1安全hcie hc防火墙互联技术

1、HC13031021互联基础技术前言下一代技术。在部署时，不同的应用场景会采用不同的互联支持丰富的二层、三层互联技术。二USG层互联技术如以太网Trunk接口、Acs接口、Eth-Trunk接口、子接口等，三层互联支持丰富的路由协议如RIPF、ISIS、BGP等，除此之外等增强功能。本课程主要讲解还支持策略路由、ISP选路支持的二层、USG三层互联技术的基础原理、配置命令及故障排除等知识。Page 2目标学完本课程后，您将能够:描述支持的各种互联接口掌握互联接口的基础配置列举支持的路由协议及功能掌握OSPF路由协议的配置掌握BGP路由协议的配置掌握PBR及ISP选路的配置Page 3目录接口互

2、联技术1.原理：命令：接口互联接口介绍互联接口配置1.3 案例：二层组网典型配置1.4 排障：接口故障排除接口互联技术2.Page 4支持的接口及板卡下一代的接口及扩展卡支持以太网电口和光口两种以太网光口以太网电口8GE WSIC接口卡2XG8GE WSIC接口卡8GEF WSIC接口卡4GE-BYPASS卡Page 5物理连接线缆-双绞线双绞线线序标准非双绞线直通网线的连接关系示意图交叉网线的连接关系示意图Page 6物理连接线缆-光纤光纤主要用于千兆及以上速率的光信号传输。光纤通过相应的光模块连接到USG上的SFP+或SFP接口上光纤分为单模光纤和多模光纤单模光纤一般用于长距离传输（黄色，

3、如左下图）多模光纤一般用于近距离传输（橙红色，如右下图）LC/PC-LC/PC单模光纤LC/PC-LC/PC多模光纤Page 7物理连接接口-连接器光纤两端的连接器有多种型号，常用的有LC/PC、SC/PC和FC/PC三种类型LC/PC光连接器SC/PC光连接器FC/PC光连接器使用光模块和光纤的过程中请注意以下事项：区别使用单模和多模光纤本地设备Tx（发）对应对端设备Rx（收）两端光模块波长一致不要过度弯折光纤，其曲率半径应不小于40mmPage 8支持的接口种类物理接口三层以太网接口二层以太网接口逻辑接口VT（Virtual Template）接口、Dialer接口Tunnel接口、Nul

4、l接口VLAN接口三层以太网子接口Eth-Trunk接口、Loack接口Page 9目录接口互联技术1.原理：命令：接口互联接口介绍互联接口配置1.3 案例：二层组网典型配置1.4 排障：接口故障排除接口互联技术2.Page 10配置三层接口IP地址Page 11步骤配置项目配置命令1配置静态IPerface GigabitEthernet1/0/1ip address 2（可选）配置DHCP获取IP地址erface GigabitEthernet1/0/1 dhcp cnt enable3（可选）配置双工、速度、MTUerface GigabitEthernet1/0/1 undo nego

5、tiation autoduplex full speed 1000mtu 15004（可选）配置描述和别名description thiserface is use for managementalias management_erface5（可选）配置功能service-manage enableservice-manage http httpsssh permit配置PPPOE拨号接口Page 12步骤配置项目配置命令1配置dialer接口erface Dialer0link-protocol ppp ppp chap user user1ppp chap password cipher

6、 yourpassword ppp pap local-user us assword cipher yourpassowrdppp ipcp dns admit-any ip address ppp-negotiate dialer user user1dialer bundle 12绑定dialer到物理接口上erface GigabitEthernet1/0/2pppoe-cnt dial-bundle-number 1 ipv4配置VLANIF接口、子接口、回环接口Page 13步骤配置项目配置命令1配置 vlan if 接口vlan batch 10 20erface Vlanif1

7、0ip address erface Vlanif20ip address 2配置三层子接口erface GigabitEthernet1/0/3.10vlan-type dot1q 10ip address erface GigabitEthernet1/0/3.20 vlan-type dot1q 20ip address 3配置回环接口erface loack 0ip address 55配置二层互联接口Page 14步骤配置项目配置命令1配置 vlanvlan batch 10 202配置Acs 接口erface GigabitEthernet1/0/1portswitchport l

