双isp 接入,防火墙activ e/activ e failov er 加非对称路由问题的解决 有一家企业,对外提供服务,客户遍布全国,客户可能使用电信链路,可能使用网通链路,所以这家企业申请了两条链路,一条电信,一条网络,希望客户选择合适的链路来访问服务。 使用了两台 cisco 防火墙分别连接电信和网通。后面连接整个内部网络,对外提供服务的服务器也在其中。 原则: 1.两条链路能够使用同时使用 2.外部用户(不管使用哪条链路),都能正确访问 注:大体上是需要从哪条链路进来的数据包,返回的数据包也要从这条链路回去。在防火墙上,非对称路由很可能会有问题的。 3.如果能做到负载均衡那更加好。 方法考虑: 1.active/standby failover 两条链路配置在不同的防火墙上面(接口 ip 地址不一样),而 a/s failover 要求两台防火墙配置一样,所以这个方案行不通。 其中一台配置配置成 active,两条链路同时接在上面,另外一台 standby。这样的配置问题有很多: 一台防火墙上面不能同时配置两条默认路由;即使其中一条链路写了明晰路由(如把网通主要的的路由写出来),在一台防火墙上面,也涉及到非对称路由的问题; 方案 1 完全否决 2.active/active failover 两条链路可以同时使用,而且可以接在不同的防火墙上面。因为两台防火墙各有两个context(虚拟防火墙),这四台防火墙两两互备,可以实现负载均衡。而且使用了2 对虚拟防火墙,两对虚拟防火墙配置独立,这样就有两套路由表,所以在上面分别写默认路由一点问题都没有,默认路由问题解决。 似乎这个方式很好,但是还有一个问题没有解决,那就是非对称路由的问题。 从虚拟防火墙1 进来的数据包,进入到内网,返回的时候,如果经过了虚拟防火墙2,这个时候如果是 tcp数据包,那因为这不是一个 syn 数据包,那 2 就可能丢弃掉这个数据包。 在负载均衡上面做的不错,但是非对称路由没有解决,需要再改进,不然还是不能解决问题 3.防火墙独立使用加链路负载均衡设备 两台防火墙各接一条链路,然后都接到一台链路负载均衡设备上面去。 负载均衡设备的作用就是,从哪台设备过来的数据,相应的返回数据,也从这从这个接口出去。 这里使用了一台负载均衡设备,解决了非对称路由的问题,这个解决方式比较简单,不管是配置和连线。缺点就是 2 台防火墙之间没有做 failover,还有一个大的问题,就是需要额外添加一台链路负载均衡设备,不小的开销。但是这个方...