所选语种没有对应资源，请选择：

本站点使用Cookies，继续浏览表示您同意我们使用Cookies。Cookies和隐私政策>

企业业务网站
选择语言
搜索
技术支持 文档中心
智简园区网络解决方案 V100R019C10 大中型园区网络部署指南（虚拟化场景）
华为采用机器翻译与人工审校相结合的方式将此文档翻译成不同语言，希望能帮助您更容易理解此文档的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 华为对于翻译的准确性不承担任何责任，并建议您参考英文文档（已提供链接）。
策略管理

策略管理

配置应用及应用组

在进行阻断、重定向、智能选路、QoS或者应用链路检测时，用户可以基于应用组来进行策略配置。iMaster NCE-Campus收纳了市面上常见的应用，当这些预定义的应用不满足要求时，可以通过配置自定义应用的方式，并对预定义和自定义的应用进行分组，使iMaster NCE-Campus能识别更多应用。

配置SAC

SAC（Smart Application Control）用于识别应用，EVPN模式下默认不开启。

用户可根据实际情况选择是否开启SAC。开启后，如果网络中存在比较老旧的设备，会对设备的转发性能产生较大影响。

背景信息

SAC配置包括应用识别和FPI。

  • 应用识别对报文中的第4～7层内容（如RTP）进行检测和识别，根据分类结果实施精细化QoS策略控制。
  • 首包识别FPI（First Packet Identification）是通过匹配一条流量的第一个报文识别出对应应用的功能。

两者的区别是：FPI通过匹配流量的第一个报文即可识别出对应应用；而应用识别，通常需要匹配流量的多个报文才能识别出对应应用。

操作步骤

  1. 在主菜单中选择“策略 > 应用管理 > SAC配置”。
  2. 单击“SAC配置”页签，查看SAC的配置。

  3. 单击应用识别或FPI“操作”列下的，可修改应用识别或FPI的配置信息。

    应用识别与FPI的修改操作类似，下面以修改应用识别的操作为例：

    1. 设置是否开启“配置开关”。
    2. 在“范围”的下拉选框中设置该配置影响的站点范围。
      • 全部：设置为该选项时，应用识别的配置对现有及后续新加入的所有激活站点都生效。
      • 自定义：设置为该选项时，界面下方会显示自定义生效站点的配置。应用识别的配置仅对在“已选择站点”区域内的激活站点生效。

        EVPN模式：

  4. 单击“确定”。

查看预定义应用

iMaster NCE-Campus自带的应用识别特征库，能够很好的识别各种常见的应用即预定义应用。按照如下操作可以查看iMaster NCE-Campus已经预定义的应用。

操作步骤

  1. 在主菜单中选择“策略 > 应用管理 > 预定义应用”。
  2. 在预定义应用分类的导航中，选择SA功能库并单击所在分类，在界面右侧将显示该分类中所有的预定义应用。

    • 对于“SA功能库”为“SA_H30071000 (6000+)”或“SA_H30071002 (500+)”的应用，可以下发到所有设备。
    • 预定义应用分类包括SA和FPI两种。

（可选）创建自定义应用

背景信息

当预定义应用不能满足要求时，用户可以根据该应用的特征自定义一个新的应用，即自定义应用。

自定义应用目前支持的应用类型为首包识别和业务感知识别，优先会按照首包识别应用，如果无法识别时，再用业务感知的方式进行识别。对应提供的规则创建方式如表5-394所示。

表5-394 自定义应用中，标识应用的方式

自定义应用类型

标识应用的方式

首包识别的应用

三元组方式：通过服务器地址、协议类型，并且端口号固定的内容来标识该应用。

业务感知的应用

关键字方式：通过服务器地址、协议类型，端口号不固定的内容来标识该应用。

三元组+关键字方式：通过服务器采用相同的端口号提供两种或两种以上服务来标识该应用。
  • 自定义应用的条数不应超过租户网络内所有设备支持的自定义应用数的最小值。
  • 如果应用报文可以同时匹配好几个自定义应用的规则，那么设备会以先下发的自定义应用为准，即用户先配置的应用生效。
  • 预定义应用中，应用识别特征库不包含企业自建服务器的应用，比如企业自建服务器上部署的outlook，office365等应用，如果需要识别这类应用，需要使用自定义应用。

操作步骤

  1. 在主菜单中选择“策略 > 应用管理 > 自定义应用”。
  2. 单击“新建”，创建自定义应用。
  3. 在“应用名”中，配置自定义应用名称。

  4. 选择自定义应用所在的应用组。
  5. 单击“新建”，配置自定义应用的规则。

  6. 单击“确定”，完成规则创建。
  7. 单击“确定”，完成自定义应用创建。

后续处理

表5-395 自定义应用后续处理

功能

操作场景及约束

操作步骤

查看自定义应用详情

查看自定义应用的详细信息。
  1. 在“自定义应用”页签，在需要查看自定义详情的行中，单击。
  2. 在展开后的区域，查看自定义应用的详情。

修改自定义应用

正在被应用组引用的自定义应用的“应用名”不能被修改。
  1. 在“自定义应用”页签，在需要修改的自定义应用的“操作”列中，单击。
  2. 在新打开界面中修改自定义应用。
  3. 单击“确认”，完成修改。

克隆自定义应用

在已有的自定义应用基础上通过简单的修改，可以快速的新建一条自定义应用。
  1. 在“自定义应用”页签，在需要克隆的自定义应用的“操作”列中，单击。
  2. 修改克隆后的自定义应用。
  3. 单击“确认”，完成配置。

删除自定义应用

正在被应用组引用的自定义应用不能被删除。
  1. 在“自定义应用”页签，在需要删除的自定义应用的“操作”列中，单击。
  2. 单击“是”，完成删除。

参数说明

表5-396 自定义应用

参数名称

说明

应用名

自定义应用的名称。

描述

自定义应用的功能的简要描述。

应用组

添加到已有的应用组中。也可以完成应用自定义后，在应用组中进行添加。

规则

名称

通过定义规则来标识应用报文，规则一般包含应用所使用的协议号、端口号等基本属性。

描述

对规则的简要描述。

目的IP

应用报文的目的IP地址。

应用服务器的IP地址一般是固定的公网IP，可以通过指定IP地址来标识该类应用报文。

端口号

应用报文的目的端口号。

协议

自定义应用规则的传输层协议类型。选择ALL、TCP或者UDP协议。

签名

签名

一些应用的数据报文中含有相同的某一段字符串，这段字符串就相当于一个签名信息。

内容

选择基于流或者基于包的方式识别签名信息。

基于包表示需检测应用的每个报文；基于流表示仅检测应用数据流的首个报文，如果后续报文通过五元组判断属于同一数据流，则不做检测。

方向

选择识别方向。可以只识别请求报文中的签名，或者只识别响应报文的签名，或者请求响应报文都识别。

明文串

签名的字符串，区分大小写。

创建自定义应用组

用户在进行策略配置时，需要先选应用组再选应用。在创建应用组时，需要把预定义或者自定义的应用加入到该自定义应用组中。

前提条件

如果需要将自定义的应用加入自定义应用组，则需要首先创建自定义应用。具体请参见（可选）创建自定义应用。

操作步骤

  1. 在主菜单中选择“策略 > 应用管理 > 应用组”。
  2. 单击“新建”。
  3. 在“应用组”界面中，配置自定义应用组的相关信息。

    设置应用组的名称，选择SA功能库，并将预定义应用/自定义应用加入该应用组。

    • 对于“SA功能库”为“SA_H30071000 (6000+)”或“SA_H30071002 (500+)”的应用，可以下发到相应设备，具体款型请查看产品配套发布的版本说明书中的“相关产品版本配套说明”部分的描述。
    • 预定义应用分类包括SA和FPI两种。
    • 配置应用组时，租户下不同设备的特征库版本应该保持一致，否则可能导致应用组配置下发失败。
    • iMaster NCE-Campus的特征库升级后，应用组中会同时删除已废弃的预定义应用；当站点设备的特征库升级时，会删除应用组中已废弃的预定义应用，并同步到租户下的所有设备。

  4. 单击“确定”。

后续处理

表5-397 应用组后续处理

功能

操作场景及约束

操作步骤

查看应用组详情

查看应用组的详细信息。
  1. 在“应用组”页签，在需要查看的应用组详情的行中，单击。
  2. 在展开后的区域，查看应用组的详情。

修改应用组

正在被流分类模板或者应用质量监测引用的自定义应用的“名称”不能被修改。
  1. 在“应用组”页签，在需要修改的应用组的“操作”列中，单击。
  2. 在新打开界面中修改应用组。
  3. 单击“确定”，完成修改。

删除应用组

正在被流分类模板或者应用质量监测引用的自定义应用不能被删除。
  1. 在“应用组”页签，在需要删除的应用组的“操作”列中，单击。
  2. 单击“确定”，完成删除。

参数说明

表5-398 应用组

参数名称

说明

名称

应用组的名称。

描述

应用组的简要描述，比如视频类应用软件、或者社交类应用软件。

应用

预定义应用

SA功能库

在选择FPI和SA之前，需先选择SA功能库。当前支持SA_H30071000 (6000+)和SA_H30071002 (500+)两个库，前者包含6000余个应用，后者包含500余个应用。不同的功能库下，FPI和SA的选择范围不同。

FPI

单击“添加预定义应用”，选择FPI预定义应用加入到应用组。

SA

单击“添加预定义应用”，选择SA预定义应用加入到应用组。

FPI（First Packet Inspection）首包识别对报文要求较高，而SA深度识别可以识别出更多的应用，所以FPI应用是SA应用的子集。

自定义应用

单击“添加自定义应用”，选择已配置的自定义应用。

配置流量策略模板

在配置流量策略时，需要使用已经创建的流分类模板和生效时间模板。

创建流分类模板

流分类：用来定义一组流量匹配规则，以对报文进行分类。

配置流分类模板，即将匹配一定规则的报文归为一类，对匹配同一流分类的报文进行相同的处理。

前提条件

如果流分类模板中需要配置应用组，需要提前创建应用组。具体请参见创建自定义应用组。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“流分类模板”。再单击“新建”，创建流分类模板。

    1. 输入流分类模板名称。
    2. 在“规则类型”中，选择L3 ACL、应用组、高级这三种规则之间的关系，“与”或者“或”。
    3. 在“L3 ACL”中，单击“新建”，可定义多条ACL规则。
    4. 在“应用组”中，选择数据流匹配的应用。
    5. 在“高级”中，定义Vlan ID、802.1p、源MAC、目的MAC、L2协议等信息，对数据流进行分类。
    6. 单击“确定”，完成创建。

后续处理

表5-399 流分类模板后续处理

功能

操作场景及约束

操作步骤

修改流分类模板

被策略引用的流分类模板不允许被修改。修改流分类模板前，需要先删除关联流分类模板的流量策略或者解除与流量策略的绑定关系。

在“流分类模板”界面，需要修改的流分类模板的“操作”列，单击，进行修改。

删除流分类模板

被策略引用的流分类模板不允许被修改。删除流分类模板前，需要先删除关联流分类模板的流量策略或者解除与流量策略的绑定关系。

在“流分类模板”界面，勾选需要删除的流分类模板，单击，删除流分类模板。

克隆流分类模板

在已有的流分类模板上通过简单的修改，可以快速的新建一个模板。克隆模板后，仅仅在iMaster NCE-Campus中新建，如果还需要在下发设备，还需要进行“提交”操作。

在“流分类模板”界面，勾选需要克隆的流分类模板，单击，克隆流分类模板。

参数说明

表5-400 流分类模板

参数名称

说明

流分类模板名称

流分类模板的名称。

规则类型
  • “与”：表示流分类中各规则之间关系为“逻辑与”，指定该逻辑关系后：
    • 当流分类中有ACL规则时，报文必须匹配其中一条ACL规则以及所有非ACL规则才属于该类。
    • 当流分类中没有ACL规则时，则报文必须匹配所有非ACL规则才属于该类。
  • “或”：表示流分类中各规则之间关系为“逻辑或”，即报文只需匹配流分类中的一个或多个规则即属于该类。

缺省情况下，流分类中各规则之间的关系为“逻辑与”。

L3 ACL

优先级

用户可配置多条三层ACL规则，报文优先匹配优先级高的三层ACL规则。

源IP地址

指定匹配报文的源地址信息。如果不指定，表示报文的任何源IP地址都匹配。

目的IP地址

指定匹配报文的目的地址信息。如果不指定，表示报文的任何目的IP地址都匹配。

DSCP

指定匹配报文的区分服务代码点（Differentiated Services Code Point）。DSCP是定义在报文的IP头部的某个字段，标识该报文的服务类别、优先级，从而保证通信的QoS等级。

协议

指定匹配报文的三层协议类型。

  • 当ACL类型为“IPV4”时，支持TCP/UDP/OSPF/IPinIP/IP/IGMP/ICMP/GRE等协议，也可以自定义协议号Protocol Number。

源端口

指定匹配报文的源端口。如果不指定，表示报文的任何源端口都匹配。

目的端口

指定匹配报文的目的端口。如果不指定，表示报文的任何目的端口都匹配。

应用组

指定匹配报文的应用。仅支持勾选应用组，没有加入到应用组的应用不做呈现，也不能只选择应用组中的部分应用。需要用户对应用组进行合理规划。

高级

Vlan ID

起始Vlan lD

指定匹配VLAN报文的起始外层VLAN ID。

截止Vlan lD

指定匹配VLAN报文的结束外层VLAN ID。“截止Vlan lD”取值必须大于“起始Vlan lD”。若不指定“截止Vlan lD”参数，表示基于“起始Vlan lD”参数所指定的VLAN ID进行流分类。

