深信服渠道认证培训防火墙和行为管理.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,121,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,121,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,121,SANGFOR NGAF,基本网络配置介绍,培训内容,培训目标,NGAF,接口和区域设置,了解物理接口的应用场景，掌握物理接口的配置。,了解,VLAN,接口的应用场景，掌握,VLAN,接口的配置。,了解区域的用途，掌握二层区域、三层区域和虚拟网线区域的配置。,NGAF,静态路由和策略路由功能,了解静态路由功能的应用场景，掌握静态路由功能的配置。,了解策略路由功能的应用场景，掌握源地址策略路由和多线路负载路由的配置。,SANGFOR NGAF,接口和区域设置,深信服公司简介,SANGFOR NGAF,静态路由和策略路由,SANGFOR NGAF,策略路由应用案例,SANGFOR,NGAF,1.1,物理接口,1.2,子接口,1.3 VLAN,接口,1.4,区域,NGAF,接口和区域设置,1.1,物理接口,物理接口与,NGAF,设备面板上的接口一 一对应，根据网口数据转发特性的不同，可选择路由接口、透明接口和虚拟网线接口三种类型，每种接口又可设置,WAN,或非,WAN,属性。,物理接口无法删除或新增，物理接口的数目由硬件型号决定。,1.1.1,路由接口,路由接口：,如果设置为路由接口，则需要给该接口配置,IP,地址，且该接口具有路由转发功能。,部分功能要求出接口是,WAN,属性，比如流控、策略路由等。,设置接口的下一跳网关，用于链路故障检测，并不会自动生成,0.0.0.0,的缺省路由，需手动添加缺省路由。,接口的线路带宽设置与流量管理无关，用于策略路由根据接口带宽占用比例选路。,实时检测接口的链路状态，以及多条外网线路情况下，某条线路故障，流量自动切换到其它线路，均需开启链路故障检测。,WAN,属性的接口必须开启链路故障检测功能。,1.1.1,路由接口,ADSL,拨号：,如果设置为路由接口，并且是,ADSL,拨号，需要选上添加默认路由选项，默认勾选。,1.1.1,路由接口,管理口：,Eth0,为固定的管理口，接口类型为路由口，且无法修改。,Eth0,可增加管理,IP,地址，默认的管理,IP 10.251.251.251/24,无法删除。,1.1.2,透明接口,透明接口：,透明接口相当于普通的交换网口，不需要配置,IP,地址，不支持路由转发，根据,MAC,地址表转发数据。,部分功能要求接口是,WAN,属性，当接口设置成透明,WAN,口时，,注意设备上架时接线方向，内外网口接反会导致部分功能失效,。,1.1.3,虚拟网线接口,在负载均衡网络中，透明部署,NGAF,设备，要求,eth1和,eth3,这对网口，与,eth2,和,eth4,这对网口二层隔离，即从,eth1,口进入的数据必须从,eth3,口转发，,eth2,口进入的数据必须从,eth4,口转发。,我们通过配置虚拟网线接口来满足部署的需求。,1.1.3,虚拟网线接口,虚拟网线接口：,虚拟网线接口也是普通的交换接口，不需要配置,IP,地址，不支持路由转发，转发数据时，无需检查,MAC,表，直接从虚拟网线配对的接口转发。,虚拟网线接口的转发性能高于透明接口，单进单出网桥的环境下，推荐使用虚拟网线接口部署。,配置虚拟网线接口后，还需配置虚拟网线，将虚拟网线接口对应起来,。,1.1.4,聚合接口,聚合接口：,将多个以太网接口捆绑在一起所形成的逻辑接口，创建的聚合接口成为一个逻辑接口，而不是底层的物理接口。,最多支持,4,个聚合接口,不支持旁路镜像,负载均衡,-hash:,按数据包源目的,IP/MAC,的,hash,值均分,负载均衡,-RR:,直接按数据包轮转均分到每个接口,主备模式,-,取,eth,最大号为主接口收发包，其余为备接口,1.2,子接口,子接口：,子接口应用于路由接口需要启用,VLAN TRUNK,的场景。,选择在哪个路由口下添加子接口。,设置此子接口的,VLAN ID,设置子接口的,IP,地址,子接口是逻辑接口，只能在路由口下添加子接口。,子接口的下一跳网关和链路故障检测根据实际环境进行配置。,1.3 VLAN,接口,VLAN,接口：,为,VLAN,定义,IP,地址，则会产生,VLAN,接口。,VLAN,接口也是逻辑接口。,填写对应的,VLAN ID,。,设置对应,VLAN,网段的,IP,地址,VLAN,接口的下一跳网关和链路故障检测根据实际环境进行配置。,接口设置注意事项,2.,管理口不支持设置成透明接口或虚拟网线接口，如果要设置,2,对或,2,对以上的虚拟网线接口，则必须要求设备不少于,5,个物理接口，预留一个专门的管理口,Eth0,。,1.,设备支持配置多个,WAN,属性的路由接口连接多条外网线路，但是需要开通多条线路的授权。,3.,一个路由接口下可添加多个子接口，路由接口的,IP,地址不能与子接口的,IP,地址在同网段。,1.4,区域,区域：,用于定义和归类接口，以供防火墙、内容安全、服务器保护、流量管理等模块调用。