8、ink-type acs port acs vlan 103配置Hybrid接口erface GigabitEthernet1/0/2portswitchport link-type hybrid port hybrid pvid 20port hybrid vlan 20 untagged4配置Trunk接口erface GigabitEthernet1/0/3 portswitchport link-type trunk port trunk pvid 1port trunk permit vlan 10 20配置Eth-trunk接口Page 15步骤配置项目配置命令1配置手工eth-t

9、runkerface eth-trunk 1portswitch2（可选）配置LACP eth- trunkerface eth-trunk 1 portswitchmacp-sicmax active-linknumber 23添加接口到eth- trunk中erface GigabitEthernet 1/0/1 portswitcheth-trunk 1erface GigabitEthernet 1/0/2 portswitcheth-trunk 1目录接口互联技术1.原理：命令：接口互联接口介绍互联接口配置1.3 案例：二层组网典型配置1.4 排障：接口故障排除接口互联技术2.Pag

10、e 16通过Trunk实现设备间通信某公司的财务部门和市场部门分布在不同的楼宇中，通过两台USG相连。为了业务安全性，要求同一部门内员工可以相互，而不同部门间员工不能互相。Page 17配置命令：trunk互联Page 18USG_B的配置如下：vlan batch 1 5 9 #erface GigabitEthernet1/0/1portswitchport link-type trunkundo port trunk permit vlan 1 port trunk permit vlan 5 9#erface GigabitEthernet1/0/2 portswitchport li

11、nk-type acs port acs vlan 5#erface GigabitEthernet1/0/3 portswitchport link-type acs port acs vlan 9#firewall zone trust set priority 85add erface GigabitEthernet1/0/1 add erface GigabitEthernet1/0/2 add erface GigabitEthernet1/0/3 #USG_A的配置如下：vlan batch 1 5 9 #erface GigabitEthernet1/0/1 portswitch

12、port link-type trunkundo port trunk permit vlan 1 port trunk permit vlan 5 9#erface GigabitEthernet1/0/2 portswitchport link-type acs port acs vlan 5#erface GigabitEthernet1/0/3 portswitchport link-type acs port acs vlan 9#firewall zone trust set priority 85add erface GigabitEthernet1/0/1 add erface

13、 GigabitEthernet1/0/2 add erface GigabitEthernet1/0/3 #通过VLANIF接口实现设备间通信某企业内部，研发部门的两个项目组相互，分别属于不同的VLAN。为了完成同一个项目，两个项目组需要协同工作，因此，要求两个项目组内的PC能够相互。Page 19配置命令：vlanif接口Page 20# 安全区域及安全策略配置firewall zone trust set priority 85adderface GigabitEthernet1/0/2 adderface Vlanif2#firewall zone untrust set priori

14、ty 5adderface GigabitEthernet1/0/3 adderface Vlanif3#security-policyrule name policy_sec_1 source-zone trust source-zone untrust destination-zone trust destination-zone untrust action permit# 基本接口配置 vlan batch 1 to 3 #sysname USG #erface Vlanif2 alias Vlanif2ip address #erface Vlanif3 alias Vlanif3i

15、p address #erface GigabitEthernet1/0/2 portswitchport link-type acs port acs vlan 2#erface GigabitEthernet1/0/3portswitchport link-type acs port acs vlan 3#通过子接口实现设备间的通信某企业内部，研发部门的三个项目组R&D1、R&D2和R&D3相互隔离，属于不同的VLAN，分别为VLAN10、VLAN20和VLAN30。为了完成同一个项目，三个项目组需要协同工作，因此，要求三个项目组内的PC能够相互。Page 21配置命令：子接口Page 2

16、2#erface GigabitEthernet1/0/3.1 vlan-type dot1q 10alias GigabitEthernet1/0/3.1ip address #erface GigabitEthernet1/0/3.2 vlan-type dot1q 20alias GigabitEthernet1/0/3.2ip address #erface GigabitEthernet1/0/3.3 vlan-type dot1q 30alias GigabitEthernet1/0/3.3ip address #firewall zone trust set priority 8

