内容提交人审核人更新内容日期张自良陈天骄 V1 2015/9/28 目录 1 方案背景需求分析解决方案透明模式下 OSPF 动态路由协议透传透明模式下通过策略控制流量透明模式下防火墙整机冗余

Size: px

Start display at page:

Download "内容提交人审核人更新内容日期张自良陈天骄 V1 2015/9/28 目录 1 方案背景需求分析解决方案透明模式下 OSPF 动态路由协议透传透明模式下通过策略控制流量透明模式下防火墙整机冗余"

艰闹利辟
7 years ago
Views:

1 二层透传 OSPF 解决方案 Hillstone Networks Inc 年 9 月 28 日 1 / 19

2 内容提交人审核人更新内容日期张自良陈天骄 V1 2015/9/28 目录 1 方案背景需求分析解决方案透明模式下 OSPF 动态路由协议透传透明模式下通过策略控制流量透明模式下防火墙整机冗余透明模式下防火墙链路冗余实现方式防火墙控制 OSPF 与普通流量三层交换机 OSPF 配置与接口 Cost 值建设效果 / 19

3 1 方案背景根据客户的路由交换场景, 三层交换机之间使用 OSPF 动态路由协议进行互联, 而山石网科防火墙如下图 ( 图 1) 进行透明部署, 防火墙上所使用接口均采用二层模式进行对接 ( 即接口绑定在二层安全域 ) 方案要求 OSPF 动态路由协议可以通过防火墙透明模式正常建立邻居关系和更新路由表, 同时要求在透明模式下使用策略可以对流量进行控制 ( 图 1) 3 / 19

4 2 需求分析在防火墙透明模式下, 实现 OSPF 正常建立邻居关系并更新路由, 需要在防火墙下放行 OSPF 协议 ; 同时要求防火墙对流量可以进行策略单独控制 3 解决方案 3.1 透明模式下 OSPF 动态路由协议透传所有设备均在 OSPF 骨干区域 0 下, 调整交换机接口下 OSPF 动态路由协议的 Cost 值, 在防火墙 FW01 和 FW02 正常工作状态下, 使 SW01( 即 SW01 的 loopback1 接口地址 /32) 到 SW06(loopback1 接口地址 /32) 按下图 ( 图 2) 流量方向进行通信 4 / 19

5 ( 图 2) 3.2 透明模式下通过策略控制流量要求只有 SW01 到 SW06 的流量可以通过防火墙每台交换机均用一个 loopback1 接口来代表该交换机所发出的数据源 3.3 透明模式下防火墙整机冗余当防火墙 FW01 发生异常时, 流量按下图 ( 图 3) 所示, 经过 FW02 进行转发由于在 SW02 SW04 SW06 上的 E0/1 接下增大 OSPF 的 cost 值, 使得从 SW02 到 SW06 SW04 到 SW06 的路由优先级降低, 只有在 FW01 发生故障下, 根据 OSPF 的路由学习再浮动加入路由表, 路由经过重新计算后, 即如下图流量走向所示 5 / 19

6 ( 图 3) 3.4 透明模式下防火墙链路冗余如上图 3, 当防火墙 FW01 上的链路发生故障时, 流量也按照上图 3 箭头所示方向转发 4 实现方式交换机 IP 地址规划与防火墙接口和策略规划 : 6 / 19

7 其中 SW01 SW03 SW05 配置 IP 地址段为 : /29, 分别为 : SW01 E0/1 : /29 SW03 E0/1 : /29 SW05 E0/1 : /29 SW02 SW04 SW06 配置 IP 地址段为 : /29, 分别为 : SW02 E0/1 : /29 SW04 E0/1 : /29 SW06 E0/1 : /29 SW01 与 SW02 互联地址段为 /29, 分别为 : SW01 E0/2 : /29 SW02 E0/2 : /29 SW03 与 SW04 互联地址段为 /29, 分别为 : SW03 E0/2 : /29 SW04 E0/2 : /29 SW05 与 SW06 互联地址段为 /29, 分别为 : SW05 E0/2 : /29 SW06 E0/2 : /29 6 台交换机的 Loopback1 接口地址规划为 : 7 / 19

8 SW /32 SW /32 SW /32 SW /32 SW /32 SW /32 防火墙接口设计为二层接口, 三个互联接口所在安全域分别为 ee0/1 l2-trust1 ee0/2 l2-trust2 ee0/3 l2-trust3 4.1 防火墙控制 OSPF 与普通流量两台防火墙配置二层策略放行 OSPF 流量, 同时放行指定的流量 SW01 到 SW06 FW01# show configuration policy rule id 1 src-zone "l2-zone1" dst-zone "l2-zone2" rule id 2 src-zone "l2-zone1" dst-zone "l2-zone3" 8 / 19

9 rule id 3 src-zone "l2-zone2" dst-zone "l2-zone1" rule id 4 src-zone "l2-zone2" dst-zone "l2-zone3" rule id 5 src-zone "l2-zone3" dst-zone "l2-zone1" rule id 6 src-zone "l2-zone3" dst-zone "l2-zone2" rule id 7 src-ip /32 dst-ip /32 service "PING" rule id 8 src-ip /32 dst-ip /32 service "PING" 9 / 19

