园区出口配置举例(防火墙旁路)

1 大型园区出口配置示例（防火墙旁路部署）

1.1 配置注意事项

●本举例中的交换机以华为公司的S系列框式交换机为例、防火墙以USG系列为

例、路由器以NE系列为例。

●本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为

S系列园区交换机快速配置中的“大型园区组网场景”。

●本例仅涉及防火墙与交换机的对接配置以及防火墙的双机热备配置。防火墙上的

安全业务规划及园区安全策略、攻击防范、带宽管理、IPSec等功能的配置示例请

参见《防火墙配置案例集》。

●本例仅涉及园区出口路由器与交换机的对接配置。路由器在公网侧的配置示例请

参见NE系列路由器《配置指南》。

1.2 组网需求

在大型园区出口，核心交换机上行通过路由器访问外网。防火墙旁挂于核心交换机，

对业务流量提供安全过滤功能。

为了简化网络并提高可靠性，在核心层交换机通常部署集群。

在防火墙上部署双机热备（主备模式），当其中一台故障时，业务可以平滑切换到另一

台。

核心交换机双归接入2台出口路由器，路由器之间部署VRRP确保可靠性。

为提高链路可靠性，在核心交换机与出口路由器之间，核心交换机与防火墙之间，2台

防火墙之间均通过Eth-Trunk互连。

如下图所示。

图1-1园区出口组网图（防火墙旁挂，双机热备）

在一般的三层转发环境下，园区内外部之间的流量将直接通过交换机转发，不会经过FW1或FW2。当流量需要从交换机转发至FW，经FW检测后再转发回交换机，就需要在交换机上配置VRF功能，将交换机隔离成两个相互独立的虚拟交换机VRF-A和根交换机Public。

Public作为连接出口路由器的交换机。对于下行流量，它将外网进来的流量转发给FW 进行检测；对于上行流量，它接收经FW检测后的流量，并转发到路由器。

VRF-A作为连接内网侧的交换机。对于下行流量，它接收经FW检测后的流量，并转发到内网；对于上行流量，它将内网的流量转发到FW去检测。

根据上图中的流量转发路径可以将上图转换成如下所示的更容易理解的逻辑组网图。

图1-2交换机与路由器、防火墙之间物理接口连接示意图

本例所示核心交换机工作在三层模式，上图所示的逻辑组网图可以理解为防火墙上下行连接三层交换机的双机热备组网。这种组网的特点是需要在防火墙的上下行业务接口上部署VRRP备份组，如下所示。

图1-3交换机与路由器、防火墙之间三层口连接示意图

如上图所示，内部用户访问外网的流量转发路径如下（上图中蓝色路径）：

1.当内部用户访问外网的流量到达VRF-A时，流量根据VRF-A上的静态路由（下

一跳设置为防火墙下行VRRP的虚拟IP地址）被转发到防火墙。

2.防火墙完成对流量的安全检测后，会根据静态路由（下一跳设置为CSS的

VLANIF20）将流量转发到Public上。

3.最后，Public通过到路由器的静态路由（下一跳设置为路由器VRRP的虚拟IP地

址）将流量转发到路由器。

外部用户访问内网的流量转发路径如下（上图中红色路径）：

1.当外部用户访问内网的流量到路由器时，流量根据OSPF路由表被转发到Public

上。

2.流量到达Public后，先根据Public上的静态路由（下一跳设置为防火墙上行

VRRP的虚拟IP地址）被转发到防火墙。

3.防火墙完成对流量的安全检测后，会根据静态路由（下一跳设置为CSS的

VLANIF30）将流量转发到VRF-A上。

4.VRF-A通过OSPF路由表将流量转发汇聚交换机，最后由汇聚交换机将流量转发

到业务网络。

1.3 数据规划

表1-1链路聚合接口规划

1.4 配置思路

采用如下思路配置园区出口举例：

1.配置核心交换机集群CSS。

2.配置交换机与防火墙、路由器之间的接口及IP地址。

为提高链路可靠性，在交换机与防火墙、交换机与路由器之间配置跨框Eth-Trunk

接口。

在防火墙的接口上配置安全区域。

3.在出口路由器上部署VRRP。

为了保证核心交换机与两个出口路由器之间的可靠性，在两个出口路由器之间部

署VRRP，VRRP的心跳报文经过核心交换机进行交互。Router1为Master设备，

Router2为Backup设备。

4.部署路由。

交换机上配置VRF功能，将交换机隔离成两个相互独立的虚拟交换机VRF-A和

根交换机Public，以隔离业务网段路由与公网路由。

为了引导各设备的上行流量，在核心交换机上配置一条缺省路由，下一跳指向出

口路由器VRRP的虚地址。

为了引导园区两个出口路由器的回程流量，在两个出口路由器和核心交换机之间

部署OSPF，核心交换机上将所有用户网段发布到OSPF里面，通告给两个出口路

由器。

为了将业务网络的上行流量引导至防火墙，在交换机上配置一条缺省路由，下一

跳指向防火墙VRRP VRID2的虚拟IP。

为了将到业务网络1的下行流量引导至防火墙，在交换机上配置一条缺省路由，

下一跳指向防火墙VRRP VRID1的虚拟IP。

为了将到业务网络2的下行流量引导至防火墙，在交换机上配置一条缺省路由，

下一跳指向防火墙VRRP VRID1的虚拟IP。

为了将业务网络的上行流量引导至交换机，在防火墙上配置一条缺省路由，下一

跳指向交换机VLANIF20的IP地址。

为了将到业务网络1的下行流量引导至交换机，在防火墙上配置一条缺省路由，

下一跳指向交换机VLANIF30的IP地址。

为了将到业务网络2的下行流量引导至交换机，在防火墙上配置一条缺省路由，

下一跳指向交换机VLANIF30的IP地址。

5.配置防火墙双机热备。

1.5 操作步骤

步骤 1交换机：配置交换机集群。

1.连接集群卡的线缆。

下图以S12700交换机的EH1D2VS08000集群卡连线为例。本例连线示意图中，

S12700主控板、交换网板和集群卡都是满配的情况。实际使用时，S12700每框至

少配置一块主控板和一块交换网板即可。推荐每框配置两块交换网板并插上两块

集群卡。