802.1P

指定匹配VLAN报文的802.1p优先级。

源MAC

指定匹配报文的源MAC地址。

目的MAC

指定匹配报文的目的MAC地址。

L2协议

指定匹配报文的二层协议类型，目前支持ARP/IP/MPLS/RARP协议，也可以自定义协议号Protocol Number。

（可选）创建生效时间模板

缺省情况下，流量策略一旦被应用到业务模块后是一直生效的。通过定义生效时间模板，并将时间段与流量策略关联，可以使流量策略在某段时间范围内生效，从而达到使用基于时间的流量策略来控制业务的目的。例如，在上班时间禁止员工访问互联网网站，避免影响工作；在网络流量高峰期，限制P2P/下载类业务的带宽，避免网络拥塞等。创建生效时间模板的目的就是为了定义策略生效的时间段。

在流量策略中引用的时间段存在如下两种模式：

  • 周期时间段：以天/星期为参数来定义时间范围，表示规则以一天/一周为周期（如每天/每周一的8点至12点）循环生效。
  • 绝对时间段：从某年某月某日的某一时间开始，到某年某月某日的某一时间结束，表示规则在这段时间范围内生效。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“生效时间模板”，再单击“新建”，创建“生效时间模板”。

    1. 在“生效时间模板名称”中，输入策略生效的时间段名称。
    2. 在“时间类型”中，选择时效段的模式。
    3. 当“时间类型”选择为“每周”时，需要在“每周”中选择每周生效的周期。否则请跳过此步。
    4. 在“开始时间”和“结束时间”中，设置规则生效的开始和结束时间。
    5. 单击“确定”，完成创建。

后续处理

表5-401 时效模板后续处理

功能

操作场景及约束

操作步骤

修改生效时间模板

修改生效时间模板前，需要先删除关联生效时间模板的流量策略或者解除与流量策略的绑定关系。否则不允许修改。

在“流分类模板”界面，需要修改的流分类模板的“操作”列，单击，进行修改。

删除生效时间模板

删除生效时间模板前，需要先删除关联生效时间模板的流量策略或者解除与流量策略的绑定关系。否则不允许删除。

在“流分类模板”界面，勾选需要删除的流分类模板，单击，删除流分类模板。

参数说明

表5-402 生效时间模板

参数名称

说明

生效时间模板名称

时间段名称。

时间类型
  • 每日：属于周期时间段。以天为单位来定义时间范围，表示规则以一天为周期（如每天的8至12点）循环生效。
  • 每周：属于周期时间段。以星期为单位来定义时间范围，表示规则以一周为周期（如每周一的8至12点）循环生效。
  • 固定时间：属于绝对时间段，从某年某月某日的某一时间开始，到某年某月某日的某一时间结束，表示规则在这段时间范围内生效。

每周

（当“时间类型”为“每周”时，配置）

指定时间范围有效日期。可以是星期一、星期二、星期三、星期四、星期五、星期六、星期日中的一个或者几个的组合。

开始时间

策略生效的开始时间。

结束时间

策略生效的结束时间。

配置站点上网策略

站点需要上网时，需要配置站点上网策略。当前主要支持集中上网和分布式上网（即对需要分布式上网的站点，配置本地上网）两种，对于同一个站点如果既配置了集中上网又配置了分布式上网，则优先本地上网（即采用分布式上网策略）。

背景信息

在EVPN隧道模式下，如果Overlay拓扑为分层拓扑，配置集中上网站点时，可指定全局集中上网网关和区域集中上网网关。如果用户要求上网流量满足以下要求：

  1. 在区域内，上网流量优先通过区域集中上网网关出局。
  2. 跨区域时，上网流量优先通过全局集中上网网关出局。

则需要遵循以下原则：

  1. 建议将区域内拓扑配置为Full-Mesh模式。

    如下图所示，Area1内为Hub-Spoke模式，Hub1为全局集中上网网关，Spoke2为区域集中上网网关。那么，Spoke1的上网流量不会经过Spoke2转发上网，而是流经Hub1时，直接出局了。

  2. 建议将区域间互联的站点配置为全局集中上网网关。

    如下图所示，跨区域集中上网场景，Hub1为区域间互联站点，并且是Area1的区域集中上网网关，Spoke2为全局集中上网网关。Spoke3的上网流量经过Hub2转发至Hub1后就直接出局了，未经过全局集中上网网关Spoke2。

前提条件

  1. 已经添加站点。具体操作请参见网络设计中“创建站点”章节。
  2. 如果站点的上网策略为本地上网，则需要激活WAN侧链路。具体操作请参见网络设计中“配置站点接入网络的方式”章节。
  3. 已经创建虚拟网络且虚拟网络已关联站点，具体操作请参见虚拟网络管理中“创建虚拟网络VN”章节。
  4. 已配置Overlay拓扑。具体操作请参见虚拟网络管理中“配置Overlay拓扑”章节。
  5. 已经配置流量策略模板。具体操作请参见创建流分类模板。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Overlay”页签。
  3. 在“VN”中，选择需要上网的部门。
  4. 单击“站点上网”页签，配置站点上网策略。
  5. 如果需要集中上网，需要按照如下操作，配置集中上网策略。

    在EVPN隧道模式下：

    1. 设置“集中上网”为。
    2. 单击“新建”，添加集中上网的网关。
    3. 选择所属“区域”，“主网关”和“备网关”，单击操作列的。
    4. 单击“应用变更”，完成配置。

  6. 如果需要本地上网，需要按照如下操作，配置本地上网策略。

    1. 设置“本地上网”为。
    2. 单击“新建”。
    3. 在“新建”界面中，选择策略需要下发的站点。

      可以选择任意一个或者多个站点，作为本地上网的站点。

    4. 单击“下一步”。
    5. 配置本地上网策略。

      1. 选择本地上网策略。

        选择“全部”时，系统不会创建PBR（Policy-Based Routing）策略，用户应用通过默认路由上网。

        选择“应用”时，系统会创建PBR策略并下发给设备，用户应用根据PBR策略匹配上网。

      2. 在需要使用的链路的“操作”列，单击，激活链路。属于激活状态的链路如下配置的本地上网策略才能生效。
      3. 如果WAN侧链路需要做NAT，需要使能NAT。
      4. 配置WAN侧链路的优先级。
      5. 用户进行本地上网和Overlay网络会共用带宽。默认情况下两者使用的带宽会随机占用。如果需要保证用户本地上网使用额定的带宽，可以在“带宽分配”打开开关，并设置带宽分配比例。
      6. 配置公共探测IP。

        此参数只有在策略选择“应用”时可配。

        所有站点使用公共的探测IP地址。当公共探测IP地址启用后，站点链路的探测IP将不生效。

      7. 配置链路的探测IP。

        只有当“公共探测IP”没启用时，链路的探测IP地址才能配置，且同一个设备的所有链路只能配置相同的探测IP。

      8. 选择流分类模板，匹配应用流量并执行PBR策略。

        如果流分类模板配置了应用组，则只有FPI应用可生效，SA不能生效。

      9. 单击“完成”。
    6. 单击“应用变更”，完成配置。

参数说明

表5-403 站点上网策略

参数名称

说明

集中上网

集中上网

站点的上网流量绕行至集中上网网关统一出口访问Internet。这种上网方式，便于部署独立的防火墙，配置完善的安全策略，能更好地进行安全审计与访问控制。

上网网关（EVPN模式下）

区域

上网网关的所属区域。系统默认有两个ALL和default两个区域。

  • 当EVPN拓扑模式为简单模式时，有且仅有ALL和default两个区域，且ALL和defaul区域没有差别，都表示加入到简单拓扑中的所有站点的集合。
  • 当EVPN拓扑模式为高级模式时，除了ALL和default两个区域以外，还有用户自定义的区域。default区域与用户自定义区域一样，由用户指定站点范围。ALL区域则为所有区域的站点的集合。

主网关

区域内集中上网的主用网关。

备网关

区域内集中上网的备用网关。

本地上网

本地上网

站点通过本地Underlay网络出局，快速接入Internet，相较于集中上网时延低，业务体验更优，适合Internet联接资源丰富（带宽大、时延小）的站点访问SaaS应用业务。

选择站点

选择站点

指定支持本地上网的站点。

说明：

例如，某租户下存在一个中心站点hub1，以及两个分支站点spoke1和spoke2。hub1配置了集中上网，spoke1配置了本地上网，spoke2未配置上网方式。那么hub1的上网流量直接本地出局；sopke1的上网流量优先本地出局，如果本地出局失败，经由hub1出局；spoke2的上网流量经由hub1出局。

配置策略

策略

支持以下两种本地上网的策略：

  • 全部：站点的LAN侧上网流量全部通过匹配WAN侧路由出局。
  • 应用：站点的某类LAN侧上网流量（通过流分类模板定义），通过匹配PBR（Policy-based Routing）策略路由出局。PBR策略路由由iMaster NCE-Campus自动创建并下发给网关设备。未命中流分类模板的应用通过集中上网方式出局。

公共探测IP（仅当“策略”为“应用”时才可配置）

指定NQA探测的IP地址。通过创建NQA实例发送ICMP报文，可检测通过WAN侧链路是否目的IP地址可达。

支持为多个站点指定使用公共的探测IP地址。当指定公共探测IP地址后，站点链路的探测IP地址将不生效。

站点模板

所选站点使用的站点模板。界面展示内容，无需配置。

WAN链路

所选站点的WAN链路。界面展示内容，无需配置。

NAT

选择是否在WAN侧接口上启用NAT转换。如果上网流量的报文使用私网IP地址，那么网关设备转发报文到公网时需要将其转换为公网IP地址。

当前默认使用Easy-IP地址转换，即所有上网报文的源IP地址替换为WAN接口的IP地址，源端口号则被映射为不同的端口号，确保转换前的五元组信息与转换后的五元组信息是一一对应的关系。

链路优先级

为站点的WAN链路配置不同优先级。业务流量按照优先级从高到低的顺序选择WAN链路上网。

PBR策略路由仅支持主备路径，如果某个站点有三条WAN链路，当“策略”选择为“应用”时，则仅有优先级较高的两条WAN链路生效；而“策略”选择为“全部”时，三条WAN链路均生效。

带宽分配

指定部门通过某条WAN链路上网时，可占用的带宽比例，基数为该部门在该接口下的可用带宽总数，这个数值在“WAN策略” > “流量分配”下指定。

例如，站点的Internet接口带宽为100Mbps，通过流量分配，部门VPN1可占用10%的带宽，即10Mbps，如果此处配置40%，则表示VPN1通过Internet接口上网可占用的带宽为4Mbps，剩余的6Mbps用于WAN站点之间互访。

需要注意的是，站点与传统站点的互访与上网流量共享带宽，在站点互访界面上，带宽分配的数值也会自动调整为40%。

另外，上网流量默认使用AF（Assured Forwarding）确保转发队列，如果流量超出分配的带宽后还是可以占用剩余带宽的。

操作

支持使能或者去使能WAN链路作为上网路径。一个站点下至少要使能一条WAN链路。

流分类模板（仅当“策略”为“应用”时才可配置）

对匹配流分类模板的报文应用PBR策略路由。

配置传统站点互访策略

前提条件

  1. 已经添加站点。具体操作请参见网络设计中“创建站点”章节。
  2. 站点已经激活。具体操作请参见网络设计中“配置站点接入网络的方式”章节。
  3. 已经创建虚拟网络且虚拟网络已关联站点，具体操作请参见虚拟网络管理中“创建虚拟网络VN”章节。
  4. 已配置Overlay拓扑。具体操作请参见虚拟网络管理中“配置Overlay拓扑”章节。
  5. 已经配置流量策略模板。具体操作请参见创建流分类模板。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Overlay”页签。
  3. 在“VN”中，选择需要进行传统站点进行互访的部门。
  4. 单击“传统站点互访”页签。
  5. 当传统站点的互访模式为集中式时，需要进行如下配置。

    1. 设置“集中互访”为。
    2. 单击“新建”。
    3. 在“新建”界面中，选择传统站点互访时需要经过的站点。

      EVPN模式：

    4. 单击“下一步”。设置站点是否使能IGW功能，并设置角色为主站点或备站点。
    5. 单击“下一步”。在“操作”列，单击，设置链路优先级和带宽分配。

      用户进行互访和Overlay网络会共用带宽。默认情况下两者使用的带宽会随机占用。如果需要保证用户本地互访用额定的带宽，可以在“带宽分配”打开开关，并设置带宽分配比例。

    6. 单击“完成”，完成配置。

  6. 当传统站点的互访模式为分布式时，需要选择“本地互访”，并进行如下配置。

    1. 设置“本地互访”为。
    2. 单击“新建”。
    3. 在“新建”界面中，选择传统站点互访时需要访问的站点。

      EVPN模式：

      选择的分布式互访的站点可以是不同类型的站点。

    4. 单击“下一步”。设置站点是否使能IGW功能。
    5. 单击“下一步”。在需要使用的链路的“操作”列，单击激活链路。属于激活状态的链路如下配置的本地互访策略才能生效。
    6. 设置链路优先级和带宽分配。

      用户进行互访和Overlay网络会共用带宽。默认情况下两者使用的带宽会随机占用。如果需要保证用户本地互访用额定的带宽，可以在“带宽分配”打开开关，并设置带宽分配比例。

    7. 单击“完成”，完成配置。

      同一站点无法同时开启集中互访和本地互访。

  7. 单击“应用变更”，完成配置。

参数说明

表5-404 站点互访策略

参数名称

说明

集中互访

集中互访

企业现网中，存在大量Legacy设备及第三方设备不支持当前WAN的能力，需要支持传统分支和WAN互联，平滑演进。

集中互访方式下，WAN站点访问传统站点的流量从集中互访站点统一出局。

选择站点

选择站点

指定支持集中互访的站点。配置有如下约束：

  • 只能选择中心站点、汇聚站点或分支站点中的一种。
  • 如选择中心站点，则最多可以配置两个中心站点。
  • 如选择汇聚站点或分支站点，则最多可以配置一个站点。

