出口网关多业务典型配置举例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

目  录

1 简介

2 配置前提

3 配置举例

3.1 组网需求

3.2 配置思路

3.3 使用版本

3.4 配置注意事项

3.5 配置步骤

3.5.1 配置设备接口地址以及路由

3.5.2 导入ISP文件

3.5.3 配置链路负载均衡

3.5.4 配置NAT地址组并在链路出接口应用

3.5.5 配置DNS透明代理

3.5.6 配置NAT内部服务器

3.5.7 配置NAT Hairpin

3.5.8 配置智能DNS

3.6 验证配置

3.6.1 链路负载均衡基于运营商ISP访问验证结果

3.6.2 DNS透明代理访问验证结果

3.6.3 NAT内部服务器验证结果

3.6.4 NAT Hairpin验证结果

3.6.5 智能DNS验证结果

3.7 配置文件

3.8 ISP文件获取方式

 

1 简介

本文档介绍负载均衡出口网关多业务典型配置举例。

LB（Load Balance，负载均衡）是一种集群技术，它将特定的业务（网络服务、网络流量等）分担给多台网络设备（包括服务器、LB等）或多条链路，从而提高了业务处理能力，保证了业务的高可靠性。负载均衡技术可分为以下几种类型：

·     应用负载均衡：在数据中心等组网中，通过此技术可将网络服务分担给多台服务器或防火墙进行处理，从而提高服务器或防火墙的处理能力。

·     链路负载均衡：当内网用户访问外部互联网存在多条链路时，可在多条链路上分担内网用户访问外部互联网的流量。

·     DNS透明代理：当内网用户访问外网DNS服务器存在多条链路时，可在多条链路上分担内网用户访问外部DNS服务器的流量。

·     智能DNS：当外网用户访问DNS域名时，设备作为权威DNS服务器进行解析存在多条链路时，返回最佳的解析地址。

2 配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解负载均衡特性。

3 配置举例

3.1  组网需求

如图3-1所示，所在网络的出口处部署了LB设备。具体应用需求如下:

·     为提高可靠性，用户从三个运营商处分别租用了五条链路。通过配置链路负载均衡，通过五条链路合理分担流量，基于ISP访问各个运营商用户优先使用本运营商的链路出去，电信运营商其中一条主链路只有100M带宽，还有一条备用链路。而且所有内网用户的内网192.168.0.0/16网段地址不允许出现在外网中。

·     内网用户要发往公网进行DNS解析请求时，域名www.testyoutube.com必须要发往8.8.8.8的DNS服务器才能进行解析，其他的DNS解析请求负载分担到不同的运营商DNS服务器上面，避免后续业务导致某条链路流量拥塞。

·     外网用户访问域名解析，通过配置入方向链路负载均衡进行智能DNS解析，通过ISP选择最佳的域名地址反回给客户端。

·     同时内部提供服务器，使得外网用户可以访问内部服务器。

·     DNS服务器在公网，内网用户希望通过域名来访问内网的Web服务器，则会由于DNS服务器向内网用户发送的响应报文中包含的是内网服务器的公网地址，因此用户可以通过公网地址访问内部服务器。

图3-1 配置组网图

 

3.2  配置思路

(1)     关于链路负载均衡的思路说明

¡     配置负载均衡策略判断内网用户访问的目的地址属于哪个运营商，为该访问流量选择相应的运营商链路出口。

¡     如果其中链路断掉根据健康监测状态可以继续匹配配置的负载均衡策略选择出链路。

¡     如果访问的目的地址不在所配置ISP内的话，可以匹配配置默认策略选择出链路或者转发选择路由。

(2)     关于链路负载均衡带宽繁忙保护的思路说明

设备根据接口带宽计算出这条链路是否达到了带宽限制最大值*百分比，这都是在链路中可以配置的，目前带宽繁忙保护只支持同一个链路组之间的不同链路切换，本组网电信有两条出口链路其中一条有100M的带宽限制，需要带宽繁忙保护，其中将主链路chinatel-master优先级配置的高一些，便会优先走该链路，举例如下：

