园区出口配置举例(防火墙旁路).doc

大型园区出口配置示例（防火墙旁路部署） 配置注意事项 本举例中的交换机以华为公司的S系列框式交换机为例、防火墙以USG系列为例、路由器以NE系列为例。 本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为S系列园区交换机快速配置中的“大型园区组网场景”。 本例仅涉及防火墙与交换机的对接配置以及防火墙的双机热备配置。防火墙上的安全业务规划及园区安全策略、攻击防范、带宽管理、IPSec等功能的配置示例请参见《防火墙配置案例集》。 本例仅涉及园区出口路由器与交换机的对接配置。路由器在公网侧的配置示例请参见NE系列路由器《配置指南》。 组网需求 在大型园区出口，核心交换机上行通过路由器访问外网。防火墙旁挂于核心交换机，对业务流量提供安全过滤功能。 为了简化网络并提高可靠性，在核心层交换机通常部署集群。 在防火墙上部署双机热备（主备模式），当其中一台故障时，业务可以平滑切换到另一台。 核心交换机双归接入2台出口路由器，路由器之间部署VRRP确保可靠性。 为提高链路可靠性，在核心交换机与出口路由器之间，核心交换机与防火墙之间，2台防火墙之间均通过Eth-Trunk互连。 如下图所示。 园区出口组网图（防火墙旁挂，双机热备） 交换机与路由器、防火墙之间物理接口连接示意图 交换机与路由器、防火墙之间三层口连接示意图 集群卡连线示意图 HUAWEI system-view [HUAWEI] set css mode css-card //设备缺省值，不需再执行命令配置,此步骤仅用作示范命令。 [HUAWEI] set css id 1 //设备缺省值，不需再执行命令配置,此步骤仅用作示范命令。 [HUAWEI] set css priority 100 //集群优先级缺省为1，修改主交换机的优先级大于备交换机 [HUAWEI] css enable Warning: The CSS configuration takes effect only after the system is rebooted. The next CSS mode is CSS-card. Reboot now? [Y/N]:y//重启交换机  HUAWEI system-view [HUAWEI] set css id 2 //集群ID缺省为1，修改备交换机的ID为2 [HUAWEI] css enable Warning: The CSS configuration takes effect only after the system is rebooted. The next CSS mode is CSS-card. Reboot now? [Y/N]:y//重启交换机  CSS系统指示灯示意图 HUAWEI system-view [HUAWEI] sysname CSS //给集群系统重新命名。 [CSS] interface Eth-Trunk 1 [CSS-Eth-Trunk1] quit [CSS] interface XGigabitethernet 1/4/0/0 //在Eth-Trunk1中加入主交换机上的成员接口 [CSS-XGigabitEthernet1/4/0/0] Eth-Trunk 1 [CSS-XGigabitEthernet1/4/0/0] quit [CSS] interface XGigabitethernet 2/4/0/0 //在Eth-Trunk1中加入备交换机上的成员接口 [CSS-XGigabitEthernet2/4/0/0] Eth-Trunk 1 [CSS-XGigabitEthernet2/4/0/0] quit   [CSS] interface Eth-Trunk 2 [CSS-Eth-Trunk2] quit [CSS] interface XGigabitethernet 1/4/0/1 //在Eth-Trunk2中加入主交换机上的成员接口 [CSS-XGigabitEthernet1/4/0/1] Eth-Trunk 2 [CSS-XGigabitEthernet1/4/0/1] quit [CSS] interface XGigabitethernet 2/4/0/1 //在Eth-Trunk2中加入备交换机上的成员接口 [CSS-XGigabitEthernet2/4/0/1] Eth-Trunk 2 [CSS-XGigabitEthernet2/4/0/1] quit   [CSS] vlan batch 10 [CSS] interface Eth-Trunk 1 //将Eth-Trunk1