华为中小型园区分支出口综合配置举例资料

小型园区组网网络配置一、配置管理IP和Telnet1.配置管理IP地址。

<HUAWEL> system-view //创建交换机管理VLAN5[HUAWEI] vlan 5[HUAWEI-VLAN5] management-vlan [HUAWEI-VLAN5] quit [HUAWEI] Interface vlanif 5 [HUAWEI-vlanif5] ip address 10.10.1.1 24[HUAWEl-vlanifS] quit2.将管理接口加入到管理VLAN[HUAWEI] interface GigabitEtheret 0/0/8 //假设连接网管的接口为GigabitEthernet 0/0/8 [HUAWEI-GigabitEthernet0/0/8] port link-type trunk[HUAWEI-GigabitEthernet0/0/8] port trunk allow-pass vlan 5[HUAWEI-GigabitEthernet0/0/8] quit 配置Telnet。

3.[HUAWEI] telnet server enable //Telnet出厂时是关闭的[HUAWEI] user-interface vty 04 //Telnet常用于设备管理员登录, 推荐使用AAA认证[HUAWEI-ui-vty0-4] protocol inbound telnet[HUAWE-ui-vty0-4] authentication-mode aaa[HUAWEl-ui-vty0-4] idle-timeout 15[HUAWEI-ui-vty0-4] quit [HUAWEI] aaa[HUAWEI-aaa] local-user admin password irrev ersible-cipher Helloworld@6789 //配置管理员Telnet登录交换机的用户名和密码。

2.1 中小型园区/分支出口综合配置举例园区网出口简介园区网出口一般位于企业网内部网络与外部网络的连接处，是内部网络与外部网络之间数据流的唯一出入口。

对于中小型企业来说，考虑到企业网络建设的初期投资与长期运维成本，一般希望将多种业务部署在同一设备上。

企业网络用户一般同时需要访问Internet和私网VPN，而对于中小型企业来说考虑到建设及维护成本问题，一般租用运营商Internet网络组建私网VPN。

对于部分可靠性要求较高的园区网络，一般考虑部署两台出口路由器做冗余备份实现设备级可靠性，同时应用链路聚合、VRRP、主备路由等技术保证园区出口的可靠性。

华为AR系列路由器配合华为S系列交换机是中小型园区网出口设备的理想解决方案。

•区出口设备需要具备NAT Outbound及NAT Server的功能，实现私网地址和公网地址之间的转换，以满足用户访问Internet或者Internet用户访问内网服务器的需求。

•园区出口设备需要具备通过Internet构建私网VPN的功能，以满足企业用户各个机构之间私网VPN互通的需求•园区出口设备需要具备数据加密传输的功能，以保证数据的完整性和机密性，保障用户业务传输的安全•中小型园区出口需要具备可靠性、安全性、低成本、易维护等特点。

配置注意事项•本配置案例适用于中小型企业园区/分支出口解决方案。

•本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为S系列园区交换机快速配置中的“中小园区组网场景”。

组网需求某企业总部和分支分别位于不同的城市，地域跨度较远，总部存在A、B两个不同的部门，分支只有一个部门。

现在需要建设跨地域的企业园区网络，需要实现的需求如下：•总部和分支都需要实现用户访问Internet的需求。

总部划分为A、B两个部门，其中A 部门的用户可以访问Internet，但是B部门的用户不能访问Internet；分支所有用户都可以访问Internet。

2综合配置案例关于本章2.1 中小型园区/分支出口综合配置举例2.2 大型园区出口配置示例（防火墙直连部署）2.3 大型园区出口配置示例（防火墙旁路部署）2.4 校园敏捷网络配置示例2.5 轨道交通承载网快速自愈保护技术配置举例2.6 配置交换机上同时部署ACU2和NGFW的示例2.1 中小型园区/分支出口综合配置举例园区网出口简介园区网出口一般位于企业网内部网络与外部网络的连接处，是内部网络与外部网络之间数据流的唯一出入口。

