　ip　address 10、10、４、1 24
[ＣＳＳ-Vlanｉf１0]　ｑｕｉt ﻫ
2. 配置交换机与FW之间得跨框Eth-Ｔrｕｎk，ＣSＳ上得VLAＮIF口以及IP地址。
# 在CSＳ上创建Eth－Tｒunk４,用于将Ｐuｂilc与FＷ1连接,并加入Eth－Ｔｒｕnk成员接口。
[CSS] interfａｃe　Eth-Tｒunｋ 4 ﻫ[CSS-Eｔh-Tｒｕｎk4] quit
[CSＳ］ ｉnterface Ｇｉgabitethｅｒnｅｔ １/1／0/７　 //在Eｔh-Trunk4中加入主交换机上得成员接口
［ＣSS-Gｉgabitetｈernｅｔ１/1／０/7] Eth-Tｒｕnk 4 ﻫ[ＣSS-Giｇabitｅtherｎｅｔ1/1/０/7］　ｑuit　
［CＳＳ］ interfａce　Gigaｂitｅｔhｅrnet 2/1／0/7 //在Eth-Truｎk4中加入备交换机上得成员接口　ﻫ[CSS－Gigａbitethernｅt２／1/0/7] Eth-Tｒuｎk　４　ﻫ［CSＳ-Ｇigaｂｉｔethernｅt2/1/0/7]　qｕit ﻫ ﻫ
#　在CSＳ上创建Eth－Tｒuｎk5,用于将VRＦ－A与FW１连接，并加入Ｅth-Trunｋ成员接口。
[CSS]　ｉnteｒface Eｔh-Trunk 5
[CＳＳ-Eth-Tｒunｋ5] qｕｉt
[ＣSＳ] inｔerfaｃe Giｇabitetheｒｎeｔ 1/１／0／8　 //在Eth－Tｒｕnk５中加入主交换机上得成员接口 ﻫ[ＣSＳ-Gｉgａｂiteｔhernｅt1／1／0/８] Eth-Truｎk 5　ﻫ[CSS－Gｉgａｂitethｅrｎet1/1/0/８］ quiｔ ﻫ[ＣSS］ iｎｔｅrfaｃe Gigabｉtｅｔhｅrnet ２/1/0/8 /／在Ｅｔh－Trｕnk5中加入备交换机上得成员接口 ﻫ［ＣSS-Ｇｉgabｉtｅthernet2/1/0/８] Eth-Ｔｒuｎｋ 5
[CSS-Gｉgａbｉtetheｒnet2/1／０/8] ｑuｉt　

#　在CSS上创建Eth-Ｔrunk６,用于将Puｂilc与FＷ2连接,并加入Eth-Trunk成员接口。
[CSS] interｆace　Eth-Trunｋ　6 ﻫ［CSＳ-Eth-Ｔrunk6］ qｕiｔ ﻫ[ＣＳS] interface Gigabitｅtheｒnet　1/2/0/7　 //在Etｈ-Trunk6中加入主交换机上得成员接口 ﻫ[CSS-Gigabｉｔetｈernet１/2／０／7] Eｔh-Trｕｎｋ　6 ﻫ[ＣSS-Gigabitetheｒnｅt１/2/0/7] quit　
[ＣＳS] interfａcｅ Gigabitetｈｅｒnｅt 2/２/0/7 //在Eth-Trｕnk6中加入备交换机上得成员接口
[CSS-Gigａｂitethｅｒnet2/2／0/7］　Eｔｈ-Trｕnｋ ６ ﻫ[CSS－Gigａbｉｔethernｅｔ２/2／０/７]　quit ﻫ

＃　在CSS上创建Ｅth-Trunｋ7,用于将VRＦ-A与FW２连接，并加入Eｔh-Truｎk成员接口
[CSS]　iｎtｅrｆａcｅ　Eｔh-Tｒunk ７ ﻫ[CＳS-Etｈ-Truｎk7] qｕiｔ
[ＣＳS] iｎterfａｃe Gｉgaｂiｔethｅrneｔ　1/2／0/8 /／在Etｈ-Ｔrunｋ7中加入主交换机上得成员接口
［ＣSS-Gigabitｅtheｒnｅt1/2/０/８] Eth-Trunk ７
[CSS-Gｉｇabitetherｎet1/2/0／８]　ｑuｉｔ　
[CSＳ]　ｉnteｒｆacｅ　Gigａbiｔｅthernｅt　2/２／0/8　　／/在Eth－Ｔｒｕnk7中加入备交换机上得成员接口 ﻫ[CＳS－Gｉgａbｉｔeｔｈerｎet2/2/0／8] Eth-Trunk　7
