五、防御保护---防火墙出口选路篇

本文主要是介绍五、防御保护---防火墙出口选路篇，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

一、就近选路

就近选路 — 我们希望在访问不同运营商的服务器是，通过对应运营商的链路。这样可以提高通信效率，避免绕路。

ISP路由，从名字来看有一个ISP，其实也是它的由来。每个ISP都会有自己的公网知名网段，如果把这个ISP的所有公网知名网段都像上面说的一样配置成明细路由，那么去往这个ISP的所有报文都不会绕路转发了。
首先管理员需要先收集ISP内的所有公网网段（网上都能够搜索到），然后把地址网段编辑到后缀为. csv的文件中（我们称之为ISP地址文件），编辑要求按如下图所示：


ISP地址文件上传到防火墙后，通过设置出接口和下一跳，可以让ISP地址文件中的每个IP地址网段都生成一条ISP路由。

ISP路由与静态路由还是有如下区别：
1.静态路由是手动一条一条配置，配置文件中能够显示出来；ISP路由只能通过上面所述的方式集体导入，且配置文件中无法显示出ISP路由
2.静态路由可以逐条删除、增加；ISP路由只能从ISP地址文件中把地址网段删除、增加，而不能通过命令删除或增加单条ISP路由。
上面说的是管理员如何构建ISP路由的过程，实际上，防火墙在出厂的设置中已经内置了中国移动、中国电信、中国联通和中国教育网4个ISP的公网知名网段，只需要管理员执行导入即可启动ISP路由。

总结就近选路方式，其实就是三种路由的PK结果：

• 缺省等价路由让经过防火墙的所有报文都能匹配路由转发，但无法保证报文转发选择最短链路（通过源IP地址+目的IP地址的HASH算法来选择报文转发出口）。
• 明细路由保证访问不同ISP服务器的报文都从连接相应ISP的链路转发，达到就近访问效果，但是明细路由的手工大批量配置是困扰企业网络管理员的一个难题。
• ISP路由则填补了明细路由难以手工大批量配置的缺点，分分钟就能搞定一个ISP所有地址网段的明细路由配置。

这三种路由各有特点，配合使用方能弥补相互之间的缺陷、发挥出每种路由的优势。配合使用时，明细路由和ISP路由用来指导报文近路转发，没有匹配到明细路由的报文通过查找缺省路由完成转发。

然而就近选路方式是以路由为基础的选路方式，查找路由是通过报文目的地址来查找的，那问题就来了，如果管理员希望对内网用户进行区分，让不同优先级的用户从不同链路进行转发；或者管理员想根据不同的应用来区分流量的转发链路，这些都不是我们通过目的地址查找路由能完成的。我们需要更灵活的选路机制，比如通过报文的源IP地址、应用协议类型等来区分用户流量，再对不同的用户流量进行区别转发。这个时候就需要我们的策略路由选路出场了

二、策略路由选路

1.策略路由的概念

所谓策略路由，顾名思义，即是根据一定的策略进行报文转发。而策略是人为制定的，因此策略路由是一种比传统的按照目的地址选路更灵活的选路机制。在防火墙上配置策略路由后，防火墙首先会根据策略路由配置的规则对接收的报文进行过滤，匹配成功则按照一定的转发策略进行报文转发。其中“配置的规则”即是需要定义匹配条件，一般是通过ACL来定义匹配条件；而“一定的转发策略”则是需要根据匹配条件执行相关的动作。由此可以推断策略路由由以下两部分组成，如下：

1.1匹配条件（通过ACL定义）

用于区分将要做策略路由的流量。匹配条件包括：报文源IP地址、目的IP地址、协议类型、应用类型等，不同的防火墙可以设置的匹配条件略有不同。在一条策略路由规则中，可以包含多个匹配条件，各匹配条件之间是“与”的关系，报文必须同时满足所有匹配条件，才可以执行后续定义的转发动作。

1.2动作

对符合匹配条件的流量采取的动作，包括指定出接口和下一跳。
当有多条策略路由规则时，防火墙会按照匹配顺序，先寻找第一条规则，如果满足第一条策略路由规则的匹配条件，则按照指定动作处理报文。如果不满足第一条规则的匹配条件，则会寻找下一条策略路由规则。如果所有的策略路由规则的匹配条件都无法满足，报文按照路由表进行转发，策略路由的匹配是在报文查找路由表之前完成，也就是说策略路由比路由的优先级高。如下图所示。

此外，如果策略路由指定的出接口或下一跳Down或不可达，那么报文将以报文中的目的地址为依据来查找路由表进行转发。


DSCP优先级 — 相当于在数据包中设定其转发的优先级（利用的是IP头部中tos字段），之后下游设备会根据优先级来差异化保证流量的通过。

策略路由选路其实就是对符合匹配条件的流量进行选路，重新选定出接口和下一跳。这就要求管理员对网络现状有充分的了解，能根据网络现状选择合适的匹配条件。比如清楚的知道多条出口链路的优异，就能让企业重要客户或重要业务的流量从优先级高的链路进行转发。所以说灵活的应用策略路由，为管理员规划网络提供了更多的手段。

三、智能选路 — 全局路由策略

1.基于链路带宽的负载分担

基于链路带宽的负载分担会按照多条链路的带宽比例来分配流量。并且，如果配置的过载保护阈值，则一条链路达到过载保护阈值之后，除了已经创建会话表的流量依然可以从该接口通过外，该接口将不再参与智能选路，需要新建会话表的流量将从其余链路中按照比例转发。


会话保持 — 开启该功能后，流量首次通过智能选路的接口后，会创建会话表，后续命中会话表的流量都将通过同一个接口来进行转发，选择源IP和目的IP的效果时，所有相同源IP或者目标IP的流量将通过同一个接口转发。 — 应对于不希望链路频繁切换的场景。

在链路接口中可以配置就近选路。

2.基于链路质量进行负载分担

丢包率 — FW会发送若干个探测报文（默认5个），将统计丢包的个数。丢包率等于回应报文个数除以探测报文个数。丢包率是最重要的评判依据。时延 — 应答报文接受时间减去探测报文发送时间。FW会发送若干个探测报文，取平均时延作为结果进行评判延时抖动 — 两次探测报文时延差值的绝对值。FW会发送若干个探测报文，取两两延时抖动的平均值。

首次探测后会将结果记录在链路质量探测表中，之后，将按照表中的接口来进行选路。表中的老化时间结束后，将重新探测。

3.基于链路权重进行负载分担

权重是由网络管理员针对每一条链路手工分配的，分配之后，将按照权重比例分配流量。

4.基于链路优先级的主备备份

优先级也是由网络管理员针对每一条链路手工分配的。
执行逻辑：
1，接口没有配置过载保护：
优先使用优先级最高的链路转发流量，其他链路不工作。直到优先级最高的链路故障，则优先级次高的链路开始转发流量。其余链路依旧不工作。
2，接口配置了过载保护：
优先使用优先级最高的链路转发流量，其他链路不工作；如果最高的链路达到或超过保护阈值，则优先级次高的链路开始工作。

四、DNS透明代理

DNS透明代理的前提是开启就近选路

这篇关于五、防御保护---防火墙出口选路篇的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！

---