1. 项目背景与需求分析最近接手了一个比较特殊的组网需求客户现场只有1条ISP外线却部署了2台防火墙设备而且整个网络环境中没有接入交换机。这种架构在传统企业网络中确实不太常见但仔细分析后发现其实反映了当前很多中小企业在网络升级过程中的典型困境。客户原有的网络拓扑非常简单 - 光猫直接连着一台老式路由器提供基础上网功能。随着业务发展他们先后采购了两台不同品牌的防火墙一台华为USG6000系列和一台深信服设备试图提升安全性但由于缺乏专业网络工程师的规划设备只是简单堆砌在那里。现在面临的核心矛盾是外线资源有限只有1条宽带安全设备冗余2台防火墙形成资源浪费缺少关键的二层交换设备这种架构下如果直接连线要么会出现单点故障要么会导致网络环路。经过现场勘查我们确定了几个必须满足的硬性需求确保两条防火墙都能发挥作用不出现设备闲置外网接入不能存在单点故障内网各区域间的访问控制必须通过防火墙策略实现未来可能需要扩展无线网络和IP电话系统2. 解决方案设计思路针对这种特殊场景我设计了基于单臂路由策略路由的混合组网方案。这个方案的核心在于利用现有设备实现以下目标2.1 网络拓扑规划[ISP]----[光猫]----[防火墙A]----[核心设备]----[终端] \_[防火墙B]_/这里的关键创新点是将两台防火墙并行部署在光猫下游形成双网关架构使用一台多网口服务器临时充当核心交换设备客户暂不愿采购专业交换机通过VLAN划分逻辑隔离不同业务区域2.2 地址规划方案网络区域VLAN IDIP网段网关分配外网接入-运营商分配光猫192.168.1.1防火墙互联1010.0.10.0/30防火墙A:10.0.10.1内网业务20192.168.20.0/24防火墙B:192.168.20.1管理网络30192.168.30.0/24防火墙A:192.168.30.1这种设计实现了两台防火墙都有独立的管理通道业务流量可以灵活导向任意防火墙未来扩展只需新增VLAN即可3. 具体实施步骤3.1 物理连接部署光猫配置关闭光猫自带的DHCP服务将LAN1口设置为桥接模式在LAN2和LAN3口分别连接两台防火墙的WAN口防火墙基础配置# 华为USG6000基础配置示例 sysname FW_A interface GigabitEthernet1/0/1 # 连接光猫 ip address dhcp-alloc service-manage ping permit # interface GigabitEthernet1/0/2 # 连接核心设备 ip address 10.0.10.1 255.255.255.252 # firewall zone untrust add interface GigabitEthernet1/0/1 firewall zone trust add interface GigabitEthernet1/0/2临时核心设备配置 使用安装了pfSense的服务器作为核心设备关键配置创建三个VLAN接口10,20,30启用DHCP服务为各VLAN分配地址配置策略路由规则3.2 策略路由实现核心策略路由配置要点基于源地址的流量导向财务部IP段192.168.20.100-150→ 防火墙A其他部门IP段 → 防火墙B基于应用类型的流量导向HTTP/HTTPS流量 → 防火墙A部署了WAF功能其他协议流量 → 防火墙B在pfSense上的具体实现# 创建防火墙别名 cli: add alias name Finance_IPs type network descr 财务部IP范围 \ address 192.168.20.100-192.168.20.150 # 配置策略路由 Web界面Firewall → Policy Routing → Add Interface: VLAN20 Source: Finance_IPs Gateway: 10.0.10.1 (防火墙A)3.3 高可用性设计虽然客户没有专业交换机但我们仍通过以下方式提升可靠性网关健康检测 在pfSense上配置对两个防火墙网关的持续ping检测System → Routing → Gateway Groups → Add Name: FW_Group Trigger Level: Packet Loss Members: - 10.0.10.1 (权重10) - 10.0.10.2 (权重5)链路故障切换 当主用防火墙不可达时自动将所有流量切换到备用防火墙切换时间控制在3秒以内。4. 关键问题与解决方案4.1 无交换机环境下的ARP问题在没有专业交换机的环境中我们遇到了严重的ARP广播风暴问题。解决方案在pfSense上启用ARP代理功能调整各接口的ARP响应阈值添加静态ARP条目减少广播# 静态ARP配置示例 arp -s 192.168.20.1 00:11:22:33:44:55 temp4.2 防火墙策略同步难题由于是异构防火墙环境策略无法自动同步。我们的解决方法使用Ansible编写策略同步脚本每周自动对比两台设备的策略差异关键策略采用主备模式而非负载均衡# ansible策略同步脚本片段 - name: Sync ACL policies hosts: firewalls tasks: - name: Ensure base policies exist fortimgr_acl: name: Allow_HTTP_Outbound action: accept srcintf: port1 dstintf: port2 srcaddr: Finance_Net dstaddr: all service: HTTP,HTTPS log: enable state: present4.3 性能瓶颈突破在测试阶段发现当流量超过80Mbps时延迟明显增加。通过以下优化解决启用防火墙的FastPath功能调整MTU值避免分片关闭不必要的深度包检测功能5. 运维管理建议5.1 监控方案在没有专业网管系统的情况下我们采用以下监控组合带宽监控使用ntopng实现流量分析设备健康Zabbix基础监控模板日志集中将两台防火墙日志统一发送到Syslog服务器5.2 配置备份策略为防止配置丢失建议实施以下备份方案# 华为防火墙自动备份脚本 #!/bin/bash DATE$(date %Y%m%d) /usr/bin/expect EOF spawn ssh admin192.168.30.1 expect password: send Pssw0rd\r expect send save backup.cfg\r expect send ftp 192.168.30.100\r expect Name send backupuser\r expect Password: send Bckup123\r expect ftp send put backup.cfg FW_A_${DATE}.cfg\r expect ftp send bye\r expect send quit\r EOF5.3 未来扩展建议虽然当前方案解决了基本需求但从长远考虑建议增加一台二层交换机解决广播域问题考虑采用VXLAN技术实现逻辑组网部署SD-WAN控制器统一管理多线路这个项目给我的最大启示是在网络设计中设备限制往往不是最大的障碍真正的挑战是如何在有限条件下构建出既满足当前需求又具备扩展性的架构。通过这次实践我发现即使是看似不合理的设备组合只要充分理解各设备特性和网络协议本质总能找到创造性的解决方案。