[CSＳ-Gｉgabitｅthernet2/２／0/8］　quiｔ ﻫ

＃　创建ＶＬＡＮＩF，并配置IP地址。
［CSS] vｌan batcｈ ２0　30
[ＣSS] ｉnterｆaｃｅ Ｅｔh－Tｒunk 4 　//将Eｔh－Tｒｕnｋ4加入VLＡN２0　ﻫ[CＳS-Eth-Trｕnk４］ ｐoｒt link-tｙpe trunk
[CＳＳ-Eth－Ｔruｎk４] port tｒunｋ aｌloｗ-pass vlaｎ　2０ ﻫ[CSS-Eth-Trunk4]　quit　ﻫ[ＣSＳ］ interfaｃe Eｔｈ-Tｒunk ６ //将Eth－Ｔｒunk6加入ＶLAN20
[ＣSS-Eｔh－Trunk６］ porｔ link-typｅ trｕnk
[ＣSS－Eｔh－Ｔｒunk6] port tｒunk allow-ｐass vlan　２0　
[CSS－Ｅtｈ－Trunｋ６]　quiｔ　
[ＣSS] interface Vlanif ２０ ／/创建ＶLAＮIF20，用于CSS得Ｐuｂlic连接ＦW１、ＦW2
[CSＳ－Vlanｉf20] ip　address １0、10、2、1　２４ ﻫ[ＣSＳ-Vｌanif20］ qｕiｔ ﻫ[ＣSS］ ｉnterface Etｈ-Tｒunk　5 //将Ｅth-Trｕnk5加入VＬＡN30 ﻫ[ＣSＳ－Eth-Ｔrunk５］ port link－ｔyｐe trunｋ　ﻫ［CSS－Etｈ-Ｔrｕnk5] pｏrｔ trunk ａllow-ｐaｓs　ｖlaｎ 30
[CSＳ-Eｔh-Ｔruｎk5］　quｉｔ
[CＳＳ] inｔerface Eth-Trunk 7 /／将Eth-Tｒunｋ7加入ＶLAN3０ ﻫ［CＳＳ-Eth-Trunk7] pｏrt liｎｋ-tｙｐｅ trｕnk　ﻫ［CＳＳ－Etｈ-Ｔruｎk7] port ｔｒｕnk ａlｌｏｗ-ｐａsｓ vlan 30　ﻫ[CSS-Eth-Tｒunk7]　ｑｕit　ﻫ[CSS]　iｎｔerfacｅ　Vlanｉf 30　 //创建VLAＮIF３0,用于CSS得ＶRF-A连接FW1、FW2
[CＳＳ-Vｌaｎiｆ30] ip　aｄdress 10、1０、3、1 ２4
[ＣSS-Vｌanif3０]　quit　ﻫ
3. 配置交换机与业务网络之间得跨框Etｈ－Trunｋ,VLＡNＩF以及ＩP地址。
# 在CSS上创建Eｔh-Trｕnｋ８,用于连接业务网络1,并加入Etｈ－Ｔruｎk成员接口。
[CSＳ]　interface　Etｈ－Truｎk 8 ﻫ［CSS-Ｅth-Trunk8] quｉｔ
［CSS] intｅrface Gigaｂitetherｎｅｔ　1/3/0/１ //在Ｅth-Ｔｒunk8中加入主交换机上得成员接口
[ＣSＳ-Ｇｉgabitetheｒneｔ1/3/0/1]　Ｅth－Ｔrｕnｋ　８ ﻫ［CSＳ-Giｇaｂitｅtｈerｎet1/3/0/1］ ｑｕｉt ﻫ[CSS]　interfacｅ　Gigabitethｅrnｅt 2/3/０／1 //在Etｈ-Trｕnk8中加入备交换机上得成员接口
[CSS-Giｇabitetherｎet２/3／0/1]　Eｔh-Tｒｕnk 8　ﻫ[CSＳ-Gigaｂiteｔhernet2/3/0/1] ｑuｉt

# 在CＳＳ上创建Eth-Trunk９,用于连接业务网络２，并加入Etｈ-Trunk成员接口。
[CＳＳ]　interfａce Eth－Trunk ９
[CSS-Eth-Trｕnk9] quｉt ﻫ[ＣSS］ ｉntｅrfａce Gigabitethｅｒｎeｔ １/3/0/2 　//在Eｔh-Trunk9中加入主交换机上得成员接口 ﻫ[CＳS-Gigaｂiｔetｈernｅt１／3/0/2]　Ｅｔｈ－Trunk 9　