配置电信链路组分别全部包含两个出口链路chinatel-master和chinatel-backup，配置电信链路chinatel-master繁忙保护，chinatel-master优先级高，chinatel-backup优先级低；线路正常的话，就只走chinatel-master，如果chinatel-master繁忙了，就会切到chinatel-backup，文中典型配置就是以此为例。如果不同运营商之间的链路进行带宽繁忙保护的情况下，每个运营商可以把自己的链路优先级调高，将其他运营商的链路配置不同的名字将优先级调低后加入自己链路组内的备用链路，文中就不再进行赘述了。

(3)     DNS透明代理的思路说明

¡     按照组网需求配置特定域名www.testyoutube.com走特定的链路出去，去特定的DNS服务器进行解析。

¡     其他无特殊需求可以根据算法进行DNS请求负载分担。

(4)     关于NAT Hairpin的思路说明

如果DNS服务器在公网，如果有同一个域名对应多个IP，内网用户希望通过域名来访问内网的Web服务器，则会由于DNS服务器向内网用户发送的响应报文中包含的是内网服务器的公网地址,内网用户DNS解析出的地址为公网地址，然后内网用户可以通过访问服务器的公网地址来进行业务的访问，NAT在内网接口上同时转换访问内网服务器的报文的源和目的IP地址，其中，目的IP地址转换通过匹配某外网接口上的内部服务器配置来完成，源地址转换通过匹配内部服务器所在接口上的出方向动态地址或出方向静态地址转换来完成。

(5)     关于智能DNS的思路的说明

¡     外网用户的本地DNS服务器向设备发起DNS请求，入方向链路负载均衡根据静态就近性方式来选择是哪个运营商用户的选择该运营商链路对应的虚服务器。

¡     出接口开启保持上一跳，保证外网用户发起的流量回应报文出入走相同一链路。

3.3  使用版本

本举例是在L5000-AK535的Version 7.1.064, Release 8504P20版本上进行配置和验证的。

3.4  配置注意事项

·     使用智能DNS时，如果仅做作为解析使用，按照本典型配置便可，如果后续还需要做应用负载均衡业务，请参考应用负载均衡典型配置

·     本版本关于NAT Hairpin需要注意：1、NAT Hairpin功能需要与内部服务器（nat server）、出方向动态地址转换（nat outbound）或出方向静态地址转换（nat static outbound）配合工作，且这些配置所在的接口必须在同一个接口板，否则NAT Hairpin功能无法正常工作。

·     使用DNS透明代理时，内网用户客户端不可以配置DNS服务器地址为LB设备接口地址以及同网段地址、虚服务地址

·     ISP文件可以通过官方网站获取

3.5  配置步骤

3.5.1  配置设备接口地址以及路由

(1)     配置设备接口地址

在导航栏中选择“网络 > IP > IP”，进入IP页面，如下图所示。

图3-2 配置接口地址

 

单击<编辑>按钮，分别配置五个接口的IP，如下图所示。

图3-3 配置接口地址

 

图3-4 配置接口地址

 

图3-5 配置接口地址

 

图3-6 配置接口地址

 

图3-7 配置接口地址

 

图3-8 配置接口地址

 

单击<确定>按钮，配置完成，如下图所示。

图3-9 配置接口地址

 

(2)     配置静态路由

在导航栏中选择“网络 > 路由 > 静态路由”，进入“IPv4静态路由”页签，单击<新建>按钮，创建IPv4静态路由，如下图所示。

图3-10 配置静态路由

 

图3-11 配置静态路由

 

 

3.5.2  导入ISP文件

在导航栏中选择“策略 > 全局配置 > ISP”，进入ISP页面，单击<选择文件>按钮，选择要导入的ISP文件，单击<导入>，导入ISP文件。

 

导入完成后，如下图所示。

图3-12 导入ISP文件

 

3.5.3  配置链路负载均衡

(1)     配置健康检测

在导航栏中选择“对象 > 健康检测”，进入健康检测页面，单击<新建>按钮，进行如下配置，如下图所示。

图3-13 配置健康检测模板

 