IGW

站点网关是否作为传统站点访问Internet的网关，即传统站点的上网流量通过WAN站点实现上网。

角色

集中互访点的角色，Active或者Standby。最多只能选择2个集中互访站点，且至少有一个角色为主，如果选择了2个站点，则必须为一主一备。

配置策略

站点模板

所选站点使用的站点模板。界面展示内容，无需配置。

WAN链路

所选站点的WAN链路。界面展示内容，无需配置。

链路优先级

为站点的WAN链路配置不同优先级。站点访问传统站点的数据流量将按照优先级从高到低的顺序选择WAN链路转发。如果为同一站点上的不同WAN链路配置相同的优先级，即表示采用负载分担的方式选择出接口。

说明：

用户需要根据链路优先级设置WAN侧链路发布路由的优先级，从而保证传统站点访问WAN站点的流量也优先选择级别高的链路。

带宽分配

互访流量与上网流量共享带宽。具体可参见“站点上网”中对于“带宽分配”的描述。

操作

支持使能或者去使能WAN链路作为互访路径。一个站点下至少要使能一条WAN链路。

本地互访

本地互访

本地互访模式下，WAN站点的流量本地直接出局访问传统站点。

选择站点

选择站点

指定支持本地互访的站点。

说明：

访问传统站点的流量默认从本地出局，当前本地连接传统网络链路故障后，可以通过Overlay隧道绕行集中互访站点出局，实现与传统站点之间互访的可靠性。

在集中互访站点的WAN侧接口上配置路由策略，使集中互访站点发布的WAN站点LAN侧路由优先级低于本地互访站点发布的LAN侧路由优先级，从而保证传统站点访问WAN站点的流量也优先发送到本地互访站点。

IGW

站点网关是否作为传统站点访问Internet的网关，即传统站点的上网流量通过WAN站点实现上网。

说明：

如果同时使能了集中互访站点和本地互访站点作为IGW，需要在集中互访站点的WAN侧接口上配置路由策略，使集中互访站点发布的默认路由优先级低于本地互访站点发布的默认路由优先级，从而保证传统站点的上网流量优先发送到本地互访站点。

配置策略

站点模板

与“集中互访”中“配置策略”的参数含义一致，可参见表格上面的说明。

WAN链路

链路优先级

带宽分配

操作

配置流量策略

对Underlay和Overlay网络的流量进行控制，可以根据需要进行配置。

配置流量策略时，如需开启应用识别功能，需提前配置特征库服务器以及升级特征库文件，否则会导致应用无法正常识别，用户业务受阻。具体操作请参见系统管理员运维的配置特征库服务器和租户管理员运维的设备特征库升级。

创建ACL策略（Underlay网络）

在WAN侧部署ACL策略，可以防止外部网络的特定流量进入CPE和内部网络。如果需要对站点的WAN侧的入接口的业务报文进行阻断时，则需配置Underlay网络的ACL策略。

前提条件

  1. 已经添加站点。具体操作请参见网络设计中“创建站点”章节。
  2. 站点已经激活。具体操作请参见网络设计中“配置站点接入网络的方式”章节。
  3. 已经配置流分类模板。具体操作请参见创建流分类模板。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Underlay”页签，再单击“ACL”，默认进入到ACL的“策略配置”界面。

  3. 单击“新建”，配置基于ACL的阻断策略。

    1. 在“策略名称”中，配置阻断策略的名称。
    2. 在“流分类模板”中，选择流量的匹配规则。
    3. 在“策略优先级”中，配置策略优先级。
    4. 在“流量过滤”中，设置流量过滤策略。
    5. 在“流量方向”中，选择在接口的出方向或者入方向上使能ACL策略。
    6. 如果需要策略在指定时间段内生效，则在“生效时间模板”中，选择生效的时间段。如果需要策略一直生效则跳过此步。
    7. 单击“确定”，完成配置。

  4. 关联ACL策略到站点。

    1. 在ACL策略的“操作”列，单击。
    2. 在“关联站点”界面中，选择需要关联的站点。
    3. 单击“确定”，完成关联。

  5. 下发ACL策略到站点，并设置策略开始执行时间。

    1. 在需要提交策略的勾选框中，选中需要下发的ACL策略。
    2. 单击“提交”，再选择“提交选中”或者“全部提交”
    3. 在“提交”界面中，设置策略开始执行时间，分为“立即执行”和“预约下发”。
    4. 单击“确定”，完成策略下发。

后续处理

对策略执行如下操作后，如果需要在站点中生效，必须要再进行“提交”操作。

表5-405 ACL策略后续处理

功能

操作场景及约束

操作步骤

撤销ACL策略

对于没有下发到站点的策略，即没有执行“提交”操作的策略（“状态”不是“已提交”的策略），可以进行撤销操作。对于已经执行提交操作的策略无法进行撤销操作。撤销操作的目的是为了取消对策略的上一步的操作，如取消对策略的修改、取消新建策略、取消删除策略。撤销后的策略仅仅对配置进行回退，即只修改在iMaster NCE-Campus中的操作，并不会对设备进行操作。

在“ACL”页签中，选中需要撤销的ACL策略，单击“撤销”，再选择“撤销选中”，完成撤销。

删除ACL策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行删除操作。删除策略后，仅仅在iMaster NCE-Campus将把这些策略删除，如果还需要在设备中删除这些策略，还需要进行“提交”操作。

在“ACL”页签中，选中需要删除的ACL策略，单击“删除”，完成删除。

修改ACL策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行修改操作。修改策略后，仅仅在iMaster NCE-Campus将把这些策略修改，如果还需要在设备中修改这些策略，还需要进行“提交”操作。
  1. 在“ACL”页签，在需要修改的策略的“操作”列中，单击。
  2. 修改策略。
  3. 单击“确认”，完成配置。

克隆ACL策略

在已有的策略基础上通过简单的修改，可以快速的新建一条策略。克隆策略后，仅仅在iMaster NCE-Campus中新建，如果还需要在下发设备，还需要进行“提交”操作。
  1. 在“ACL”页签，在需要克隆的策略的“操作”列中，单击。
  2. 修改克隆后策略。
  3. 单击“确认”，完成克隆。

去使能/使能ACL策略
  • 去使能：对于暂时不需要使用的策略，可以进行去使能操作。对于所有已经下发到站点和没有下发到站点的策略，可以进行去使能操作。去使能策略后，仅仅在iMaster NCE-Campus中把这些策略去使能，如果还需要在设备中去使能这些策略，还需要进行“提交”操作。
  • 使能：对于去使能状态策略又需要使用，可以进行使能操作。对于所有已经下发到站点和没有下发到站点的策略，可以进行使能操作。使能策略后，仅仅在iMaster NCE-Campus将把这些策略使能，如果还需要在设备中使能这些策略，还需要进行“提交”操作。
  • 去使能：在“ACL”页签，在需要使能/去使能的策略的“操作”列中，单击，对策略进行去使能操作。
  • 使能：在“ACL”页签，在需要使能/去使能的策略的“操作”列中，单击，对策略进行使能操作。

站点视图下绑定新策略

以站点为对象，绑定新的策略。
  1. 在“ACL”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“绑定新策略”。
  4. 选择需要绑定到选中站点的策略。
  5. 单击“确认”，完成配置。

站点视图下批量配置策略

将已经绑定到站点的策略绑定到其他没有绑定过策略的站点中，使不同站点拥有同样的策略。
  1. 在“ACL”页签，单击“站点视图”。
  2. 单击“批量配置”。
  3. 在“克隆站点”中，选择已经绑定了策略的站点。
  4. 在“站点”区域，选择需要绑定同样策略的目的站点。
  5. 单击“确认”，完成配置。

站点视图下全部提交

以站点为对象，提交全部的策略。
  1. 在“ACL”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“全部提交”。
  4. 单击“确认”，完成配置。

站点视图下撤销所有

以站点为对象，撤销所有策略。
  1. 在“ACL”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“撤销所有”。
  4. 单击“确认”，完成配置。

参数说明

表5-406 ACL策略

参数名称

说明

策略名称

ACL策略的名称。

流分类模板

对匹配流分类模板的报文应用ACL策略。Underlay的ACL策略不能选择包含有应用组的流分类模板。Overlay的ACL策略可以选择任意流分类模板。

策略优先级

ACL策略的优先级。CPE接收到报文后，按照策略的优先级从高到低的顺序依次与流分类模板进行匹配，如果匹配成功，执行策略定义的动作，即流量过滤；如果匹配失败，则与下一条策略的流分类模板进行匹配。

接口

LAN

只存在于Overlay网络；LAN侧的所有三层接口，包括L3接口/子接口、VLANIF口，均使能ACL策略。对于LAN侧接口来说，Inbound即流量从内网用户进入CPE，Outbound即流量从CPE发往内网用户。

WAN

只存在于Underlay网络；WAN侧的所有接口均使能ACL策略。对于WAN侧接口来说，Inbound即流量从WAN网络进入CPE，Outbound即流量从CPE发往WAN网络。

流量过滤
  • 拒绝：拒绝匹配流分类模板的报文通过。
  • 允许：允许匹配流分类模板的报文通过。

流量方向

流量方向默认为“Inbound”。

  • Outbound：在接口的出方向上使能ACL策略。
  • Inbound：在接口的入方向上使能ACL策略。

生效时间模板

ACL策略仅在模板定义的时间段内生效。

说明：

以上所有条件为“与”的关系，即对于underlay网络，ACL策略生效的条件为：

在指定时间段内，在指定站点的指定接口的入方向上，拒绝匹配流分类模板的报文进入，或者仅允许匹配流分类模板的报文进入。

创建ACL策略（Overlay网络）

在LAN侧部署ACL策略，可以阻断用户访问外部的特定流量。如果需要对站点的LAN侧的入接口的业务报文进行阻断时，则需配置Overlay网络的ACL策略。

前提条件

  1. 已经添加站点。具体操作请参见网络设计中“创建站点”章节。
  2. 站点已经激活。具体操作请参见网络设计中“配置站点接入网络的方式”章节。
  3. 已经创建虚拟网络且虚拟网络已关联站点，具体操作请参见虚拟网络管理中“创建虚拟网络VN”章节。
  4. 已经配置LAN的信息。
  5. 已经配置流量策略模板。具体操作请参见创建流分类模板。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Overlay”页签。
  3. 在“VN”中，选择需要进行流量阻断的部门。
  4. 单击“ACL”页签，默认进入“策略配置”界面。

  5. 单击“新建”。配置基于ACL的阻断策略。

    1. 在“策略名称”中，配置阻断策略的名称。
    2. 在“流分类模板”中，选择流量的匹配规则。
    3. 在“策略优先级”中，配置策略优先级。
    4. 在“流量过滤”中，设置流量过滤策略。
    5. 在“流量方向”中，选择在接口的出方向或者入方向上使能ACL策略。
    6. 如果需要策略一直生效则跳过此步。如果需要策略在指定时间段内生效，则在“生效时间模板”中，选择生效时间模板。
    7. 单击“确定”，完成配置。

  6. 关联ACL策略到站点。

    1. 在ACL策略的“操作”列，单击关联站点的图标。
    2. 在“关联站点”界面中，选择需要关联的站点。
    3. 单击“确定”，完成关联。

  7. 下发ACL策略到站点，并设置策略开始执行时间。

    1. 在需要提交策略的勾选框中，选中需要下发的ACL策略。
    2. 单击“提交”，再选择“提交选中”或者“全部提交”
    3. 在“提交”界面中，设置策略开始执行时间，分为“立即执行”和“预约下发”。
    4. 单击“确定”，完成策略下发。

后续处理

对策略执行如下操作后，如果需要在站点中生效，必须要再进行“提交”操作。

表5-407 ACL策略后续处理

功能

操作场景及约束

操作步骤

撤销ACL策略

对于没有下发到站点的策略，即没有执行“提交”操作的策略（“状态”不是“已提交”的策略），可以进行撤销操作。对于已经执行提交操作的策略无法进行撤销操作。撤销操作的目的是为了取消对策略的上一步的操作，如取消对策略的修改、取消新建策略、取消删除策略。撤销后的策略仅仅对配置进行回退，即只修改在iMaster NCE-Campus中的操作，并不会对设备进行操作。

在“ACL”页签中，选中需要撤销的ACL策略，单击“撤销”，再选择“撤销选中”，完成撤销。

删除ACL策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行删除操作。删除策略后，仅仅在iMaster NCE-Campus将把这些策略删除，如果还需要在设备中删除这些策略，还需要进行“提交”操作。

在“ACL”页签中，选中需要删除的ACL策略，单击“删除”，完成删除。

修改ACL策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行修改操作。修改策略后，仅仅在iMaster NCE-Campus将把这些策略修改，如果还需要在设备中修改这些策略，还需要进行“提交”操作。
  1. 在“ACL”页签，在需要修改的策略的“操作”列中，单击。
  2. 修改策略。
  3. 单击“确认”，完成配置。

克隆ACL策略

在已有的策略基础上通过简单的修改，可以快速的新建一条策略。克隆策略后，仅仅在iMaster NCE-Campus中新建，如果还需要在下发设备，还需要进行“提交”操作。
  1. 在“ACL”页签，在需要克隆的策略的“操作”列中，单击。
  2. 修改克隆后策略。
  3. 单击“确认”，完成克隆。

去使能/使能ACL策略
  • 去使能：对于暂时不需要使用的策略，可以进行去使能操作。对于所有已经下发到站点和没有下发到站点的策略，可以进行去使能操作。去使能策略后，仅仅在iMaster NCE-Campus中把这些策略去使能，如果还需要在设备中去使能这些策略，还需要进行“提交”操作。
  • 使能：对于去使能状态策略又需要使用，可以进行使能操作。对于所有已经下发到站点和没有下发到站点的策略，可以进行使能操作。使能策略后，仅仅在iMaster NCE-Campus将把这些策略使能，如果还需要在设备中使能这些策略，还需要进行“提交”操作。
  • 去使能：在“ACL”页签，在需要使能/去使能的策略的“操作”列中，单击，对策略进行去使能操作。
  • 使能：在“ACL”页签，在需要使能/去使能的策略的“操作”列中，单击，对策略进行使能操作。