对于中小型企业来说，考虑到企业网络建设的初期投资与长期运维成本，一般希望将多种业务部署在同一设备上。

企业网络用户一般同时需要访问Internet和私网VPN，而对于中小型企业来说考虑到建设及维护成本问题，一般租用运营商Internet网络组建私网VPN。

对于部分可靠性要求较高的园区网络，一般考虑部署两台出口路由器做冗余备份实现设备级可靠性，同时应用链路聚合、VRRP、主备路由等技术保证园区出口的可靠性。

华为AR系列路由器配合华为S系列交换机是中小型园区网出口设备的理想解决方案。

l园区出口设备需要具备NAT Outbound及NAT Server的功能，实现私网地址和公网地址之间的转换，以满足用户访问Internet或者Internet用户访问内网服务器的需求。

l园区出口设备需要具备通过Internet构建私网VPN的功能，以满足企业用户各个机构之间私网VPN互通的需求。

l园区出口设备需要具备数据加密传输的功能，以保证数据的完整性和机密性，保障用户业务传输的安全。

l中小型园区出口需要具备可靠性、安全性、低成本、易维护等特点。

配置注意事项l本配置案例适用于中小型企业园区/分支出口解决方案。

l本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为S 系列园区交换机快速配置中的“中小园区组网场景”。

组网需求某企业总部和分支分别位于不同的城市，地域跨度较远，总部存在A、B两个不同的部门，分支只有一个部门。

华为Agile Controller 方案概述移动办公、BYOD、WLAN的基本特征就是作为信息消费者的用户终端，物理位置变得不固定，这对传统以手工静态配置为核心的传统网络形成了挑战：1. 不同的位置、不同的终端，如何保证一致的用户办公体验？让用户感觉不到位置的差异？2. 如何动态配置用户的权限、安全、QoS优先级等网络策略？传统的固定网络用户可以跟一个物理端口绑定，策略是管理员手工配置到离用户最近的网络设备上的，当用户位置不固定时，我们不能要求网络管理员通过手工配置去适应每个人位置的变化。

这就要求网络需要具备动态分配资源和部署策略的能力，网络资源需要跟着用户走。

3. 网络安全如何部署？传统的网络安全泄漏点主要是在企业到互联网的边界，很多企业也都把防火墙等安全设备部署到这个边界位置进行防护。

但移动性的引入，以及网络攻击手段的发展，使得安全防护失去了边界：Wi-Fi、移动终端、远程办公引入了大量的新的安全泄漏点，以及内部攻击手段(病毒/木马/APT 攻击)的出现，都让传统的边界防护手段彻底失效。

敏捷控制器（Agile Controller）是华为面向企业市场发布的下一代网络解决方案敏捷网络的核心部件，全面覆盖敏捷园区、敏捷分支、敏捷广域、敏捷数据中心各种应用场景，实现从接入到数据中心端到端联接的应用策略控制。

Agile Controller应用SDN集中化控制原则，以业务体验为中心，基于用户和应用动态调配全网资源，实现网络与安全资源跟随用户自由移动，让网络更敏捷地为业务服务。

产品特点以业务体验为中心重新定义网络从以前关注技术、设备、连通性，到关注用户、业务、体验；从以前手工配置，到用自然语言规划和自动部署。

•将SDN集中化控制思想引入园区，动态调配整个园区的网络与安全资源，让资源跟随用户移动，实现业务随行。

•可灵活调整全网权限、QoS、安全等策略，大大缩短新业务开通或网络扩容周期，适应越来越快的业务变化需要。

1 大型园区出口配置示例（防火墙旁路部署）1.1 配置注意事项●本举例中的交换机以华为公司的S系列框式交换机为例、防火墙以USG系列为例、路由器以NE系列为例。

●本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为S系列园区交换机快速配置中的“大型园区组网场景”。