［CSＳ－Ｇigabｉteｔhernet1/３/0/2] quiｔ ﻫ[CSS］　ｉｎteｒface Ｇiｇａbitｅthｅrnet 2/３/0/2 //在Eth-Trunｋ9中加入备交换机上得成员接口
［ＣＳS-Gigａbｉｔｅthernｅt2/3/0/2] Etｈ-Trｕｎk 9 ﻫ[ＣＳＳ-Gｉgabitetｈernet2/3/0/2] quit

＃　创建VＬANIＦ，并配置ＩP地址。
［CSS] vlan batｃh 100 2０0　ﻫ［CSＳ］ ｉｎtｅrｆａce Etｈ-Trunk ８ 　//将Etｈ-Ｔrunk8加入VLAN10０ ﻫ[CSS-Eth-Ｔruｎk8］　port link－ｔype ｔｒｕnk
[CＳＳ-Ｅｔｈ-Ｔｒuｎｋ8]　poｒt ｔｒuｎｋ　alｌoｗ－ｐasｓ　ｖlaｎ １０0 ﻫ[CSＳ-Ｅth-Trunk8] quit
[CSS] ｉnteｒｆace Vｌａnｉf 100 　//创建VＬANIF10０，用于CSS连接业务网络1
[CSS-Vlaｎif1０0] ip addｒess 10、１0、１０0、１　24
[CSS-Vlaｎｉｆ１０0] quit
[CSS] ｉnｔerｆacｅ Eth－Ｔｒunｋ　9 　/／将Eth－Trunk9加入VLAＮ２00　
［CＳS-Etｈ-Ｔrunk9] port　ｌink－typｅ　truｎk
[CSS-Eｔh-Ｔrunk9] porｔ trｕnk　aｌloｗ-pass vlan　２00
[CＳS-Etｈ－Truｎk９] quit　ﻫ[CSS] iｎteｒface Vｌanif　200 /／创建VＬＡＮIF200,用于CSS连接业务网络2 ﻫ[ＣSS-Ｖｌaniｆ200]　ip addreｓs 1０、1０、20０、1 24　ﻫ[CＳS-Vlanif2０0] quit

步骤 3 路由器:配置路由器与ＣＳS之间得接口
#　配置Rouｔer1，在Ｒoｕｔeｒ1上创建Eth－Trunｋ1,并加入成员接口。
<Ｈuａwei> ｓystｅm－ｖieｗ　
[Huaweｉ] ｓysname Roｕtｅr1
[Ｒouｔer1］ ｉnterfａｃe Ｅtｈ-Truｎｋ 1 　ﻫ[Rouｔer1-Eｔh-Ｔrｕｎｋ1] quit
[Ｒｏuter1]　iｎtｅrfａｃｅ XＧｉgabiｔｅtheｒnet 1/0/1
[Router1-XＧｉgaｂitＥｔhｅｒnｅt1/０／1] unｄo sｈutｄowｎ ﻫ[Routｅr1-XGigaｂitEtheｒnet1/0/1]　Eth-Ｔｒunk 1
[Routｅr１-XGigabｉｔEthｅrｎet1／0/1] ｑuit
[Ｒｏuteｒ1］　ｉnterfａce　XGigabitetherｎeｔ １／0／２
[Roｕtｅr1－XＧigabitEthernｅt１／0/２］ ｕndｏ sｈutdown
［Ｒouteｒ1-XGigａbｉtＥtherｎet1/0/2］ Ｅｔh-Ｔｒunk 1 ﻫ［Routeｒ1-XＧigaｂiｔEtｈerneｔ1／0/2]　ｑuｉt ﻫ
#　配置Doｔ1q终结子接口，终结VＬＡN10。并配置IP地址。
[Rouｔer1]　ｉnteｒface Eth-Ｔｒunk　1、1０0　ﻫ[Router１－Eｔh-Ｔｒunk1、10０] ip　addrｅｓs 10、10、4、2 24　
[Routｅｒ1-Etｈ-Trunk1、１0０] dｏｔ１q　terｍｉnaｔiｏn　ｖｉd 10
[Router1-Ｅth-Trunk1、100］　qｕit ﻫ
# Rｏuteｒ２上得配置步骤与Rｏuter１相同,仅接口IP地址有差别,请参照Roｕtｅｒ１完成Ｒｏuteｒ2得配置。
步骤 4 防火墙配置防火墙得接口与安全区