站点视图下绑定新策略

以站点为对象，绑定新的策略。
  1. 在“ACL”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“绑定新策略”。
  4. 选择需要绑定到选中站点的策略。
  5. 单击“确认”，完成配置。

站点视图下批量配置策略

将已经绑定到站点的策略绑定到其他没有绑定过策略的站点中，使不同站点拥有同样的策略。
  1. 在“ACL”页签，单击“站点视图”。
  2. 单击“批量配置”。
  3. 在“克隆站点”中，选择已经绑定了策略的站点。
  4. 在“站点”区域，选择需要绑定同样策略的目的站点。
  5. 单击“确认”，完成配置。

站点视图下全部提交

以站点为对象，提交全部的策略。
  1. 在“ACL”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“全部提交”。
  4. 单击“确认”，完成配置。

站点视图下撤销所有

以站点为对象，撤销所有策略。
  1. 在“ACL”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“撤销所有”。
  4. 单击“确认”，完成配置。

参数说明

表5-408 ACL策略

参数名称

说明

策略名称

ACL策略的名称。

流分类模板

对匹配流分类模板的报文应用ACL策略。Underlay的ACL策略不能选择包含有应用组的流分类模板。Overlay的ACL策略可以选择任意流分类模板。

策略优先级

ACL策略的优先级。CPE接收到报文后，按照策略的优先级从高到低的顺序依次与流分类模板进行匹配，如果匹配成功，执行策略定义的动作，即流量过滤；如果匹配失败，则与下一条策略的流分类模板进行匹配。

接口

LAN

只存在于Overlay网络；LAN侧的所有三层接口，包括L3接口/子接口、VLANIF口，均使能ACL策略。对于LAN侧接口来说，Inbound即流量从内网用户进入CPE，Outbound即流量从CPE发往内网用户。

WAN

只存在于Underlay网络；WAN侧的所有接口均使能ACL策略。对于WAN侧接口来说，Inbound即流量从WAN网络进入CPE，Outbound即流量从CPE发往WAN网络。

流量过滤
  • 拒绝：拒绝匹配流分类模板的报文通过。
  • 允许：允许匹配流分类模板的报文通过。

流量方向

流量方向默认为“Inbound”。

  • Outbound：在接口的出方向上使能ACL策略。
  • Inbound：在接口的入方向上使能ACL策略。

生效时间模板

ACL策略仅在模板定义的时间段内生效。

说明：

以上所有条件为“与”的关系，即对于underlay网络，ACL策略生效的条件为：

在指定时间段内，在指定站点的指定接口的入方向上，拒绝匹配流分类模板的报文进入，或者仅允许匹配流分类模板的报文进入。

创建NAT策略（Underlay网络）

网络地址转换NAT（Network Address Translation）是将IP数据报文头中的IP地址转换为另一个IP地址的过程。NAT策略主要用于实现内部网络（私有IP地址）访问外部网络（公有IP地址）的功能。

背景介绍

在Underlay页签下配置NAT策略，主要有下面几种使用场景：
  1. 站点上网：LAN侧用户访问Internet，Underlay出口设备将LAN侧的私网地址转换为公网地址。
  2. 外网访问内网服务器：LAN侧部署了对外的服务器，比如文件服务器，Underlay出口设备将服务器的内网地址转换为公网地址，提供服务。Internet上的流量主动访问内网服务器时，将公网只转换为服务器实际的私网地址。
  3. 与传统站点互访：WAN站点与传统站点存在地址重复的情况，需要WAN站点上配置静态NAT，传统站点也配置静态NAT，在不更改LAN侧终端地址的情况下实现WAN站点和传统站点的互通。

    如果访问流量是单向的，那么在被访问方配置静态NAT即可。比如，传统站点需要访问WAN站点，而WAN站点不需要访问传统站点，那么在WAN站点上配置静态NAT即可，传统站点不需要配置。

前提条件

  1. 已经添加站点。具体操作请参见网络设计中“创建站点”章节。
  2. 站点已经激活。具体操作请参见网络设计中“配置站点接入网络的方式”章节。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Underlay”页签。
  3. 单击“NAT”页签，配置NAT策略。
  4. 在站点区域，选择待配置NAT策略的站点。
  5. 配置动态NAT策略。

    1. 单击“新建”，创建策略。
    2. 填写动态NAT策略的信息，主要包括绑定的接口，NAT模式，外部IP地址段以及匹配规则。

    3. 单击“匹配规则”下的“新建”，设置动态NAT策略的匹配规则。

    4. 单击“确定”，完成匹配规则配置。
    5. 单击“确定”，完成动态NAT策略配置。

  6. 配置静态NAT策略。

    1. 单击“静态NAT”页签，进入静态NAT策略配置页面。
    2. 单击“新建”，创建策略。
    3. 填写静态NAT策略的信息，主要包括绑定的接口，内外部IP地址等。

    4. 单击“确定”，完成配置。

后续处理

表5-409 NAT策略后续处理

功能

操作场景及约束

操作步骤

删除NAT策略

对于NAT策略，可以进行删除操作。

在“NAT”页签中，选中需要删除的NAT策略，单击“删除”，完成删除。

修改NAT策略

对于所有NAT策略，可以进行修改操作。
  1. 在“NAT”页签，在需要修改的策略的“操作”列中，单击。
  2. 修改策略。
  3. 单击“确认”，完成配置。

参数解释

表5-410 “动态NAT”页签，创建NAT策略

参数名称

说明

策略名称

动态NAT策略的名称。

设备

部署动态NAT策略的CPE设备的名称。

接口名称

使能动态NAT策略的接口。Underlay网络的WAN侧接口名称。

NAT模式
  • Easy IP：使用接口的地址作为NAT转换后的地址。
    说明：

    同一接口下，Easy IP类型的动态NAT只能配置一条，如果站点上网的配置中，已经使能了NAT，则NAT策略中不可以再配置Easy IP类型动态NAT，因为站点上网中的NAT默认为Easy IP类型。

  • PAT：支持端口转换，地址转换为多对一。
  • No-PAT：不支持端口转换，进行一对一的地址转换。

IP地址组

起始IP地址

NAT转换后的IP地址的范围，一般为公网IP。仅当NAT模式选择PAT或者No-PAT时，才可配置。配置时有以下约束：

  • 结束IP地址必须大于或等于起始IP地址。
  • 地址范围不能超过255。
  • 同一接口下，不同NAT策略的IP地址段不能重叠。

结束IP地址

匹配规则

匹配规则

一个ACL访问控制列表，用户可定义多条ACL规则。匹配ACL的数据报文，CPE将对报文的源IP源端口进行NAT转换。

说明：

如果两个NAT策略，配置了相同的ACL规则和不同的IP地址组，先配置的NAT策略生效。

优先级

ACL规则的优先级。报文优先匹配级别高的规则，执行高优先级规则定义的动作。

动作
  • 允许：表示匹配该ACL规则的报文可以通过。
  • 拒绝：表示匹配该ACL规则的报文不可以通过。

协议

ACL规则匹配报文的协议类型。

源IP/掩码

ACL规则匹配报文的源IP地址。

目的IP/掩码

ACL规则匹配报文的目的IP地址。

源端口

ACL规则匹配报文的源端口。仅当协议选择为TCP或者UDP时，才可配置。

目的端口

ACL规则匹配报文的目的IP端口。仅当协议选择为TCP或者UDP时，才可配置。
表5-411 “静态NAT”页签，创建NAT策略

参数名称

说明

策略名称

静态NAT策略的名称。

设备

部署静态NAT策略的CPE设备的名称。

接口名称

Underlay网络的WAN侧接口名称。

外部IP

NAT转换后的IP地址，一般是公网IP。

  • 使用当前接口IP：使用接口IP地址作为外部IP。
  • 用户自定义：使用配置的IP地址作为外部IP。

内部IP

NAT转换前的IP地址，一般是私网IP。

转换类型
  • 地址转换：对所有源IP地址为内部IP的报文，进行NAT转换。
  • 协议转换：根据报文的协议类型做NAT转换。

协议类型

仅当转换类型为协议转换时，才可配置。

  • TCP：对所有源IP地址为内部IP、源端口为内部端口、且协议类型为TCP的报文做NAT转换。内部IP转换为外部IP，内部端口转换为外部端口。
  • UDP：对所有源IP地址为内部IP、源端口为内部端口、且协议类型为UDP的报文做NAT转换。内部IP转换为外部IP，内部端口转换为外部端口。
  • ICMP：对所有源IP地址为内部IP且协议类型为ICMP的报文做NAT转换。内部IP转换为外部IP。

外部端口

NAT转换后的端口号。仅当转换类型为协议转换且协议类型为TCP或者UDP，才可配置。

内部端口

NAT转换前的端口号。仅当转换类型为协议转换且协议类型为TCP或者UDP，才可配置。

高级设置

方向

缺省为“双向”，用户也可根据NAT转换的场景指定为“外部访问内部”或者“内部访问外部”。比如，某站点LAN侧部署了对外文件服务器，外部Internet主动访问内网服务器，则用户也可设置为“外部访问内部”。

匹配规则

如果用户需要限制做静态NAT转换的报文的范围，比如目的端口为指定端口的TCP报文才做NAT转换，那么可以在通过配置ACL规则来实现。

具体各字段含义可参考“表 动态NAT页签，创建NAT策略”中动态NAT的匹配规则。

创建NAT策略（Overlay网络）

背景介绍

在Overlay页签下配置NAT策略，一般用于WAN站点之间互访的场景。两个WAN站点存在地址重复的情况，需要在每个站点上配置静态NAT，在不更改LAN侧终端地址的情况下实现WAN站点间的互通。

如果访问流量是单向的，那么在被访问方配置静态NAT即可。比如，站点A需要访问站点B，而站点B不需要访问站点A，那么在站点B上配置静态NAT即可，站点A不需要配置。

前提条件

  1. 已经添加站点。具体操作请参见网络设计中“创建站点”章节。
  2. 站点已经激活。具体操作请参见网络设计中“配置站点接入网络的方式”章节。
  3. 已经创建虚拟网络且虚拟网络已关联站点，具体操作请参见虚拟网络管理中“创建虚拟网络VN”章节。
  4. 已经配置LAN的信息。具体操作请参见站点配置中创建Overlay网络中的“配置LAN侧网络接入参数”章节。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Overlay”页签。
  3. 在“VN”中，选择需要配置NAT策略的部门。
  4. 单击“NAT”页签，配置NAT策略。
  5. 在站点区域，选择待配置NAT策略的站点。
  6. 配置动态NAT策略。

    1. 单击“新建”，创建策略。
    2. 填写动态NAT策略的信息，主要包括绑定的接口，NAT模式，外部IP地址段以及匹配规则。

    3. 单击“确定”，完成配置。

  7. 配置静态NAT策略。

    1. 单击“新建”，创建策略。
    2. 填写静态NAT策略的信息，主要包括绑定的接口，内外部IP地址等。

    3. 单击“确定”，完成配置。

  1. 单设备最多支持配置8条动态NAT策略。
  2. Overlay网络的NAT策略不支持双网关站点配置。

后续处理

表5-412 NAT策略后续处理

功能

操作场景及约束

操作步骤

删除NAT策略

对于NAT策略，可以进行删除操作。

在“NAT”页签中，选中需要删除的NAT策略，单击“删除”，完成删除。

修改NAT策略

对于所有NAT策略，可以进行修改操作。
  1. 在“NAT”页签，在需要修改的策略的“操作”列中，单击。
  2. 修改策略。
  3. 单击“确认”，完成配置。

参数解释

表5-413 NAT策略（Overlay网络）

参数名称

说明

动态NAT

策略名称

动态NAT策略的名称。

设备

部署动态NAT策略的CPE设备的名称。

接口名称

使能动态NAT策略的接口。

Overlay NAT策略，可选接口为Overlay Tunnnel口以及LAN侧接口。如果选择Overlay Tunnel口，表示在所有的Tunnel口上做NAT转换。

NAT模式
  • Easy IP：使用接口的地址作为NAT转换后的地址。
    说明：

    同一接口下，Easy IP类型的动态NAT只能配置一条，如果站点上网的配置中，已经使能了NAT，则NAT策略中不可以再配置Easy IP类型动态NAT，因为站点上网中的NAT默认为Easy IP类型。

  • PAT：支持端口转换，地址转换为多对一。
  • No-PAT：不支持端口转换，进行一对一的地址转换。

IP地址组

起始IP地址

NAT转换后的IP地址的范围，一般为公网IP。仅当NAT模式选择PAT或者No-PAT时，才可配置。配置时有以下约束：

  • 结束IP地址必须大于起始IP地址。
  • 地址范围不能超过255。
  • 同一接口下，不同NAT策略的IP地址段不能重叠。

结束IP地址

匹配规则

匹配规则

一个ACL访问控制列表，用户可定义多条ACL规则。匹配ACL的数据报文，CPE将对报文的源IP源端口进行NAT转换。

说明：

如果两个NAT策略，配置了相同的ACL规则和不同的IP地址组，先配置的NAT策略生效。

优先级

ACL规则的优先级。报文优先匹配级别高的规则，执行高优先级规则定义的动作。

动作
  • 允许：表示匹配该ACL规则的报文可以通过。
  • 拒绝：表示匹配该ACL规则的报文不可以通过。

协议

ACL规则匹配报文的协议类型。

源IP/掩码

ACL规则匹配报文的源IP地址。

目的IP/掩码

ACL规则匹配报文的目的IP地址。

源端口

ACL规则匹配报文的源端口。仅当协议选择为TCP或者UDP时，才可配置。

目的端口

ACL规则匹配报文的目的IP端口。仅当协议选择为TCP或者UDP时，才可配置。

静态NAT

策略名称

静态NAT策略的名称。

设备

部署静态NAT策略的CPE设备的名称。

接口名称

使能静态NAT策略的接口。

Overlay NAT策略，可选接口为Overlay Tunnel或者LAN侧接口。如果选择Overlay Tunnel口，表示在所有的Tunnel口上做NAT转换。

