文档介绍：华中电力公司
管理信息外网改造项目
Linkproof实施文档
Radware China
2008年5月
目录
一、实施方案设计 3
二、实施环境: 6
1、接入现状拓扑图 6
2、网络结构说明 6
四、实施方案 10
1、实施网络拓扑图 10
2、实施IP地址规划表 10
3、实施思路 11
4、测试实施计划 11
测试前准备工作 11
测试实施步骤 12
回退方案 12
LinkProof配置描述 12
七、测试步骤 14
1、连通性测试 14
2、对链路的健康检查测试结果 15
3、负载均衡策略测试结果 16
4、动态就近性选路测试结果 16
一、实施方案设计
接入区,我们将采用Radware LinkProof 1000与原有的Radware LinkProof ASI互为HA冗余,出口网络的稳定性和高可用性,对家属区和办公区的分别接入,由于两个区域的性质不同,我们将在LinkProof上进行隔离,保证办公区外网的安全。
1、 设计拓扑详述
接入区设计中,由于华中电网公司现有的网络出口为100Mbps带宽的网通线路和20Mbps带宽的电信线路,出口理论总吞吐量为240Mbps。而原有的Radware LinkProof ASI最大吞吐为200Mbps,因此在此项目中我们采用Radware LinkProof 1000(LinkProof 1000 是其产品型号,ASII是其硬件平台型号)。
Radware LinkProof 1000与原有的Radware LinkProof ASI使用VRRP协议实现互为HA的备份冗余,其中LinkProof ASII做为主用设备,LinkProof ASI最为备用设备。如上图所示,SW1和SW2两台二层交换机用来做为原接入线路的端口扩展,两台LinkProof之间通过两条百兆RJ45线相连。
办公区外网两台防火墙互为备份,实现HA冗余,两台防火墙分别连接至主、备LinkProof,四台设备间形成“口”字型冗余。家属区两台防火墙互为备份,实现HA冗余,两台防火墙分别连接至主、备LinkProof,四台设备间形成“口”字型冗余。
在LinkProof的设置上,为保证和办公区防火墙HA组与家属区防火墙HA组之间的可靠冗余连接,我们建议两台LinkProof之间采用两组线连接,分别与两边防火墙组形成“口”字型冗余。主、备LinkProof上将两台办公区外网天融信防火墙和两台家属区Amaranten防火墙的两个上连端口分别和连接两台LinkProof的两个端口划入同一个VLAN ID(即一个VLAN中有四个端口,分别连接两台防火墙的两个端口和LinkProof之间连接的两个端口),其VLAN 类型设定为Switch VLAN。
接入区中,为达到整个网络区域划分明显,后期管理方便的目的,建议所有的NAT工作均有防火墙承担,LinkProof承担链路负载均衡工作(包括Inbound和OutBound流量的优化)。
2、 虚拟路由组及IP地址设计
在此方案路由设计中,我们将在两台主备LinkProof上配置4个VRRP组,分别为电信ISP VRRP组(VR ID 10)、网通ISP VRRP组(VR ID 20)、办公外网VRRP组(VR ID 100)和家属区VRRP组(VR ID 200)。其中电信和网通ISP的VRRP组地址使用8位公网互连地址,办公外网和家属区VRRP组使用29位掩码的私网互连地址(分别用于主LinkProof VLAN地址、备LinkProof VLAN地址、LinkProof冗余组虚拟IP地址、主防火墙接口IP地址、备防火墙接口IP地址和防火墙冗余组虚拟IP地址。)。
LinkProof上配置两条回指路由,分别指向办公区和家属区,下一跳地址分别为办公区防火墙HA组和家属区防火墙HA组的虚拟IP。而两个防火墙HA组的默认路由均指向LinkProof上设置的所属VRRP VIP。
3、 冗余线路切换
由于在此方案中使用了“口”字型冗余,在此将对“口”字型冗余组中的设备切换进行讨论。
在办公区防火墙HA组和LinkProof的“口”字型冗余组中,当办公区防火墙B-FW1出现设备故障或线路1出现中断,B-FW2不能收到B-FW1的存在信号,则促发设备切换,B-FW2成为主防火墙,而LinkProof ASI和LinkProof ASII上与办公区防护墙相连端口及LinkProof之间的两个互连端口均属于同一个VLAN,因此数据流向为B-FW2 ―― LinkProof ASI ―― LinkProof 。同理,当家属区防火墙J-FW1出现设备故障或线路2出现中断时,数