10 FW01# show configuration interface interface ethernet0/1 zone "l2-zone1" interface ethernet0/2 zone "l2-zone2" interface ethernet0/3 zone "l2-zone3" FW01# ==================================== FW02# show configuration policy rule id 1 src-zone "l2-zone1" dst-zone "l2-zone2" rule id 2 src-zone "l2-zone1" dst-zone "l2-zone3" rule id 3 src-zone "l2-zone2" dst-zone "l2-zone1" rule id 4 src-zone "l2-zone2" dst-zone "l2-zone3" 10 / 19

11 rule id 5 src-zone "l2-zone3" dst-zone "l2-zone1" rule id 6 src-zone "l2-zone3" dst-zone "l2-zone2" rule id 7 src-ip /32 dst-ip /32 service "PING" rule id 8 src-ip /32 dst-ip /32 service "PING" FW02# show configuration interface interface ethernet0/1 zone "l2-zone1" interface ethernet0/2 zone "l2-zone2" interface ethernet0/3 zone "l2-zone3" FW02# 11 / 19

12 4.2 三层交换机 OSPF 配置与接口 Cost 值为了实现如上图 2 所示的流量走向, 从 SW01 到 SW06 优先使用 SW01 和 FW01 对接的 e0/1 接口, 需要调整 SW02 SW04 和 SW06 下接口 OSPF 的 Cost 值, 分别需要加大 SW02 SW04 和 SW06 下接口 e0/1 的 Cost 值 SW01# show configuration vrouter ip vrouter "trust-vr" router ospf 1 router-id network /32 area network /29 area network /29 area SW01# show configuration interface interface ethernet0/1 ip address interface ethernet0/2 ip address interface loopback1 ip address SW01# show ip ospf neighbor OSPF Router with ID , OSPF Process ID 1 Neighbor ID Pri State Dead Time Address Interface Full/DR 00:00: ethernet0/ Full/BDR 00:00: ethernet0/ Full/DR 00:00: ethernet0/1 SW01# =================================================== SW02# show configuration vrouter 12 / 19

13 ip vrouter "trust-vr" router ospf router-id network /32 area network /29 area network /29 area SW02# show configuration interface interface ethernet0/1 ip address ip ospf cost 50 interface ethernet0/2 ip address interface loopback1 ip address SW02# ==================================================== SW03(config)# show configuration vrouter ip vrouter "trust-vr" router ospf router-id network /32 area network /29 area network /29 area SW03(config)# show configuration interface interface ethernet0/1 zone "untrust" 13 / 19

14 ip address interface ethernet0/2 ip address interface loopback1 ip address SW03(config)# ================================================== SW04# show configuration vrouter ip vrouter "trust-vr" router ospf router-id network /29 area network /29 area network /32 area SW04# show configuration interface interface ethernet0/1 ip address ip ospf cost 50 interface ethernet0/2 ip address interface loopback1 ip address / 19

15 ================================================== SW05# show configuration interface interface ethernet0/1 ip address interface ethernet0/2 ip address interface loopback1 ip address SW05# show configuration vrouter ip vrouter "trust-vr" router ospf router-id network /32 area network /29 area network /29 area SW05# =============================================== SW06# show configuration interface interface ethernet0/1 ip address ip ospf cost 50 interface ethernet0/2 ip address / 19

interface loopback1 ip address 6.6.6.6 255.255.255.255 SW06# show configuration vrouter ip vrouter "trust-vr" router ospf router-id 6.6.6.6 network 6.6.6.6/32 area 0.

16 interface loopback1 ip address SW06# show configuration vrouter ip vrouter "trust-vr" router ospf router-id network /32 area network /29 area network /29 area 建设效果在防火墙 FW01 和 FW02 正常状态下,SW01 上所学到 SW06 的路由经由 FW01 转发 16 / 19

17 17 / 19

18 当 FW01 发生故障时, 从 SW01 到 SW06 路由切换, 中间 ping 丢包 5 个 18 / 19

19 此时发现 SW01 上到 SW06 的 OSPF 路由已经选择 SW02 进行转发同时对 SW01 和 FW01 上的 E0/1 进行插拨线观察, 也发现有 SW01 到 SW06 的 ping 数据包进行中断和续传, 这与设计的方案是符合的, 只是频繁插拨线会造成 OSPF 路由频繁路由更新计算, 因此会造成数据丢包增多对于此种问题, 若发现接口链路的稳定性较差, 可通过修改交换机接口下 OSPF 的 cost 值来改变 OSPF 的选路 19 / 19

OSPF over IPSec及路由冗余

OSPF over IPSec及路由冗余 OSPF over IPSec 及路由冗余版本 1.0 时间 2011 年 12 月作者胡丹丹 (ddhu@fortinet.com) 支持的版本 FortiOS v4.x 状态草稿第 1 页共 10 页目录 1. 目的... 3 2. 环境介绍... 3 3.IPSec VPN 配置... 4 4.OSPF 配置... 5 4.1 GateA 配置... 5 4.2 GateB 配置...

内容提交人审核人更新内容日期 张自良陈天骄 V1 2015/9/28 目录 1 方案背景 需求分析 解决方案 透明模式下 OSPF 动态路由协议透传 透明模式下通过策略控制流量 透明模式下防火墙整机冗余

内容提交人审核人更新内容日期张自良陈天骄 V1 2015/9/28 目录 1 方案背景需求分析解决方案透明模式下 OSPF 动态路由协议透传透明模式下通过策略控制流量透明模式下防火墙整机冗余