 

(2)     配置链路

在导航栏中选择“策略 > 全局配置 > 链路”，进入链路页面，单击<新建>按钮，分别配置链路link-cmcc、link-cnc-1、link-cnc-2和link-chinatel-master、link-chinatel-backup。

图3-14 配置链路link-cmcc

 

 

图3-15 配置链路link-cnc-1

 

图3-16 配置链路link-cnc-2

 

图3-17 配置链路link-chinatel-master

 

图3-18 配置链路link-chinatel-backup

 

单击<确定>按钮，配置完成。

配置完链路如下：

图3-19 配置链路

 

(3)     配置链路组，配置为透传模式，并应用健康检测方法link-icmp1

创建链路组cmcc、cnc和chinatel，cmcc配置调度算法为源IP地址哈希，cnc配置调度算法为总带宽，chinatel配置调度算法为源IP地址哈希，其他保持默认。

进入策略页面，在导航栏中选择“链路负载均衡 > 链路组”，单击<新建>按钮，进行如下配置：

图3-20 配置链路组cmcc

 

图3-21 配置链路组cnc

 

图3-22 配置链路组chinatel

 

单击<确定>按钮，配置完成。

(4)     为链路组添加链路

链路组cmcc添加链路link-cmcc，链路组cnc添加link-cnc-1和link-cnc-2，链路组chinatel添加link-chinatel-master和link-chinatel-backup。

进入策略页面，在导航栏中选择“链路负载均衡 > 链路组”，单击链路组<编辑>，进入链路组页面，在成员列表一栏单击“添加”按钮，进行如下配置，添加链路完成后单击<确认>。

图3-23 为链路组cmcc添加链路

图3-24 为链路组cnc添加链路

 

 

图3-25 为链路组chinatel添加链路

 

单击<确定>按钮，配置完成。

配置完链路组如下：

图3-26 为链路组添加链路

 

(5)     配置流量特征

在导航栏中选择“策略 > 链路负载均衡 > 流量特征”，进入流量特征页面，单击<新建>按钮，配置流量特征cmcc、chinatel、cnc分别选择各自对应的ISP为cmcc、chinatel、cnc，如下图所示。

图3-27 流量特征cmcc

 

图3-28 流量特征chinatel

 

图3-29 流量特征cnc

 

单击<确定>按钮，配置完成，如下图所示。

图3-30 配置流量特征

 

(6)     配置负载均衡策略

在导航栏中选择“策略 > 链路负载均衡 > IPv4选路策略”，开启负载均衡功能与带宽繁忙保护，如下图所示。

图3-31 配置负载均衡策略

 

单击“策略”下的<新建>按钮，配置IPv4选路策略，匹配流量特征cmcc的走链路组cmcc，匹配流量特征cnc的走链路组cnc，匹配流量特征chinatel的走链路组chinatel，如下图所示。

图3-32 配置负载均衡策略cmcc

 

图3-33 配置负载均衡策略cnc

 

图3-34 配置负载均衡策略chinatel

 

单击<确定>按钮，配置完成，如下图所示。

图3-35 配置负载均衡策略

 

(7)     配置带宽繁忙保护产生日志，Web页面暂时不支持本功能，请采用CLI方式配置

<sysname> system-view

System View: return to User View with Ctrl+Z.

[sysname] loadbalance log enable bandwidth-busy

3.5.4  配置NAT地址组并在链路出接口应用

在导航栏中选择“网络 > NAT > NAT高级设置 > NAT地址组”，单击<新建>按钮创建NAT地址组，如下图所示。

图3-36 NAT地址组cmcc

 

图3-37 NAT地址组cnc-1

 

图3-38 NAT地址组cnc-2

 

图3-39 NAT地址组chinatel-master

 

图3-40 NAT地址组chinatel-backup

 

单击<确定>按钮，配置完成，如下图所示。

图3-41 NAT地址组

 

在导航栏中选择“网络 > NAT > NAT动态转换”，单击<新建>按钮策略，如下图所示

图3-42 在GE1/01配置NAT出方向动态转换

 

