天融信防火墙的双线路路由和VPN设置

李胜

摘要：根据源地址及目的地址选择路由走向，进行天融信防火墙的策略路由配置，来控制穿越防火墙的数据流，从而实现内网分流访问互联网；通过设置VPN功能，实现从外部网络访问单位内部网络的功能。

关键词：双线路；源地址；静态路由；策略路由；VPN

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）09-2087-02

随着网络通信资费的下调和新业务的增加，现在有些单位有两条或两条以上的外网线路，如何有效利用网络带宽，合理分流网络流量，显得十分必要。另外，出差在外不能在单位办公时，如何访问单位内部网络也是大家关心的问题。

1 双线路路由

1.1 双线路路由简介

在天融信防火墙的两个ETH口同时接入不同外网线路，该文中ETH1接内网网络，ETH2接电信线路、ETH3接联通线路，通过设置天融信防火墙的策略路由，使得内网不同网段分别经由电信和联通线路访问外网，合理地解决了单位因机器过多，造成单条线路负载过大或要求不同业务互不干扰等问题，使得网络更加畅通。

1.2 具体设置

1.2.1 初始配置

拿到一个新的防火墙后，首先就要从Console口登陆，对它进行初始化设置，配置其web管理接口，具体方法如下[1]：

首先定义一个防火墙的管理域，并给这个域命名

define area add name area_内网 attribute 'eth1 ' access on

其次给这个域赋予webui管理权限

pf service add name webui area area_内网 addressname any

再次给管理接口eth1配置内网地址

network interface eth1 ip add 内网IP地址 mask 内网的子网掩码

最后启动防火墙的web服务

system httpd start

打开浏览器，输入https：//内网IP，这样就可以从浏览器登陆并配置防火墙了。

1.2.2 配置内网网段的机器上外网

1.2.2.1 定义区域

在左侧菜单区找到“资源管理/区域”，然后添加一些接口区域命名，用来标识内网或外网，“被选属性”要选实际的接口ethx

1.2.2.2 配置接口IP地址

在左侧菜单区找到“网络管理/接口”，给其它接口ethx配置接口IP地址

1.2.2.3 添加双线路路由

首先添加一条电信外网的静态路由，在左侧菜单区找到“网络管理/路由/静态路由”，添加外网路由，目的地址和目的掩码都是0.0.0.0，网关是电信外网网关，接口选接电信外网的eth2；其次添加内网回指路由，目的地址写内网B类网段地址，接口选接内网的eth1；最后添加两条策略路由：

源地址为内网网段1，目的地址为0.0.0.0，网关为电信外网网关，接口为eth2

源地址为内网网段2，目的地址为0.0.0.0，网关为联通外网网关，接口为eth3

1.2.2.4 添加地址转换

在左侧菜单区找到“防火墙/地址转换”，转换类型选“源转换”，“源”选内网区域，“目的”选电信外网区域，“源地址转换为”选电信外网的eth2；再添加一条地址转换，转换类型选“源转换”，“源”选内网区域，“目的”选联通外网区域，“源地址转换为”选联通外网的eth3。

1.3 命令行方式设置

当然，也可以使用命令行方式设置防火墙的双线路路由，方法如下：

首先是设置防火墙各接口IP地址的命令：

2 VPN设置

2.1 VPN简介[2]

VPN，虚拟专用网络（Virtual Private Network）指的是在公用网络上建立专用网络的技术。首先通过公用互联网连接到单位的

VPN服务器，然后利用其作为跳板进入单位内网。为了保证数据安全，VPN服务器和客户机之间的通讯数据都进行了加密处理，有了数据加密，就可以认为数据是在一条专用的数据链路上进行安全传输，就如同专门架设了一个专用网络一样，但实际上VPN使用的是互联网上的公用链路，因此只能称为虚拟专用网，VPN技术实质上就是利用加密技术在公网上封装出一条数据通讯隧道。

2.2 VPN设置

首先在左侧菜单找到“系统管理/配置/开放服务”，开放外网区域的L2TP或PPTP服务；其次在“用户认证/用户管理”中添加一个用户，用户认证方式选本地认证；最后在“虚拟专网/L2TP”中设置VPN的本地地址，起始地址和结束地址池，地址池要和内网地址在同一网段，然后启动L2TP或PPTP服务即可。

2.3 命令行方式

3 结论

我单位目前使用的天融信防火墙，就是通过设置双线路路由，有效地利用了网络带宽，合理地分流了网络流量，实现业务和办公机器互不干扰；通过设置VPN，实现了异地如在单位办公一样方便。

参考文献：

[1] 张选波，吴丽征，周金铃，等.设备调试与网络优化学习指南[M].北京：科学出版社，2009：198-218.

[2] 天融信公司网站.http：//www.topsec.com.cn.