技術文章 » 計算機網路之策略路由與雙機熱備

計算機網路之策略路由與雙機熱備

2023-11-22 06:00:37

一.策略路由

隨著網路工程的不斷髮展，基本的路由選擇已經滿足不了網路工程師的網路搭建了，基本路由選擇就是查路由表來選擇下一跳的路由

但是，這種路由選擇無法實現負載均衡，也就是當路由中有兩條相同的路徑時，只會有一條路徑被選擇，另外一條路由很少被選擇

所以就衍生出來了策略路由，它不同於基本路由選擇查表確定下一跳，而是根據使用者自定義的策略來進行下一跳，改變了傳統的路由方式，對於路由的制定更加靈活

使用者可以根據需求來指定下一跳來實現資料分流，它的作用物件是封包，也就是當根據封包的源地址來進行策略路由，作用的位置一般是待分流段的路由器資料入介面

為什麼是路由器的入介面呢？

我們要知道實現負載均衡是對誰執行，很顯然是入介面的封包，在進入路由器的時候就要確定從那個介面出去，反之，如果是在出介面確定出口，這顯然不合邏輯

 策略路由可以根據封包的源地址，目的地址，協定型別，應用等條件來確定路由路勁，策略路由可以彌補傳統路由的不足，提供了更加靈活的匹配條件

這裡特別要注意一點的就是，設定策略路由很神奇的地方，如果說一般我們網路不通，我們會先檢視路由表，看是否路由表存在路徑，

但是在沒有路由的情況下也可以讓網路通，這就是策略路由，因為它控制的不是路由路徑，而是封包，它不依據路由表傳輸，而是直接告訴封包下一跳的位置

這使得在路由器上沒有路由條目，但是網路依舊通暢的可能存在

二.設定策略路由（eNSP）

 如上圖：

實操目標，

  1. vlan10網段走192.168.40.0
  2. vlan20網段走192.168.50.0

在這個實驗中沒有構造內外網之分，所以網路通暢設定介面IP使用ospf宣告就行了，實驗前提是全網通，沒有約束，很簡單

實現全網通之後，來使用策略路由進行分流

策略路由需要和高階ACL結合使用

第一步：兩條acl放行這兩個網段

acl number 3001  
 rule 5 permit ip source 192.168.10.0 0.0.0.255 
acl number 3002  
 rule 5 permit ip source 192.168.20.0 0.0.0.255

 

第二步：繫結分流條件

traffic classifier c2 operator or
 if-match acl 3002
traffic classifier c1 operator or
 if-match acl 3001

 

第三步：指定分流的行為，即下一跳是那

traffic behavior b2
 redirect ip-nexthop 192.168.50.2
traffic behavior b1
 redirect ip-nexthop 192.168.40.2

 

第四步：將分流條件和分流行為各自繫結

traffic policy p1
 classifier c1 behavior b1
 classifier c2 behavior b2

 

第五步：在入口埠啟動分流策略

interface GigabitEthernet0/0/0
traffic-policy p1 inbound

 

三.抓包分析

 

 四.防火牆的雙機熱備HRP

雙機熱備冗餘，顧名思義，雙機即有兩臺裝置，而熱備冗餘的熱，體現在是實時備份的

既然是備份，那麼就意味著有一臺裝置是處於待機的，主裝置才是正常使用的裝置，而備用裝置則是在主裝置down掉以後起來工作的

在防火牆的熱備份中有一個叫心跳線的設定，它負責的就是將熱備資料傳遞到備份裝置上

在確定主備裝置後，相關的策略命令，nat等只能在主裝置上設定，而備份裝置不能直接設定而是依賴於主裝置傳遞這些設定

HRP協定就是實現熱備的主要方式

HRP：華為冗餘協定，主要用於實現防火牆雙機之間動態狀態資料和關鍵設定命令實時備份。HRP協定功能的實現藉助了HRP報文，而HRP報文實際上上是一種VGMP報文，承載在VGMP報文的Data區域

 如上圖：

FW1的g1/0/1和FW2的g1/0/1介面就是心跳線，也就是傳遞設定命令的線路

設定心跳線：

FW1：

 hrp enable
 hrp interface GigabitEthernet1/0/1 remote 10.10.10.2
 hrp track interface GigabitEthernet1/0/0

 

FW2：

 hrp enable
 hrp interface GigabitEthernet1/0/1 remote 10.10.10.1
 hrp track interface GigabitEthernet1/0/0

 hrp enable

啟動hrp協定

 hrp interface GigabitEthernet1/0/1 remote 10.10.10.2

心跳線的對端設定

 hrp track interface GigabitEthernet1/0/0

檢測的介面，如果down掉直接切換到備份裝置

啟動了這些設定就可以開始設定防火牆的策略，nat和其它設定了

它們會自動備份到備份裝置上去

注意：HRP_A是主裝置，HRP_B是備份裝置