●本例仅涉及防火墙与交换机的对接配置以及防火墙的双机热备配置。

防火墙上的安全业务规划及园区安全策略、攻击防范、带宽管理、IPSec等功能的配置示例请参见《防火墙配置案例集》。

●本例仅涉及园区出口路由器与交换机的对接配置。

路由器在公网侧的配置示例请参见NE系列路由器《配置指南》。

1.2 组网需求在大型园区出口，核心交换机上行通过路由器访问外网。

防火墙旁挂于核心交换机，对业务流量提供安全过滤功能。

为了简化网络并提高可靠性，在核心层交换机通常部署集群。

在防火墙上部署双机热备（主备模式），当其中一台故障时，业务可以平滑切换到另一台。

核心交换机双归接入2台出口路由器，路由器之间部署VRRP确保可靠性。

为提高链路可靠性，在核心交换机与出口路由器之间，核心交换机与防火墙之间，2台防火墙之间均通过Eth-Trunk互连。

如下图所示。

图1-1园区出口组网图（防火墙旁挂，双机热备）在一般的三层转发环境下，园区内外部之间的流量将直接通过交换机转发，不会经过FW1或FW2。

当流量需要从交换机转发至FW，经FW检测后再转发回交换机，就需要在交换机上配置VRF功能，将交换机隔离成两个相互独立的虚拟交换机VRF-A和根交换机Public。

Public作为连接出口路由器的交换机。

对于下行流量，它将外网进来的流量转发给FW 进行检测；对于上行流量，它接收经FW检测后的流量，并转发到路由器。

VRF-A作为连接内网侧的交换机。

对于下行流量，它接收经FW检测后的流量，并转发到内网；对于上行流量，它将内网的流量转发到FW去检测。

根据上图中的流量转发路径可以将上图转换成如下所示的更容易理解的逻辑组网图。

FusionModule800 产品简介FusionModule800是面向于边缘计算和分支网点的小型模块化数据中心解决方案。

该方案通过高集成度的设计方式，一体化集成配电、UPS 、监控、制冷、机柜和灭火模块（可选）等系统，可大幅节省数据中心占地面积，为用户打造“一排一DC ”的极简数据中心。

FusionModule800采用工厂预测试、预安装、预调试的方式，核心部件工厂预装，现场即插即用，快速部署。

同时，搭配华为移动智能管理APP ，轻松实现机房远程运维。

产品简介•金融（支行及大型营业网点）、政府、教育、医疗、交通、能源、中小企业、商业零售、运营商营业网点等•室内场景应用场景极简•所有部件工厂预制，现场只需简单并柜，4小时完成硬件搭建，2天实现业务上线•支持柜内灭火模块*，即插即用更便捷绿色•冷电控一体化设计，节省占地2~3柜•密闭冷热通道设计，防尘降噪，高效制冷智能•支持面部识别，免密码登录，免钥匙开门•内置智能电表，支持电量统计和PUE 显示*•支持移动智能管理* ，远程专业运维安全•轻载除湿技术，10%负载时可靠除湿，避免机房凝露•支持自动弹开门，高温时自动弹开，辅助散热产品特点*：选配功能FusionModule800分解图指示灯配电模块UPS 监控模块温控通道弹门装置（后）弱电线槽（选配）摄像头（选配）弹门装置（前）玻璃门10寸触摸屏强电线槽（选配）FusionModule800场景图250mmIT 柜IT 柜PDU UPS 监控温控IT 柜IT 柜IT 柜温控IT 柜IT 柜电池密闭热通道密闭冷通道1100mm技术参数版权所有©华为数字能源技术有限公司2021。

保留一切权利。

非经本公司书面同意，任何单位和个人不得擅自摘抄、复制本手册内容的部分或全部，并不得以任何形式传播。

备注：1.BC3L 、BC5L ：UPS 支持无冗余和N+1冗余两种模式运行。

2.BC2L 、BC4L ：UPS 可支持2N 配电模式或连续制冷。