17、5add erface GigabitEthernet1/0/3.1 add erface GigabitEthernet1/0/3.2 add erface GigabitEthernet1/0/3.3 #目录接口互联技术1.原理：命令：接口互联接口介绍互联接口配置1.3 案例：二层组网典型配置1.4 排障：接口故障排除接口互联技术2.Page 23以太网接口不能UP故障现象观察USG发现相连接口的指示灯不亮或接口状态为DOWN可能的故障原因及解决方法Page 24故障原因解决方法原因一网线存在问题更换网线原因二在接口上执行了shutdown命令接口视图执行undo shutdown命令原因

18、三两端设备的底层实现的自协商协议不一致在两端接口视图下配置相同的速率和双工模式原因四两端接口配置的速率或工作模式不同在两端接口视图下配置相同的速率和双工模式原因五USG接口卡存在问题更换接口或接口卡光口物理层状态不能UP故障现象光接口互连后，LINK指示灯不亮或接口状态为“DOWN”可能的故障原因及解决方法Page 25故障原因解决方法原因一光模块或光纤不匹配确保光纤、光模块、接口卡全部匹配确保光线收发顺序没有接反原因二光模块或光纤异常使用光功率计测量收光功率并相应处理接收的光功率低于指标：发送端光接口除尘接收的光功率高于指标：加入光衰减器接收的光功率非常低：更换发送端光模块原因三两端设备接口

19、配置信息不一致关闭协商功能，手工配置两端接口的双工模式、速度模式原因四接口、接口卡故障替换接口、光模块、或检测接口卡是否接好检查光接口状态Page 27USG_A displayerface GigabitEthernet 1/0/1 GigabitEthernet1/0/1 current se : DOWNLine protocol current se : Administratively DOWN Description : GigabitEthernet1/0/1erface, Route PortTheum Transmit Unit is 1500 bytes, Hold tim

20、er is 10(sec)ernet Address is /24IP Sending Frames Format is PKTFMT_ETHNT_2, Hardware address is 0022-a100-0008 Media type is SFP,Loack not set,promiscuous mode not set1000Mb/s-speed mode, full-duplex mode, link type is auto negotiation The Vendor PN is FTRJ1419P1BCLTransceiver max BW: 1G Transceive

21、r Mode: SingleMode WaveLengh: 1310nm TransmisDistance: 52kmCurrent SFP module temperature(-128c/128c): 41.93 cCurrent SFP module supply(0/6.55V): 3.29 VCurrent SFP module Tx bias(0/131mA): 23.26 mA Current SFP module Txer(8.129dBm): 2.79 dBm Current SFP module Rxer( e ?Page 65AS路径(AS_PATH)属性/8AS300R

22、TAAS200AS400NLRI /8AS_PATH (400 300 200)AS500NLRI /8AS_PATH (500 200)AS 100NLRI /8AS_PATH (500 200)Page 66预先规划AS_PATHNLRI /8AS_PATH (123)RTCRTD/8AS 4622 MbpsNLRI /8AS_PATH (462 123)AS 123AS 387/8NLRI /8AS_PATH (123 123 123)RTARTBPage 672 Mbps2 Mbps下一跳(NextHop)属性RTA可经下一跳到达/8可经下一跳到达/8可经下一跳到达/8RTC可经下一跳

23、到达/8可经下一跳到达/8AS200RTCAS100RTA /8EBGPIBGPIBGP/8/8RTDRTBRTB可经下一跳到达/8可经下一跳到达/8Page 68本地优先级属性(Local-Preference)ernet/24ISP1Prefix/maskLocal-Pref200100RT1/24ISP0ISP2RT2RT4RT3RT5Prefix/maskLocal-Pref100200Page 69MED(Multi-Exit-DISC)属性Prefix/maskMED50100MED是可选非过渡属性区别到达同一邻居ASAS200链路(MED的多条RT2RT1值越小，链路越优先)通过