图3-43 在GE1/02配置NAT出方向动态转换

 

图3-44 在GE1/03配置NAT出方向动态转换

 

图3-45 在GE1/04配置NAT出方向动态转换

 

图3-46 在GE1/05配置NAT出方向动态转换

 

单击<确定>按钮，配置完成，如下图所示。

图3-47 NAT出方向动态转换

 

3.5.5  配置DNS透明代理

(1)     配置DNS服务器

在导航栏中选择“策略 > DNS透明代理 > DNS服务器”，进入DNS服务器页面，单击<新建>按钮，

创建四个DNS服务器，并指定绑定的链路，如下图所示。

图3-48 配置DNS服务器cmcc

 

图3-49 配置DNS服务器cnc

 

图3-50 配置DNS服务器chinatel

 

图3-51 配置DNS服务器America

 

单击<确定>按钮，配置完成，如下图所示。

图3-52 配置DNS服务器

 

(2)     配置DNS服务器池并分别添加DNS服务器

在导航栏中选择“策略 > DNS透明代理 > DNS服务器池”，进入DNS服务器池页面，单击<新建>按钮，创建两个DNS服务器池dns-pool和dns-pool-special，算法选用带宽算法。配置名称和算法后，单击<添加>按钮，为dns-pool添加成员cmcc、cnc、chinatel，为dns-pool-special添加成员America，如下图所示：

 

图3-53 添加成员cmcc

 

图3-54 添加成员chinatel，权值200

 

图3-55 添加成员cnc

 

图3-56 配置DNS服务器池dns-pool

 

图3-57 配置DNS服务器池dns-pool-special

 

 

单击<确定>按钮，配置完成，如下图所示。

图3-58 配置DNS服务器池

 

(3)     配置流量特征

在导航栏中选择“策略 > DNS透明代理 > 流量特征”，进入流量特征页面，单击<新建>按钮，

图3-59 配置流量特征

 

单击<确定>按钮，配置完成，如下图所示。

图3-60 配置流量特征

 

(4)     配置IPv4代理策略

在导航栏中选择“策略 > DNS透明代理 > IPv4代理策略”，进入IPv4代理策略页面，勾选DNS透明代理功能，勾选带宽繁忙保护，单击<应用>按钮，

图3-61 配置IPv4代理策略

 

单击“策略”下的<新建>按钮，配置IPv4代理策略，如下图所示。

图3-62 配置IPv4代理策略

 

单击Default策略右侧的<编辑>按钮，编辑流量特征名称为Default的IPv4代理策略，如下图所示。

图3-63 配置IPv4代理策略

 

单击<确定>按钮，配置完成，如下图所示。

图3-64 配置IPv4代理策略

 

3.5.6  配置NAT内部服务器

在导航栏中选择“网络 > NAT > NAT内部服务器 > 策略配置”，单击<新建>按钮，如下图所示：

图3-65 配置NAT内部服务器

 

 

单击<确定>按钮，配置完成，如下图所示。

图3-66 配置NAT内部服务器

 

3.5.7  配置NAT Hairpin

在导航栏中选择“网络 > NAT > NAT高级设置 > NAT Hairpin”，选中接口GE1/0/11，单击<开启>按钮，如下图所示：

图3-67 配置NATHairpin

 

3.5.8  配置智能DNS

(1)     配置虚服务器

在导航栏中选择“策略 > 应用负载均衡 > 虚服务器”，进入虚服务器页面，单击<新建>按钮，如下图所示：

图3-68 配置虚服务器vs-cmcc

 

图3-69 配置虚服务器vs-cnc-1

 

图3-70 配置虚服务器vs-cnc-2

 

图3-71 配置虚服务器vs-chinatel-1

 

图3-72 配置虚服务器vs-chinatel-2

 

单击<确定>按钮，配置完成，如下图所示。

图3-73 配置虚服务器

 

(2)     配置区域

在导航栏中选择“策略 > 全局配置 > 区域”，进入区域页面，单击<新建>按钮，如下图所示：

图3-74 配置区域area-cmcc

 