＃ 配置FW1得接口与安全区。
sｙｓteｍ-viｅw　
[USＧ］ sｙsnamｅ FW1
[FW1］ inｔｅrfaｃe Ｅth-Ｔrunk　4 //配置与CSS连接得接口及IP地址 ﻫ［ＦW1-Etｈ-Ｔrunk４] ｉp addresｓ 1０、１0、2、２ 24 ﻫ[FW１-Etｈ-Tｒunk4］ quit
［ＦW1] intｅｒｆace Giｇａbitｅtｈernｅt 1/0/0 /／在Eth-Ｔrunｋ4中加入成员接口 ﻫ［ＦW1-ＧigabitＥｔherｎet1／0／0］ Eｔh-Truｎk ４
[FW1-GigabiｔＥtｈernet1/0／０] ｑuｉｔ
[FW1]　iｎterｆace Ｇigabiteｔhernet 1/0/1　　//在Eth－Ｔrunｋ4中加入成员接口 ﻫ[FW1-GigabitＥthernet1/０/1］ Eｔh-Trunｋ 4　
[ＦＷ1-GigabitEtheｒnｅt1/0/1] quit ﻫ ﻫ[FW1] ｉnterfacｅ Eｔh-Trunk　5 　//配置与CSS连接得接口及IP地址　
[ＦW1－Eth-Trunk5］　ｉp addreｓs 10、10、３、２　24 ﻫ[FW1-Eth-Trunｋ5] quit　
[FＷ1］ ｉntｅｒfacｅ　Gｉgabｉtethｅrnet 1/１/０ 　／/在Etｈ－Trｕnk5中加入成员接口
[FW1－GｉgabiｔＥｔｈerｎet１/1／0]　Eth-Truｎk 5
[ＦW1-GiｇaｂｉtＥtherneｔ１/1/0］ quit
[FW1] ｉnterｆace Giｇabitetheｒｎet １／1/1 　/／在Eｔh-Tｒunk5中加入成员接口
[ＦW１-GigａbｉtEthｅrnet1/1／1] Eｔh-Tｒuｎｋ 5 ﻫ[FW1－GigabiｔＥｔhernet１／1／１］ ｑuｉt ﻫ ﻫ［ＦＷ1] inｔerfacｅ Eth-Trunk １　 /／配置FW1与FＷ2连接得接口 ﻫ[FW1－Eth-Trunk１] iｐ aｄdrｅss １0、1、1、1 24　
[ＦW１-Eth－Trunｋ1] ｑuiｔ
[FW1]　ｉｎterｆacｅ Ｇigabiｔetｈernet 2/0／0 //在Eth－Ｔrｕnｋ1中加入成员接口 ﻫ[ＦW1－GigaｂitEｔherｎet2／0/0] Ｅtｈ-Ｔｒunk 1 ﻫ[FW1-GigａｂｉtEtherneｔ2/0／０] quｉt　
[FW1］ inteｒfａce Ｇigaｂiｔetｈernｅｔ 2／0／1 /／在Etｈ-Trunk1中加入成员接口
［ＦW1-ＧｉgabitEtｈｅｒnｅt2／０/1]　Etｈ-Trｕｎｋ　１　ﻫ[ＦＷ1-GigａbitEｔｈernet２/0/1] qｕiｔ ﻫ
[FW１］ ｆｉrewall zonｅ trｕsｔ
[ＦW１－zｏne-trｕst］　add　inｔｅrface　Etｈ－Trunｋ 5 //将连接内网得Etｈ-Truｎk５加入安全区域 ﻫ［FW1-zone-trust] quit ﻫ[FW1] fｉrewall ｚｏne ｕnｔrusｔ ﻫ［FW１-zｏne-uｎｔrｕsｔ] add　interfaｃｅ　Eth-Trunk 4 　//将连接外网得Eth-Trunk4加入非安全区域
[FＷ1-zoｎe－ｕｎtrust] quit ﻫ［FW1] fiｒeｗaｌｌ　ｚoｎe dmz　
［FW1-ｚone-dｍz］ add interface Etｈ-Truｎk　1 //将ＦW1、FW２之间得接口加入DMZ区域　ﻫ[FW１－zｏne-ｄmｚ] quｉt ﻫ
#　配置FW２得接口与安全区。
systeｍ-viｅw
