HUAWEI ASG2000 应用安全网关 V100R001 典型配置案例 07

HUAWEI ASG2000 应用安全网关V100R001

典型配置案例

文档版本07

发布日期2015-07-10

版权所有 © 华为技术有限公司 2015。保留一切权利。

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

商标声明

和其他华为商标均为华为技术有限公司的商标。

本文档提及的其他所有商标或注册商标，由各自的所有人拥有。

注意

您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。除非合同另有约定，华为公司对本文档内容不做任何明示或默示的声明或保证。

由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。

华为技术有限公司

地址：深圳市龙岗区坂田华为总部办公楼邮编：518129

网址：

前言

产品版本

与本文档相对应的产品版本如下所示。

读者对象

本文档针对HUAWEI ASG2050/2100/2150/2200/2600/2800 应用安全网关（以下简称为

ASG）的各类典型应用场景，介绍了各种功能的配置方法。

本文档主要适用于以下工程师：

l数据配置工程师

符号约定

在本文中可能出现下列标志，它们所代表的含义如下。

命令行格式约定

图形界面元素引用约定

修订记录

修改记录累积了每次文档更新的说明。最新版本的文档包含以前所有文档版本的更新内

容。

文档版本 07 (2015-07-10)

第七次正式发布。

文档版本 06 (2014-01-26)

第六次正式发布。增强带宽管理整体可用性，同步刷新举例：上网行为管理和带宽管理

综合场景。

文档版本 05 (2013-08-05)

第五次正式发布。

文档版本 04 (2013-06-03)

第四次正式发布。网关模式快速向导增加“管理口”配置，应用控制界面易用性优化。文档版本 03 (2012-12-03)

第三次正式发布。新增ASG2050和ASG2150两个型号。

文档版本 02 (2012-08-23)

第二次正式发布。

文档版本 01 (2012-07-18)

第一次正式发布。

典型配置案例目录

目录

前言 (ii)

1 部署模式综合案例 (1)

1.1 举例：双上行网关模式 (2)

1.2 举例：内网存在Trunk类型的多个VLAN时网关模式部署 (14)

1.3 举例：旁路模式部署 (20)

1.4 主备备份方式双机热备配置举例 (25)

1.4.1 举例：业务接口工作在二层 (26)

1.4.2 举例：业务接口工作在三层 (31)

1.4.3 举例：双机热备与NAT功能结合 (37)

1.5 负载分担方式双机热备配置举例 (42)

1.5.1 举例：业务接口工作在二层 (42)

1.5.2 举例：业务接口工作在三层 (46)

1.6 举例：多台ASG设备集中部署 (50)

2 典型功能综合案例 (56)

2.1 举例：上网行为管理和带宽管理综合场景 (57)

2.2 举例：在TSM服务器已经从AD域控制器完成账号同步的情况下使用TSM单点登录认证 (67)

2.3 举例：支持NAT穿越的点到多点IPSec隧道（策略模板） (74)

2.4 举例：使用VPN Client通过L2TP over IPSec接入总部 (80)

1部署模式综合案例关于本章

介绍ASG以双上行网关、旁路、双机热备和多台设备集中部署时的典型组网和配置步

骤。其他典型部署模式请参见《从这里开始》。

1.1 举例：双上行网关模式

介绍ASG作为出口网关，通过两个ISP接入Internet的网络部署过程。具体上网行为管理

业务不在本例介绍。

1.2 举例：内网存在Trunk类型的多个VLAN时网关模式部署

当内部网络中存在多个Trunk类型的VLAN，ASG作为网关部署在企业出口时，需要在

ASG上启用Trunk配置。

1.3 举例：旁路模式部署

介绍ASG以旁路模式接入网络的快速向导配置和接入网络后的审计策略配置。

1.4 主备备份方式双机热备配置举例

举例说明如何配置主备备份方式的双机热备功能。

1.5 负载分担方式双机热备配置举例

举例说明如何配置负载分担方式的双机热备功能。

1.6 举例：多台ASG设备集中部署

通过本配置举例，您可以了解到如何通过ASG管理中心对多台ASG设备进行集中统一管

理，从而实现规范员工上网行为的目的。

1.1 举例：双上行网关模式

介绍ASG作为出口网关，通过两个ISP接入Internet的网络部署过程。具体上网行为管理

业务不在本例介绍。

组网需求

如图1-1所示，ASG以网关模式部署在企业网络出口处，管理内网用户的上网行为。企

业可以通过两个ISP接入Internet（静态IP方式），两条链路进行流量分担，并且一条链

路故障流量可以切换到另一条链路。具体需求如下：

l内网用户上网需求：企业可根据实际情况选择上网流量的分担方式。本例中同时介绍两种方式的配置过程，请根据实际需求配置对应步骤。

–方式一：根据访问的外网地址所属的ISP进行选路，也就是去往不同运营商的流

量由ASG上连接对应运营商的接口转发。

–方式二：根据内网用户选路，不同的部门走不同的出口。

l外网访问企业服务器需求：企业内部Web Server对外公布2个公网地址供访问。