外部IP

NAT转换后的IP地址，一般是公网IP。

  • 使用当前接口IP：使用接口IP地址作为外部IP。
  • 用户自定义：使用配置的IP地址作为外部IP。

内部IP

NAT转换前的IP地址，一般是私网IP。

转换类型
  • 地址转换：对所有源IP地址为内部IP的报文，进行NAT转换。
  • 协议转换：根据报文的协议类型做NAT转换。

协议类型

仅当转换类型为协议转换时，才可配置。

  • TCP：对所有源IP地址为内部IP、源端口为内部端口、且协议类型为TCP的报文做NAT转换。内部IP转换为外部IP，内部端口转换为外部端口。
  • UDP：对所有源IP地址为内部IP、源端口为内部端口、且协议类型为UDP的报文做NAT转换。内部IP转换为外部IP，内部端口转换为外部端口。
  • ICMP：对所有源IP地址为内部IP且协议类型为ICMP的报文做NAT转换。内部IP转换为外部IP。

外部端口

NAT转换后的端口号。仅当转换类型为协议转换且协议类型为TCP或者UDP，才可配置。

内部端口

NAT转换前的端口号。仅当转换类型为协议转换且协议类型为TCP或者UDP，才可配置。

高级设置

方向

缺省为“双向”，用户也可根据NAT转换的场景指定为“外部访问内部”或者“内部访问外部”。比如，某站点LAN侧部署了对外文件服务器，外部Internet主动访问内网服务器，则用户也可设置为“外部访问内部”。

匹配规则

如果用户需要限制做静态NAT转换的报文的范围，比如目的端口为指定端口的TCP报文才做NAT转换，那么可以在通过配置ACL规则来实现。

具体各字段含义可参考动态NAT的匹配规则。

创建智能选路策略（Overlay网络）

配置智能选路策略后，当发生链路拥塞、无法满足指定应用的要求时，流量可以自动在主链路之间切换，如果主链路都不可用，还可切换至逃生链路，确保关键应用的体验。

前提条件

  1. 已经添加站点。具体操作请参见网络设计中“创建站点”章节。
  2. 站点已经激活。具体操作请参见网络设计中“配置站点接入网络的方式”章节。
  3. 已经创建虚拟网络且虚拟网络已关联站点，具体操作请参见虚拟网络管理中“创建虚拟网络VN”章节。
  4. 已经配置流量策略模板。具体操作请参见创建流分类模板。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Overlay”页签。
  3. 在“VN”中，选择需要进行智能选路的部门。
  4. 单击“智能选路”页签，默认进入“策略配置”界面。

  5. 单击“新建”，配置智能选路策略。

    1. 配置“策略名称”，“流分类模板”以及“策略优先级”。

    2. 在“切换指标”中，选择系统预定义的四类指标，或者选择自定义然后设置“延迟”、“抖动”和“丢包率”。系统将以此为依据评估网络健康度，从而判断是否需要切换链路。

    3. 在“传输网络优先级”中，设置主备传输网络。
      • 如果链路组包含三个以上传输网络时，如果其中某一个链路发生变化（通断，增加，删除），此链路组内的所有流量可能会重新分布。
      • 该链路的突发尺寸大小为实际设置链路带宽值(kbps)*最大带宽利用率*12.5*应用优先级，单位为字节，大量突发可能会影响选路结果。
        • 链路带宽值：取值来源于“配置站点接入网络的方式”中“上行容量”或“下行容量”的值。
        • 最大带宽利用率：取值来源于“配置全局参数”中“最大带宽利用率”的值。
        • 应用优先级：取值来源于5.d中“优先级”的值。

    4. 在“高级设置”中，设置带宽选路，应用优先级等信息。系统会结合链路当前的带宽占用率、应用优先级以及切换阈值，来判断是否需要切换链路，并根据应用的优先级，决定切换哪条应用流量。

    5. 如果需要策略立即生效则跳过此步。如果需要策略在制定时间段内生效，则在“生效时间模板”中，选择生效时间模板。
    6. 单击“确定”，完成配置。

  6. 关联智能选路策略的站点。策略只对被选择的站点生效。

    1. 在智能选路策略的“操作”列，单击关联站点的图标。
    2. 在“关联站点”界面中，选择需要关联的站点。
    3. 单击“确定”，完成关联。

  7. 下发智能选路策略到站点，并设置策略开始执行时间。

    1. 在需要提交策略的勾选框中，选中需要下发的智能选路策略。
    2. 单击“提交”，再选择“提交选中”或者“提交全部”
    3. 在“提交”界面中，设置策略开始执行时间，分为“立即执行”和“预约下发”。
    4. 单击“确定”，完成策略下发。

后续处理

对策略执行如下操作后，如果需要在站点中生效，必须要再进行“提交”操作。

表5-414 智能选路策略的后续处理

功能

操作场景及约束

操作步骤

撤销智能选路策略

对于没有下发到站点的策略，即没有执行“提交”操作的策略（“状态”不是“已提交”的策略），可以进行撤销操作。对于已经执行提交操作的策略无法进行撤销操作。撤销操作的目的是为了取消对策略的上一步的操作，如取消对策略的修改、取消新建策略、取消删除策略。撤销后的策略仅仅对配置进行回退，即只修改在iMaster NCE-Campus中的操作，并不会对设备进行操作。

在“智能选路”页签中，选中需要撤销的智能选路策略，单击“撤销”，再选择“撤销选中”，完成撤销。

删除智能选路策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行删除操作。删除策略后，仅仅在iMaster NCE-Campus将把这些策略删除，如果还需要在设备中删除这些策略，还需要进行“提交”操作。

在“智能选路”页签中，选中需要删除的智能选路策略，单击“删除”，完成删除。

修改智能选路策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行修改操作。修改策略后，仅仅在iMaster NCE-Campus将把这些策略修改，如果还需要在设备中修改这些策略，还需要进行“提交”操作。
  1. 在“智能选路”页签，在需要修改的策略的“操作”列中，单击。
  2. 修改策略。
  3. 单击“确认”，完成配置。

克隆智能选路策略

在已有的策略基础上通过简单的修改，可以快速的新建一条策略。克隆策略后，仅仅在iMaster NCE-Campus中新建，如果还需要在下发设备，还需要进行“提交”操作。
  1. 在“智能选路”页签，在需要克隆的策略的“操作”列中，单击。
  2. 修改克隆后策略。
  3. 单击“确认”，完成克隆。

去使能/使能智能选路策略
  • 去使能：对于暂时不需要使用的策略，可以进行去使能操作。对于所有已经下发到站点和没有下发到站点的策略，可以进行去使能操作。去使能策略后，仅仅在iMaster NCE-Campus中把这些策略去使能，如果还需要在设备中去使能这些策略，还需要进行“提交”操作。
  • 使能：对于去使能状态策略又需要使用，可以进行使能操作。对于所有已经下发到站点和没有下发到站点的策略，可以进行使能操作。使能策略后，仅仅在iMaster NCE-Campus将把这些策略使能，如果还需要在设备中使能这些策略，还需要进行“提交”操作。
  • 去使能：在“智能选路”页签，在需要使能/去使能的策略的“操作”列中，单击，对策略进行去使能操作。
  • 使能：在“智能选路”页签，在需要使能/去使能的策略的“操作”列中，单击，对策略进行使能操作。

站点视图下绑定新策略

以站点为对象，绑定新的策略。
  1. 在“智能选路”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“绑定新策略”。
  4. 选择需要绑定到选中站点的策略。
  5. 单击“确认”，完成配置。

站点视图下批量配置策略

将已经绑定到站点的策略绑定到其他没有绑定过策略的站点中，使不同站点拥有同样的策略。
  1. 在“智能选路”页签，单击“站点视图”。
  2. 单击“批量配置”。
  3. 在“克隆站点”中，选择已经绑定了策略的站点。
  4. 在“站点”区域，选择需要绑定同样策略的目的站点。
  5. 单击“确认”，完成配置。

站点视图下全部提交

以站点为对象，提交全部的策略。
  1. 在“智能选路”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“全部提交”。
  4. 单击“确认”，完成配置。

站点视图下撤销所有

以站点为对象，撤销所有策略。
  1. 在“智能选路”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“撤销所有”。
  4. 单击“确认”，完成配置。

参数说明

表5-415 智能选路策略

参数名称

说明

策略名称

智能选路策略的名称。

流分类模板

对匹配流分类模板的报文应用智能选路策略。

策略优先级

智能选路策略的优先级。对于同一个数据流，优先匹配高优先级的智能选路策略。

切换指标

切换指标

切换指标主要指链路的延迟、抖动和丢包率，不同的业务对链路质量的要求不同，比如语音和视频业务对时延、丢包率的容忍度较低。CPE设备通过IP FPM（IP Flow Performance Measurement）实时监控应用流量的延迟、抖动以及丢包率，三个指标只要有其中一个超出阈值，就会触发链路切换。

系统为语音、实时视频、低时延数据、大容量数据这四种典型的业务定义了切换指标，用户直接选择业务类型即可。用户也可以根据业务需求自定义切换指标，选择“自定义”后，可对“延迟”、“抖动”、“丢包率”进行设置。

延迟(ms)

延迟时间。

抖动(ms)

抖动时间。

丢包率(‰)

丢包比例阈值。

传输网络优先级

主传输网络

优先级

配置主传输网络的优先级，数值越小优先级越高，用户也可以为传输网络配置相同优先级。

传输网络

用户可配置多条主传输网络，并指定其优先级。用户可通过设置“传输网络间流量行为”，定义不同传输网络间的调度模式。

  • 对于相同优先级的传输网络，建议采用“负载均衡”的调度模式。
  • 对于不同优先级的传输网络，建议采用“优先占用”的调度模式。即应用流量转发时，首先选择优先级最高的传输网络，如果“切换指标”超出阈值或者带宽占用率超出“带宽上限”，则切换至优先级较低的传输网络。

备传输网络

配置备传输网络。备传输网络提供的是逃生链路，只有当主传输网络全部不可用时，应用流量才切换到备传输网络。

高级设置

切换阈值上限

除了根据延迟、抖动和丢包率选择链路以外，用户还可以根据链路带宽利用率控制流量选路。

  • 链路带宽占用率<下限值：当前应用流量通过该传输网络转发，新的应用流量也可以进入。
  • 下限值<链路带宽占用率<上限值：仅保证当前应用流量的转发，新的应用流量不可以再进入。
  • 链路带宽占用率>上限值：部分应用流量切换到其他传输网络，新的应用流量也不可以再进入。
说明：

当选路策略场景为负载均衡选路时，切换阈值的范围设置应在全局配置中“最大带宽利用率”的范围内。

切换阈值下限

带宽条件

传输网络

为某个传输网络配置带宽条件，主要有下面两种应用场景。

  • 配置带宽上限和带宽下限：“切换阈值上限”和“切换阈值下限”默认应用于所有传输网络，如果用户需要为某个传输网络做特殊的配置，则可以在带宽条件里进行配置。
  • 配置应用最大带宽和应用最小带宽：根据应用占用链路带宽的情况来选择链路。
    说明：

    应用带宽占用率是从应用的角度对流量进行选路控制，链路带宽利用率是从链路的角度对流量进行选路控制，建议用户不要叠加使用。应用带宽占用率超限后的设备行为与链路带宽利用率超限的设备行为一样。

带宽上限(%)

链路带宽占用率，基数为当前传输网络的链路总带宽，分子为链路上承载的所有应用占用的带宽之和。

带宽下限(%)

带宽上限(MB)

用户也可以通过数值的形式指定链路带宽上下限值。

带宽下限(MB)

应用最大带宽(%)

应用带宽占用率，基数为当前传输网络的链路总带宽，分子为流分类模板指定的应用所占用的带宽。

应用最小带宽(%)

应用最大带宽(MB)

用户也可以通过数值的形式指定应用带宽上下限值。

应用最小带宽(MB)

条件不满足时流量行为

当主传输网络的SLA均不满足要求，或者带宽利用率均超出阈值的情况 ，流量的选路行为。

  • “差中选优”：在“优先占用”和“负载均衡”调度模式下，会基于CMI算法，从主传输网络中选择一条相对较好的链路进行流量转发。
  • “等价转发”：在“负载均衡”调度模式下，通过查路由表随机选择链路进行报文转发。
  • “丢弃”：如果配置了逃生链路，报文会通过逃生链路转发，如果未配置，报文将被全部丢弃，可能导致业务中断。

切换模式

发生了链路切换后，如果原链路质量恢复是否允许流量回切至原链路。链路切换，包括不同优先级的主传输网络之间的切换，以及主备传输网络之间的切换。

说明：

如果用户配置了带宽条件，根据带宽占用率控制选路，建议不要将切换模式设置为“可以回切”。

传输网络间流量行为

不同优先级的主传输网络，默认采用“优先占用”的调度模式，用户也可选择“负载均衡”的调度模式。

优先级（仅当“传输网络间流量行为”为“负载均衡”时可配）

应用优先级，数值越小优先级越高。如果在同一条链路上有多种业务报文，当链路拥塞时会优先保证高优先级应用的使用，低优先级应用避让高优先级应用。

生效时间模板

智能选路策略仅在模板定义的时间段内生效。

创建QoS策略（Overlay网络）

希望对应用或者流量进行带宽限制时，需要配置QoS策略。

设备款型不一样，QoS策略支持的应用数量不一样。

前提条件

  1. 已经添加站点。具体操作请参见网络设计中“创建站点”章节。
  2. 站点已经激活。具体操作请参见网络设计中“配置站点接入网络的方式”章节。
  3. 已经创建虚拟网络且虚拟网络已关联站点，具体操作请参见虚拟网络管理中“创建虚拟网络VN”章节。
  4. 已经配置流量策略模板。具体操作请参见创建流分类模板。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Overlay”页签。
  3. 在“VN”中，选择需要配置QoS策略的部门。
  4. 单击“QoS”页签，默认进入“策略配置”界面。

