链路负载均衡之ISP选路

一、默认路由与链路备份

如图,企业分别从电信、联通租用一条链路,组成双出口网络,其中,电信为主链路、联通为备用链路。

在防火墙可配置两条默认路由,其中电信出口的默认路由优先级高于联通出口的默认路由,实现链路的备份,正常情况下,流量均经过电信链路实现访问互联网,当电信链路故障时,其默认路由失效,所有流量将从联通链路访问互联网。

java 复制代码
[USG6000V1]ip route-static 0.0.0.0 0 10.1.1.2 preference 60
[USG6000V1]ip route-static 0.0.0.0 0 10.1.2.2 preference 65
[USG6000V1]display ip routing-table verbose 
2024-03-02 07:40:39.580 
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Routing Tables: Public
         Destinations : 9        Routes : 10       


Destination: 0.0.0.0/0
     Protocol: Static           Process ID: 0
   Preference: 60                     Cost: 0
      NextHop: 10.1.1.2          Neighbour: 0.0.0.0
        State: Active Adv Relied       Age: 00h00m20s
          Tag: 0                  Priority: medium
        Label: NULL                QoSInfo: 0x0
   IndirectID: 0x80000003       
 RelayNextHop: 0.0.0.0           Interface: GigabitEthernet1/0/1
     TunnelID: 0x0                   Flags: RD

Destination: 0.0.0.0/0
     Protocol: Static           Process ID: 0
   Preference: 65                     Cost: 0
      NextHop: 10.1.2.2          Neighbour: 0.0.0.0
        State: Inactive Adv Relied     Age: 00h03m30s
          Tag: 0                  Priority: medium
        Label: NULL                QoSInfo: 0x0
   IndirectID: 0x80000002       
 RelayNextHop: 0.0.0.0           Interface: GigabitEthernet1/0/2
     TunnelID: 0x0                   Flags: R

二、等价路由

使用默认路由实现链路备份很简单,但是同一时刻只能使用一条链路,另一条处于备用状态,很浪费带宽资源,此时可以配置等价路由,两条路由优先级是一致的,仍以上面网络为例。

java 复制代码
[USG6000V1]ip route-static 0.0.0.0 0 10.1.1.2
[USG6000V1]ip route-static 0.0.0.0 0 10.1.2.2

[USG6000V1]interface g1/0/1
[USG6000V1-GigabitEthernet1/0/1]gateway 10.1.1.2
[USG6000V1-GigabitEthernet1/0/1]quit
[USG6000V1]interface g1/0/2
[USG6000V1-GigabitEthernet1/0/2]gateway 10.1.2.2

可以用传统的方式配置,也可以在防火墙接口视图下,指定网关的方式,设置等价默认路由。

配置完成,采用抓包,分别抓取防火墙G1/0/1、G1/0/2接口。

防火墙根据每条流的源目地址,用HASH算法计算,并选择链路,地址不同,计算结果也就不同,网络中访问的流量的源目地址是随机的,很难实现等价路由负载分担。

三、ISP路由与ISP选路

还是以上图企业网络为例,配置防火墙两条默认路由,每个ISP一条,当企业内网用户访问外网服务器时,报文到达防火墙有两条路径,很明显,通过联通可以很快到达服务器,而电信则绕了远路,严重影响用户体验。

此时可以配置明细路由,报文会优先匹配明细路由,之后再查找默认路由,以最上面组网为例的明细路由为:

USG6000V1\]ip route-static 10.10.10.10 32 10.1.1.2 \[USG6000V1\]ip route-static 10.10.20.20 32 10.1.2.2 现实环境中,网络复杂,不可能一条一条配置明细路由,此时需要ISP路由,每个ISP都会有自己的公网知名网段,如果ISP的所有公网知名网段配置成明细路由,则可以避免绕路问题。 1、收集ISP内所有的公网网段,把地址网段填写到后缀为.csv文件中,即ISP地址库文件。 ![](https://file.jishuzhan.net/article/1765192827593035778/a61d0d817de777d312b31e52afcd1742.webp) ![](https://file.jishuzhan.net/article/1765192827593035778/e27247106d846069feae4f839aeb5db7.webp) 可以去华为安全中心平台查找中国移动、电信、联通等主流ISP地址库文件。 ![](https://file.jishuzhan.net/article/1765192827593035778/371b26b4f99f55ce869d71ca8e2e6eb6.webp) 2、编辑完成ISP地址库文件后,将其上传到防火墙根目录的ISP文件夹下。 相当于执行了:ip name chinaisp et filename ispDemo.cv ![](https://file.jishuzhan.net/article/1765192827593035778/61b42f5471a2178219273f6c1beea88b.webp) 3、在IP路由界面,新建IP路由,为chinaip指定下一跳和出接口。 相当于执行了:ip route-isp chinaisp interface g1/0/1 10.1.1.2 由于ensp模拟器无法模拟此web配置,为此忽略。 *** ** * ** *** **参考资料:防火墙和VPN技术与实践------李学昭**

相关推荐
m0_747266092 小时前
代码审计与web安全选择题1
网络安全
java叶新东老师3 小时前
git stash 命令详解
linux·运维·flink
写bug的羊羊4 小时前
CentOS 9 配置国内 YUM 源
linux·运维·centos
清 晨5 小时前
剖析 Web3 与传统网络模型的安全框架
网络·安全·web3·facebook·tiktok·instagram·clonbrowser
国科安芯5 小时前
抗辐照芯片在低轨卫星星座CAN总线通讯及供电系统的应用探讨
运维·网络·人工智能·单片机·自动化
gx23486 小时前
HCLP--MGER综合实验
运维·服务器·网络
VB5946 小时前
[N1盒子] 斐讯盒子N1 T1通用刷机包(可救砖)
网络
angushine6 小时前
鲲鹏服务器部署Kafka2.8.1
运维·服务器
-XWB-6 小时前
【安全漏洞】防范未然:如何有效关闭不必要的HTTP请求方法,保护你的Web应用
服务器·网络·http
编程到天明6 小时前
CTF-Web题解:“require_once(‘flag.php‘); &assert(“$i == $u“);”
网络安全·php