華三防火牆多WAN鏈路負載均衡配置方法（命令行）

配置需求及說明

適用的產品系列

本案例適用於軟件平臺為Comware V7系列防火牆：F100-X-G2、F1000-X-G2、F100-X-WiNet、F1000-AK、F10X0等。

配置需求及實現的效果

某公司為達到業務流量快速轉發和鏈路冗餘需求申請了三條不同運營商的外網線路，需要實現如下需求：

1）要求內網用戶訪問目的地址為移動鏈路數據從移動鏈路轉發、訪問目的地址為聯通鏈路數據從聯通鏈路轉發、訪問目的地址為電信鏈路數據從電信鏈路轉發需求。

2）財務部門因為經常訪問網銀等支付平臺，目前不希望出口IP地址經常變化。指定財務數據從電信轉發並希望當電信流量負載到帶寬的90%後，後面流量負載到聯通鏈路上。

組網圖

說明：

配置步驟

創建NQA探測組用於鏈路探測

探測組名稱為nqa，描述為test。用於檢測鏈路健康性。

system

[H3C]nqa template icmp nqa

[H3C-nqatplt-icmp-nqa]description test

[H3C-nqatplt-icmp-nqa]reaction trigger per-probe

[H3C-nqatplt-icmp-nqa]quit

基本組網配置

外網接口配置

配置電信鏈路接口地址，並開啟保存上一跳功能。

[H3C]interface GigabitEthernet1/0/1

[H3C-GigabitEthernet1/0/1]ip address 202.90.112.2 255.255.255.0

[H3C-GigabitEthernet1/0/1]ip last-hop hold

[H3C-GigabitEthernet1/0/1]nat outbound

[H3C-GigabitEthernet1/0/1]quit

配置聯通鏈路接口地址，並開啟保存上一跳功能。

[H3C]interface GigabitEthernet1/0/2

[H3C-GigabitEthernet1/0/2]ip address 14.204.0.2 255.255.255.0

[H3C-GigabitEthernet1/0/2]ip last-hop hold

[H3C-GigabitEthernet1/0/2]nat outbound

[H3C-GigabitEthernet1/0/2]quit

配置移動鏈路接口地址，並開啟保存上一跳功能。

[H3C]interface GigabitEthernet1/0/3

[H3C-GigabitEthernet1/0/3]ip address 218.200.5.8 255.255.255.0

[H3C-GigabitEthernet1/0/3]ip last-hop hold

[H3C-GigabitEthernet1/0/3]nat outbound

[H3C-GigabitEthernet1/0/3]quit

安全域及安全策略配置

將外網接口加入不信任區域

[H3C]security-zone name Untrust

[H3C-security-zone-Untrust]import interface Dialer1

[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/1

[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/2

[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/3

[H3C-security-zone-Untrust]quit

創建對象策略pass，因為本章內容主要介紹負載均衡，域間策略採用最簡配置請見諒。

[H3C]object-policy ip pass

[H3C-object-policy-ip-pass] rule 0 pass

[H3C-object-policy-ip-pass]quit

創建any到any域的域間策略調用pass策略。

[H3C]zone-pair security source any destination any

[H3C-zone-pair-security- Any-Any]object-policy apply ip pass

[H3C-zone-pair-security- Any-Any]quit

路由設置

設置路由防止在負載均衡配置前或者負載均衡失效後網絡不通問題

[H3C]ip route-static 0.0.0.0 0 218.200.5.9 preference 80

[H3C]ip route-static 0.0.0.0 0 14.204.0.1 preference 70

[H3C]ip route-static 0.0.0.0 0 202.90.112.1

配置鏈路組

設置鏈路失敗的reschedule：重定向連接，即把連接重定向到鏈路組中其它可用的鏈路上。並使用transparent enable關閉鏈路組本身的NAT功能並綁定nqa探測組。

配置移動鏈路組

[H3C]loadbalance link-group cmcc

[H3C-lb-lgroup-cmcc]fail-action reschedule

[H3C-lb-lgroup-cmcc]transparent enable

[H3C-lb-lgroup-cmcc]probe nqa.

[H3C-lb-lgroup-cmcc]quit

配置聯通鏈路組

[H3C]loadbalance link-group cnc

[H3C-lb-lgroup-cnc]fail-action reschedule

[H3C-lb-lgroup-cnc]transparent enable

[H3C-lb-lgroup-cnc]probe nqa.

