logo

开发者热搜

华为防火墙IP-Link链路冗余配置与故障切换实践

作者：Nicky2026.11.06 20:53浏览量：0

简介：本文围绕防火墙双出口场景，介绍如何通过IP-Link探测两条互联网链路状态，并结合策略路由实现行政楼与办公楼的流量分流及故障自动切换。读者可掌握IP-Link原理、配置要点、路由策略设计以及完整验证方法，提升出口链路高可用运维能力。

一、场景与目标

在多出口网络环境中，企业通常会接入两家不同的互联网服务提供商，以提升出口带宽和链路冗余能力。防火墙作为出口设备，需要根据链路状态动态调整流量走向，避免某条链路故障导致部分用户断网。

本实验构建了一个典型的双出口场景：防火墙通过接口G1/0/1连接ISP1，通过接口G1/0/2连接ISP2。其中G1/0/1使用静态地址，G1/0/2通过DHCP动态获取地址。内网划分为行政楼区域和办公楼区域，分别接入防火墙不同的安全域。实验目标如下：

  1. 两条链路均正常时，行政楼区域流量通过ISP1转发，办公楼区域流量通过ISP2转发；
  2. 当ISP1链路故障时，行政楼区域流量自动切换至ISP2；
  3. 当ISP2链路故障时，办公楼区域流量自动切换至ISP1。

这一需求的核心在于链路状态检测与策略路由联动。只依赖物理接口状态或静态路由无法精确判断远端链路是否真正可用，因此需要引入IP-Link探测机制。

二、IP-Link工作原理

IP-Link是一种链路健康检测机制，通过周期性发送探测报文并等待响应来判断目标地址是否可达。管理员可以指定探测目标、探测间隔、超时时间和失败次数等参数。当连续多次探测失败后，IP-Link将链路标记为Down状态；当探测恢复成功达到一定次数后，链路重新变为Up状态。

IP-Link本身不直接决定流量走向，它通常与以下功能配合使用：

  • 静态路由：将静态路由与IP-Link绑定，当链路Down时使对应路由失效；
  • 策略路由：在策略路由的匹配条件或下一跳选择中引用IP-Link状态；
  • 接口备份：在主链路故障时触发备份接口启用。

在本实验中，IP-Link的目标地址分别设置为ISP1和ISP2的网关地址或对端可达地址，以准确反映两条链路端到端的可达性。

三、实验拓扑与地址规划

3.1 逻辑拓扑

实验逻辑拓扑如下：

  • 防火墙G1/0/0：连接行政楼区域，划入Trust安全域；
  • 防火墙G1/0/3：连接办公楼区域，划入Trust安全域；
  • 防火墙G1/0/1：连接ISP1，划入Untrust安全域；
  • 防火墙G1/0/2：连接ISP2，划入Untrust安全域；
  • ISP1与ISP2分别模拟互联网出口，提供NAT转换后的公网访问能力。

3.2 地址规划

设备/接口 地址 说明
ISP1 E0/0 DHCP获取 模拟公网侧地址
ISP1 E0/1 100.100.100.1/24 连接防火墙侧网关
ISP2 E0/0 DHCP获取 模拟公网侧地址
ISP2 E0/1 200.200.200.1/24 连接防火墙侧网关
防火墙 G1/0/1 100.100.100.10/24 连接ISP1
防火墙 G1/0/2 DHCP获取 连接ISP2

行政楼PC1和办公楼PC2在实验中用路由器模拟，便于产生测试流量并观察路径变化。

四、基础配置

4.1 ISP1配置

ISP1作为模拟公网出口设备，需要完成地址配置和NAT转换，使内网流量经过防火墙后能够以公网地址访问外部资源。关键配置如下：

  1. interface Ethernet0/0
  2.  ip address dhcp
  3.  ip nat outside
  5. interface Ethernet0/1
  6.  ip address 100.100.100.1 255.255.255.0
  7.  ip nat inside
  9. access-list 10 permit 100.100.100.10
  10. ip nat inside source list 10 interface Ethernet0/0 overload

