- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
29-智能接入网关配置
本章节下载： 29-智能接入网关配置 (249.19 KB)
目 录
智能接入网关（Smart Access Gateway，SAG）是一种基于SD-WAN技术的一站式云接入服务。
在设备上开启智能接入网关功能后，设备与第三方SAG控制器建立连接，接收由SAG控制器下发的配置参数，并自主完成云接入相关配置。下游用户可通过开启了智能接入网关功能的设备安全接入云端。
目前，仅支持用户使用本功能一站式接入阿里云。
如图1-1所示，云接入架构包含如下基本组件：
· 智能接入网关：用于进行云接入的网关设备。智能接入网关设备上的业务相关接口分为WAN接口和LAN接口。其中WAN接口位于WAN安全域内，用于与SAG控制器通信，接收云接入配置，以及传输IPsec加密报文；LAN接口位于LAN安全域内，用于连接需要进行云接入的内网主机和设备。
· SAG控制器（SAG controller）：第三方云服务提供商的云接入管理设备，用于向智能接入网关下发云接入相关配置参数。智能接入网关通过第三方云服务提供商的SDK（Software Development Kit，软件开发工具包）与某个固定的SAG控制器建立连接，云接入用户无需关心SAG控制器的配置。
· 云连接网（Cloud Connect Network，CCN）：第三方云服务提供商的云接入网络，包含多个云接入点。SAG控制器下发云接入配置后，智能接入网关会自动创建到选定云接入点的IPsec隧道，云接入流量会经由该隧道在Internet上加密传输。通过云连接网，用户可将本地网络连接至第三方云服务提供商的云网络。
· 云企业网（Cloud Enterprise Network，CEN）：第三方云服务提供商的云网络，用户可在其上创建虚拟私有云（Virtual Private Cloud，VPC），用于部署云端业务和服务。
如图1-2所示为智能接入网关的工作机制，具体步骤如下：
(1) 设备开启智能接入网关功能后，自动配置安全策略，放行Local安全域发往WAN安全域的所有报文。
(2) 智能接入网关通过WAN接口主动与外网SAG控制器建立连接。
(3) 连接建立后，智能接入网关由WAN接口接收SAG控制器下发的云接入相关配置参数（包括VPC网络地址、IPsec隧道参数以及云接入点列表），并自动完成接入相关路由和安全策略配置。
(4) 智能接入网关与SAG控制器协商选出云接入点列表中通信质量较好的云接入点。
(5) 智能接入网关与选定的云接入点建立IPsec隧道。
(6) 智能接入网关通过IPsec隧道将本地用户的云接入流量加密传输至部署于云企业网的VPC中。
本特性的支持情况与设备型号有关，请以设备的实际情况为准。
|
系列 |
型号 |
说明 |
|
F50X0系列 |
F5010、F5020、F5020-GM、F5030、F5030-6GW、F5030-6GW-G、F5040、F5060、F5080、F5000-A、F5000-C、F5000-S、F5000-M |
不支持 |
|
F5000-CN系列 |
F5000-CN30、F5000-CN60 |
不支持 |
|
F5000-AI系列 |
F5000-AI-15、F5000-AI-20、F5000-AI-40 |
不支持 |
|
F5000-V系列 |
F5000-V30 |
不支持 |
|
F1000-AI系列 |
F1000-AI-03、F1000-AI-05、F1000-AI-10、F1000-AI-15、F1000-AI-20、F1000-AI-25、F1000-AI-30、F1000-AI-35、F1000-AI-50、F1000-AI-55、F1000-AI-60、F1000-AI-65、F1000-AI-70、F1000-AI-75、F1000-AI-80、F1000-AI-90 |
不支持 |
|
F1000-L系列 |
F1003-L、F1003-L-C、F1003-L-S、F1005-L、F1010-L |
不支持 |
|
F10X0系列 |
F1003-C、F1003-M、F1003-S、F1005、F1005-GM、F1010、F1010-GM、F1020、F1020-GM、F1030、F1030-GM、F1050、F1060、F1070、F1070-GM、F1070-GM-L、F1080、F1090 |
不支持 |
|
F1000-V系列 |
F1000-V50、F1000-V60、F1000-V70、F1000-V90 |
不支持 |
|
F1000-SASE系列 |
F1000-SASE100、F1000-SASE200 |
不支持 |
|
F1000-AK系列 |