  5. 单击“新建”，配置QoS策略。

    1. 在“策略名称”中，配置QoS策略的名称。
    2. 在“流分类模板”中，选择流量的匹配规则。
    3. 在“策略优先级”中，配置策略优先级。
    4. 设置是否使能LAN侧或WAN侧接口。

      如果使能了LAN侧或WAN侧接口，需设置“队列优先级”，“流量带宽限制”，“DSCP标记”，“队列长度”等策略信息。

    5. 如果需要策略一直生效则跳过此步。如果需要策略在制定时间段内生效，则在“生效时间模板”中，选择生效时间模板。
    6. 单击“确定”，完成配置。

  6. 关联QoS策略到站点。

    1. 在QoS策略的“操作”列，单击关联站点的图标。
    2. 在“关联站点”界面中，选择需要关联的站点。

      这些站点中必须包含分支站点才能生效，如中心站点+分支站点，或者汇聚站点+分支站点等。

    3. 单击“确定”，完成关联。

  7. 下发QoS策略到站点，并设置策略开始执行时间。

    1. 在需要提交策略的勾选框中，选中需要下发的QoS策略。
    2. 单击“提交”，再选择“提交选中”或者“提交全部”。
    3. 在“提交”界面中，设置策略开始执行时间，分为“立即执行”和“预约下发”。
    4. 单击“确定”，完成策略下发。

后续处理

对策略执行如下操作后，如果需要在站点中生效，必须要再进行“提交”操作。

表5-416 QoS策略后续处理

功能

操作场景及约束

操作步骤

撤销QoS策略

对于没有下发到站点的策略，即没有执行“提交”操作的策略（“状态”不是“已提交”的策略），可以进行撤销操作。对于已经执行提交操作的策略无法进行撤销操作。撤销操作的目的是为了取消对策略的上一步的操作，如取消对策略的修改、取消新建策略、取消删除策略。撤销后的策略仅仅对配置进行回退，即只修改在iMaster NCE-Campus中的操作，并不会对设备进行操作。

在“QoS”页签中，选中需要撤销的QoS策略，单击“撤销”，再选择“撤销选中”，完成撤销。

删除QoS策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行删除操作。删除策略后，仅仅在iMaster NCE-Campus将把这些策略删除，如果还需要在设备中删除这些策略，还需要进行“提交”操作。

在“QoS”页签中，选中需要删除的QoS策略，单击“删除”，完成删除。

修改QoS策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行修改操作。修改策略后，仅仅在iMaster NCE-Campus将把这些策略修改，如果还需要在设备中修改这些策略，还需要进行“提交”操作。
  1. 在“QoS”页签，在需要修改的策略的“操作”列中，单击。
  2. 修改策略。
  3. 单击“确认”，完成配置。

克隆QoS策略

在已有的策略基础上通过简单的修改，可以快速的新建一条策略。克隆策略后，仅仅在iMaster NCE-Campus中新建，如果还需要在下发设备，还需要进行“提交”操作。
  1. 在“QoS”页签，在需要克隆的策略的“操作”列中，单击。
  2. 修改克隆后策略。
  3. 单击“确认”，完成克隆。

去使能/使能QoS策略
  • 去使能：对于暂时不需要使用的策略，可以进行去使能操作。对于所有已经下发到站点和没有下发到站点的策略，可以进行去使能操作。去使能策略后，仅仅在iMaster NCE-Campus中把这些策略去使能，如果还需要在设备中去使能这些策略，还需要进行“提交”操作。
  • 使能：对于去使能状态策略又需要使用，可以进行使能操作。对于所有已经下发到站点和没有下发到站点的策略，可以进行使能操作。使能策略后，仅仅在iMaster NCE-Campus将把这些策略使能，如果还需要在设备中使能这些策略，还需要进行“提交”操作。
  • 去使能：在“QoS”页签，在需要使能/去使能的策略的“操作”列中，单击，对策略进行去使能操作。
  • 使能：在“QoS”页签，在需要使能/去使能的策略的“操作”列中，单击，对策略进行使能操作。

站点视图下绑定新策略

以站点为对象，绑定新的策略。
  1. 在“QoS”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“绑定新策略”。
  4. 选择需要绑定到选中站点的策略。
  5. 单击“确认”，完成配置。

站点视图下批量配置策略

将已经绑定到站点的策略绑定到其他没有绑定过策略的站点中，使不同站点拥有同样的策略。
  1. 在“QoS”页签，单击“站点视图”。
  2. 单击“批量配置”。
  3. 在“克隆站点”中，选择已经绑定了而来的站点。
  4. 在“站点”区域，选择需要绑定同样策略的目的站点。
  5. 单击“确认”，完成配置。

站点视图下全部提交

以站点为对象，提交全部的策略。
  1. 在“QoS”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“全部提交”。
  4. 单击“确认”，完成配置。

站点视图下撤销所有

以站点为对象，撤销所有策略。
  1. 在“QoS”页签，单击“站点视图”。
  2. 在站点区域，选择站点。
  3. 单击“撤销所有”。
  4. 单击“确认”，完成配置。

参数说明

表5-417 QoS策略

参数名称

说明

策略名称

QoS策略的名称。

流分类模板

对匹配流分类模板的报文应用QoS策略。

策略优先级

QoS策略的优先级。

LAN

LAN DSCP标记

指定IP报文的DSCP优先级值。取值范围是0～63，值越大优先级越高。

如果使能了“LAN”，则CPE会将封装在Overlay隧道内的IP头的DSCP字段设置为该值。

LAN统计开关

使能LAN口流量统计功能。使能流量统计功能后，可以在CPE设备上查看统计信息。

WAN

队列优先级

队列优先级

对于需要重点保障的关键应用，建议使能“队列优先级”。当使能“队列优先级”后，CPE会根据设置的队列优先级，自动将识别的报文设置为不同的队列类型。

优先级（使能“队列优先级”时，才需要配置）

QoS优先级。当发生网络拥塞时，系统将优先保证高优先级的应用报文正常传输。主要支持如下几种：

  • 中等：中等优先级使用AF（Assured Forwarding）确保转发队列，可以保证在网络发送的业务流量没有超过最小可确保带宽的情况下，此队列中报文的丢失概率非常低。
  • 高：高优先级使用EF（Expedited Forwarding）加速转发队列，匹配规则的报文进入EF队列后，进行绝对优先级调度，仅当EF队列中的报文调度完毕后，才会调度其他队列中的报文。而且当AF或BE队列有空闲带宽时，EF队列可以对空闲带宽进行占用。
  • 最高：最高优先级使用LLQ（Low Latency Queuing）调度。LLQ队列一种特殊的EF队列，采用绝对优先调度，相较于EF队列而言，时延更低，可以为时延敏感的应用（如VoIP业务）提供良好的服务质量保证。但是LLQ队列不抢占剩余带宽。

保证带宽（使能“队列优先级”时，才需要配置）

对于AF和EF队列，保证带宽为可确保的最小带宽，当流量超出保证带宽后可以占用剩余带宽。

对于LLQ队列，由于LLQ队列不抢占剩余带宽，所以保证带宽为可确保的最大带宽，当流量超出保证带宽后会被丢弃。

保证带宽的配置方式支持指定具体的带宽值，也可指定带宽占用比例。其中，百分比的基数为接口上某部门（VPN）可用的带宽，如果直接指定保证带宽的值，也不能超过该基数。

例如，某WAN侧接口带宽为100M，经过流量分配后，VPN1占用50M带宽，如果保证带宽配置20%，则匹配该流分类的报文可以占用10M的带宽。

流量带宽限制

流量带宽限制

是否对流量的带宽做限制。当使能“流量带宽限制”后，将对匹配一定规则的某一类报文进行低延时转发。

限制类型（使能“流量带宽限制”时，才需要配置）

支持如下几种类型：

  • 流量整形：（削峰填谷）是一种主动调整流量输出速率的措施。当下游设备的入接口速率小于上游设备的出接口速率或发生突发流量时，下游设备入接口处可能出现流量拥塞的情况，此时用户可以通过在上游设备的接口出方向配置流量整形，将上游不规整的流量进行削峰填谷，输出一条比较平整的流量，从而解决下游设备的拥塞问题。
  • 流量监管：（削峰）对流量进行控制，通过监督进入网络的流量速率，对超出部分的流量进行丢弃，使进入的流量被限制在一个合理的范围之内，从而保护网络资源和企业网用户的利益。目前使用CAR进行流量监管。
说明：

如果使能了“队列优先级”，且优先级为“最高”或者“高”时，只能选择“流量监管”，不能选择“流量整形”。

因为设备限制，设备流行为中配置了queue ef命令（高优先级）和queue llq命令（最高优先级）后，不可再为该流行为配置gts命令（流量整形）。

限制带宽（使能“流量带宽限制”时，才需要配置）

限制带宽表示流量的上限值，如果超出了这个数值，报文会被限制——缓存起来稍后发送（整形）或者直接丢弃（监管）。

理论上，限制带宽要大于保证带宽。

DSCP标记

如果“接口”选择的是“WAN”口，则CPE会将报文最外层IP头的DSCP字段设置为该值；如果“接口”选择的是“LAN”口，则CPE会将封装在Overlay隧道内的IP头的DSCP字段设置为该值。

指定IP报文的DSCP优先级值。当流量进入CPE设备时，CPE会把报文最外层IP头的DSCP字段设置为该值。此参数取值范围是0～63，值越大优先级越高。

一般情况下，语音报文场景DSCP优先级设为最高，视频报文的DSCP优先级其次，数据报文的DSCP优先级最低。

队列长度

队列的最大长度。只有当“队列优先级”配置为“高”或者“中等”后才能配置队列长度。

用户可指定队列最多可存储报文字节数，或者指定队列最多可存储报文数，或者两者都指定。如果两者都指定，表示当队列中的报文数达到队列总报文最大个数，或队列中所有报文字节总数达到队列总报文最大字节数时，队列不再接受报文。

Re-mark 8021p

重新标记VLAN报文的802.1p优先级，值越大优先级越高。由于流策略应用在接口出方向时，将不会影响当前CPE设备对报文的QoS处理，仅会影响下游二层设备对报文的QoS处理。

统计开关

使能流量统计功能。使能流量统计功能后，可以在CPE设备上查看统计信息。

生效时间模板

QoS策略仅在模板定义的时间段内生效。

配置VAS连接

背景信息

VAS（Value Added Service，增值服务）功能应用于集中上网场景下，并且是集中上网站点采用WAN侧出接口接入Internet的场景。默认情况下，上网流量直接通过Underlay网络出局，但是使能了VAS后，上网流量将绕行至第三方安全设备（如硬件防火墙FW），经过防火墙处理后再通过Underlay出局。CPE通过VAS连接功能与FW互联。FW作为集中安全网关，对总部和分支的流量提供安全防护，如图所示。

分支站点的流量是从WAN侧进入总部的CPE，总部的CPE采用配置路由的方式将分支站点的流量引入到FW（Ingress方向），经过FW安全防护处理后，再将业务流量送回到CPE（Egress方向），最终从CPE转发到Internet网络。

前提条件

  1. 已经创建站点。具体操作请参见网络设计中“创建站点”章节。
  2. 已经配置站点WAN侧链路。具体操作请参见网络设计中“配置站点接入网络的方式”章节。
  3. 已经创建虚拟网络且虚拟网络已关联站点，具体操作请参见虚拟网络管理中“创建虚拟网络VN”章节。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Overlay”页签。
  3. 在“VN”中，选择需要配置VAS策略的部门。
  4. 单击“VAS连接”页签，在站点区域选择站点。
  5. 单击“创建”按钮。
  6. 在“创建VAS连接”页面中，配置VAS连接的信息。

  7. 单击“确定”，完成配置。

参数说明

表5-418 VAS连接

参数名称

说明

设备

选择站点设备。在单网关场景下，站点设备仅有一个，用户直接选择即可。在双网关场景下，存在下面两种情况：

  • 单出口：仅一个网关设备的WAN侧接口支持上网。这种情况下，仅在一个网关设备上配置VAS连接即可。
  • 双出口：两个网关设备的WAN侧接口均支持上网。这种情况下，两个网关设备上都需要配置VAS连接。

方向

在一个VPN下，一个站点设备需要配置两条VAS连接，一个Ingress方向和一个Egress方向。

  • Ingress方向：上网流量由站点设备发送至FW的Ingress接口。
  • Egress方向：上网流量经FW处理完后，由Egress接口传回站点设备。
说明：
  • 用户需通过FW管理系统，配置FW中对应的Ingress接口和Egress接口，同时启用对应路由协议，与下面的“接口配置”、“路由配置”相对应，从而实现Ingress和Egress的互连。
  • 一个Ingress接口可对应多个Ingress连接，不同Ingress连接分属于不同的VPN。

描述

VAS连接的描述信息。

接口配置

接入类型

接口的接入类型。支持VLAN和L3接口两种类型。当前FW仅支持VLAN方式对接，L3接口作为预留。以下接口配置的参数说明，均为VLAN对接方式下的。

VLAN ID

接入类型为VLAN时，站点设备与FW之间二层通信所使用的VLAN。系统会根据VLAN ID自动创建VLANIF接口。

说明：

同一站点设备在不同VPN下与FW通信的VLAN ID不能重复，Ingress方向和Egress方向上的VLAN ID也不能重复。

物理接口

Ingress方向上，配置与FW的Ingress接口对接的接口；Egress方向上，配置与FW的Egress接口对接的接口。

当前站点设备与FW对接所使用的物理接口的接口类型、接口编号均与FW下创建的接口类型、接口编号一致。

TAG模式

出口报文是否加VLAN Tag标签。

IP地址

VLAN IF接口的IP地址。

信任模式

指定安全域的类型，接口上收到的报文属于信任域还是非信任域，如果为非信任域，则接口上收到的报文需要转发至安全策略模块进行处理。

路由配置

路由

路由类型，支持OSPF或者静态路由。

静态路由

目的网段/掩码

静态路由的目的网段。比如，对于上网业务流量，用户需要在Ingress方向上配置一条静态路由，目的网段为0.0.0.0，下一跳为FW的Ingress接口的IP地址；对于回程业务流量，用户需要在Egress方向上配置一条静态路由，目的网段为VPN下某个分支站点的地址段，下一跳为FW的Egress接口的IP地址。