上述配置中，访问控制列表匹配内网侧地址，NAT规则将匹配流量转换到E0/0接口的公网地址上，实现地址复用。

4.2 ISP2配置

ISP2除完成NAT配置外，还需启用DHCP服务，为防火墙G1/0/2接口动态分配地址。配置如下：

  1. interface Ethernet0/0
  2.  ip address dhcp
  3.  ip nat outside
  5. interface Ethernet0/1
  6.  ip address 200.200.200.1 255.255.255.0
  7.  ip nat inside
  9. ip dhcp pool ISP2
  10.  network 200.200.200.0 255.255.255.0
  11.  default-router 200.200.200.1
  12. ip dhcp excluded-address 200.200.200.1
  14. access-list 10 permit 200.200.200.0 0.0.0.255
  15. ip nat inside source list 10 interface Ethernet0/0 overload

防火墙G1/0/2通过DHCP获取地址的同时，会接收到默认网关信息，自动生成一条默认路由，无需手工配置到ISP2的静态路由。

4.3 防火墙接口配置

防火墙需要完成接口地址配置和DHCP客户端启用：

  1. [FW] interface GigabitEthernet 1/0/1
  2. [FW-GigabitEthernet1/0/1] ip address 100.100.100.10 255.255.255.0
  4. [FW] interface GigabitEthernet 1/0/2
  5. [FW-GigabitEthernet1/0/2] ip address dhcp-alloc

内网接口G1/0/0和G1/0/3分别连接行政楼和办公楼，根据实际地址规划配置对应网段即可。

4.4 安全域划分

防火墙基于安全域进行访问控制，需要将各接口划入正确的安全域：

  1. [FW] firewall zone trust
  2. [FW-zone-trust] add interface GigabitEthernet 1/0/0
  3. [FW-zone-trust] add interface GigabitEthernet 1/0/3
  5. [FW] firewall zone untrust
  6. [FW-zone-untrust] add interface GigabitEthernet 1/0/1
  7. [FW-zone-untrust] add interface GigabitEthernet 1/0/2

内网接口划入Trust域，互联网出口接口划入Untrust域。后续策略路由和安全策略均基于安全域进行匹配。

五、IP-Link配置

IP-Link的探测目标应选择能够准确反映链路可用性的地址。通常选择对端ISP设备的直连接口地址作为探测目标，即100.100.100.1和200.200.200.1。

配置思路如下：

  1. 创建两个IP-Link探测实例，分别对应ISP1和ISP2链路；
  2. 设置探测目标地址、探测间隔、超时时间和失败判定条件；
  3. 在策略路由中引用IP-Link状态，实现流量动态切换。

示例配置结构如下：

  1. [FW] ip-link check enable
  3. [FW] ip-link name isp1
  4. [FW-iplink-isp1] destination 100.100.100.1 interface GigabitEthernet 1/0/1
  5. [FW-iplink-isp1] mode icmp
  6. [FW-iplink-isp1] interval 5
  7. [FW-iplink-isp1] timeout 3
  8. [FW-iplink-isp1] failtimes 3
  10. [FW] ip-link name isp2
  11. [FW-iplink-isp2] destination 200.200.200.1 interface GigabitEthernet 1/0/2
  12. [FW-iplink-isp2] mode icmp
  13. [FW-iplink-isp2] interval 5
  14. [FW-iplink-isp2] timeout 3
  15. [FW-iplink-isp2] failtimes 3

参数说明：

  • interval：探测报文发送周期，单位为秒；
  • timeout：单次探测等待响应的超时时间；
  • failtimes：连续失败多少次后判定链路为Down状态。

当ISP1侧链路发生故障时，防火墙发出的探测报文在超时时间内无法收到响应，连续失败达到设定次数后，IP-Link实例状态变为Down。恢复时，连续探测成功达到设定次数后状态变回Up。这种机制避免了因瞬时抖动导致的路由频繁切换。

