《渠道初级认证培训之基本网络环境部署》由会员分享，可在线阅读，更多相关《渠道初级认证培训之基本网络环境部署（36页珍藏版）》请在金锄头文库上搜索。
1、SANGFOR NGAF 基本网络环境部署,SANGFOR NGAF 接口和区域设置,SANGFOR NGAF 基本网络环境部署案例,深信服公司简介,SANGFOR NGAF 静态路由和策略路由,SANGFOR NGAF 策略路由应用案例,SANGFOR NGAF,1.1 物理接口 1.2 子接口 1.3 VLAN接口 1.4 区域,NGAF 接口和区域设置,1.1 物理接口,物理接口与NGAF设备面板上的接口一 一对应，根据网口数据转发特性的不同，可选择路由接口、透明接口和虚拟网线接口三种类型，每种接口又可设置WAN 或非WAN属性。,物理接口无法删除或新增，物理接口的数目由硬件型号决定。,
2、1.1.1 路由接口,路由接口： 如果设置为路由接口，则需要给该接口配置IP地址，且该接口具有路由转发功能。,实时检测接口的链路状态，以及多条外网线路情况下，某条线路故障，流量自动切换到其它线路，均需开启链路故障检测。 WAN属性的接口必须开启链路故障检测功能。,1.1.1 路由接口,管理口： Eth0为固定的管理口，接口类型为路由口，且无法修改。Eth0可增加管理IP地址，默认的管理IP 10.251.251.251/24无法删除。,1.1.2 透明接口,透明接口： 透明接口相当于普通的交换网口，不需要配置IP地址，不支持路由转发，根据MAC地址表转发数据。,1.1.3 虚拟网线接口,虚拟网
3、线接口： 虚拟网线接口也是普通的交换接口，不需要配置IP地址，不支持路由转发，转发数据时，无需检查MAC表，直接从虚拟网线配对的接口转发。 虚拟网线接口的转发性能高于透明接口，单进单出网桥的环境下，推荐使用虚拟网线接口部署。,1.1.3 虚拟网线接口,在负载均衡网络中，透明部署NGAF设备，要求eth1和eth3这对网口，与eth2和eth4这对网口二层隔离，即从eth1口进入的数据必须从eth3口转发，eth2口进入的数据必须从eth4口转发。 我们通过配置虚拟网线接口来满足部署的需求。,1.2 子接口,子接口： 子接口应用于路由接口需要启用VLAN TRUNK的场景。,子接口是逻辑接口，只
4、能在路由口下添加子接口。 子接口的下一跳网关和链路故障检测根据实际环境进行配置。,1.3 VLAN接口,VLAN接口： 为VLAN定义IP地址，则会产生VLAN接口。VLAN接口也是逻辑接口。,VLAN接口的下一跳网关和链路故障检测根据实际环境进行配置。,接口设置注意事项,当设备有多个路由接口时，多个路由接口可设置同网段的IP地址，通过静态路由决定数据从哪个网口转发数据。,3. 管理口不支持设置成透明接口或虚拟网线接口，如果要设置2对或2对以上的虚拟网线接口，则必须要求设备不少于5个物理接口，预留一个专门的管理口Eth0。,2. 设备支持配置多个WAN属性的路由接口连接多条外网线路，但是需要开
5、通多条线路的授权。,4. 一个路由接口下可添加多个子接口，路由接口的IP地址不能与子接口的IP地址在同网段。,1.4 区域,区域： 用于定义和归类接口，以供防火墙、内容安全、服务器保护、流量管理等模块调用。,定义区域时，需根据控制的需求来规划，可以将一个接口划分到一个区域，或将几个相同需求的接口划分到同一个区域。 一个接口只能属于一个区域。,可以在区域中选择接口；也可以预先设置好区域名称，在接口中选择区域。,基本网络环境部署案例,用户需求： 某用户内网有服务器群，服务器均配置公网IP地址，提供所有用户直接通过公网IP地址接入访问。 内网用户使用私有地址，通过NAT转换上网。希望将NGAF设备部
6、署在公网出口的位置，保护服务器群和内网上网数据的安全。,部署方式推荐： 使用混合模式部署，NGAF设备连接公网和服务器群的2个接口使用透明access口， 连接内网网段使用路由接口。,基本网络环境部署案例,基本网络环境部署案例,NGAF部署分析： 由于服务器均有公网IP地址，所以AF设备连接公网线路的接口eth1与连接服务器群接口eth2使用透明access接口，并设置相同的VLAN ID。即可实现所有用户通过公网IP直接访问到服务器群。 新增VLAN1接口，分配一个公网IP地址。 AF设备与内网相连的接口eth3使用路由接口，设置与内网交换机同网段的IP地址，并设置静态路由与内网通信。（静态