F1000-AK108、F1000-AK109、F1000-AK110、F1000-AK115、F1000-AK120、F1000-AK125、F1000-AK130、F1000-AK135、F1000-AK140、F1000-AK145、F1000-AK150、F1000-AK155、F1000-AK160、F1000-AK165、F1000-AK170、F1000-AK175、F1000-AK180、F1000-AK185、F1000-GM-AK370、F1000-GM-AK380、F1000-AK710、F1000-AK711、F1000-AK1010、F1000-AK1015、F1000-AK1020、F1000-AK1025、F1000-AK1030、F1000-AK1105、F1000-AK1110、F1000-AK1115、F1000-AK1120、F1000-AK1125、F1000-AK1130、F1000-AK1140、F1000-AK1150、F1000-AK1160、F1000-AK1170、F1000-AK1180、F1000-AK1205、F1000-AK1212、F1000-AK1215、F1000-AK1222、F1000-AK1232、F1000-AK1235、F1000-AK1242、F1000-AK1252、F1000-AK1262、F1000-AK1272、F1000-AK1305、F1000-AK1312、F1000-AK1315、F1000-AK1322、F1000-AK1332、F1000-AK1342、F1000-AK1352、F1000-AK1362、F1000-AK1414、F1000-AK1424、F1000-AK1434、F1000-AK1505、F1000-AK1514、F1000-AK1515、F1000-AK1524、F1000-AK1534、F1000-AK1614、F1000-AK9109、F1000-AK9120、F1000-AK9150、F1000-AK9160、F1000-AK9180、F1000-AK9190 |
不支持 |
|
F1000-AK9110、F1000-AK9210 |
支持 |
|
|
插卡 |
IM-NGFWX-IV、LSCM1FWDSD0、LSCM2FWDSD0、LSPM6FWD、LSQM1FWDSC0、LSQM2FWDSC0、LSU3FWCEA0、LSUM1FWCEAB0、LSUM1FWDEC0、LSWM1FWD0、LSX1FWCEA1、LSXM1FWDF1 |
不支持 |
|
vFW系列 |
vFW1000、vFW2000、vFW-E-Cloud |
不支持 |
智能接入网关功能不支持IRF组网环境。
WAN安全域和LAN安全域在设备上缺省存在。
智能接入网关将WAN安全域中编号最小的三层物理接口作为WAN接口，用户不能使用WAN安全域中的其他接口进行云接入；智能接入网关将LAN安全域中所有的三层接口作为LAN接口。
向WAN安全域或LAN安全域中添加的三层接口成员不能是聚合接口、冗余接口、子接口或子通道。
配置智能接入网关功能之前，需要进行如下配置：
· 在智能接入网关设备上配置所选WAN接口和LAN接口的IP地址。具体配置步骤请参见“三层技术-IP业务配置指导”中的“IP地址”或“DHCP”。
· 在智能接入网关设备上配置静态路由，确保网关设备与SAG控制器和云接入点路由可达（关于SAG控制器与云接入点的IP地址请咨询第三方云服务提供商）。具体配置步骤请参见“三层技术-IP路由配置指导”中的“静态路由”。
· 在智能接入网关设备上配置域名服务器的IP地址，使网关设备能向服务器发起域名解析请求。具体配置步骤请参见“三层技术-IP业务配置指导”中的“域名解析”。
(1) 进入系统视图。
system-view
(2) 进入WAN安全域视图。
security-zone name wan
(3) 向WAN安全域中添加所选定的三层接口成员。
import interface layer3-interface-type layer3-interface-number
缺省情况下，WAN安全域中存在接口GigabitEthernet1/0/1。如果需要修改缺省WAN接口，需要先将缺省WAN接口从WAN安全域中删除，再向WAN安全域中添加所选定的三层接口成员。
如果向WAN安全域中添加了多个三层接口成员，设备仅将编号最小的物理接口当作WAN接口。为增强可维护性，建议仅向WAN安全域中添加一个三层接口成员。
(4) 退回到系统视图。
quit
(1) 进入LAN安全域视图。
security-zone name lan
(2) 向LAN安全域中添加所选定的三层接口成员。
import interface layer3-interface-type layer3-interface-number
缺省情况下，LAN安全域中存在接口GigabitEthernet1/0/2～GigabitEthernet1/0/X。如果需要从缺省LAN接口中排除指定接口，需要将指定接口从LAN安全域中删除。
可以通过多次执行本命令，向LAN安全域中添加多个三层接口成员。
(3) 退回到系统视图。
quit
(1) 开启智能接入网关功能。
sag enable
缺省情况下，智能接入网关功能处于关闭状态。
在完成上述配置后，在任意视图下执行display命令可以显示智能接入网关的配置信息，通过查看显示信息验证配置的效果。
|
操作 |
命令 |
|
显示智能接入网关的云接入相关配置 |
display sag config { all | bandwidth | local | poplist | remote-subnet | vpn } |
|
显示智能接入网关的相关标识信息 |
display sag identification |
某企业在第三方云服务提供商处部署了VPC（网段为192.168.12.0/24），其内网主机和设备（网段为192.168.11.0/24）需要接入该VPC。现需要在其出口网关设备Device上配置智能接入网关功能，使Device主动与SAG控制器（IP地址为3.3.3.3/24）建立连接，获取云接入相关配置信息（接入点IP地址为2.2.2.2/24和4.4.4.4/24），并自动完成配置。
