S8016多ISP NAT解决方案

　　 

 

1         MILY: 黑体">多ISP简单组网举例

校园网内部用户走默认走教育网出接口，使用教育网提供的NAT地址池EduPool；当教育网出接口发生故障后，自动切换到电信出接口，使用电信提供的NAT地址池TelPool。

默认所有用户都走教育网出口访问inte.net，如果教育网出口down，则用户走电信出口。

配置两条静态路由：

ip route-static 0.0.0.0 0 202.119.36.1 preference  10

ip route-static 0.0.0.0 0 61.19.20.1 preference  20

 

对于用户如果走教育网出口，则使用EduPool；如果用户走电信出口，则使用TelPool：

nat-list 200 permit 10.10.0.0 0.0.255.255

nat-list 201 permit 10.20.0.0 0.0.255.255

nat address-group 0 slot 2 202.119.36.2 202.119.36.4 description EduPool

nat address-group 1 slot 2 61.19.20.2 61.19.20.4 description TelPool

 

int vlan 20

nat enable

nat bind list 200 address-group 0 slot 2

nat bind list 201 address-group 0 slot 2

 

int vlan 60

nat enable

nat bind list 200 address-group 1 slot 2

nat bind list 201 address-group 1 slot 2

 

2         多ISP复杂需求举例

如下图所示，S8016作为整个校园网的出口，担负整个校园网的地址转换工作。校园网共有两个出口，分别接教育网内部的路由器和电信网路由器。校园网内部采用公私网地址混合组网方式，有一些公网地址的服务器，不通过NAT变换，供外部用户直接访问。

需要进行NAT变换的用户从总体上分为教师和学生两个网段。对于学生来说，正常情况下从教育网出口出去，在教育网出口出现异常时自动切换到电信网出口。并且某些国外网段不允许学生访问。

对于教师来说，正常情况下从电信网出口出去，在电信网出口发生异常时自动切换到教育网出口。所有的地址均允许教师访问。

配置步骤

Vlan的配置这里不作说明。

#配置两条默认路由，分别通向教育网出口和电信网出口。教育网出口的路由优先级高于电信网出口。

[Quidway] ip route-static 0.0.0.0 0 202.119.36.1 preference  10

[Quidway] ip route-static 0.0.0.0 0 61.19.20.1 preference  20

# 配置两个公网地址池，分别使用教育网和电信网的地址

[Quidway] nat address-group 0 202.119.36.3 202.119.36.5 slot 2 description EduPool

[Quidway] nat address-group 1 61.19.20.3 61.19.20.5 slot 2 description TelPool

# 配置NAT访问控制列表

[Quidway] nat-list 200 permit 10.10.0.0 0.0.255.255

[Quidway] nat-list 201 permit 10.20.0.0 0.0.255.255

# 分别在两个出接口下配置地址池和NAT访问控制列表的绑定关系。

[Quidway-Vlanif50] nat bind list 200 address-group 0 slot 2

[Quidway-Vlanif50] nat bind list 201 address-group 0 slot 2

[Quidway-Vlanif60] nat bind list 200 address-group 1 slot 2

[Quidway-Vlanif60] nat bind list 201 address-group 1 slot 2

# 配置接口的nat enable状态。

[Quidway-Vlanif50] nat enable

[Quidway-Vlanif60] nat enable

# 由于教师默认从电信网出口出去，而电信网出口的路由优先级低于教育网出口，所以这里需要作策略路由（关于策略路由请参考《Quidway S8016路由交换机 操作手册 第二分册》），且从策略路由走时仍需要做NAT变换

[Quidway] rule-map intervlan ip_Teacher ip 10.10.0.0 0.0.255.255 any

[Quidway] flow-action redirect_to_Tel redirect ip 61.19.20.1 nat-enable

[Quidway] eacl eacl_Teacher ip_Teacher redirect_to_Tel

[Quidway] aclearcase/" target="_blank" >ccess-group eacl eacl_Teacher port gigabitethernet 4/0/0

# 限制学生对国外网段207.68.0.0/16、60.10.0.0/16的访问

[Quidway] rule-map intervlan Student1 ip 10.20.0.0 0.0.255.255 207.68.0.0 0.0.255.255

[Quidway] rule-map intervlan Student2 ip 10.20.0.0 0.0.255.255 60.10.0.0 0.0.255.255

[Quidway] eacl eacl_Student Student1 deny

[Quidway] eacl eacl_Student Student2 deny

[Quidway] access-group eacl eacl_Student port gigabitethernet 4/0/1

 

原文转自：http://www.ltesting.net