[H3C-lb-lgroup-cnc]quit

配置電信鏈路組

[H3C]loadbalance link-group china-isp

[H3C-lb-lgroup-china-isp]fail-action reschedule

[H3C-lb-lgroup-china-isp]transparent enable

[H3C-lb-lgroup-china-isp]probe nqa

[H3C-lb-lgroup-china-isp]quit

配置財務鏈路組

[H3C]loadbalance link-group caiwu

[H3C-lb-lgroup-caiwu]fail-action reschedule

[H3C-lb-lgroup-caiwu]transparent enable

[H3C-lb-lgroup-caiwu]probe nqa

[H3C-lb-lgroup-caiwu]quit

配置鏈路

router ip指鏈路的網關地址，將鏈路綁定鏈路組後該鏈路才能生效。

配置移動鏈路

[H3C]loadbalance link cmcc-link

[H3C-lb-link-cmcc-link]router ip 218.200.5.9

[H3C-lb-link-cmcc-link]link-group cmcc

[H3C-lb-link-cmcc-link]probe nqa

[H3C-lb-link-cmcc-link]quit

配置聯通鏈路

[H3C]loadbalance link cnc-link

[H3C-lb-link-cnc-link]router ip 14.204.0.1

[H3C-lb-link-cnc-link]link-group cnc

[H3C-lb-link-cnc-link]probe nqa

[H3C-lb-link-cnc-link]quit

配置電信鏈路

將電信鏈路帶寬調整為100M，設置帶寬繁忙比當帶寬利用率超過90%*100M=90M，新建session會負載到其他鏈路。

[H3C]loadbalance link chinanet-link

[H3C-lb-link-cnc-chinanet-link]router ip 202.90.112.1

[H3C-lb-link-cnc-chinanet-link]link-group china-isp

[H3C-lb-link-cnc-chinanet-link]probe nqa

[H3C-lb-link-cnc-chinanet-link]max-bandwidth outbound 102400

[H3C-lb-link-cnc-chinanet-link]bandwidth outbound busy-rate 90

[H3C-lb-link-cnc-chinanet-link]quit

配置財務鏈路

[H3C]loadbalance link link-caiwu

[H3C-lb-link- link-caiwu] router ip 202.90.112.1

[H3C-lb-link- link-caiwu] link-group caiwu

[H3C-lb-link- link-caiwu]quit

配置負載均衡規則匹配運營商路由表

建立移動負載規則匹配移動數據

[H3C]loadbalance class cmcc type link-generic match-any

[H3C-lbc-link-generic-cmcc]match 1 isp cmcc

[H3C-lbc-link-generic-cmcc]quit

建立聯通負載規則匹配聯通數據

[H3C]loadbalance class cnc type link-generic match-any

[H3C-lbc-link-generic-cnc]match 1 isp cnc

[H3C-lbc-link-generic-cnc]quit

建立電信負載規則匹配電信數據

[H3C]loadbalance class chinanet type link-generic match-any

[H3C-lbc-link-generic-chinanet]match 1 isp chinatel

[H3C-lbc-link-generic-chinanet]quit

建立財務負載規則匹配172.16.0.0財務網段

[H3C] loadbalance class caiwu type link-generic match-any

[H3C-lbc-link-generic-caiwu]match 1 source ip address 172.16.0.0 24

[H3C-lbc-link-generic-caiwu]quit

配置負載均衡行為匹配各鏈路組

配置負載行為綁定各鏈路組，設置轉發失敗規則為繼續匹配。

建立移動負載均衡行為匹配移動鏈路組

[H3C]loadbalance action cmcc type link-generic

[H3C-lbc-link-generic- cmcc]link-group cmcc

[H3C-lbc-link-generic- cmcc]fallback-action continue

[H3C-lbc-link-generic- cmcc]quit

建立聯通均衡行為匹配聯通鏈路組

[H3C]loadbalance action cnc type link-generic

[H3C-lbc-link-generic-cnc]link-group cnc

[H3C-lbc-link-generic-cnc]fallback-action continue

[H3C-lbc-link-generic-cnc]quit

建立電信負載均衡行為匹配電信鏈路組

[H3C]loadbalance action chinanet type link-generic

[H3C-lbc-link-generic-chinanet]link-group china-isp

[H3C-lbc-link-generic-chinanet]fallback-action continue

[H3C-lbc-link-generic-chinanet]quit

建立財務負載均衡行為匹配財務鏈路組

[H3C]loadbalance action caiwu type link-generic

[H3C-lbc-link-generic-caiwu]link-group caiwu

[H3C-lbc-link-generic-caiwu]fallback-action continue

[H3C-lbc-link-generic-caiwu]quit

配置負載均衡策略

負載均衡策略嚴格按照配置順序進行匹配，如果需要財務數據優先匹配需要將優先配置。

[H3C]loadbalance policy 1 type link-generic

[H3C-lbp-link-generic-1]class caiwu action caiwu

[H3C-lbp-link-generic-1]class chinanet action chinanet

[H3C-lbp-link-generic-1]class cmcc action cmcc

[H3C-lbp-link-generic-1]class cnc action cnc

配置虛服務策略

配置LB虛服務，虛服務地址為0.0.0.0/0表示內網訪問所有的數據將會匹配虛服務進行轉發，lb策略調用之前創建的策略1，如果無法匹配運營商的數據缺省從移動轉發。

[H3C]virtual-server outbound type link-ip

[H3C-vs-link-ip-outbound]virtual ip address 0.0.0.0 0

[H3C-vs-link-ip-outbound]lb-policy 1

[H3C-vs-link-ip-outbound]default link-group cmcc

[H3C-vs-link-ip-outbound]service enable

[H3C-vs-link-ip-outbound]quit

保存配置

[H3C]quit

save force

配置驗證

測試電信鏈路

在內網找一臺地址為192.168.0.2的電腦，訪問外網一個地址看是從哪個接口出？用來

判斷ISP路由是否配置正確？將外網模擬設備的IP地址修改為1.4.1.1進行測試。

設備內置的電信路由表：

Teacert結果：

防火牆會話：

查看數據是否從對應鏈路組轉發。

測試聯通鏈路

在內網找一臺地址為192.168.0.2的電腦，訪問外網一個地址看是從哪個接口出？用來

判斷ISP路由是否配置正確？將外網模擬設備的IP地址修改為27.50.128.1進行測試。

設備內置的聯通路由表：

Teacert結果：

防火牆會話：

.

測試移動鏈路

在內網找一臺地址為192.168.0.2的電腦，訪問外網一個地址看是從哪個接口出？用來

判斷ISP路由是否配置正確？將外網模擬設備的IP地址修改為43.251.244.1進行測試。

設備內置的移動路由表：

Teacert結果：

防火牆會話：

測試總結

測試結果符合需求預期，可以達到數據的準確轉發。