发布时间：2013-09-18
点击量：3913应用场景
WG以桥模式接入网络，相当于一台交换机接入到原有网络中。当WG需要串入的位置，原先有两条或更多条链路进行上下互联时，需要采用多线接入的方式进行部署。本章节描述上下联存在两条链路，且使用三层方式互联时的配置方法。更多条链路的配置方法与此类似，可以参考。
一、组网要求：
WG使用两对二层透明接口接入网络，同时使用MGT口或者Vlan1进行管理。
二、组网拓扑：
此拓扑适用于WG双进双出方式串入三层路由转发链路中，如上图，汇聚交换机和核心交换机之间使用IP互联；
WG本身业务口除MGT口为路由口外，转发接口还是使用二层透明接口接入；
注意：
WG多链路接入环境下，必须保证来回数据路径一致（如本例拓扑，某条数据流从eth0接口入，eth1接口出，该数据流从内网回应时，必须从eth1接口进来），否则会导致WG由于无法分析完整的数据流情况而影响识别率，因此WG不适合串入端口聚合链路中。
注意：如果WG采用电口作为业务口接入，请注意尽量选择使用硬件bypass对，这样在设备重启、掉电的情况下，网络还能正常通行。
电口硬件bypass对：
WG1000/2000/3000：eth0 <->eth1;eth2 <->eth3
WG1000S：ge3 <->ge4;ge5 <->ge6
光口无bypass对；
WG使用MGT口进行管理时，设备上总共需要接三个接口：2个业务口和一个MGT管理口；
如果需要使用vlan接口进行管理，只能使用Vlan1，设备不能在其他vlan上添加IP地址；
使用Vlan1进行管理时，管理接口直接使用业务口，需要开启业务口的管理功能；
实施时如果现场允许，建议尽量使用MGT口进行管理，实现管理流量和业务流量分离。
三、配置要点：
简要步骤：
1、PC直连WG，在IE中输入默认地址https://192.168.20.200登陆设备，用户名为administrator 密码默认为password
2、设置运行模式为预防模式
3、修改MGT口IP地址（可选）
4、使用Vlan1进行管理（可选）
5、配置默认路由
6、配置DNS
7、配置非信任接口
本例拓扑中，由于RG-WG上下联设备用三层协议（路由）通讯，RG-WG 设备物理接口均为二层接口，所以 WG 在透传三层网络时无需对接口进行 VLAN 配置，即可实现数据通讯。
四、配置步骤：
1、PC直连WG MGT口（WG1000S为GE1接口），设置PC地址为192.168.20.1，掩码为255.255.255.0，在IE中输入默认地址 https://192.168.20.200登陆设备，用户名为administrator 密码默认为password
说明：PC地址可以设置为192.168.20.0/24网段除了192.168.20.200地址外的任意可用地址。
2、设备出厂时，运行模式默认为预防模式，此模式为串联接入时使用的模式，可以对检测到的攻击行为进行阻断；
查看首页监控模式是否为Preventative，如果是，说明当前已经是预防模式，转到下一步配置。
如果不是，进入菜单 管理 > 系统设置 > 侦测模式，修改模式为预防模式，并拉到页面下方，单击“应用"：
说明：改变模式后，需要进入菜单 管理 > 系统维护 > 系统重启，重启设备后生效。
3、修改MGT口IP地址（可选）
说明：如果使用vlan1进行管理，不需要更改MGT口IP，可以跳过这一步。
如果当前使用MGT口进行管理，改完后连接会断开，需要使用新的地址重新登录管理
进入菜单 管理 > 网络配置 > 网络接口，
选择MGT然后点击“编辑”按钮，或者直接单击MGT名称，修改MGT接口的默认IP地址，界面如下图所示：
在IP地址/子网掩码处出入规划的WG接口IP地址及掩码，单击“应用”生效。
4、使用Vlan1进行管理
说明：如果使用MGT口进行管理，则不需要执行此步骤，直接进入第5步。
(1)进入菜单 管理 > 网络配置 > 网络接口
选择vlan1然后点击“编辑”按钮，或者直接单击vlan1名称，进入IP配置菜单：
(2)此处假设eth0接非信任口，网关在非信任口外的网络区域，选择eth0作为vlan1的管理接入接口，勾选开启eth0的管理访问功能：
说明：如果对vlan1的管理流量是从其他接口进入的，可以勾选开启其他eth接口的管理访问功能。
5、配置默认路由，使WG可以联接外网库文件更新服务器，同时实现跨网段管理
进入菜单 管理 > 网络设置 > 路由表，点击“添加”按钮，界面如下图所示：
6、配置DNS，使WG可以解析库文件更新服务器的域名，DNS选择客户处电脑使用的DNS即可
进入菜单 管理 > 系统设置 > 主机，将页面往下拉，找到首选DNS服务器，输入正确的DNS地址后，单击“应用”生效：
7、配置非信任接口：默认所有接口为信任口，需要勾选接到核心交换机/外网的接口为非信任口，WG只对非信任口收发的数据进行安全检查。
此拓扑图中eth0和eth2所接的网络对服务器来说为非信任网络，将eth0和eth2设置为非信任口：
非信任口勾选上后立即生效，无“应用”按钮。
五、配置验证：
1、不同电脑接设备的两个接口能互通；
2、可以使用新的管理地址进行管理。
文档评价
