主页 / server / 问题 / 429950
Accepted
David Mackintosh
Asked: 2012-09-20 09:05:07 +0800 CST

出站连接的 ScreenOS MIP 选择

  • 772

给定具有此配置的 ScreenOS 6.3.0 防火墙：

unset flow reverse-route clear-text
set interface "ethernet0/0" zone "Trust" 
set interface ethernet0/0 ip 192.168.1.1/24 
set interface ethernet0/2 ip 10.0.0.1/24 
set interface ethernet0/2 mip 10.9.9.10 host 192.168.1.10 netmask 255.255.255.255 vr trust-vr
set interface ethernet0/2 mip 10.8.8.10 host 192.168.1.10 netmask 255.255.255.255 vr trust-vr
set route 0.0.0.0/0 interface ethernet0/2 gateway 10.0.0.254

...（并假设适当的策略）有没有办法控制防火墙为 192.168.1.10 发起的出站连接选择哪个 MIP？（大概是因为我希望上游 10.0.0.254 根据其源 IP 对数据包执行不同的操作）。

更新：好的，我的情况是这样的：我有两个 ISP 上行链路，每个都给我一个不同的 IP 空间。每个 ISP 只会路由他们分配给我的 IP 空间。

因此，为了让两个 ISP 都可以访问服务器，我需要为同一台服务器使用两个 MIP，每个接口一个。入站流量将与正在使用的“未设置流反向路由明文”选项一起正常工作。

但是对于出站（想想发送消息的电子邮件服务器），我需要一种方法来根据我希望系统使用哪个出站链接来选择合适的 MIP，并且我希望它具有弹性，以便在防火墙喜欢的链接出现故障时一夜之间，我不必手动翻转某些东西来保持邮件畅通。

基本上，我试图避免购买一个链路平衡器设备（或两个，因为我需要一个集群）。

有没有办法做到这一点？

netscreen

1 个回答

  1. Best Answer

    假设您希望同时主动控制两个出站链路（即系统 A 使用 IP A 并输出上行链路 A，系统 B 使用 IP B 并输出上行链路 B）答案是否定的，您不能。你需要一个链路平衡器。

    如果您不关心出站流量使用哪个链接，您可以设置两个 MIP（每个 ISP 链接一个）并设置 ip-tracking 路由，防火墙将选择“最佳”一个（即它将使用一个然后停止失败时使用它）。您可以通过路由排序和指标来偏向选择。

    但最重要的是，要进行控制，您需要一个链路平衡器。

    如果您有支持，请致电 JTAC。

    • 1

相关问题