2024年5月13日发(作者：柴亦绿)
共享知识 分享快乐
1
大型园区出口配置示例（防火墙旁路部署）
1.1 配置注意事项
本举例中的交换机以华为公司的S系列框式交换机为例、防火墙以USG系列为
例、路由器以NE系列为例。
本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为
S系列园区交换机快速配置中的“大型园区组网场景”。
本例仅涉及防火墙与交换机的对接配置以及防火墙的双机热备配置。防火墙上的
安全业务规划及园区安全策略、攻击防范、带宽管理、IPSec等功能的配置示例请
参见《防火墙配置案例集》。
本例仅涉及园区出口路由器与交换机的对接配置。路由器在公网侧的配置示例请
参见NE系列路由器《配置指南》。
1.2 组网需求
在大型园区出口，核心交换机上行通过路由器访问外网。防火墙旁挂于核心交换机，
对业务流量提供安全过滤功能。
为了简化网络并提高可靠性，在核心层交换机通常部署集群。
在防火墙上部署双机热备（主备模式），当其中一台故障时，业务可以平滑切换到另一
台。
核心交换机双归接入2台出口路由器，路由器之间部署VRRP确保可靠性。
为提高链路可靠性，在核心交换机与出口路由器之间，核心交换机与防火墙之间，2台
防火墙之间均通过Eth-Trunk互连。
如下图所示。
卑微如蝼蚁、坚强似大象
共享知识 分享快乐
图1-1 园区出口组网图（防火墙旁挂，双机热备）
在一般的三层转发环境下，园区内外部之间的流量将直接通过交换机转发，不会经过
FW1或FW2。当流量需要从交换机转发至FW，经FW检测后再转发回交换机，就需
要在交换机上配置VRF功能，将交换机隔离成两个相互独立的虚拟交换机VRF-A和
根交换机Public。
Public作为连接出口路由器的交换机。对于下行流量，它将外网进来的流量转发给FW
进行检测；对于上行流量，它接收经FW检测后的流量，并转发到路由器。
VRF-A作为连接内网侧的交换机。对于下行流量，它接收经FW检测后的流量，并转
发到内网；对于上行流量，它将内网的流量转发到FW去检测。
根据上图中的流量转发路径可以将上图转换成如下所示的更容易理解的逻辑组网图。
卑微如蝼蚁、坚强似大象
2024年5月13日发(作者：柴亦绿)
共享知识 分享快乐
1
大型园区出口配置示例（防火墙旁路部署）
1.1 配置注意事项
本举例中的交换机以华为公司的S系列框式交换机为例、防火墙以USG系列为
例、路由器以NE系列为例。
本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为
S系列园区交换机快速配置中的“大型园区组网场景”。
本例仅涉及防火墙与交换机的对接配置以及防火墙的双机热备配置。防火墙上的
安全业务规划及园区安全策略、攻击防范、带宽管理、IPSec等功能的配置示例请
参见《防火墙配置案例集》。
本例仅涉及园区出口路由器与交换机的对接配置。路由器在公网侧的配置示例请
参见NE系列路由器《配置指南》。
1.2 组网需求
在大型园区出口，核心交换机上行通过路由器访问外网。防火墙旁挂于核心交换机，
对业务流量提供安全过滤功能。
为了简化网络并提高可靠性，在核心层交换机通常部署集群。
在防火墙上部署双机热备（主备模式），当其中一台故障时，业务可以平滑切换到另一
台。
核心交换机双归接入2台出口路由器，路由器之间部署VRRP确保可靠性。
为提高链路可靠性，在核心交换机与出口路由器之间，核心交换机与防火墙之间，2台
防火墙之间均通过Eth-Trunk互连。
如下图所示。
卑微如蝼蚁、坚强似大象
共享知识 分享快乐
图1-1 园区出口组网图（防火墙旁挂，双机热备）
在一般的三层转发环境下，园区内外部之间的流量将直接通过交换机转发，不会经过
FW1或FW2。当流量需要从交换机转发至FW，经FW检测后再转发回交换机，就需
要在交换机上配置VRF功能，将交换机隔离成两个相互独立的虚拟交换机VRF-A和
根交换机Public。
Public作为连接出口路由器的交换机。对于下行流量，它将外网进来的流量转发给FW
进行检测；对于上行流量，它接收经FW检测后的流量，并转发到路由器。
VRF-A作为连接内网侧的交换机。对于下行流量，它接收经FW检测后的流量，并转
发到内网；对于上行流量，它将内网的流量转发到FW去检测。
根据上图中的流量转发路径可以将上图转换成如下所示的更容易理解的逻辑组网图。
卑微如蝼蚁、坚强似大象