图3-75 配置区域area-cnc

 

图3-76 配置区域area-chinatel

 

单击<确定>按钮，配置完成，如下图所示。

图3-77 配置区域

 

(3)     配置虚IP池

在导航栏中选择“策略 > 智能DNS > 虚IP池”，进入虚IP池页面，单击<新建>按钮，如下图所示：

图3-78 配置虚IP池vs-pool

 

图3-79 配置虚IP池

 

图3-80 新建虚IP和链路的对应关系

 

 

 

 

 

 

 

(4)     配置静态就近性策略

在导航栏中选择“策略 > 智能DNS > 静态就近性策略”，单击<新建>按钮，新建静态就近性策略，每个区域对应不同的IP地址段，如下图所示：

图3-81 新建静态就近性策略

 

 

 

 

 

 

单击<确定>按钮，配置完成。

(5)     配置DNS映射

在导航栏中选择“策略 > 智能DNS > DNS映射”，单击<新建>按钮，新建DNS映射，如下图所示：

图3-82 创建DNS映射

 

(6)     配置DNS监听器

在导航栏中选择“策略 > 智能DNS > DNS监听器”，单击<新建>按钮，新建DNS监听器，如下图所示：

图3-83 创建DNS监听器

 

3.6  验证配置

3.6.1  链路负载均衡基于运营商ISP访问验证结果

(1)     内网客户端发起访问移动运营商目的地址为cmcc：183.232.98.190会走链路cmcc出去。

在导航栏中选择“监控 > 链路负载统计> 链路统计”，如下图所示。

图3-84 查看链路统计

 

(2)     多个内网客户端分别访问联通运营商目的地址为cnc：61.135.169.125会走链路cnc-1或者cnc-2出去，分担流量比例为2:1。

在导航栏中选择“监控 > 链路负载统计 > 链路统计”，如下图所示。

图3-85 查看链路统计

 

(3)     多个内网客户端分别访问电信运营商目的地址为chinatel：219.141.136.68会走链路 chinatel-master链路出去，不会走备链路chinatel-backup出去。

在导航栏中选择“监控> 链路负载统计>链路统计”，如下图所示。

图3-86 查看链路统计

 

(4)     多个内网客户端分别访问电信运营商目的地址为chinatel：219.141.136.68，超过带宽100M的80%也就是80M，会使得链路chinatel-master链路触发繁忙，流量切换到备链路chinatel-backup出去，并且产生了带宽繁忙保护的日志。

在导航栏中选择“策略 > 全局配置 > 链路”，查看链路chinatel-master状态为繁忙，如下图所示。

图3-87 查看链路繁忙

 

在导航栏中选择“监控 > 链路负载统计 > 链路统计”，查看链路统计信息，如下图所示。

图3-88 查看链路统计

 

在导航栏中选择“监控 > 设备日志 > 系统日志”，查看链路带宽繁忙保护日志，如下图所示。

图3-89 查看链路繁忙日志

 

(5)     内网客户端访问教育网目的地址为educn：1.51.0.68，由于不属于移动、联动、电信运营商就会匹配default走转发，通过静态路由出去，可以看到出接口GE1/0/5的统计信息，另外可以看到链路chinatel-backup上面是没有连接数统计的。

在导航栏中选择“网络 > 接口 > 接口”，单击<流量统计>,查看接口统计信息，如下图所示。

图3-90 查看接口统计

 

 

在导航栏中选择“监控 > 链路负载统计 > 链路统计”，如下图所示

图3-91 查看链路统计

 

3.6.2  DNS透明代理访问验证结果

(1)     内网PC客户端发起访问域名为www.testyoutube.com的DNS请求，DNS服务器地址可以为任意地址11.11.11.11，只要路由可以到达设备便可，可以看到该域名发往8.8.8.8 DNS服务器进行解析

在cmd命令行执行，如下图所示

图3-92 查看PC客户端DNS解析结果

 

图3-93 查看DNS服务器统计

 