,只能选择所有的透明接口,只能选择所有的三层接口,只能选择所有的虚拟网线接口,定义区域时，需根据控制的需求来规划，可以将一个接口划分到一个区域，或将几个相同需求的接口划分到同一个区域。,一个接口只能属于一个区域。,可以在区域中选择接口；也可以预先设置好区域名称，在接口中选择区域。,2.1,静态路由,2.2,策略路由,2.3,策略路由应用案例,NGAF,静态路由和策略路由功能,2025/4/6 周日,18,2.1,静态路由,NGAF,的静态路由用于手动添加路由条目，可新增单个静态路由或新增多个静态路由。,当接口设置为“自动选择”时，设备将根据下一跳,IP,地址自动匹配路由出接口。,当,AF,设备有多个路由接口设置了同网段的,IP,地址时，通过手动指定接口来匹配路由从哪个接口转发。,按照示例格式填写，一行对应一条静态路由，接口和度量值可省略。,2.2,策略路由,NGAF,的策略路由功能主要用于设备有多个接口和多条外网线路时，根据源,/,目的,IP,、源,/,目的端口、协议以及,应用,等条件进行出接口和线路选择，以实现不同的数据走不同的外网线路的自动选路功能。,策略路由常用的应用场景：,1.,源地址策略路由：,根据源,IP,地址和协议选择接口或下一跳，实现用户访问数据的分流。可实现不同网段的内网用户，分别通过不同的线路接口访问公网。,2.,多线路负载路由：,设备上有多条外网线路，通过策略路由的轮询，带宽比例，加权最小流量，优先使用前面的线路的接口策略，动态的选择线路，实现线路带宽的有效利用、备份和负载均衡。,2.2,策略路由,源地址策略路由：,根据源,IP,地址和协议选择接口或下一跳,可直接填写下一跳，设备将自动匹配出接口（不限于接口,LAN/WAN,属性）。,只能选择,WAN,属性的路由接口,基于应用,选择,2.2,策略路由,多线路负载路由：,选择,WAN,属性的路由口,可选择轮询、带宽比例、加权最小流量、优先使用前面线路四种策略。2.3,策略路由应用案例,用户环境：,某用户网络环境如图所示，公网出口有两条电信线路，内网用户访问教育网资源必须通过专线才能访问到。,用户需求：,内网所有用户访问网上银行,TCP 443,端口的数据全部走,10M,电信线路。,内网所有,P2P,应用走,10M,电信线路,3.,内网用户访问公网时按照带宽比例自动选择线路。,4.,访问教育网的所有资源均走专线。,2.3,策略路由应用案例,配置思路：,1.,接口和区域设置：,1.1,连接公网电信线路的两个接口,eth1,和,eth2,必须设置成,WAN,属性的路由口，且正确配置下一跳网关，线路带宽，开启链路故障检测。,（配置省略）,1.2,定义“内网区域”，将,eth3,接口划分到“内网区域”。,（配置省略）,策略路由设置：,2.1,添加源地址策略路由，来自于“内网区域”，目标,IP,选择全部，目标端口为,TCP 443,的数据，选择接口,eth2,。,2.2,添加源地址策略路由，来自于“内网区域”，目标,ISP,为教育网，填写下一跳地址为,192.168.1.2,。,2.3,添加源地址策略路由，来自于“内网区域”，属于,P2P,应用的选择接口,eth2,2.4,添加多线路负载路由，来自于“内网区域”，目标,IP,选择全部，选择接口,eth1,和,eth2,，接口选择策略为带宽比例。,2.3,策略路由应用案例,静态路由设置,3.1,添加静态路由,0.0.0.0/0.0.0.0,下一跳指向,eth2,接口的网关。,添加静态路由是为了防止策略路由失效的情况下，内网用户还可以通过静态路由访问公网。,2.3,策略路由应用案例,策略路由配置步骤：添加源地址策略路由,2.3,策略路由应用案例,策略路由配置步骤：添加源地址策略路由,2.3,策略路由应用案例,策略路由配置步骤：添加基于应用的策略路由,2.3,策略路由应用案例,策略路由配置步骤：添加多线路负载路由,2.3,策略路由应用案例,静态路由配置：,静态路由和策略路由功能注意事项,静态路由优先于策略路由，策略路由优先于默认路由。,每一条外网线路必须至少有一条策略路由与之对应，源地址策略路由或多线路负载路由均可。,源地址策略路由选择接口时，只能选择,WAN,属性的路由接口。,源地址策略路由，通过直接填写路由的下一跳，可以实现从设备非,WAN,属性的接口转发数据。,多线路负载路由选择的接口，必须是,WAN,属性的路由接口，必须开启链路故障检测功能，才能实现线路故障自动切换。,多条策略路由，按照从上往下的顺序匹配，一旦匹配到某条策略路由后，不再往下匹配。,练练手,某客户原来的网络拓扑如右图所示，公网出口为电信和网通双线路。现需要部署,SANGFOR NGAF,设备用来保护服务器和内网用户上网的安全，此外还需要实现内网用户上网，访问电信服务器走电信线路，访问网通服务器走网通线路，如果任意线路故障，能实现自动切换。,如何部署和配置来实现客户的需求？,问题思考,透明接口与虚拟网线接口有何共同点？这两种接口在哪些应用场景下可以通用？,4.,若要实现外网线路的故障自动切换，需如何配置策略路由？对连接外网线路的接口有何要求？,3.,策略路由是否可以从一个非,WAN,属性的接口转发出去？如果可以，请问如何配置？,2.,哪些应用场景下要求接口属性必须是,WAN,？,2025/4/6 周日,35,