交换机
园区网交换机
数据中心与云计算交换机
中小网络精简型交换机
工业交换机
意图网络指挥官
无线
放装型无线接入点
墙面型无线接入点
智分无线接入点
室外无线接入点
场景化无线
无线控制器
小锐A系列
统一运维
身份管理
服务产品
运营商
政府
金融
互联网
电力能源
制造业
高教/职教
医疗卫生
交通
地产酒店文旅·连锁服务
公共安全
一、组网需求:
1、内网用户PC1和PC2通过防火墙上网,网关在防火墙上。防火墙有两条外网线,分别是SP1和SP2。现需要实现PC1上网固定走ISP-1,PC2上网固定走ISP-2。
2、接口地址如下图所示:S1ge1口的ip地址:172.16.9.240/24;S1ge2口的ip地址:172.16.8.240/24;S1ge3口的ip地址:192.168.1.1/24。
3、PC1的IP地址192.168.1.200/24,PC2的IP地址192.168.1.100/24。
4、内网所有用户的http服务(目的端口为80的网页流量)均走ISP-1线路
二、组网拓扑:
三、配置要点:
1、配置接口IP地址。
2、启用接口源路由功能。
别忘了在内网口上勾选“允许源路由”功能,其他接口无需勾选。
3、配置针对源地址的策略路由。
注:此功能建议使用5.2.12.0以上的版本,在5.2.12.0 之前的版本,即配置源路由后,如果网线断掉,则仍能转换成这个口的接口IP,仍从这个口发出,结果就是不通了。而5.2.12.0之后(包括5.2.12.0)的版本可以识别出网口UP 还是DOWN,而自动切换到其他路线。如果5.2.12.0以下的版本,建议同时配置链路探测功能。
4、定义客户端PC的IP地址对象。
5、配置NAT规则。
防火墙对数据流可先NAT转换后路由,也可先路由后NAT转换,默认是先NAT后路由,以下配置也是先NAT后路由的配置。
注:对于多出口环境,如ADSL+静态地址,建议使用策略路由方法来分流,详细配置参见“ADSL+静态”.
四、配置步骤 :
1、配置接口S1ge1,S1ge2 ,S1ge3三个接口的IP地址,单击“网络配置”>“接口IP”>“添加”,如下图所示
本图例只以S1ge1为例对设备进行配置说明,其它接口配置方式均与此相同
2、配置接口允许源路由
菜单>>网络配置>>策略路由>>
3、配置策略路由(即源路由)
配置第一条策略路由,单击“网络配置”>“策略路由”>“添加”
源地址填写ge2的接口地址,即PC2经过NAT转换后的地址。
配置第二条策略路由,单击“网络配置”>“策略路由”>“添加”
源地址填写ge1的接口地址,即PC1经过NAT转换后的地址
配置后查看:
4、定义客户端PC的IP地址对象
定义PC1的地址对象,单击“对象定义”>“地址”>“地址列表”>“添加”
配置后查看:
5)配置NAT规则
配置PC2的NAT规则,单击“安全策略”>“安全规则”>“添加”
将PC1转换为ge1的接口地址:172.16.8.240.
将PC1转换为ge2的接口地址:172.16.9.240.
如下所示,内网所有用户访问外网的http服务转换为ge1接口地址。
五、配置验证:
1、 客户端PC2通过访问IPS-2,对ISP-2的地址进行PING通测试
2、客户端PC1通过访问IPS-1,对ISP-1的地址进行PING通测试