FortiGate之多鏈路負載均衡及冗余設(shè)定

1、多鏈路負載均衡及冗余 目錄1.目的: (32.環(huán)境拓撲: (33.鏈路負載均衡: (33.1 基于源IP的負載均衡 (43.2基于權(quán)重的負載均衡 (63.3基于出口流量閥值的負載均衡 (63.4 其他負載均衡 (73.5 策略路由 (74.鏈路冗余 (84.1 檢測服務(wù)器 (84.2管理距離與優(yōu)先級 (85.負載均衡與冗余 (96.參考 (91.目的:本文檔針對FortiG ate在具有兩條或兩條以上出口時的負載均衡及鏈路冗余配置進行說明。Fortigate在多鏈路可以支持不同方式的負載均衡,在鏈路負載均衡的同時,也可以實現(xiàn)鏈路的冗余。2.環(huán)境拓撲:本文使用FortiGate-VM 做演示。本

2、文支持的系統(tǒng)版本為FortiOS v4.0MR3 Patch2及更高。 該配置中使用FortiGate-VM1 模擬兩條WAN線路,通過FortiGate-VM2連接至外網(wǎng),實際環(huán)境可以據(jù)此參考。3.鏈路負載均衡:鏈路負載均衡功能需要為2個不同的出網(wǎng)接口分別配置一條默認路由,如果實現(xiàn)負載均衡,需要2條或多條靜態(tài)路由的管理距離以及優(yōu)先級保持一致。同時也需要保證配置內(nèi)網(wǎng)去往2條出口的策略。如果使用靜態(tài)路由的話可以把出網(wǎng)路由的管理距離配置成相等的,也就是等價路由。如果是ADSL、DHCP等動態(tài)獲取的網(wǎng)關(guān)的話可以把“從服務(wù)器中重新得到網(wǎng)關(guān)”選中同時將動態(tài)獲取的路由的管理距離配置即可。在默認路由已經(jīng)配置

3、完成的情況下,如果仍然有某些特定的數(shù)據(jù)流需要從指定的出口出網(wǎng)的話,可以使用策略路由功能來完成這樣的需求。策略路由的優(yōu)先級高于動態(tài)和靜態(tài)路由,按照從上到下的次序來匹配的。負載均衡包括三種模式:1.基于源IP的負載均衡;2.基于權(quán)重的負載均衡;3.基于出口流量閥值的負載均衡。 3.1 基于源IP的負載均衡基于源IP的負載均衡, 當路由表中有多個出網(wǎng)路由時,FortiGate設(shè)備會按內(nèi)置的算法實現(xiàn)負載均衡,這個算法不能被修改。這個算法是:假設(shè)路由表中有n條出網(wǎng)路由,則防火墻會將內(nèi)網(wǎng)源IP地址的最后一組數(shù)值除n取余,余1走第一條出網(wǎng)路由,余n-1走第n-1條出網(wǎng)路由,余0走第n條出網(wǎng)路由。本例的出網(wǎng)規(guī)

4、則是:,如果想讓某些IP走特定的接口需要策略路由來實現(xiàn)。 偶數(shù)IP走port3,如下圖 奇數(shù)IP走port4 3.2 基于權(quán)重的負載均衡 基于權(quán)重的負載均衡,FortiGate 將根據(jù)接口的權(quán)值來分配所有的會話。 那么 同一源的多個會話有可能被均勻的分配在多條鏈路上時,此時理論上可以起到帶 寬疊加的效果。 此例中,port3 不 port4 權(quán)值均為 50,意味 FortiGate 將平均分配會話在 2 個 接口上。如果希望更多的流量走 Port3,可以增加該接口的權(quán)值。 3.3 基于出口流量閥值的負載均衡 針對接口定義流量閥值,當出口流量,即上行流量達到指定閥值后,系統(tǒng)將切 換鏈路至另外一條

5、鏈路。目前 FortiGate 僅能基于出口流量進行切換。 北京市海淀區(qū)北四環(huán)西路 52 號中芯大廈 12 層 電話: (01062960376 3.4 其他負載均衡 另外一種情況,很多用戶希望通過根據(jù)相應(yīng)目的地來決定鏈路的選擇,例如對 指定電信的資源流經(jīng)電信出口訪問等?？梢酝ㄟ^設(shè)置多條靜態(tài)路由來實現(xiàn)。 以下為電信及聯(lián)通(原網(wǎng)通路由,(僅供參考使用,如用于生產(chǎn)網(wǎng)絡(luò)使用,請自 行核實后替換接口及網(wǎng)關(guān)地址使用！ 電信路由 網(wǎng)通路由 3.5 策略路由 在執(zhí)行負載均衡的同時,部分源 IP 希望從指定接口流出,這時需要用到策略 路由,通過定義策略路由,可以設(shè)定源及目標地址,當匹配該設(shè)定的流量從指定接 口

6、流出。 北京市海淀區(qū)北四環(huán)西路 52 號中芯大廈 12 層 電話: (01062960376 4.鏈路冗余 4.1 檢測服務(wù)器 路由-settings 可以設(shè)置網(wǎng)關(guān)檢測功能(Dead Gateway Dectection,分別在 2 個出網(wǎng)接口上配置 PING Server,告訴 FortiGate 可以通過 ping(也可以選擇 TCP 或 UDP 的 echo是否被響應(yīng)來確定線路是否仍然連通。Ping server 的配 置原則是:盡量配置成防火墻的網(wǎng)關(guān)(請先確認此網(wǎng)關(guān)允許被 ping， 在撥號環(huán)境中 同時確認網(wǎng)關(guān)地址丌會由于客戶端地址改變而發(fā)生改變。 當系統(tǒng)檢測到 5 個連續(xù) ICMP

7、包無回應(yīng)(可以修改默認值,則認為該鏈路已失 效,將該鏈路的默認路由從當前路由表中刪除,那么流量將重新負載在剩余的鏈路 上。 4.2 管理距離不優(yōu)先級 通過調(diào)整設(shè)備接口的管理距離,同樣可以用于鏈路冗余使用,當設(shè)置 2 條丌同 管理距離的路由時,僅管理距離較低的那條路由會出現(xiàn)在當前路由表中,即只有低 管理距離路由才會生效,當該路由失效后,高管理距離才會出現(xiàn)在當前路由表中, 北京市海淀區(qū)北四環(huán)西路 52 號中芯大廈 12 層 電話: (01062960376 此時無法實現(xiàn)流量負載均衡。 關(guān)于管理距離不路由優(yōu)先的詳細設(shè)置,請參考靜態(tài)路由的管理距離和優(yōu)先級。 5.負載均衡不冗余 負載均衡不冗余可以同時生效,即在配置好負載均衡的鏈路上啟用檢測服務(wù) 器即可,這樣既可以做到負載均衡,同時當鏈路失效時仍可以使用另外一條鏈路訪 問 Internet。 6.參考 Configuring link redundancy-Traffic load-balancing/load-sharing - ECMP (Equal Cost Multiple Path-Dual Internet or WAN scenario Detecting a link failure using Dead Gateway Detection(ping server