(2)     多个内网客户端发起访问域名为www.example1.com的DNS请求，DNS服务器地址为11.11.11.11，只要路由可以到达设备便可，可以看到该域名请求发往发往了移动和联通的DNS服务器，电信的DNS服务器上面基本没有请求，是因为电信链路配置了最大带宽限制100M，而带宽算法是根据最大剩余带宽和权重来计算进行负载分担的。

图3-94 查看DNS服务器统计

 

3.6.3  NAT内部服务器验证结果

(1)     外网客户端发起请求http://211.98.0.11,地址转换成功，业务访问可以成功。

图3-95 查看会话列表

 

3.6.4  NAT Hairpin验证结果

(1)     内网客户端发起请求http://211.98.0.11请求,地址转换成功，业务访问可以成功。

图3-96 查看会话列表

 

3.6.5  智能DNS验证结果

(1)     查看虚服务器状态。

图3-97 查看虚IP池状态

 

(2)     外网移动运营商的客户端向DNS服务器61.156.0.1请求域名www.testdns1.com，解析地址为183.232.98.190。

(3)     外网联通运营商的客户端向DNS服务器61.156.0.1请求域名www.testdns1.com，解析地址为140.207.128.140或者140.207.128.150，比例为1:1。

(4)     外网电信运营商的客户端向DNS服务器61.156.0.1请求域名www.testdns1.com，解析地址为1183.2.186.153。

(5)     当chinatel-master链路断掉，外网电信运营商的客户端向DNS服务器61.156.0.1请求域名www.testdns1.com，解析地址为183.61.47.15。

图3-98 查看链路状态

 

图3-99 查看虚IP池状态

 

(6)     chinatel-master恢复链路后，外网非三大运营商的客户端向DNS服务器61.156.0.1请求域名www.testdns1.com，解析地址可能为183.232.98.190、140.207.128.140、140.207.128.150、1183.2.186.153，183.61.47.15其中一个。

