金盾串聯(lián)配置案例201001A.doc

中新金盾串聯(lián)配置案例版本號：201001A金盾DDOS串聯(lián)工作方式和舉例說明串聯(lián)單機部署根據(jù)上面的拓?fù)鋱D，從核心路由器接入光纖線到金盾抗拒絕服務(wù)系統(tǒng)進口， 金盾抗拒絕服務(wù)系統(tǒng)出口接入到下層核心交換機；由于金盾抗拒絕服務(wù)系統(tǒng)以透明網(wǎng)橋模式接入現(xiàn)有網(wǎng)絡(luò)，所以不需更改用戶網(wǎng)絡(luò)的任何設(shè)置。外網(wǎng)進來的流量通過核心路由器到達到金盾抗拒絕服務(wù)系統(tǒng)的進口，由金盾抗拒絕服務(wù)系統(tǒng)對流量進行深層的檢測，預(yù)先對入侵活動和攻擊性網(wǎng)絡(luò)流量進行攔截,執(zhí)行過濾后，將流量由出口轉(zhuǎn)發(fā)到下層網(wǎng)絡(luò)中。串聯(lián)集群部署單臺金盾抗拒絕服務(wù)系統(tǒng)在無法處理更大流量的情況下，可使用金盾的集群方案，如上圖所示拓?fù)?，核心交換機有四根線與金盾抗拒絕服務(wù)系統(tǒng)相連，接入到金盾抗拒絕服務(wù)系統(tǒng)的進口，每個出口集中連接到下層的交換機上，與金盾抗拒絕服務(wù)系統(tǒng)相連的上下層交換機分別做端口匯聚，實現(xiàn)流量負(fù)載均衡，讓流量平均分配到每臺金盾抗拒絕服務(wù)系統(tǒng)來處理，數(shù)據(jù)回應(yīng)時所走的路線可能和進來時不一樣，為了實現(xiàn)金盾抗拒絕服務(wù)系統(tǒng)對此連接信息的共享，及更為高效的處理流量，每臺金盾抗拒絕服務(wù)系統(tǒng)之間還需要同步信息，通過心跳線接入到單獨的一臺交換機上，從上圖可以看到，這是必須的。關(guān)于交換機的端口匯聚，由用戶自行設(shè)置，支持PAGP,LACP，負(fù)載均衡要求使用SRC_DST_IP模式。雙機熱備接入拓?fù)淙缟蠄D所示拓?fù)?，從核心交換機接入兩根線到每臺金盾抗拒絕服務(wù)系統(tǒng)的進口，出口分析接到下層交換機上。交換機做好主備模式設(shè)置，金盾抗拒絕服務(wù)系統(tǒng)之間使用心跳線同步金盾抗拒絕服務(wù)系統(tǒng)信息。在此種工作模式下，金盾抗拒絕服務(wù)系統(tǒng)其中一臺處理備份模式，另一臺處理激活模式，處于激活模式的才會處理流量，當(dāng)條線路出現(xiàn)故障，金盾抗拒絕服務(wù)系統(tǒng)通過心跳線通知自身即將切換到備份模式，而另一臺金盾抗拒絕服務(wù)系統(tǒng)收到通知后，將自身由備份模式切換到激活模式，處理線路上的流量。至于在線路出現(xiàn)故障后，流量的路由需要交換機來設(shè)定。雙機熱備模式金盾抗拒絕服務(wù)系統(tǒng)配置說明如上圖所示：進入 系統(tǒng)配置，集群參數(shù) ，可以看到激活模式和備份模式，當(dāng)金盾抗拒絕服務(wù)系統(tǒng)接入好網(wǎng)絡(luò)后，設(shè)置其中一臺為激活模式，另一臺為備份模式，這樣當(dāng)主線路激活模式產(chǎn)品出現(xiàn)故障，數(shù)據(jù)自動切換到備份線路。舉例說明交換機與金盾抗拒絕服務(wù)系統(tǒng)的集群實現(xiàn)命令配置上圖金盾抗拒絕服務(wù)系統(tǒng)有四臺，分別為1號，2號，3號，4號。交換機聚合配置(注：此為上層交換機配置，下層交換機做類似設(shè)置，不同廠商不同型號的交換機聚合命令不同，請詳細(xì)查看交換機說明書等。)Switch(config)# interface GigaEthernet0/1配置接口GigaEthernet0/1Switch(config-if)# switchport mode trunk設(shè)置為二層trunk模式Switch(config-if)# channel-group 1 mode on加入聚合組1聚合模式為手動模式Switch(config-if)# no shutdown開啟接口Switch(config)# Switch(config)# interface GigaEthernet0/2配置接口GigaEthernet0/1Switch(config-if)# switchport mode trunk設(shè)置為二層trunk模式Switch(config-if)# channel-group 1 mode on加入聚合組1聚合模式為手動模式Switch(config-if)# no shutdown開啟接口Switch(config)# Switch(config)# interface GigaEthernet0/3配置接口GigaEthernet0/1Switch(config-if)# switchport mode trunk設(shè)置為二層trunk模式Switch(config-if)# channel-group 1 mode on加入聚合組1聚合模式為手動模式Switch(config-if)# no shutdown開啟接口Switch(config)# Switch(config)# interface GigaEthernet0/4配置接口GigaEthernet0/1Switch(config-if)# switchport mode trunk設(shè)置為二層trunk模式Switch(config-if)# channel-group 1 mode on加入聚合組1聚合模式為手動模式Switch(config-if)# no shutdown開啟接口Switch(config)#金盾抗拒絕服務(wù)系統(tǒng)集群配置如上圖所示，需要在金盾抗