SANGFOR NGAF 2012年度渠道初级认证培训03_防火墙功能介绍20111116_ZJ

SANGFOR AC部署模式介绍
• 网桥模式_2种类型
1、网桥多网口：网桥多网口是指设备只做一个网桥，但内外网口不是一一对应 的，可能内网口需要接多个网口，也可能外网口需要接多个网口，各个网口 之间的数据都可以设置转发，设备的ARP表只维持一份。
2、多网桥是指一台设备可以做多个网桥，相当于多个交换机，和网桥多网口的 区别是：设备的ARP表维持多份；内外网口是一一对应的；网口属于同一个 网桥才能进行数据转发，不同网桥接口之间的数据不能转发。
典型部署模式与配置
Байду номын сангаас
路由 模式
网桥 模式
旁路 模式
典型部署模式与配置
➢ 路由模式_部署指导
1、首选需要了解客户的实际需求，客户是否必须要用到AC的VPN、 NAT（代理上网和端口映射）、DHCP这几个功能。如果客户网络中 已经有其它设备实现了这些功能或者是客户根本用不到这些功能则应 首先考虑网桥模式部署。
2、客户新规划建设的网络中来部署AC，相当于一个全新的网络规划， 客户想把AC当作一台防火墙部署在出口上，可以部署成为路由模式。
3、客户网络中原有防火墙或者路由器了，出于某方面的原因想用AC替 换掉原有出口的防火墙或者路由器。
典型部署模式与配置
WAN：拨号\固定IP\DHCP
IP:192.168.1.1/24
SANGFOR AC部署模式介绍
• 网桥模式_简介
1、AC以网桥模式部署时对客户原有网络基本没有改动，不需要更改客户原 有的网络设备配置。 2、网桥模式时AC不支持NAT（代理上网和端口映射）、VPN、DHCP功能， 除此之外AC的其它功能如URL过滤、流控等其它功能均可实现。 3、网桥模式部署AC时，对客户来说是个透明的设备，如果因为AC自身的原 因而导致网络中断时可以开启硬件bypass功能，即可恢复网络通信。 4、网桥模式部署时AC支持硬件bypass功能（其它模式部署均没有支持bypass 功能的说法。

SANGFORACXX年度渠道初级认证 培训02设备部署XX
典型部署模式与配置
路由 模式
网桥 模式
旁路 模式
SANGFORACXX年度渠道初级认证 培训02设备部署XX
典型部署模式与配置
➢ 路由模式_部署指导
1、首选需要了解客户的实际需求，客户是否必须要用到AC的VPN、 NAT（代理上网和端口映射）、DHCP这几个功能。如果客户网络中 已经有其它设备实现了这些功能或者是客户根本用不到这些功能则应 首先考虑网桥模式部署。
SANGFORACXX年度渠道初级认证 培训02设备部署XX
SANGFOR AC部署模式介绍
• 网桥模式_简介
1、AC以网桥模式部署时对客户原有网络基本没有改动，不需要更改客户原 有的网络设备配置。 2、网桥模式时AC不支持NAT（代理上网和端口映射）、VPN、DHCP功能， 除此之外AC的其它功能如URL过滤、流控等其它功能均可实现。 3、网桥模式部署AC时，对客户来说是个透明的设备，如果因为AC自身的原 因而导致网络中断时可以开启硬件bypass功能，即可恢复网络通信。 4、网桥模式部署时AC支持硬件bypass功能（其它模式部署均没有支持bypass 功能的说法。
策略路由应用举例
配置步骤：
1. 首先设置网络接口及代理上网（上一章节及防火墙 功能培训PPT中有介绍，此 处不再累述） 2. [网络配置]－[策略路由]，点击新增，如下图：
源地址即访问网上 银行的地址，这里 是内网所有用户，
可以选择所有IP
SANGFORACXX年度渠道初级认证 培训02设备部署XX
客户需要访问某网上银行，地址 是58.56.133.32，访问协议是 HTTPS，网上银行会校验源IP地 址，如果同一连接中的源IP发生 了改变，网上银行会断开连接， 导致无法访问。

选择虚拟IP的调度策略，需要注意 设备收到不存在域名的查询请求的时候，将该请 的是选择静态就近性需要在【智能 求转至【DNS代理】模块处理。 DNS】-【静态就近性】处设置规则， 通过该功能，可实现代理外网用户的DNS请求。 否则静态就近性不生效
SANGFOR AD配置方法与截图
服务器负载配置
自定义名称 名称自定义 当节点池使用 Cookie、HTTP Header、Radius会 设置会话保持方式，本案 话保持或者节点池选择的哈希 URI和HOST调度 新建一个IP组， IP组包 备用会话保持仅仅针对非Cookie 例中选择 Cookie 会话保持 算法，则选择七层模式，其他情况选择四层模式。 含外网线路的两个IP 和SourceIP类型的会话保持可选 配置完成 Cookie名称自定义
，不同运营商的用户返回不同的地址，联通用户能
从联通链路访问到服务器，电信用户从电信访问。 其他运营商自动选择最快链路访问。 2.如果某条链路异常，自动切换到正常链路
3.如果某台服务器异常，自动切换到其他正常的服
务器
部署前网络环境
智能DNS与虚拟服务典型案例及配置
SANGFOR AD解决方案
1.用SANGFOR AD入站链路负载功能，启用 智能DNS，从而实现智能DNS解析，联通用
智能DNS与虚拟服务典型案例及配置
用户网络环境与需求
用户环境： 某用户线路1电信100M，线路2联通100M，内网 有2台服务器提供80端口的同一WEB服务，目前通
过防火墙做映射进去访问。
用户需求： 1.用户已经从域名服务商注册域名 希望通过域名访问到内部WEB服务器
192.168.2.11。
6.新建一个虚拟服务，将服务、IP组、节点池关联起来即可。

网桥模式部署案例与配置
网桥模式下注意事项：
网桥模式只支持服务器负载，不支持链路负载 AD暂不支持多进多出模式的桥，桥的网口不区别进 出方向，不分LAN区，WAN区
专业务实
学以致用
旁路模式部署案例与配置
旁路模式部署案例一
用户需求： 不希望改变原来的网络拓扑结构,内 网多台服务器要做服务器负载。 此需求可以选择旁路或者网桥模式部 署。 网络环境：
专业务实
学以致用
问题思考
请说出AD有哪几种部署模式？几种 部署模式之间有什么区别？ AD设备MANAGE口的默认IP地址是 什么？ AD网桥模式部署用了NET1和NET2 口，如下图，请问应该如何接线？
专业务实
学以致用
专业务实
学以致用
启用远程维护
专业务实
学以致用
旁路模式部署案例与配置
WAN口开启PING的方法：
AD设备默认情况下新建的WAN口（旁路模式也一样）是无法PING通的，如果要让用
户能PING通WAN口，则需要在网络安全处勾选“启用WAN网卡的入站路由转发”。
启用该设置远程 维护会强制启用
专业务实
学以致用
练练手
某用户网络拓扑如图所示，用户需要 使用AD来实现入站链路负载和服务器 负载，请参考旁路模式部署章节配置 好并且上架（负载部分不需要配置）
专业务实
学以致用
AD部署模式介绍
旁路模式介绍
旁路典型拓扑图1介绍：
旁路模式部署不需要改动原有的网络结构。
该拓扑环境下通过AD设备实现服务器负载均 衡功能。
AD设备旁路模式部署时，必须连接WAN口
类型的接口到局域网交换机。同时WAN口可 以和服务器IP地址在同一网段，如果不在同