[ＵSG] sysname FW2 ﻫ[ＦW２］ ｉnｔｅrfａce Etｈ－Trｕnk ６ //配置与CSS连接得接口及ＩP地址
［ＦＷ２-Eth－Ｔrｕnk6] iｐ aｄｄresｓ １0、10、2、3　２４ ﻫ［FW２-Eth-Trｕnｋ6] quｉｔ　
[FW２] iｎterface　Gigａbitethernｅt 1/0/0　　／/在Eth－Trunk６中加入成员接口
［FW２-ＧigaｂiｔEthernet１/0／0］　Etｈ－Ｔruｎk　6 ﻫ［ＦＷ2-GiｇabiｔEｔhernet1/0/0］ ｑuit　ﻫ[ＦW2］ interfaｃe Gigａbｉｔethernet １／0/1 ／/在Ｅth-Trunk６中加入成员接口 ﻫ［ＦW2－GigaｂitEｔｈernｅt１/０/1］　Eth-Trｕnｋ 6 ﻫ[FＷ２-ＧigabitEtｈerneｔ1/０／1] qｕit

[FW2] iｎteｒface　Eth-Trunk　７ 　／/配置与CＳS连接得接口及IP地址
[FＷ２-Eth-Tｒｕnk7] ip adｄｒeｓｓ　１0、１０、３、３ 24
[FＷ2-Eth-Trunk7］ quit ﻫ[FW２] intｅｒfaｃe Gｉｇaｂitethernet 1/1/0 　//在Eｔｈ-Truｎk７中加入成员接口
[ＦW２-GｉｇａbitEｔherｎet1/1/0] Eｔh-Truｎk 7
[FＷ2-GigａbitEｔhｅrnet1/1/０] quit
[ＦW2］ iｎtｅrface　Ｇｉgａbiｔetｈerneｔ 1／１／1 　//在Etｈ-Trｕnk７中加入成员接口　ﻫ［FＷ2-GigabitＥthｅrnｅt１/1/１］ Eth－Tｒｕnk ７　
[FＷ2-GigabitEthｅrnet１/１/1] ｑuiｔ　ﻫ ﻫ[FW2] inteｒfaｃe Etｈ-Ｔrunk １ //配置ＦW２与ＦW1连接得接口　
[FW2－Etｈ-Trunk1］　iｐ aｄdreｓｓ １０、1、1、2 2４　ﻫ[FＷ2-Eth－Trunｋ1] ｑｕit
[FW2]　ｉｎterfaｃe Gigabitethernet ２/0/0　 //在Eth-Trｕnk1中加入成员接口
[FＷ２-GiｇａｂitEｔhernet2/0／0] Eth－Ｔrunk　１　
[FW2－GigabiｔEtｈerｎｅt2/０／0] qｕit　
[ＦＷ2]　interfacｅ　Gｉgabｉｔetｈernet 2/0/1 //在Eｔh-Trunk1中加入成员接口
[FW２-GigａｂiｔEtheｒｎet2/0/1]　Etｈ-Trｕnk　1 ﻫ[FW2-GiｇabitＥtｈeｒｎet２／０/1] quｉt
ﻫ[FW2］ fiｒewａll zone trｕsｔ ﻫ[ＦW2-zｏne-trｕst] ａdd interfacｅ Eｔh-Tｒunk 7　 ／/将连接内网得Ｅth-Ｔｒunｋ7加入安全区域
[FW2-zｏne-truｓt] quit
[ＦW2] fｉrｅwall ｚｏne uｎtrusｔ
[FW２-ｚoｎｅ-ｕntrusｔ]　add interfacｅ Ｅtｈ-Tｒunk　６　 //将连接外网得Etｈ-Tｒunk6加入非安全区域
［FＷ2-zone－uｎtruｓｔ] quit ﻫ[ＦＷ２] ｆirｅｗall zone　ｄmz　ﻫ[ＦＷ2-zone-dｍｚ] add interface Eth-Trunk 1 ／/将FW１、FW２之间得接口加入DMZ区域　
[ＦW2-zonｅ-dmz] quｉt　

步骤 5 路由器：部署VRRP。Ｒoutｅr1为VRＲP得Maｓｔer,Roｕtｅr2为ＶRRP得Ｂackuｐ
# 配置Rｏｕter1。
[Ｒoutｅr1］　iｎｔeｒｆace　Ｅth-Ｔrｕnｋ １、1０0　ﻫ[R