图1-3 智能接入网关基本配置组网图
(1) 配置接口IP地址
# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 1.1.1.1 24
[Device-GigabitEthernet1/0/1] quit
请参考以上步骤配置其他接口的IP地址，具体配置步骤略。
(2) 将接口加入安全域
# 请根据组网图中规划的信息，将接口加入对应的安全域。缺省情况下接口GigabitEthernet1/0/1和GigabitEthernet1/0/2已经分别是WAN安全域和LAN安全域的成员，下面将配置步骤显式给出。
[Device] security-zone name wan
[Device-security-zone-WAN] import interface gigabitethernet 1/0/1
[Device-security-zone-WAN] quit
[Device] security-zone name lan
[Device-security-zone-LAN] import interface gigabitethernet 1/0/2
[Device-security-zone-LAN] quit
(3) 配置域名服务器的IP地址
# 本举例假设域名服务器的IP地址为1.1.1.5，实际使用中请以具体组网情况为准，具体配置步骤如下。
[Device] dns server 1.1.1.5
(4) 配置静态路由
本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。
# 请根据组网图中规划的信息，配置静态路由，本举例假设到达SAG控制器所在网络的下一跳IP地址为1.1.1.2，到达云接入点所在网络的下一跳IP地址为1.1.1.3，实际使用中请以具体组网情况为准，具体配置步骤如下。
[Device] ip route-static 3.3.3.0 24 1.1.1.2
[Device] ip route-static 2.2.2.0 24 1.1.1.3
[Device] ip route-static 4.4.4.0 24 1.1.1.3
(5) 开启智能接入网关功能
[Device] sag enable
在内网接入设备上配置静态路由，确保其访问192.168.12.0/24网段的流量能被Device转发。具体配置步骤请参见“三层技术-IP路由配置指导”中的“静态路由”，本例不再赘述。
# 完成以上配置后，Device会主动与SAG控制器进行连接，获取云接入配置信息并自动完成相关配置。执行display sag config all命令，查看Device接收到的云接入相关配置。
<Device> display sag config all
SAG local configuration:
sag-id: sag-96456123
ccn-id: ccn-96561235
out-bps: 50000000
in-bps: 500000000
local-subnet: 192.168.11.0/24
SAG remote-subnet: 192.168.12.0/24
SAG popolist: 2.2.2.2
4.4.4.4
SAG vpn configuration:
Agreement config:
IpsecPfs: group2
IpsecEncAlg: aes
IpsecAuthAlg: sha1
IpsecLifetime: 86400
IkeAuthAlg: sha1
IkeEncAlg: aes
IkeVersion: ikev1
IkeMode: aggressive
IkeLifetime: 86400
IkePfs: group2
Master config:
name: master
remoteIp: 2.2.2.2
Psk: q3943x0q7zeu2r6d3erb
localId: sag-a7yeg8ut2znoqycizq_sag42ttaio1_wan
remoteId: agw-sqa-g10-01.et15
dpd: true
dpdInterval: 10
dpdRetry: 5
linkName: wan
Standy config:
name: slave
remoteIp: 4.4.4.4
psk: q3943x0q7zeu2r6d3erb
localId: sag-a7yeg8ut2znoqycizq_sag42ttaio1_wan
remoteId: agw-sqa-g10-02.et15
dpd: true
DPDdpdInterval: 10
dpdRetry: 5
linkName: wan
# 执行display sag identification命令，查看智能接入网关的相关标识信息。
<Device> display sag identification
SAG id: sag-96456123
SAG version: 1.0.0
SDK version: 1.0.1
Business status: normal
Connect status：connected
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