说明：

用户还需要通过FW管理系统，在FW上配置相应的静态路由。

下一跳类型

静态路由的下一跳类型，当前只支持IP地址类型。

IP地址

下一跳IP地址。

优先级

静态路由优先级，数值越小优先级越高。

探测

使能静态路由与NQA测试例联动。

目标

静态路由与NQA联动时仅采用ICMP测试例来检测源端到目的端的路由是否可达。指定NQA测试例的目的地址。

OSPF

进程ID

OSPF进程的ID，系统规划给VAS使用OSPF路由，进程ID限制在60000~61000的范围内。

通告默认路由

是否将缺省路由通告到普通OSPF区域。开启该开关后，设备会一直对外通告OSPF缺省路由。

须知：

Ingress方向上默认去使能，Egress方向行默认使能。用户使用默认配置即可，非默认配置可能会导致流量不通。

接口参数

区域ID

OSPF区域的ID号。

验证模式

OSPF支持报文验证功能，只有通过验证的OSPF报文才能接收，否则将不能正常建立邻居。

设置OSPF区域所使用的认证模式。支持以下三种模式：
  • 不认证（None）：不对OSPF报文进行验证。
  • 简单认证（Simple）：需配置简单认证密码。
  • 高级认证（Cryptographic）：可进一步选择MD5、HMAC-MD5或者HMAC-SHA256验证模式。
    说明：

    Simple、MD5、HMAC-MD5认证模式可能存在安全风险，推荐使用HMAC-SHA256加密算法。

加密模式（当“验证模式”为“Cryptographic”时，才需要配置）

支持MD5、HMAC-MD5或者HMAC-SHA256三种加密模式。MD5、HMAC-MD5加密模式可能存在安全风险，推荐使用HMAC-SHA256加密模式。

Key（当“验证模式”为“Cryptographic”时，才需要配置）

设置接口密文验证的验证字标识符。

密码（当“验证模式”为“Simple”或者“Cryptographic”时，才需要配置）

设置密文验证字。

创建QoS策略（通用配置）

希望对应用或者流量进行带宽限制时，需要配置QoS策略。业务报文通过Underlay网络从LAN侧发送到WAN侧时，推荐使用Common的WAN类型QoS策略。

设备款型不一样，QoS策略支持的应用数量不一样。

前提条件

  1. 已经添加站点。具体操作请参见网络设计中“创建站点”章节。
  2. 站点已经激活。具体操作请参见网络设计中“配置站点接入网络的方式”章节。
  3. 已经配置流量策略模板。具体操作请参见创建流分类模板。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Common”页签，默认进入“QoS”页签页面。
  3. 选择一个站点，单击“新建”，配置QoS策略。

    1. 在“策略名称”中，配置QoS策略的名称。
    2. 在“流分类模板”中，选择流量的匹配规则。
    3. 在“策略优先级”中，配置策略优先级。
    4. 在“设备”中，选择需要配置QoS策略的设备。
    5. 在“类型”中，选择需要配置QoS策略的接口类型。
    6. 在“接口名称”中，选择需要配置QoS策略的接口名称。
    7. 根据选择的接口类型设置相关信息，如“队列优先级”，“流量带宽限制”，“DSCP标记”，“队列长度”等策略信息。
    8. 如果需要策略一致生效则跳过此步。如果需要策略在制定时间段内生效，则在“生效时间模板”中，选择生效时间模板。

  4. 单击“确定”，完成配置。

    配置成功后，系统自动将QoS策略下发到对应站点的设备。

后续处理

表5-419 QoS策略后续处理

功能

操作场景及约束

操作步骤

删除QoS策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行删除操作。删除策略后，仅仅在iMaster NCE-Campus将把这些策略删除，如果还需要在设备中删除这些策略，还需要进行“提交”操作。

在“QoS”页签中，选中需要删除的QoS策略，单击“删除”，完成删除。

修改QoS策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行修改操作。修改策略后，仅仅在iMaster NCE-Campus将把这些策略修改，如果还需要在设备中修改这些策略，还需要进行“提交”操作。
  1. 在“QoS”页签，在需要修改的策略的“操作”列中，单击。
  2. 修改策略。
  3. 单击“确认”，完成配置。

参数说明

表5-420 QoS策略_Common

参数名称

说明

策略名称

QoS策略的名称。

流分类模板

对匹配流分类模板的报文应用QoS策略。

策略优先级

QoS策略的优先级。

设备

选择需要配置QoS的设备。

类型

支持WAN接口和LAN接口类型。

  • WAN：业务报文直接通过Underlay网络从LAN侧发送到WAN侧时，推荐使用Common的WAN类型QoS策略。
  • LAN：当需要修改DSCP的报文时，推荐使用Common的LAN类型QoS策略。

接口名称

支持WAN接口和LAN接口。当前QoS策略（主要指“队列优先级”和“流量带宽限制”）仅支持作用在WAN侧接口的出方向上，而在LAN接口上仅支持配置“DSCP标记”。

流量方向

系统自动显示。

  • 当“类型”设置为“WAN”时，该值自动显示为“outbound”。
  • 当“类型”设置为“LAN”时，该值自动显示为“inbound”。

队列优先级（当“类型”设置为“WAN”时，才需要配置。）

队列优先级

对于需要重点保障的关键应用，建议使能“队列优先级”。当使能“队列优先级”后，CPE会根据设置的队列优先级，自动将识别的报文设置为不同的队列类型。

优先级（使能“队列优先级”时，才需要配置。）

QoS优先级。当发生网络拥塞时，系统将优先保证高优先级的应用报文正常传输。主要支持如下几种：

  • 中等：中等优先级使用AF（Assured Forwarding）确保转发队列，可以保证在网络发送的业务流量没有超过最小可确保带宽的情况下，此队列中报文的丢失概率非常低。
  • 高：高优先级使用EF（Expedited Forwarding）加速转发队列，匹配规则的报文进入EF队列后，进行绝对优先级调度，仅当EF队列中的报文调度完毕后，才会调度其他队列中的报文。而且当AF或BE队列有空闲带宽时，EF队列可以对空闲带宽进行占用。
  • 最高：最高优先级使用LLQ（Low Latency Queuing）调度。LLQ队列一种特殊的EF队列，采用绝对优先调度，相较于EF队列而言，时延更低，可以为时延敏感的应用（如VoIP业务）提供良好的服务质量保证。但是LLQ队列不抢占剩余带宽。

保证带宽（使能“队列优先级”时，才需要配置。）

对于AF和EF队列，保证带宽为可确保的最小带宽，当流量超出保证带宽后可以占用剩余带宽。

对于LLQ队列，由于LLQ队列不抢占剩余带宽，所以保证带宽为可确保的最大带宽，当流量超出保证带宽后会被丢弃。

保证带宽的配置方式支持指定具体的带宽值，也可指定带宽占用比例。其中，百分比的基数为接口上某部门（VPN）可用的带宽，如果直接指定保证带宽的值，也不能超过该基数。

例如，某WAN侧接口带宽为100M，经过流量分配后，VPN1占用50M带宽，如果保证带宽配置20%，则匹配该流分类的报文可以占用10M的带宽。

流量带宽限制

（当“类型”设置为“WAN”时，才需要配置。）

流量带宽限制

是否对流量的带宽做限制。当使能“流量带宽限制”后，将对匹配一定规则的某一类报文进行低延时转发。

限制类型（使能“流量带宽限制”时，才需要配置。）
  • 流量整形：（削峰填谷）是一种主动调整流量输出速率的措施。当下游设备的入接口速率小于上游设备的出接口速率或发生突发流量时，下游设备入接口处可能出现流量拥塞的情况，此时用户可以通过在上游设备的接口出方向配置流量整形，将上游不规整的流量进行削峰填谷，输出一条比较平整的流量，从而解决下游设备的拥塞问题。
  • 流量监管：（削峰）对流量进行控制，通过监督进入网络的流量速率，对超出部分的流量进行丢弃，使进入的流量被限制在一个合理的范围之内，从而保护网络资源和企业网用户的利益。目前使用CAR进行流量监管。

如果使能了“队列优先级”，且优先级为“最高”或者“高”时，只能选择流量监管，不能选择流量整形。

限制带宽（使能“流量带宽限制”时，才需要配置。）

限制带宽表示流量的上限值，如果超出了这个数值，报文会被限制——缓存起来稍后发送（整形）或者直接丢弃（监管）。

理论上，限制带宽要大于保证带宽。

DSCP标记

指定IP报文的DSCP优先级值。当流量进入CPE设备时，CPE会把报文最外层IP头的DSCP字段设置为该值。此参数取值范围是0～63，值越大优先级越高。

一般情况下，语音报文场景DSCP优先级设为最高，视频报文的DSCP优先级其次，数据报文的DSCP优先级最低。

队列长度

（当“类型”设置为“WAN”时，才需要配置。）

队列的最大长度。只有当“队列优先级”配置为“高”或者“中等”后才能配置队列长度。

用户可指定队列最多可存储报文字节数，或者指定队列最多可存储报文数，或者两者都指定。如果两者都指定，表示当队列中的报文数达到队列总报文最大个数，或队列中所有报文字节总数达到队列总报文最大字节数时，队列不再接受报文。

Re-mark 8021p

（当“类型”设置为“WAN”时，才需要配置。）

重新标记VLAN报文的802.1p优先级，值越大优先级越高。由于流策略应用在接口出方向时，将不会影响当前CPE设备对报文的QoS处理，仅会影响下游二层设备对报文的QoS处理。

统计开关

（当“类型”设置为“WAN”时，才需要配置。）

使能流量统计功能。使能流量统计功能后，可以在CPE设备上查看统计信息。

生效时间模板

QoS策略仅在模板定义的时间段内生效。

配置NAT ALG

当用户需要对特定的应用层协议的报文信息进行转换时，可以配置NAT ALG（Application Level Gateway）对特定的应用层协议进行NAT转换。转换过程中，通过NAT的状态信息来改变封装在IP报文数据部分中的特定数据，使应用层协议可以跨越不同范围运行。

目前支持NAT ALG功能的协议包括：DNS、FTP、SIP、PPTP和RTSP。

前提条件

  1. 已经添加站点。具体操作请参见网络设计中“创建站点”章节。
  2. 站点已经激活。具体操作请参见网络设计中“配置站点接入网络的方式”章节。
  3. 已经配置流量策略模板。具体操作请参见创建流分类模板。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Common”页签。
  3. 单击“NAT ALG”页签，进入“NAT ALG”页签页面。
  4. 选择一个站点，设置是否使能协议的NAT ALG功能。

  5. 单击“应用变更”，完成配置。

参数说明

表5-421 NAT ALG的不同协议支持的NAT转换字段

参数名称

说明

dns

使能后，可以进行如下转换：

响应报文中的IP和Port

当前不涉及此协议应用场景，默认不能使能。

ftp

使能后，可以进行如下转换：

  • Port请求报文中载荷里的IP和Port
  • Passive响应报文中载荷里的IP和Port

rtsp

使能后，可以进行如下转换：

setup/reply OK报文中的端口字段

sip

使能后，可以进行如下转换：

  • Request line
  • From
  • To
  • Contact
  • Via
  • O
  • Message body的C字段地址和M字段的端口
  • record-router

pptp

使能后，可以进行如下转换：

分PPTP Client在私网还是PPTP Server在私网两种场景：

  • PPTP Client在私网，PPTP Server在公网时，仅对Client-Call-ID进行端口替换。
  • PPTP Server在私网，PPTP Client在公网时，仅对Server-Call-ID进行端口替换。

对接第三方云网关安全策略

背景介绍

对接第三方云网关安全策略应用于本地上网场景下，在站点上网时为了提升访问Internet网络的安全性，可部署CPE与Zscaler、ForcePoint等第三方安全云网关对接，通过流分类模板指定业务通过第三方安全云网关访问Internet。

目前，支持通过GRE隧道与第三方安全云网关对接。单网关单ISP建议配置一主一备两条GRE隧道，双网关双ISP配置一主一备两对共四条GRE隧道。

前提条件

  1. 已经添加站点。具体操作请参见网络设计中“创建站点”章节。
  2. 站点已经激活。具体操作请参见网络设计中“配置站点接入网络的方式”章节。
  3. 已经配置流分类模板。具体操作请参见创建流分类模板。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量策略”。
  2. 单击“Underlay”页签。
  3. 单击“云安全”页签，配置云安全策略。
  4. 在站点区域，选择待配置云安全策略的站点。
  5. 单击“新建”，创建策略。
  6. 填写云安全策略的信息，主要包括隧道信息、报文分片。

  7. 单击“确定”。
  8. 单击“应用变更”，完成配置。

后续处理

表5-422 云安全策略后续处理

功能

操作场景及约束

操作步骤

删除云安全策略

对于云安全策略，可以进行删除操作。

在“云安全”页签中，选中需要删除的云安全策略，单击“删除”，完成删除。

修改云安全策略

对于所有云安全策略，可以进行修改操作。
  1. 在“云安全”页签，在需要修改的策略的“操作”列中，单击。
  2. 修改策略。
  3. 单击“确认”，完成配置。

参数解释

表5-423 云安全策略

参数名称

说明

策略名称

云安全的策略名称。通过GRE隧道与云访问安全代理对接，实现访问网络应用的安全性。

流分类模板

选择流分类模板，匹配流分类模板的报文经过GRE隧道转发。云安全策略场景下不支持选择包含有应用组的流分类模板，流分类模板的目的IP地址一般设置为云访问安全代理的IP地址。