24、EBGP发送MED值给对等体RT3Prefix/maskMED10050AS100Page 70不同AS比较MED属性在RTC上为何没有选择通往RTA的链路（MED值较小）作为主链路去往目标网段/16？/16E0E0AS500AS600RTARTB/24/24MED10MED 20/24/24RTCAS700Page 71团体(Community)属性（1/2）什么是团体属性团体是一组有相同性质的目的地址路由。目的就是将路由信息编组，通过组的标识决定路由传递的策略。团体属性属性类型：8可选，过渡属性Page 72团体(Community)属性（2/2）团体属性是由一系列4字节(0 x00000

25、0000 x保留的团体属性：FF)数值所组成0 x000000000 x0000FFF0 xF00000 x公认团体属性：NO_EXPORT (0 xNO_ADVERTISE (0 x01)02)NO_EXPORT_SUBCONFED (0 x私有团体属性：AS(2B):Number(2B)03)Page 73BGP路径选择过程如果此路由的下一跳不可达，忽略此路由评估Preferred-Value值，数值高的优先Local-Preference值最高的路由优先聚合路由优先于非聚合路由评估AS路径的长度，最短的路径优先比较Origin属性，IGP优于EGP，选择MED较小的路由优于pletePa

26、ge 74BGP路径选择过程（续）EBGP路由优于IBGP路由BGP优先选择到BGP下一跳的IGP度量最低的路径当以上全部相同，则为等价路由，可以负载分担注：AS_PATH必须一致当负载分担时，以下3条原则无效比较Cluster-List长度，短者优先比较Originator_ID (如果没有Originator_ID，则用Router ID比较)，选择数值较小的路径比较对等体的IP地址，选择IP地址数值最小的路径Page 75策略路由原理策略路由是在路由表已经产生的情况下，不按照现有的路由表进行转发，而是根据用户制定的策略进行路由选择的机制。策略路由并没有替代路由表机制，而是优先于路由表生效

27、，为某些特殊业务指定转发方向。策略路由可以用于多出口场景进行基于用户的选路基于协议、应用的选路Page 76策略路由支持的匹配过程匹配条件：源安全区域、入接口、IP地址服务类型、应用类型、用户匹配后动作：策略路由发送报文到指定下一跳发送报文到指定出口不做策略路由策略路由规则的匹配过程Page 77ISP选路基本原理ISP选路功能的实现原理是：生成ISP对应的IP地址文件，并上传到上通过指定IP地址文件的下一跳，批量生成静态路由用户的流量按照该静态路由，被分别转发到对应运营商网络。设备出厂时默认支持如下ISP的IP文件：china-mobile：中国移动：中国电信china-educationn

28、et：中国教育网：中国Page 78目录接口互联技术接口互联技术 原理：路由基本原理命令：路由协议配置案例：三层组网典型配置2.4 排障：路由故障排除Page 79命令配置多出口：主备模式Page 80步骤配置项配置命令1、配置负载分担模式load-balance multi-erfatandby2、配置主接口erface GigabitEthernet1/0/1ip address standbyerface GigabitEthernet1/0/7 2553、配置从接口erface GigabitEthernet1/0/7ip address 4、配置路由ip route-sic 0 ip

29、 route-sic 0 5、验证配置display standby seWEB配置多出口：主备模式选择“网络 多出口”，按如下参数配置（命令见备注）Page 81配置多出口：均衡式负载分担配置拓扑Page 82步骤配置项配置命令1、配置接口erface GigabitEthernet1/0/1ip address route weight 50erface GigabitEthernet1/0/7ip address route weight 503、配置负载分担方式load-balance multi-erface packet4、配置路由ip route-sic 0 ip route-s

30、ic 0 WEB配置多出口：均衡式负载分担选择“网络 多出口”，按如下参数配置Page 83命令配置多出口：溢出式负载分担Page 84步骤配置项配置命令1、配置主用接口erface GigabitEthernet1/0/1ip address standbyerface GigabitEthernet1/0/2 standby threshold 80 302、配置分担接口erface GigabitEthernet1/0/2ip address 3、配置负载分担方式load-balance multi-erface packet4、配置路由ip route-sic 0 ip route-s

31、ic 0 5、验证配置display standby se配置OSPF基本功能Page 85步骤配置项配置命令1、配置router id系统视图下router id 或ospf 1 router-id 2、配置区域及宣告网络ospf 1area network 55stubarea stub no-summary3、配置接口类型及开销er g1/0/1ospf network-type p2p ospf cost 204、通告默认路由强制通告默认路由default-route-advertisedefault-route-advertise always5、配置安全策略安全策略要放行OSPF协