7、路由配置省略） 内网用户上网时，转换源IP地址为VLAN1接口的IP地址。（NAT配置省略） 根据需求，划分为一个二层区域选择网口eth1和eth2；划分两个三层区域，其中“外网区域”选择VLAN接口vlan1；“内网区域”选择接口eth3。,基本网络环境部署案例,配置截图： 1. 设置物理接口eth1、eth2和eth3：,基本网络环境部署案例,2. 设置VLAN接口：,基本网络环境部署案例,3. 区域设置：,2.1 静态路由 2.2 策略路由 2.3 策略路由应用案例,NGAF 静态路由和策略路由功能,2.1 静态路由,NGAF的静态路由用于手动添加路由条目，可新增单个静态路由或新增多个静
8、态路由。,当AF设备有多个路由接口设置了同网段的IP地址时，通过手动指定接口来匹配路由从哪个接口转发。,按照示例格式填写，一行对应一条静态路由，接口和度量值可省略。,2.2 策略路由,NGAF的策略路由功能主要用于设备有多个接口和多条外网线路时，根据源/目的IP、源/目的端口、协议等条件进行出接口和线路选择，以实现不同的数据走不同的外网线路的自动选路功能。,策略路由常用的应用场景：,1. 源地址策略路由：根据源IP地址和协议选择接口或下一跳，实现用户访问数据的分流。可实现不同网段的内网用户，分别通过不同的线路接口访问公网。,2. 多线路负载路由：设备上有多条外网线路，通过策略路由的轮询，带宽比
9、例，加权最小流量，优先使用前面的线路的接口策略，动态的选择线路，实现线路带宽的有效利用、备份和负载均衡。,2.2 策略路由,源地址策略路由：根据源IP地址和协议选择接口或下一跳,2.2 策略路由,多线路负载路由：,可选择轮询、带宽比例、加权最小流量、优先使用前面线路四种策略。,2.3 策略路由应用案例,用户环境： 某用户网络环境如图所示，公网出口有两条电信线路，内网用户访问教育网资源必须通过专线才能访问到。 用户需求： 1. 内网所有用户访问网上银行TCP 443端口的数据全部走10M电信线路。 2. 内网用户访问公网时按照带宽比例自动选择线路。 3. 访问教育网的所有资源均走专线。,2.3
10、策略路由应用案例,配置思路： 1. 接口和区域设置： 1.1 连接公网电信线路的两个接口eth1和eth2必须设置成WAN属性的路由口，且正确配置下一跳网关，线路带宽，开启链路故障检测。（配置省略） 1.2 定义“内网区域”，将eth3接口划分到“内网区域”。（配置省略） 策略路由设置： 2.1 添加源地址策略路由，来自于“内网区域”，目标IP选择全部，目标端口为TCP 443的数据，选择接口eth2。 2.2 添加源地址策略路由，来自于“内网区域”，目标ISP为教育网，填写下一跳地址为192.168.1.2。 2.3 添加多线路负载路由，来自于“内网区域”，目标IP选择全部，选择接口eth1
11、和eth2，接口选择策略为带宽比例。,2.3 策略路由应用案例,静态路由设置 3.1 添加静态路由0.0.0.0/0.0.0.0 ,下一跳指向eth2接口的网关 。 添加静态路由是为了防止策略路由失效的情况下，内网用户还可以通过静态路由访问公网。,2.3 策略路由应用案例,策略路由配置步骤： 添加源地址策略路由,2.3 策略路由应用案例,策略路由配置步骤： 添加源地址策略路由,2.3 策略路由应用案例,策略路由配置步骤： 添加多线路负载路由,2.3 策略路由应用案例,静态路由配置：,静态路由和策略路由功能注意事项,策略路由优先于静态路由。 每一条外网线路必须至少有一条策略路由与之对应，源地址策
12、略路由或多线路负载路由均可。 源地址策略路由选择接口时，只能选择WAN属性的路由接口。 源地址策略路由，通过直接填写路由的下一跳，可以实现从设备非WAN属性的接口转发数据。 多线路负载路由选择的接口，必须是WAN属性的路由接口，必须开启链路故障检测功能，才能实现线路故障自动切换。 多条策略路由，按照从上往下的顺序匹配，一旦匹配到某条策略路由后，不再往下匹配。,练练手,某客户原来的网络拓扑如右图所示， 公网出口为电信和网通双线路。现需要部署SANGFOR NGAF设备用来保护服务器和内网用户上网的安全，此外还需要实现内网用户上网，访问电信服务器走电信线路，访问网通服务器走网通线路，如果任意线路故障，能实现自动切换。 如何部署和配置来实现客户的需求？,问题思考,透明接口与虚拟网线接口有何共同点？这两种接口在哪些应用场景下可以通用？,4. 若要实现外网线路的故障自动切换，需如何配置策略路由？对连接外网线路的接口有何要求？,3. 策略路由是否可以从一个非WAN属性的接口转发出去？ 如果可以，请问如何配置？,2. 哪些应用场景下要求接口属性必须是WAN？,,
