基于防火墙的双出口路由策略的设计与实现 .pdfVIP

基于防火墙的双出口路由策略的设计与实现

崔萌;于承斌

【摘要】根据校园网双出口的接入实际,设计并实现一种基于防火墙的双出口路由

策略.分析原有网络接入现状.指出优化出口路由的必要性,提出了基于防火墙的双出

口路由优化策略,利用静态路由与NAT技术,均衡双出口流量.最终给出接口与区域、

NAT转换与路由通信以及防火墙日志记录等的配置过程,实现了该优化策略.这种策

略可以广泛应用到校园网的双出口路由中,并能实现高速访问、安全稳定的良好效

果.

【期刊名称】《计算机系统应用》

【年(卷),期】2010(019)006

【总页数】4页(P131-134)

【关键词】路由;防火墙;网络地址转换

【作者】崔萌;于承斌

【作者单位】泰山医学院现代教育技术中心,山东,泰安,271016;泰山医学院现代教

育技术中心,山东,泰安,271016

【正文语种】中文

为了提高校园网出口的网络访问速度、减少访问国际流量的费用和提供出口冗余，

目前很多高校的校园网都拥有双出口乃至多出口,一般是既有中国教育科研网出口,

又有当地运营商的网络出口。出于安全性、负载均衡、实现技术以及访问速度等的

需要[1]，充分应用已有网络设备，合理设计与规划路由策略，才能充分利用双出

口的带宽，实现链路与设备的冗余备份与网络的高速访问。

1我校网络接入现状与问题的提出

校园网最早大多采用单一的CERNET出口接入。尽管接入CERNET的带宽从2M、

34M、100M提高到了1G，但访问CERNET以外的资源速度仍然很慢，这与

CERNET与其他ISP的连接带宽以及相互之间路由设置的大环境有关，而且通过

CERNET访问的国际流量费用昂贵，因此大多高校也租用了当地ISP网通的链路

为第二出口。作为节点，考虑安全问题，而且为另一所高校金融学院的提供到

CERNET接入，最初我们采用的策略是直接在路由器上做简单的默认路由与静态

路由[2]，以使访问公网的流量走ISP的链路，访问CERNET的流量走CERNET出

口。具体的网络拓扑如图1(图示与配置示例中均使用虚地址)。

图1原出口路由拓扑图

相关的路由配置如下：

如上的路由策略确实启用了两条链路，并且ISP线路分担了网络的国际流量，不

用按照公安管理部门的要求存留两个月的访问日志，但是此策略并没有提高网络访

问的速度。因为ISP没有直接回指的路由，故访问后返回的应答内容经ISP的层

层路由最终被指向ISP与CERNET对接的路由后，再由CERNET的路由线路回指

回来，所以访问公网的内容要绕一大圈后再经教育网线路回来，由于路由的增多与

CERNET带宽的限制，不仅没有加快访问速度，反而使得网速更慢；同时也没有

起到两条线路相互备份的作用，事实上，任何一条线路断开，访问都将受到影响，

如CERNET线路断开，所有网络均不能访问。因此，采取新的优化的出口路由策

略势在必行。

2利用防火墙及其NAT技术优化的双出口路由策略

根据以上实际情况，要充分利用ISP出口，使访问公网的请求仍从公网返回，考

虑本地ISP不会为CERNET分配的IP地址提供接入路由，故采用

NAT(NetworkAd-dressTranslation网络地址转换)技术解决此问题则能取得较好

的效果。NAT是一个IETF标准，是为了解决IPv4网络地址空间不足而产生的一

项技术，它允许一个整体机构以一个公用IP地址出现在Internet上，实质是一种

把内部IP地址翻译成这个公用IP地址的技术[3]。在此方案中，我们选择静态

NAT，将校园网的每个IP永久映射为ISP提供的合法IP地址，并由防火墙具体实

现NAT转换，形成访问公网的流量NAT到ISP出口流出，再从该线路返回流入，

从而减少层层的路由指向与带宽瓶颈等束缚。而访问CERNET的请求数据包则作

策略路由，走CERNET出口。考虑为另一高校金融学院提供到CERNET的网络接

入，则把校园网从防火墙出来的链路与金融学院一起通过路由器连接到CERNET。

同时，利用防