32、议配置OSPF高级功能Page 86步骤配置项本端配置对端配置1、配置vlink-peerospf 1 router-id area 2vlink-peer ospf 1 router-id area 2vlink-peer 2、配置ABR汇总ospf 100area 1network 55network 55abr-summary 3、配置ASBR汇总ospf 100asbr-summary asbr-summary not-advertiseasbr-summary tag 2 cost 1004、配置认证erface GigabitEthernet1/0/1ospf authentica

33、tion-mode md5 15 cipher123erface GigabitEthernet 1/0/1 ospf authentication-mode md5 15 cipher123配置BGP基本功能Page 87步骤配置项本端配置对端配置1、配置IBGP对等体bgp 10router-id peer as-number 10 peer connect-erface loack 0bgp 10router-id peer as-number 10 peer connect-erface loack 02、配置EBGP对待体，配置认证bgp 10router-id peer as-nu

34、mber 30peer password simple123bgp 30router-id peer as-number 10peer password simple1233、宣告路由引入路由bgp 10network import route ospfimport route directbgp 30network import route isisimport route direct配置BGP高级功能Page 88步骤配置项本地配置对端配置1、配置BGP反射器bgp 10router-id peer as-number 10peer connect- erfacebgp 10router

35、-id peer as-number 10 peer connect-erface loack 0peer as-number 10 peer connect-erface loack 0peer reflect-cntpeer reflect-cntbgp 10router-id peer as-number 10peer connect-erface2、配置BGP路由过滤acl number 2000rule 5 deny source 55rule 10 permitbgp 10peer filtolicy 2000 import3、配置BGP属性bgp 10peer next-hop-

36、localpeer route-policy change_as_path import配置策略路由Page 89步骤配置项配置命令基于用户基于应用基于源地址1、配置 IPlin kip-link check enableip-link 1 destination mode icmpip-link 2 destination mode icmp2、配置策略路由policy-based-route rule name pbr_1 description pbr_1 source-zone trust user /marketing user /track ip-link 1 action pbr

37、 next-hop rule name pbr_2 source-zone trust user /research track ip-link 2 action pbr next-hoppolicy-based-route rule name pbr_1 source-zone trust application category Business_Systems track ip-link 1action pbr egress-erface GigabitEthernet1/0/2 next-hop 202.168.10。1rule name pbr_2source-zone trust

38、application category Entertaenttrack ip-link 2action pbr egress-erface GigabitEthernet1/0/4 next-hop policy-based-route rule name pbr_1 source-zone trustsource-address 24track ip-link 1 action pbr next-hop rule name pbr_2 source-zone trustsource-address 24track ip-link 2 action pbr next-hop 配置ISP选路P

39、age 90步骤配置项配置命令1、上传IP地址文件ftp get isp1.csv get isp2.csv2、配置IP地址文件的出接口isp set filename isp1.csv next-hop isp set filename isp2.csv next-hop 3、启用导入的IP地址文件isp enable filename isp1.csv isp enable filename isp2.csv4、检查配置display ip route目录接口互联技术接口互联技术 原理：路由基本原理命令：路由协议配置案例：三层组网典型配置2.4 排障：路由故障排除Page 91OSPF互联

40、配置示例组网拓扑如右图所示某企业在内部网络部署了 USG来连接研发部门、市场部门和财务部门。同时在网络边界处部署了USG作为安全网关，并从运营商处了宽带上网服务，实现内部网络接入ernet的需求。Page 92配置思路配置接口IP、并添加接口到相应的安全区域配置OSPF路由协议USG互联的网段为区域0财务部门和USGB相连网段为区域1研发部门和USGC相连网段为区域2（完全STUB区域）市场部门和USGD相连网段为区域3USGA下发默认路由，为DR路由器，USGD为BDR路由器各USG上配置安全策略，允许OSPF协议及其它相应流量在USGA上配置NAT策略实现源地址转换功能Page 93配置U

