Web方式：策略路由典型配置

使用版本

本举例是在T5030的R9900版本版本上进行配置和验证的。

组网需求

如下图所示，公司在网络出口部署了一台安全网关Device A，内网侧包含网络A（192.168.1.0/24）和网络B（192.168.2.0/24），外网侧租用了由不同运营商提供的线路A和线路B：其中线路A的接入设备为Device C，接入点IP地址为1.1.1.2/30；线路B的接入设备为Device D，接入点IP地址为2.2.2.2/30。需要实现如下需求：

图-1 策略路由配置组网图

配置步骤

Device A的配置

  1. 配置接口的IP地址和安全域

    # 选择“网络 > 接口与VRF > 接口”，进入接口配置页面。

    # 单击接口GE1/0/1右侧的<编辑>按钮，配置如下。

    • 安全域：Trust

    • 选择“IPv4地址”页签，配置IP地址/掩码：192.168.3.2/24

    • 其他配置项使用缺省值

    # 按照同样的步骤配置接口GE1/0/2，配置如下。

    • 安全域：Untrust

    • 选择“IPv4地址”页签，配置IP地址/掩码：1.1.1.1/30

    • 其他配置项使用缺省值

    # 按照同样的步骤配置接口GE1/0/3，配置如下。

    • 安全域：Untrust

    • 选择“IPv4地址”页签，配置IP地址/掩码：2.2.2.1/30

    • 其他配置项使用缺省值

    # 单击<确定>按钮，完成接口IP地址和安全域的配置。

  2. 配置路由

    本举例仅以静态路由为例，若实际组网中需采用动态路由，请配置对应的动态路由协议。

    # 选择“网络 > 路由 > 静态路由 > IPv4静态路由”，单击<新建>按钮，进入新建IPv4静态路由页面。

    # 新建访问网络A的IPv4静态路由，并进行如下配置：

    • 目的IP地址：192.168.1.0

    • 掩码长度：24

    • 下一跳IP地址：192.168.3.1

    • 其他配置项使用缺省值

    # 单击<确定>按钮，完成静态路由的配置。

    # 新建访问网络B的IPv4静态路由，并进行如下配置：

    • 目的IP地址：192.168.2.0

    • 掩码长度：24

    • 下一跳IP地址：192.168.3.1

    • 其他配置项使用缺省值

    # 单击<确定>按钮，完成静态路由的配置。

  3. 配置安全策略

    # 选择“策略 > 安全策略 > 安全策略”，单击<新建>按钮，进入新建安全策略页面。

    # 新建安全策略secpolicy，并进行如下配置：

    • 名称：secpolicy

    • 源安全域：Trust

    • 目的安全域：Untrust

    • 类型：IPv4

    • 动作：允许

    • 源IPv4地址：192.168.1.0/24、192.168.2.0/24

    • 其他配置项使用缺省值

    # 单击<确定>按钮，完成安全策略secpolicy的配置。

  4. 配置ACL

    # 选择“对象 > ACL > IPv4”，进入IPv4 ACL配置页面。

    # 单击<新建>按钮，创建用于匹配网络A内用户访问外网流量的ACL，配置如下图所示。

    图-2 新建编号为3000的ACL

    # 单击<确定并添加规则>按钮，继续添加规则，配置如下图所示。

    图-3 为编号为3000的ACL添加规则

    # 单击<确定>按钮，完成ACL 3000的配置。

    # 再次单击<新建>按钮，创建用于匹配网络B内用户访问外网流量的ACL，配置如下图所示。

    图-4 新建编号为3001的ACL

    # 单击<确定并添加规则>按钮，继续添加规则，配置如下图所示。

    图-5 为编号为3001的ACL添加规则

    # 单击<确定>按钮，完成ACL配置。

  5. 配置策略路由

    # 选择“网络 > 路由 > 策略路由 > IPv4策略路由”，进入IPv4策略路由配置页面。

    # 单击<新建>按钮，新建IPv4策略路由，配置如下图所示。

    图-6 新建IPV4策略路由

    # 单击<新建>按钮，新建编号为5的策略节点，用于指导网络A内用户访问外网流量的转发，配置如下图所示。

    图-7 新建编号为5的策略节点

    # 单击“设置报文转发的下一跳地址”下方的<新建>按钮，配置报文转发的下一跳地址，配置如下图所示。

    图-8 设置报文转发的下一跳地址

    # 单击<确定>按钮，完成下一跳地址配置。

    # 单击<确定>按钮，完成策略节点配置。

    # 再次单击<新建>按钮，新建编号为10的策略节点，用于指导网络B内用户访问外网流量的转发，配置如下图所示。

    图-9 新建编号为10的策略节点

    # 单击“设置报文转发的下一跳地址”下方的<确定>按钮，配置报文转发的下一跳地址，配置如下图所示。

    图-10 设置报文转发的下一跳地址

    # 单击<确定>按钮，完成下一跳地址配置。

    # 单击<确定>按钮，完成策略节点配置。

    # 单击<确定>按钮，完成IPv4策略路由配置。

Device B的配置

# 配置静态路由，确保内网用户访问外网的报文能被转发到Device A的接口GE1/0/1上，配置步骤略。

验证配置

  1. 在客户端的CMD窗口输入tracert 3.3.3.3命令，跟踪网络A内的主机访问外网IP地址3.3.3.3的路由，发现3号跃点为线路A的接入点IP地址1.1.1.2

    最多通过30个跃点跟踪到3.3.3.3的路由

    11 ms1 ms1 ms192.168.1.1

    22 ms2 ms2 ms192.168.3.2

    34 ms7 ms6 ms1.1.1.2

    45 ms5 ms4 ms3.3.3.3

    跟踪完成。

  2. 在客户端的CMD窗口输入tracert 3.3.3.3命令，跟踪网络B内的主机访问外网IP地址3.3.3.3的路由，发现3号跃点为线路B的接入点IP地址2.2.2.2

    最多通过30个跃点跟踪到3.3.3.3的路由

    11 ms1 ms1 ms192.168.2.1

    22 ms2 ms2 ms192.168.3.2

    35 ms6 ms5 ms2.2.2.2

    46 ms4 ms5 ms3.3.3.3

    跟踪完成。