双链路接入(双出口)isp运营商（负载分担）

USG作为校园或大型企业出口网关可以实现内网用户通过两个运营商访问Internet，并保护内网不受网络攻击。

组网需求

某学校网络通过USG连接到Internet，校内组网情况如下：

校内用户主要分布在教学楼和宿舍区，通过汇聚交换机连接到USG。

学校分别通过两个不同运营商（ISP1和ISP2）连接到Internet，两个运营商分别为该校分配了4个IP地址。ISP1分配的IP地址是200.1.1.1～200.1.1.4，ISP2分配的IP地址是234.1.1.1～234.1.1.4，掩码均为24位。

该学校网络需要实现以下需求：

图1 出口网关双链路接入不同运营商举例二组网图

ISP1分配给学校的IP地址 200.1.1.1～200.1.1.3，掩码24位。

其中200.1.1.1用作USG的出接口地址，200.1.1.2和200.1.1.3用作Trust-ISP1域间的NAT地址池1的地址。

ISP2分配给学校的IP地址 234.1.1.1～234.1.1.3，掩码24位。

其中234.1.1.1用作USG的出接口地址，234.1.1.2和234.1.1.3用作Trust-ISP2域间的NAT地址池2的地址。

为了实现校园网内多个用户使用有限公网IP地址接入Internet，需要配置NAPT方式的NAT，借助端口将多个私网IP地址转换为有限的公网IP地址。

由于校园网连接两个运营商，因此需要分别进行地址转换，将私网地址转换为公网地址。即创建两个安全区域ISP1和ISP2，并分别在Trust-ISP1域间、Trust-ISP2域间配置NAT策略。

为了实现去往不同运营商的流量由对应接口转发，需要收集ISP1和ISP2所属网段的信息，并配置到这些网段的静态路由。使去往ISP1的流量通过连接ISP1的接口转发，去往ISP2的流量通过连接ISP2的接口转发。

为了实现宿舍区用户通过运营商ISP1访问Internet,教学楼用户通过运营商ISP2访问Internet，需要配置策略路由。

为了提高链路的可靠性，避免业务中断，即当一条链路出现故障时，流量可以被及时切换到另一条链路上，需要配置IP-Link和两条优先级相同的默认路由。

在USG上启用攻击防范功能，保护校园网内部网络。

# 将GigabitEthernet 0/0/1接口加入Trust安全区域

# 创建安全区域ISP1，并将GigabitEthernet 0/0/2接口加入ISP1。

# 创建安全区域ISP2，并将GigabitEthernet 0/0/3接口加入ISP2。

2.配置域间包过滤及ASPF功能，对校内外数据流进行访问控制。

# 配置Trust-ISP1的域间包过滤，允许校内用户访问ISP1。

# 配置Trust-ISP2的域间包过滤，允许校内用户访问ISP2。

# 在域间开启ASPF功能，防止多通道协议无法建立连接。

3.配置NAT策略，使内网用户通过转换后的公网IP地址访问Internet。

# 配置应用于Trust-ISP1域间的NAT地址池1。地址池1包括ISP1提供的两个IP地址200.1.1.2和200.1.1.3。

# 配置应用于Trust-ISP2域间的NAT地址池2。地址池2包括ISP2提供的两个IP地址234.1.1.2和234.1.1.3。

# 在Trust-ISP1域间配置NAT策略，将校内用户的私网IP地址转换为ISP1提供的公网IP地址。

# 在Trust-ISP2域间配置NAT策略，将校内用户的私网IP地址转换为ISP2提供的公网IP地址。

4.配置IP-Link、多条静态路由和两条缺省路由，实现网络的双出口特性和链路的可靠性。配置链路可达性检查后，当发现该链路不可达时，则选择另一条链路可达的路由。

# 配置IP-Link，并使用ICMP报文进行链路检测。

# 配置两条缺省路由并绑定IP-Link，当报文无法匹配静态路由时，通过缺省路由发送给下一跳。

5.配置策略路由功能，使来自宿舍区用户（10.1.1.2～10.1.1.100）和教学楼用户（10.1.1.101～10.1.1.254）访问Internet的报文分别通过不同接口转发。

a.配置流分类。

# 创建地址集ispa和ispb，分别包括访问Internet的报文默认由ISP1链路转发和由ISP2链路转发的源地址段。

# 创建ACL 3001和3002，分别允许源地址集ispa和ispb。

b.定义5号节点和10号节点，使地址集ispa中的源地址访问Internet下一跳地址为200.1.1.4，地址集ispb中的源地址访问Internet下一跳地址为234.1.1.4

c.在接口GigabitEthernet 0/0/1中应用策略路由。

6.配置攻击防范功能，保护校园网络。

请根据网络实际情况开启攻击防范功能和调整报文速率阈值，本例中配置的攻击防范功能仅供参考。

# 开SYN Flood、UDP Flood和ICMP Flood攻击防范功能，并限制每条会话允许通过的ICMP报文最大速率为5包/秒。

2.在双链路均可达的情况下，来自宿舍区的用户访问Internet报文经USG转发后应全部流入链路ISP1，来自教学楼的用户访问Internet报文经USG转发后应全部流入链路ISP2。

# 执行命令display ip-link，应查看到IP-Link状态均为Up。

3.在其中一条故障的情况下，USG应查找备份路由，将报文转发到另一条链路上。以当链路ISP1出现故障时为例进行说明。来自宿舍区的用户访问Internet报文经USG转发后全部流入链路ISP2。

# 执行命令display ip-link，应查看到通往ISP2链路状态均为Up，通往ISP1链路状态为Down。

4.通过在网络中操作，检查业务是否能够正常实现。

# 在宿舍区内的一台主机上，访问ISP1所属网段的一台服务器（IP地址为200.1.2.3），通过执行命令display firewall session table，可以看到私网IP地址转换成了ISP1的公网IP地址。

# 在教学楼内的一台主机上，访问ISP2所属网段的一台服务器（IP地址为234.1.2.3），通过执行命令display firewall session table，可以看到私网IP地址转换成了ISP2的公网IP地址。

5.执行命令display current-configuration | include firewall defend，可以检查攻击配置的防范功能。

USG配置脚本：