41、SGAPage 94#sysname USG_A #erface GigabitEthernet1/0/1ip address #erface GigabitEthernet1/0/3ip address ospf dr-priority 100 #firewall zone trust set priority 85adderface GigabitEthernet1/0/3 #firewall zone untrust set priority 5adderface GigabitEthernet1/0/1 #ospf 1 router-id import-route sic cost 1

42、 type 2 area network 55#ip route-sic GigabitEthernet1/0/54 #nat address-group address_1 section 0 0 0#security-policyrule name policy_sec_1 source-zone local source-zone untrust destination-zone local destination-zone untrust action permitrule name policy_sec_2 source-zone trust destination-zone unt

43、rust source-address 24source-address 24source-address 24 action permit#nat-policyrule name policy_nat_1 source-zone trust destination-zone untrust source-address 24source-address 24source-address 24action nat address-group address_1配置USGBPage 95#security-policyrule name policy_sec_1 source-zone loca

44、l source-zone trust destination-zone local destination-zone trust action permitrule name policy_sec_2 source-zone local source-zone untrust destination-zone local destination-zone untrust action permitrule name policy_sec_3 source-zone trust destination-zone untrust source-address 24 action permit#s

45、ysname USG_B #erface GigabitEthernet1/0/1ip address #erface GigabitEthernet1/0/3ip address #firewall zone trust set priority 85adderface GigabitEthernet1/0/3 #firewall zone untrust set priority 5adderface GigabitEthernet1/0/1 #ospf 1 router-id area network 55area network 55#配置USGCPage 96security-pol

46、icyrule name policy_sec_1 source-zone local source-zone trust destination-zone local destination-zone trust action permitrule name policy_sec_2 source-zone local source-zone untrust destination-zone local destination-zone untrust action permitrule name policy_sec_3 source-zone trust destination-zone

47、 untrust source-address 24 action permit#sysname USG_C #erface GigabitEthernet1/0/1ip address #erface GigabitEthernet1/0/3ip address #firewall zone trust set priority 85adderface GigabitEthernet1/0/3 #firewall zone untrust set priority 5adderface GigabitEthernet1/0/1 #ospf 1 router-id area network 5

48、5area network 55stub no-summary#配置USGDPage 97#security-policyrule name policy_sec_1 source-zone local source-zone trust destination-zone local destination-zone trust action permitrule name policy_sec_2 source-zone local source-zone untrust destination-zone local destination-zone untrust action permi

49、trule name policy_sec_3 source-zone trust destination-zone untrust source-address 24 action permit#sysname USG_D #erface GigabitEthernet1/0/1ip address #erface GigabitEthernet1/0/3ip address ospf dr-priority 2 #firewall zone trust set priority 85adderface GigabitEthernet1/0/3 #firewall zone untrusts

50、et priority 5adderface GigabitEthernet1/0/1 #ospf 1 router-id area network 55area network 55#BGP互联配置示例实验需求：USG_A为企业的兼出口网关。USG_A通过运营商网络连接到ernet。USG_A、USG_B和USG_C之间运行IBGP协议。企业内部网络地址通过USG_B和USG_C进行发布Page 98配置USGAPage 99#bgp 10router-id peer as-number 20peer as-number 10peer as-number 10 #ipv4-family un

51、icast undo synchronization peer enablepeer enablepeer enable#security-policyrule name policy_sec_1 source-zone trust destination-zone untrust action permitrule name policy_sec_2 source-zone local source-zone untrust destination-zone local destination-zone untrust action permit#erface GigabitEthernet

52、1/0/1ip address #erface GigabitEthernet1/0/2ip address #erface GigabitEthernet1/0/3ip address #firewall zone trust set priority 85add erface GigabitEthernet1/0/2 add erface GigabitEthernet1/0/3 #firewall zone untrust set priority 5adderface GigabitEthernet1/0/1#配置USGBPage 100#bgp 10router-id peer as

53、-number 10peer as-number 10 #ipv4-family unicast undo synchronizationnetwork peer enablepeer enable#security-policyrule name policy_sec_1 source-zone trust destination-zone untrust action permitrule name policy_sec_2 source-zone local source-zone untrust destination-zone local destination-zone untrust action permit#erface GigabitEthernet1/0