不少公司的做法是把防火墙串在服务器区前面想检测哪股流量就把哪股流量引过去传统做法要改动路由、调整组网牵一发动全身。华为交换机有个更省事的方案叫业务编排由 Controller 做策略控制器交换机做编排设备防火墙等安全设备集中放在一个资源池里哪条业务流需要过检测在 Controller 上把流量拖到链上交换机自动通过 GRE 隧道把流量引到防火墙检测完再送回原路。不用给每个区域单独部署安全设备设备利用率也上去了。官方示例的场景很典型M 公司机房有一台存研发数据的 FTP 服务器要求研发部门能访问、市场部门不能访问、研发的访问流量必须先过防火墙检测、防火墙故障时宁可不访问也不能绕过检测。配置步骤第一步配交换机侧基本参数。接口划 VLAN、配地址关键是两个 Loopback 接口和指向 Controller 的注册命令HUAWEI system-view[HUAWEI] sysname SwitchA[SwitchA] vlan batch 100[SwitchA] interface gigabitethernet 1/0/1[SwitchA-GigabitEthernet1/0/1] port link-type trunk[SwitchA-GigabitEthernet1/0/1] port trunk allow-pass vlan 100[SwitchA-GigabitEthernet1/0/1] quit[SwitchA] interface vlanif 100[SwitchA-Vlanif100] ip address 10.85.10.5 24[SwitchA-Vlanif100] quit[SwitchA] interface LoopBack 100[SwitchA-LoopBack100] ip address 10.7.2.1 255.255.255.255[SwitchA-LoopBack100] quit[SwitchA] interface LoopBack 101[SwitchA-LoopBack101] ip address 10.7.2.2 255.255.255.255[SwitchA-LoopBack101] quit[SwitchA] ip route-static 10.6.2.1 255.255.255.255 10.85.10.6[SwitchA] ip route-static 10.6.2.2 255.255.255.255 10.85.10.6[SwitchA] group-policy controller 10.85.10.3 password YsHsjx_202206 src-ip 10.85.10.5官方给了个提醒Loopback 编号要保证在设备中是最大的示例用的是 100 和 101这两个地址后面要作 GRE 隧道的端点。最后一条 group-policy 命令就是交换机向 Controller 注册的 XMPP 通道。第二步配防火墙侧。Web 上先把直连接口 GE1/0/1 配好安全区域 trustIP 地址 10.85.10.6/24。再到「对象 \ 认证服务器 \ RADIUS」新建参数与 RADIUS 服务器保持一致共享密钥 YsHsjx_2022063。然后到「系统 \ 敏捷网络配置」勾选启用敏捷网络功能配置与 Controller 的对接参数「Controller主服务器IP」后面状态显示「已连接」即对接成功。注意官方强调业务编排场景中防火墙要配内容安全检测功能「安全策略配置」必须选「手工配置」。两个 Loopback 接口要用 CLI 控制台配sysname sysname NGFW[NGFW] interface LoopBack 100[NGFW-LoopBack100] ip address 10.6.2.1 255.255.255.255[NGFW-LoopBack100] quit[NGFW] interface LoopBack 101[NGFW-LoopBack101] ip address 10.6.2.2 255.255.255.255[NGFW-LoopBack101] quit[NGFW] ip route-static 10.7.2.1 255.255.255.255 10.85.10.5[NGFW] ip route-static 10.7.2.2 255.255.255.255 10.85.10.5第三步在 Controller 上把链搭起来全程拖拽。先「资源 \ 设备 \ 设备管理」点「增加」把交换机和防火墙都添加进来密码填设备上配的通信密码 YsHsjx_202206。再到「策略 \ 业务链编排 \ 业务流定义」增加业务流把研发部门五名员工的地址 10.85.100.1110.85.100.15 逐条配上协议 TCP、源端口 22、目的地址 10.85.10.2、目的端口 21——只有匹配这组 ACL 的流量才会上链市场部门流量根本不在名单里直接就不能访问。然后「策略 \ 业务链编排 \ IP地址池」增加一个池名称 10.10.192.0、IP 地址 10.10.192.0、掩码长度 24这是 GRE 隧道的地址资源官方提醒池里不能包含网络中正在使用的 IP。接着「策略 \ 业务链编排 \ 业务链资源」点「增加」把编排设备区域的 SwitchA 拖到编排设备节点、业务设备区域的 NGFW 拖到防火墙节点、选好地址池保存。最后「策略 \ 业务链编排 \ 业务链编排」点「增加」把业务流 User_to_Datacenter、SwitchA、NGFW 分别拖到对应节点「链异常处理方式」选「阻断」保存部署。选阻断就是示例里那条硬要求防火墙故障时研发部门不能访问 FTP 服务器宁可断服务也不能绕过检测。验证三个动作确认部署成功。Controller 上查看交换机和防火墙之间的隧道信息隧道建立说明业务链资源已下发。交换机上 display acl all 能看到 Controller 自动生成的业务流规则五条 permit 精确匹配五名研发员工的源地址[SwitchA] display acl allTotal nonempty ACL number is 1Advanced ACL S_ACL_20140401153202_B3E0 3998, 5 rulesAcls step is 5rule 5 permit tcp source 10.85.100.11 0 source-port eq 22 destination 10.85.10.2 0 destination-port eq 21 (match-counter 0)再看 display current-configuration | include traffic-redirect能看到引流配置已自动下发隧道接口的描述里写着 Controller 下发的来源源 10.7.2.1、目的 10.6.2.1 的 GRE 隧道把研发流量接去防火墙[SwitchA] display current-configuration | include traffic-redirecttraffic-redirect inbound acl name S_ACL_20140401153202_B3E0 3998 interface Tunnel16370给关键数据流过安检又不改组网业务编排把安全设备从「串在线上」变成「拖到链上」。贵州诚鑫致达科技在数据中心与研发网之间做安全加固时引流不改路是客户最容易接受的说法。你的防火墙现在是一股脑全检还是也想按流点名