杭州一步網(wǎng)絡(luò)科技有限公司
1?適用范圍和業(yè)務(wù)需求
適用范圍
本方案適用于零售門店與總部VPN互聯(lián)場(chǎng)景，為零售門店與總部之間建立安全可靠的數(shù)據(jù)傳輸通道，支持通過Internet、專線等方式構(gòu)建企業(yè)多點(diǎn)、多分支的一體化網(wǎng)絡(luò)。
業(yè)務(wù)需求
- 接入需求
需要滿足零售門店通過Internet或運(yùn)營商專線接入總部。
- 安全性需求
零售門店需要與總部通過IPsec互聯(lián)，保證數(shù)據(jù)傳輸安全可靠。
- 認(rèn)證需求
無認(rèn)證需求。
- 計(jì)費(fèi)需求
無計(jì)費(fèi)需求。
- 管理運(yùn)維需求
通過Web網(wǎng)管統(tǒng)一管理，簡(jiǎn)化運(yùn)維。
2?方案設(shè)計(jì)
組網(wǎng)圖
零售門店與總部VPN互聯(lián)組網(wǎng)方案如下圖所示。
網(wǎng)絡(luò)設(shè)計(jì)分析
- 接入需求
- AR1220-S作為總部出口網(wǎng)關(guān)，支持Internet和運(yùn)營商專線兩種接入方式，同時(shí)部署NAT業(yè)務(wù)，實(shí)現(xiàn)總部主機(jī)、運(yùn)營商專線互聯(lián)的門店主機(jī)訪問公網(wǎng)資源。
- AR101-S和AR121-S作為零售門店出口網(wǎng)關(guān)，通過PPPoE撥號(hào)方式接入Internet與總部互聯(lián)。同時(shí)部署NAT業(yè)務(wù)，實(shí)現(xiàn)門店主機(jī)直接訪問公網(wǎng)資源。
- AR161-S作為零售門店出口網(wǎng)關(guān)，出接口配置靜態(tài)IP地址，通過運(yùn)營商專線與總部互聯(lián)。門店主機(jī)通過總部訪問Internet公網(wǎng)資源。
- 安全性需求
零售門店與總部之間建立IPSec隧道，數(shù)據(jù)傳輸通過IPSec隧道進(jìn)行加密。
方案涉及網(wǎng)元的軟件版本要求
本方案適用的產(chǎn)品和版本如下表所示。
|
產(chǎn)品名稱 |
產(chǎn)品版本 |
|---|---|
|
AR1220-S |
V200R007C00 |
|
AR101-S |
V200R007C00 |
|
AR121-S |
V200R007C00 |
|
AR161-S |
V200R007C00 |
3?配置思路和數(shù)據(jù)規(guī)劃
配置思路
采用如下的思路進(jìn)行配置：
- 配置AR1220-S的兩個(gè)接口通過靜態(tài)IP方式接入Internet和運(yùn)營商專線網(wǎng)絡(luò)，配置兩個(gè)策略模板方式的IPSec安全策略，并綁定到兩個(gè)出接口。總部接入Internet的接口還需要部署NAT業(yè)務(wù)，實(shí)現(xiàn)總部主機(jī)、運(yùn)營商專線接入的零售門店主機(jī)訪問Internet公網(wǎng)資源，通過ACL控制IPSec保護(hù)的數(shù)據(jù)流不進(jìn)行NAT轉(zhuǎn)換。
- 配置AR101-S和AR121-S通過PPPoE撥號(hào)方式從運(yùn)營商動(dòng)態(tài)獲取IP地址。采用ACL方式建立IPSec策略并綁定到Dialer接口，零售門店訪問總部服務(wù)器的數(shù)據(jù)流通過IPSec加密保護(hù)。零售門店主機(jī)訪問Internet公網(wǎng)數(shù)據(jù)流無需經(jīng)總部轉(zhuǎn)發(fā)，門店出接口部署NAT業(yè)務(wù)，通過ACL控制IPSec保護(hù)數(shù)據(jù)流不進(jìn)行NAT轉(zhuǎn)換。
- 配置AR161-S通過靜態(tài)IP方式接入運(yùn)營商專線網(wǎng)絡(luò)。采用ACL方式建立IPSec策略并綁定到出接口，零售門店訪問總部服務(wù)器需要IPSec加密保護(hù)。專線接入的零售門店主機(jī)不具備直接訪問Internet的能力，數(shù)據(jù)流通過運(yùn)營商專線經(jīng)總部轉(zhuǎn)發(fā)。
- 總部、零售門店的主機(jī)均通過DHCP方式從出口網(wǎng)關(guān)動(dòng)態(tài)獲取主機(jī)地址和DNS服務(wù)器地址。DHCP直接推送運(yùn)營商DNS服務(wù)器地址，設(shè)備無需配置DNS代理數(shù)據(jù)。
數(shù)據(jù)規(guī)劃
表3-1?AR1220-S業(yè)務(wù)數(shù)據(jù)規(guī)劃
|
項(xiàng)目 |
數(shù)據(jù) |
|---|---|
|
Internet上行接口GE0/0/0 IP地址 |
60.1.1.1/24 |
|
運(yùn)營商專線上行接口GE0/0/1 IP地址 |
10.100.1.1/24 |
|
下行接口Eth0/0/3 IP地址 |
10.1.1.1/24 |
|
NAT方式 |
EasyIP |
|
Internet接入接口IPSec VPN對(duì)接參數(shù) |
|
|
運(yùn)營商專線接入接口IPSec VPN對(duì)接參數(shù) |
|
表3-2?AR101-S業(yè)務(wù)數(shù)據(jù)規(guī)劃
|
項(xiàng)目 |
數(shù)據(jù) |
|---|---|
|
上行接口GE0/0/4 IP地址 |
PPPoE動(dòng)態(tài)獲取 |
|
下行接口GE0/0/3 IP地址 |
10.1.2.1/24 |
|
NAT |
EasyIP |
|
IPSec VPN對(duì)接參數(shù) |
|
表3-3?AR121-S業(yè)務(wù)數(shù)據(jù)規(guī)劃
|
項(xiàng)目 |
數(shù)據(jù) |
|---|---|
|
上行接口Eth0/0/4 IP地址 |
PPPoE動(dòng)態(tài)獲取 |
|
下行接口Eth0/0/3 IP地址 |
10.1.3.1/24 |
|
NAT |
EasyIP |
|
IPSec VPN對(duì)接參數(shù) |
|
表3-4?AR161-S業(yè)務(wù)數(shù)據(jù)規(guī)劃
|
項(xiàng)目 |
數(shù)據(jù) |
|---|---|
|
上行接口GE0/0/4 IP地址 |
10.100.2.1/24 |
|
下行接口GE0/0/3 IP地址 |
10.1.4.1/24 |
|
NAT |
不啟用 |
|
IPSec VPN對(duì)接參數(shù) |
|
表3-5?公網(wǎng)訪問驗(yàn)證輔助數(shù)據(jù)
|
項(xiàng)目 |
數(shù)據(jù) |
|---|---|
|
運(yùn)營商DNS服務(wù)器地址 |
114.114.114.114 |
|
公網(wǎng)測(cè)試目標(biāo)主機(jī)域名 |
sit.com.cn |
|
公網(wǎng)測(cè)試目標(biāo)主機(jī)地址 |
202.202.202.202 |
