H3C 双网出口资料配置

goodluck

双出口映射单网卡服务器解决方案
一、 解决方案应用场景：出口路由器接两家运营商线路，均使用固定公网地址上外网，
内网有一台单网卡的FTP 服务器，现要将其分别映射至两个公网出口，实现外网用户
通过公网地址能正常访问FTP 服务器。
二、 网络拓扑图：




三、 解决方案思路：
1. 内网用户上公网通过在两个公网口分别做nat outbound，电信出接口配置一条默认路由，
网通出接口配置一条优先级低于电信出接口的默认路由并添加目的地址为网通网段的
精细路由；
2. 若双出口上映射同一个FTP 服务器的私网地址，则可能出现端口被占用的情况，为解决
这个问题，给服务器配置两个私网地址，分别用做两个外网口上做nat server 的内部地
址：其中电信出口映射的内部地址为192.168.1.253，网通出口映射的内部地址为
192.168.1.254；
3. 做完以上两个步骤后，电信地址访问电信出口没有问题，网通地址访问网通出口也没有
问题，但是网通地址访问电信出口就会出现数据包来回路径不一致的现象：网通地址访
问电信接口时，首先电信出接口通过nat server 定向至192.168.1.253，服务器回包时一
看源地址为网通地址，就匹配精细路由出去了。同样的电信地址访问网通出接口也可能
出现数据包来回不一致的情况；
4. 为解决第3 步出现的问题，通过定义匹配源的策略路由来解决：源为192.168.1.253 目的
UnRegistered
地址任意的访问下一跳指向电信出口网关，源为192.168.1.254 目的地址任意的访问下一
跳指向网通出口网关。此时网通地址访问电信出接口时，首先电信出接口通过nat server
定向至192.168.1.253，服务器回包时匹配源为192.168.1.253 的策略路由，仍然走电信出
接口出去，这样就实现了数据包的来回一致，电信地址访问网通出接口也是一样。
五、 测试配置文件
出口路由器：MSR30-11
#
acl number 2000
rule 0 permit
#
acl number 3000 //定义源为192.168.1.253 的ACL
rule 0 permit ip source 192.168.1.253 0
acl number 3001 //定义源为192.168.1.254 的ACL
rule 0 permit ip source 192.168.1.254 0
#
vlan 1
#
domain system
access-limit disable
state active
idle-cut disable
self-service-url disable
#
user-group system
#
local-user admin
password cipher .]@USE=B,53Q=^Q`MAF4<1!!
authorization-attribute level 3
service-type telnet
#
cwmp
undo cwmp enable
#
interface Aux0
async mode flow
link-protocol ppp
#
interface Ethernet0/0 //此接口为出口路由器的内网口
port link-mode route
ip address 192.168.1.1 255.255.255.0
undo ipv6 fast-forwarding
ip policy-based-route policy //将匹配源地址为服务器私网地址的策略路由下发至内网口
#
interface Ethernet0/1
UnRegistered
port link-mode route
undo ipv6 fast-forwarding
#
interface Ethernet3/0 //此接口为电信出接口
port link-mode route
description to-dianxin
nat outbound 2000
nat server protocol tcp global 10.10.10.1 ftp inside 192.168.1.253 ftp //映射192.168.1.253
ip address 10.10.10.1 255.255.255.252
undo ipv6 fast-forwarding
#
interface Ethernet3/1 //此接口为网通出接口
port link-mode route
description to-wangtong
nat outbound 2000
nat server protocol tcp global 20.20.20.1 ftp inside 192.168.1.254 ftp //映射192.168.1.254
ip address 20.20.20.1 255.255.255.252
undo ipv6 fast-forwarding
#
interface Serial0/0
link-protocol ppp
undo ipv6 fast-forwarding
#
interface NULL0
#
policy-based-route policy permit node 0 //匹配ACL3000 的走电信出接口
if-match acl 3000
apply ip-address next-hop 10.10.10.2
policy-based-route policy permit node 5 //匹配ACL3001 的走网通出接口
if-match acl 3001
apply ip-address next-hop 20.20.20.2
#
ip route-static 0.0.0.0 0.0.0.0 10.10.10.2
ip route-static 0.0.0.0 0.0.0.0 20.20.20.2 preference 80
ip route-static 3.3.3.0 255.255.255.0 20.20.20.2 //实际配置时需添加网通网段的细化路由
#
电信设备：100F
网通设备：100F
电信和网通之间的互联网段为：3.3.3.0/24，电信：3.3.3.253 网通：3.3.3.254
UnRegistered

                               
登录/注册后可看大图

该贴已经同步到 goodluck的微博

qwqq279

狂性青春

{:soso_e179:}

happyln

之前给一客户做过H3C 防火墙双出口的，也用到PHB抓路由，但效果不理想，因为没有做ISP的路由表，让它们各走各的，感觉做上后客户反映他们成了中间ISP一样，超卡。

猪来猪去

微博评论

顶一下

                               
登录/注册后可看大图

来自 老凯怕怕 的新浪微博

鼓神2011

7920306