六、策略路由设计

策略路由能够根据源地址、目的地址、接口等条件灵活选择下一跳，比传统目的地路由更适合多出口分流场景。

6.1 分流规则

根据实验目标，策略路由规则设计如下：

源区域 主下一跳 备用下一跳 触发条件
行政楼 ISP1 ISP2 主链路Down
办公楼 ISP2 ISP1 主链路Down

具体实现时，可为每个区域配置主备两条策略路由条目。主策略路由正常时匹配并指定主下一跳；当主链路IP-Link状态变为Down时，主策略路由失效，流量命中备用策略路由，自动切换至备用链路。

6.2 与默认路由的协同

防火墙到ISP1的默认路由需要手动配置：

  1. [FW] ip route-static 0.0.0.0 0.0.0.0 100.100.100.1

防火墙到ISP2的默认路由通过DHCP自动获取。两条默认路由同时存在时，路由器会根据优先级和度量值选择一条作为主路径。但策略路由的优先级高于普通路由表查找，因此只要策略路由命中，就会按照策略指定的下一跳转发，默认路由仅作为未匹配流量或策略路由失效时的兜底路径。

当行政楼主链路故障时，主策略路由失效，备策略路由将流量指向ISP2。此时防火墙需要一条可达ISP2的路由，DHCP获取的默认路由正好满足这一需求。同理，当办公楼主链路故障时，手工配置的到ISP1的默认路由承担兜底转发任务。

七、安全策略配置

仅完成路由层面的配置还不够，防火墙默认拒绝跨安全域的流量。需要放行Trust到Untrust的访问：

  1. [FW] security-policy
  2. [FW-policy-security] rule name trust_to_untrust
  3. [FW-policy-security-rule-trust_to_untrust] source-zone trust
  4. [FW-policy-security-rule-trust_to_untrust] destination-zone untrust
  5. [FW-policy-security-rule-trust_to_untrust] action permit

实际部署中应结合实际业务需求细化安全策略，例如限制访问的端口、协议或地址范围，避免过度放行带来的安全风险。

八、验证与排障

8.1 链路状态检查

查看IP-Link实例状态，确认两条链路初始均为Up：

  1. display ip-link

8.2 分流效果验证

在两条链路均正常时，从行政楼PC1发起访问，通过日志或抓包确认流量从G1/0/1接口转发；从办公楼PC2发起访问，确认流量从G1/0/2接口转发。

8.3 故障切换验证

断开ISP1与防火墙之间的链路，观察IP-Link状态变化，确认行政楼流量自动切换至ISP2出口。恢复ISP1链路后，观察流量是否自动切回主路径。

断开ISP2链路执行类似验证，确认办公楼流量切换至ISP1出口。

8.4 常见问题排查

  • IP-Link一直处于Down状态：检查探测目标是否可达、接口是否启用、安全策略是否放行探测报文；
  • 切换延迟明显：适当缩短探测间隔和失败次数阈值，但需平衡误切换风险；
  • 切换后部分用户无法上网：检查备用路径的路由是否存在、NAT规则是否覆盖切换后的源地址、安全策略是否放行。

九、总结

IP-Link配合策略路由是防火墙多出口场景下实现链路冗余和流量分流的有效方案。相比仅依赖静态路由或接口状态检测，IP-Link能够更准确地判断端到端链路可用性，并在故障时自动触发流量切换，显著缩短业务中断时间。本实验涵盖了从地址规划、基础配置、IP-Link部署、策略路由设计到验证排障的完整流程，可作为类似场景的参考模板。实际部署中可根据网络规模、业务重要性和切换时间要求，进一步调整探测参数和安全策略细节。

相关文章推荐

发表评论

最热文章

关于作者

  • 被阅读数
  • 被赞数
  • 被收藏数
活动
咨询