3.7  配置文件

#

 version 7.1.064, Release 8504P20

#

 sysname sysname

#

context Admin id 1

#

nat address-group 1 name cmcc

 address 211.98.0.100 211.98.0.200

#

nat address-group 2 name cnc-1

 address 61.156.0.100 61.156.0.200

#

nat address-group 3 name cnc-2

 address 180.223.0.100 180.223.0.200

#

nat address-group 4 name chinatel-master

 address 1.1.0.100 1.1.0.200

#

nat address-group 5 name chinatel-backup

 address 203.0.24.100 203.0.24.200

#

 password-recovery enable

#

vlan 1

#

nqa template icmp link_icmp1

#

interface NULL0

#

interface GigabitEthernet1/0/0

 port link-mode route

 ip address 184.52.0.80 255.255.0.0

#

interface GigabitEthernet1/0/1

 port link-mode route

 flow-interval 5

 ip address 211.98.0.1 255.255.0.0

 nat outbound address-group 1

 nat server protocol tcp global 211.98.0.11 80 inside 192.168.3.100 80

#

interface GigabitEthernet1/0/2

 port link-mode route

 flow-interval 5

 ip address 61.156.0.1 255.255.0.0

 nat outbound address-group 2

#

interface GigabitEthernet1/0/3

 port link-mode route

 flow-interval 5

 ip address 180.223.0.1 255.255.0.0

 nat outbound address-group 3

#

interface GigabitEthernet1/0/4

 port link-mode route

 flow-interval 5

 ip address 1.1.0.1 255.255.255.0

 nat outbound address-group 4

#

interface GigabitEthernet1/0/5

 port link-mode route

 flow-interval 5

 ip address 203.0.24.1 255.255.255.0

 nat outbound address-group 5

#

interface GigabitEthernet1/0/11

 port link-mode route

 flow-interval 5

 ip address 192.168.0.254 255.255.0.0

 nat hairpin enable

#

security-zone name Local

#

security-zone name Trust

#

security-zone name DMZ

#

security-zone name Untrust

#

security-zone name Management

 import interface GigabitEthernet1/0/0

#

 scheduler logfile size 16

#

 ip route-static 0.0.0.0 0 203.0.24.2

#

 ssh server enable

#

acl advanced 3200

 rule 0 permit ip destination 183.232.98.190 0

 rule 5 permit ip source 183.232.98.190 0

 rule 10 permit ip destination 192.168.0.0 0.0.255.255

#

acl advanced 3201

 rule 0 permit ip destination 1.51.0.68 0

#

acl advanced 3202

 rule 0 permit ip destination 11.11.11.11 0

 rule 5 permit ip source 11.11.11.11 0

 rule 10 permit ip destination 8.8.8.8 0

 rule 15 permit ip source 8.8.8.8 0

 rule 20 permit ip destination 192.168.0.254 0

 rule 25 permit ip source 192.168.0.254 0

#

domain system

#

 aaa session-limit ftp 16

 aaa session-limit telnet 16

 aaa session-limit ssh 16

 domain default enable system

#

user-group system

#

local-user admin class manage

 password hash $h$6$UbIhNnPevyKUwfpm$LqR3+yg1IjNct39MkOR0H0iQXLkYB3jMqM4vbAeoXOh

babIIFnjJPEGR00YiYA1Sz4LiY3FmEdru2fOLMb1shQ==

 service-type ssh terminal https

 authorization-attribute user-role level-3

 authorization-attribute user-role network-admin

 authorization-attribute user-role network-operator

#

 session statistics enable

#

 ip https enable

 webui log enable

#

loadbalance link-group chinatel

 predictor hash address source

 transparent enable

 probe link_icmp1

 success-criteria at-least 1

#

loadbalance link-group cmcc

 predictor hash address source

 transparent enable

 probe link_icmp1

 success-criteria at-least 1

#

loadbalance link-group cnc

 predictor bandwidth

 transparent enable

 probe link_icmp1

 success-criteria at-least 1

#

loadbalance dns-server-pool dns-pool

 predictor bandwidth

 success-criteria at-least 1

#

loadbalance dns-server-pool dns-pool-special

 predictor bandwidth

 success-criteria at-least 1

#

loadbalance class chinatel type link-generic match-any

 match 1 isp chinatel

#

loadbalance class cmcc type link-generic match-any

 match 1 isp cmcc

#

loadbalance class cnc type link-generic match-any

 match 1 isp cnc

#

loadbalance class www.testyoutube type dns match-any

 match 1 domain-name www.testyoutube.com

#

loadbalance action ##defaultactionfordnsproxyipv4##%%autocreatedbyweb%% type dns

 dns-server-pool dns-pool

#

loadbalance action ##defaultactionforllbipv4##%%autocreatedbyweb%% type link-gen

eric

 forward all

#

loadbalance action dp4#action#for#www.testyoutube type dns

 dns-server-pool dns-pool-special

 fallback-action continue

