配置双链路互联网连接.pdfVIP

配置双链路互联网连接

用两条链路接入互联网有两种情况：冗余和负载均衡。这两种情况

可以单独部署也可以联合使用。如下表：

冗余负载均衡

序号

1是否

2否是

3是是

环境介绍：

所有运行FortiOS2.8及以上版本的FortiGate设备。

步骤：

在每种情况中必须配置适当的防火墙策略，让数据可以正常通过。

本文关心路由问题。

情况一：冗余

正常情况下只有一条链路承载数据，如果该链路断掉则备份链路开

始承载数据。

1，路由：

每条链路都需要配置一条默认路由，设置主链路的管理距离比备份

链路底，这样在路由表中只有主链路的路由。

2，链路失效检测（Ping服务器）：

链路失效检测可以检测到对端的链路是否正常。Ping服务器的地址

一般是下一跳或网关地址。可以在系统管理网络中编辑接口，配

置Ping服务器。

3，防火墙策略：

一般情况下，必须配置两条防火墙策略，保障一条链路断掉后另一

条会正常工作。

例如：InternalWAN1InternalWAN2。详情。

情况二：负载均衡

同时使用两条链路，这种情况会提高转发带宽，但没有链路失效恢

复的保障。

1，路由需求：

一条主链路的默认路由，用更详细的路由通过其他链路转发其他数

据。详细信息。

情况三：冗余和负载均衡

同时使用两条链路转发数据。在这种情况下一条链路断掉数据会全

部从另一条链路通过。

使用两条默认路由，且其管理距离相同。除了管理距离必须一样外，

这和情况一类似。这样做的结果是两条路由都可以在路由表中看到。

设定管理距离：

一般情况下在路由静态中设定。

如果是PPPoE接口需要在系统管理网络中编辑接口，在PPPoE

选项下设定管理距离，同时要勾上从服务器中重新得到网关。

确保一条链路总是转发数据：使用一条默认策略路由可以让一个接

口总是能访问互联网。

**警告当配置此策略时需要额外注意！**

当数据包匹配策略路由时，策略路由就会比路由表中其他所有路由

都优先（包括直连），即数据包会按策略路由执行。有时你可能要

加入更详细的策略路由，这些路由优先于默认的策略路由。策略路

由表示从上到下执行的。

让数据通过辅链路转发：为了提高辅助链路利用率，可以使用策略

路由，让一些数据通过辅链路转发，减轻主链路负载。

当配置策略路由时，最好只选择流出接口而不填写网关地址。这样

做可以确保在链路断掉时策略路由就不会有效。

特例：

1，同时监控两个WAN接口：

如果需要通过Ping两个WAN接口来证实两条链路都启用，就需要

将两条默认路由的管理距离设成一致。

2，通过虚拟IP路由数据包：

与虚拟IP关联的会话将采用特殊方式处理。

实例一：虚拟IP在非默认接口上

有一台FortiGate-60，默认路由的出口是WAN1，在WAN2口上

有一个虚拟IP，该虚拟IP指向DMZ中网站服务器。

在这种情况下，不需要针对该虚拟IP配置额外的静态路由或策略路

由。因为一条路由缓存已经告诉FortiGate设备，需要将路径返回哪

个接口。

实例二：冗余虚拟IP

有一台FortiGate-60，它的WAN1和WAN2都配置了一个虚拟IP，

它的DMZ接口连接网站服务器。

进方向的流量和实例一中讨论的结果一致。

出方向的流量会把服务器的IP改成两个虚拟IP中的一个，确定是

改成哪个虚拟IP需要看哪条链路的路由更优。

可以通过一条策略路由让出方向流量经指定端口流出。

关键字：冗余，负载均衡，策略路由，双链路介入互联网