隧道信息

设备名称（ESN）

与云访问安全代理对接的CPE设备。

WAN链路

CPE设备的WAN链路。一条WAN链路可对应一主一备两条GRE隧道。当主GRE隧道故障，流量启动切换至备GRE隧道。

主隧道

GRE隧道源IP

主隧道的源端地址。

GRE隧道目的IP

主隧道的目的端地址。

云网关IP

与GRE隧道对接的第三方安全云网关地址。

GRE Key

主隧道的识别关键字。为了增强GRE隧道的安全性，可以对GRE隧道两端设置GRE隧道的识别关键字，通过这种安全机制防止错误识别、接收其它地方来的报文。该值需与云访问安全代理的GRE Key保持一致。

GRE校验和

选择是否使能对封装的报文进行端到端校验。

备隧道

GRE隧道源IP

备隧道的接口IP地址。

GRE隧道目的IP

备隧道的目的端地址。

云网关IP

与GRE隧道对接的第三方安全云网关地址。

GRE Key

备隧道的识别关键字。

GRE校验和

选择是否使能对封装的报文进行端到端校验。

报文分片

MTU

隧道接口的MTU。对主备隧道同时生效。

MSS

隧道接口的TCP最大报文段长度。对主备隧道同时生效。

Keepalive

周期（秒）

GRE隧道发送Keepalive报文的定时器周期。默认5秒。每发送一个，不可达计数器加一。如果此计数器的值到达“重试次数”还没收到返回报文，就认为对端不可达。对主备隧道同时生效。

重试次数

隧道对端不可达的重试次数。默认3次。对主备隧道同时生效。

配置VN流量分配

分配站点中各部门的Overlay网络的流量。如果不配置系统将平均分配每个部门的流量。

背景信息

VN流量的分配基数是物理接口的带宽，即WAN侧接口中指定的上下行流量。部门业务再以VN流量为基数，各自占用一定比例的带宽，比如用户可为上网业务配置占用部门带宽的比例，QoS基于应用定义带宽策略，其带宽基数也是部门带宽。

前提条件

  1. 已经创建站点。具体操作请参见网络设计中“创建站点”章节。
  2. 已经配置站点WAN侧链路。具体操作请参见网络设计中“配置站点接入网络的方式”章节。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 流量分配”。
  2. 单击“新建”按钮。
  3. 设置每个部门的流量。

  4. 单击“下一步”。
  5. 选择需要分配的站点。

  6. 单击“完成”，完成配置。

配置安全策略

创建网络安全策略

当需要对URL过滤策略、防火墙策略和IPS策略进行配置时，可以进行如下操作。

前提条件

  1. 已经完成开局部署。
  2. 已经完成网络部署。

操作步骤

  1. 在主菜单中选择“策略 > WAN策略 > 安全策略”。当用户需要访问上网时，如果需要安全策略可以进行如下配置。
  2. 单击“URL”页签，创建URL安全策略。

    1. 在“VN”中，选择需要配置安全策略的部门。
    2. 单击“新建”创建安全策略。
      1. 配置安全策略名称。

        在“策略名称”中，输入安全策略名称。

      2. 如果需要开启HTTP异常报文检测功能时，需要配置URL策略。
        1. 在“策略类型”中，选择“黑名单”或者“白名单”。
        2. 在“黑/白名单列表”后，单击“新建”，设置目标网络资源的URL。
        3. 将“启用预定义分类”，设置为。
        4. 在“过滤级别”中，设置URL的控制动作级别。
      3. 单击“确定”。

  3. 单击“防火墙”页签，创建防火墙策略。

    1. 在“VN”中，选择需要配置安全策略的部门。
    2. 单击“新建”创建安全策略。
      1. 在“策略名称”中，输入防火墙策略名称。
      2. 在“入方向默认动作”中，设置入方向的报文的默认动作。一般情况下，使用缺省值即可。
      3. 在“入方向列表”中，设置对入方向的报文进行过滤的ACL规则。
      4. 在“出方向默认动作”中，设置出方向的报文的默认动作。一般情况下，使用缺省值即可。
      5. 在“出方向列表”中，设置对出方向的报文进行过滤的ACL规则。
    3. 单击“确定”，完成防火墙策略的创建。

  4. 单击“IPS”页签，创建IPS策略。分析网络流量检测出入侵行为。

    1. 在“VN”中，选择需要配置安全策略的部门。
    2. 单击“新建”创建安全策略。
      1. 在“策略名称”中，输入IPS策略名称。
      2. 在“IPS模板”的右侧的下拉列表中选择安全配置文件名。单击“详情”，可以查看安全配置文件具体的控制策略。
    3. 单击“确定”，完成IPS策略的创建。

  5. 关联安全策略到站点。

    1. 在安全策略的“操作”列，单击关联站点的图标。
    2. 在“请选择站点”界面中，选择需要关联的站点。
    3. 单击“确定”，完成关联。

  6. 下发安全策略到站点，并设置策略开始执行时间。

    1. 在需要提交策略的勾选框中，选中需要下发的安全策略。
    2. 单击“提交”，再选择“提交选中”或者“提交全部”
    3. 在“提交”界面中，设置策略开始执行时间，分为“立即执行”和“预约下发”。
    4. 单击“确定”，完成策略下发。

后续处理

表5-424 安全策略后续处理

功能

操作场景及约束

操作步骤

撤销安全策略

对于没有下发到站点的策略，即没有执行“提交”操作的策略（“状态”不是“已提交”的策略），可以进行撤销操作。对于已经执行提交操作的策略无法进行撤销操作。撤销操作的目的是为了取消对策略的上一步的操作，如取消对策略的修改、取消新建策略、取消删除策略。撤销后的策略仅仅对配置进行回退，即只修改在iMaster NCE-Campus中的操作，并不会对设备进行操作。

在“安全策略”页签中，选中需要撤销的策略，单击“撤销”，再选择“撤销选中”，完成撤销。

删除安全策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行删除操作。删除策略后，仅仅在iMaster NCE-Campus将把这些策略删除，如果还需要在设备中删除这些策略，还需要进行“提交”操作。

在“安全策略”页签中，选中需要删除的策略，单击“删除”，完成删除。

修改安全策略

对于所有已经下发到站点和没有下发到站点的策略，可以进行修改操作。修改策略后，仅仅在iMaster NCE-Campus将把这些策略修改，如果还需要在设备中修改这些策略，还需要进行“提交”操作。
  1. 在“安全策略”页签，在需要修改的策略的“操作”列中，单击。
  2. 修改策略。
  3. 单击“确认”，完成配置。

克隆安全策略

在已有的策略基础上通过简单的修改，可以快速的新建一条策略。克隆策略后，仅仅在iMaster NCE-Campus中新建，如果还需要在下发设备，还需要进行“提交”操作。
  1. 在“安全策略”页签，在需要克隆的策略的“操作”列中，单击。
  2. 修改克隆后策略。
  3. 单击“确认”，完成克隆。

去使能/使能安全策略
  • 去使能：对于暂时不需要使用的策略，可以进行去使能操作。对于所有已经下发到站点和没有下发到站点的策略，可以进行去使能操作。去使能策略后，仅仅在iMaster NCE-Campus中把这些策略去使能，如果还需要在设备中去使能这些策略，还需要进行“提交”操作。
  • 使能：对于去使能状态策略又需要使用，可以进行使能操作。对于所有已经下发到站点和没有下发到站点的策略，可以进行使能操作。使能策略后，仅仅在iMaster NCE-Campus将把这些策略使能，如果还需要在设备中使能这些策略，还需要进行“提交”操作。
  • 去使能：在“安全策略”页签，在需要使能/去使能的策略的“操作”列中，单击，对策略进行去使能操作。
  • 使能：在“安全策略”页签，在需要使能/去使能的策略的“操作”列中，单击，对策略进行使能操作。

参数说明

表5-425 安全策略

参数名称

说明

策略名称

安全策略的名称。

安全策略

URL策略

策略类型

对URL的过滤后的影响动作。在查询到URL的分类后，设备会根据配置的动作做出响应。支持如下两种类型：

  • 黑名单
  • 白名单

黑名单/白名单列表

添加URL过滤列表。

  • 如果添加的是黑名单列表，则不在“黑名单列表”中的URL可以访问。
  • 如果添加的是白名单列表，则只有在“白名单列表”中的URL才可以访问。

启用预定义分类

选择是否通过URL预分类库定义阻断动作实现访问控制。

CPE设备出厂时会预置一个URL预分类库，类别多达四十多种，每一类下定义了多个URL。

过滤级别（仅使能了“启用预定义分类”后才可配置）

如果需要对每一种URL类型都配置响应动作，则用户的工作量巨大。为了简化用户的配置操作，使用高、中、低三种分类策略控制的模板进行分类。这三种默认的分类如果不满足要求可以使用自定义的方式控制动作。当前支持如下几种级别：

  • 高：代表相对比较严格的分类处理动作（例如：对成人网站、非法活动、社交网络、视频共享等网站进行控制）。
  • 中：代表相对比较中等的分类处理动作。（例如：对所有成人网站和非法网站进行控制）
  • 低：代表相对比较宽松的分类处理动作（例如：对成人网站进行控制）。
  • 自定义： 对每一个预定义分类自定义动作，即选择允许或者拒绝。

防火墙策略

入方向默认动作

未匹配入方向列表的数据报文，按照默认动作处理。缺省情况下，入方向拒绝任何报文通过，用户也可设置入方向报文的默认动作为允许。入方向是指从优先级低的安全区域到优先级高的安全区域。

入方向列表

入方向列表

一个ACL访问控制列表，用户可定义多条ACL规则。

优先级

ACL规则的优先级。报文优先匹配级别高的规则，执行高优先级规则定义的动作。

动作
  • 允许：表示入方向上匹配该ACL规则的报文可以通过。
  • 拒绝：表示入方向上匹配该ACL规则的报文不可以通过。

协议

ACL规则匹配报文的协议类型。

源IP

ACL规则匹配报文的源IP地址。

源端口

ACL规则匹配报文的源IP端口。

目的IP

ACL规则匹配报文的目的IP地址。

目的端口

ACL规则匹配报文的目的IP端口。

出方向默认动作

未匹配出方向列表的数据报文，按照默认动作处理。缺省情况下，出方向允许任何报文通过，用户也可设置出方向报文的默认动作为拒绝。出方向是指从优先级高的安全区域到优先级低的安全区域。

出方向列表

出方向列表

一个ACL访问控制列表，用户可定义多条ACL规则。

优先级

ACL规则的优先级。报文优先匹配级别高的规则，执行高优先级规则定义的动作。

动作
  • 允许：表示出方向上匹配该ACL规则的报文可以通过。
  • 拒绝：表示出方向上匹配该ACL规则的报文不可以通过。

协议

ACL规则匹配报文的协议类型。

源IP

ACL规则匹配报文的源IP地址。

源端口

ACL规则匹配报文的源IP端口。

目的IP

ACL规则匹配报文的目的IP地址。

目的端口

ACL规则匹配报文的目的IP端口。

IPS策略

安全配置文件

iMaster NCE-Campus缺省存在多个安全配置文件以适用于不同的应用场景，预置的安全配置文件可以查看或直接被安全策略引用。当前支持的安全配置文件如下：

  • strict：包括所有签名，动作为阻断。适用于所有协议。适用于所有威胁类别。该配置文件适用于需要设备阻断所有命中签名的报文场景。
  • web_server：包括所有签名，动作采用签名的缺省动作。适用于DNS、HTTP、FTP协议。适用于所有威胁类别。该配置文件适用于当设备部署在Web服务器前面的场景。
  • file_server：包括所有签名，动作采用签名的缺省动作。适用于DNS、SMB、NFS、SUNRPC、MSRPC、FILE、TELNET协议。适用于所有威胁类别。该配置文件适用于当设备部署在File服务器前面的场景。
  • dns_server：包括所有签名，动作采用签名的缺省动作。适用于DNS协议。适用于所有威胁类别。该配置文件适用于当设备部署在DNS服务器前面的场景。
  • mail_server：包括所有签名，动作采用签名的缺省动作。适用于DNS、IMAP4、SMTP、POP3协议。适用于所有威胁类别。该配置文件适用于当设备部署在Mail服务器前面的场景。
  • inside_firewall：包括所有签名，动作采用签名的缺省动作。适用于所有协议。适用于所有威胁类别。该配置文件适用于当设备部署在防火墙里面的场景。
  • dmz：包括所有签名，动作采用签名的缺省动作。适用于除NFS、SMB、TELNET和TFTP之外的所有协议。适用于所有威胁类别。该配置文件适用于当设备部署在DMZ区域前的场景。
  • outside_firewall：包括所有签名，动作采用签名的缺省动作。适用于所有协议。适用于除Scanner之外的威胁类别。该配置文件适用于当设备部署在防火墙外面的场景。
  • default：包括所有签名，动作采用签名的缺省动作。适用于所有协议。适用于所有威胁类别。该配置文件适用于当设备以IPS（直路）模式部署时的通用场景。

确认策略部署成功

背景信息

在进行开局部署、网络部署、策略部署、维护的部分操作中，iMaster NCE-Campus会将配置下发到站点。iMaster NCE-Campus首先需要生成配置，只有生成配置成功，才会部署配置到设备。

前提条件

已经完成如下的一个或者多个的策略配置：

操作步骤

  1. 在主菜单中选择“维护 > 配置结果 > 配置结果”，选择站点。
  2. 在“设备配置状态”列确认为“成功”，则表示策略配置成功。

    如果“设备配置状态”列不是“成功”，建议参考《故障处理》中“业务配置下发失败”的处理方式进行处理。

    “设备配置状态”的显示具有叠加性，只显示当下配置的成功与否，且显示状态会有一段时间延时。

翻译
English
下载文档
更新时间：2021-04-29

文档编号：EDOC1100141264

浏览量：38788

下载量：519

平均得分:
本文档适用于这些产品

相关版本

相关文档

数字签名

数字签名验证工具
分享
上一页 下一页

版权所有 © 华为技术有限公司 1998-2023。 保留一切权利。粤A2-20044005号

您正离开华为站点，前往：