#

loadbalance action ob$action$#for#chinatel type link-generic

 link-group chinatel

 fallback-action continue

#

loadbalance action ob$action$#for#cmcc type link-generic

 link-group cmcc

 fallback-action continue

#

loadbalance action ob$action$#for#cnc type link-generic

 link-group cnc

 fallback-action continue

#

loadbalance policy ##defaultpolicyfordnsproxyipv4##%%autocreatedbyweb%% type dns

 class www.testyoutube action dp4#action#for#www.testyoutube

 default-class action ##defaultactionfordnsproxyipv4##%%autocreatedbyweb%%

#

loadbalance policy ##defaultpolicyforllbipv4##%%autocreatedbyweb%% type link-gen

eric

 class cmcc action ob$action$#for#cmcc

 class cnc action ob$action$#for#cnc

 class chinatel action ob$action$#for#chinatel

 default-class action ##defaultactionforllbipv4##%%autocreatedbyweb%%

#

virtual-server ##defaultvsforllbipv4##%%autocreatedbyweb%% type link-ip

 virtual ip address 0.0.0.0 0

 lb-policy ##defaultpolicyforllbipv4##%%autocreatedbyweb%%

 service enable

 bandwidth busy-protection enable

 bandwidth interface statistics enable

#

virtual-server vs-chinatel-1 type ip

 virtual ip address 183.2.186.153

#

virtual-server vs-chinatel-2 type ip

 virtual ip address 183.61.47.15

#

virtual-server vs-cmcc type ip

 virtual ip address 183.232.98.190

#

virtual-server vs-cnc-1 type ip

 virtual ip address 140.207.128.140

#

virtual-server vs-cnc-2 type ip

 virtual ip address 140.207.128.150

#

 loadbalance isp file lbispinfo.tp

#

loadbalance region area-chinatel

 isp chinatel

#

loadbalance region area-cmcc

 isp cmcc

#

loadbalance region area-cnc

 isp cnc

#

loadbalance link link-chinatel-backup

 router ip 203.0.24.2

 link-group chinatel

 max-bandwidth 12500

 success-criteria at-least 1

#

loadbalance link link-chinatel-master

 router ip 1.1.0.2

 link-group chinatel

 priority 8

 max-bandwidth 12500

 bandwidth busy-rate 80 recovery 70

 success-criteria at-least 1

#

loadbalance link link-cmcc

 router ip 211.98.0.2

 link-group cmcc

 success-criteria at-least 1

#

loadbalance link link-cnc-1

 router ip 61.156.0.2

 link-group cnc

 weight 200

 success-criteria at-least 1

#

loadbalance link link-cnc-2

 router ip 180.223.0.2

 link-group cnc

 success-criteria at-least 1

#

loadbalance virtual-server-pool vs-pool

 predictor preferred topology

 predictor alternate random

 predictor fallback round-robin

 virtual-server vs-chinatel-1 link link-chinatel-master

 virtual-server vs-chinatel-2 link link-chinatel-backup

 virtual-server vs-cmcc link link-cmcc

 virtual-server vs-cnc-1 link link-cnc-1

 virtual-server vs-cnc-2 link link-cnc-2

#

loadbalance dns-map dns-map

 domain-name www.testdns1.com

 service enable

 virtual-server-pool vs-pool

#

loadbalance dns-listener listener

 ip address 61.156.0.1

 service enable

#

 loadbalance log enable bandwidth-busy

#

 topology region area-chinatel ip 183.2.186.153 weight 200

 topology region area-chinatel ip 183.61.47.15

 topology region area-cmcc ip 183.232.98.190

 topology region area-cnc ip 140.207.128.140

 topology region area-cnc ip 140.207.128.150

#

loadbalance dns-server america

 dns-server-pool dns-pool-special

 ip address 8.8.8.8

 link link-cmcc

 success-criteria at-least 1

#

loadbalance dns-server chinatel

 dns-server-pool dns-pool

 ip address 114.114.114.114

 link link-chinatel-master

 weight 200

 success-criteria at-least 1

#

loadbalance dns-server cmcc

 dns-server-pool dns-pool

 ip address 211.136.17.97

 link link-cmcc

 success-criteria at-least 1

#

loadbalance dns-server cnc

 dns-server-pool dns-pool

 ip address 202.106.46.151

 link link-cnc-1

 success-criteria at-least 1

#

loadbalance dns-proxy ##defaultdpfordnsproxyipv4##%%autocreatedbyweb%% type udp

 ip address 0.0.0.0 0

 service enable

 lb-policy ##defaultpolicyfordnsproxyipv4##%%autocreatedbyweb%%

 bandwidth busy-protection enable

#

3.8  ISP文件获取方式

登录H3C网站（http://www.h3c.com.cn/），请在导航栏中选择“产品支持与服务 > 文档与软件 > 软件下载 > 安全 > H3C ISP 地址表项文件 > H3C Comware V7 ISP 地址表项文件”，单击ISP文件名称，进入ISP文件下载页面，下载ISP文件。

下载完成后，可以在Web页面的导航栏中选择“策略 > 全局配置 > ISP”，进入ISP页面，导入该文件。也可以通过在命令行执行loadbalance isp file命令导入该文件。需要注意的是，如果用户是双机的组网环境，需要在每台设备上分别导入ISP文件。