S8016多ISP NAT解决方案

　　1 多ISP简单组网举例

　　校园网内部用户走默认走教育网出接口，使用教育网提供的NAT地址池EduPool；当教育网出接口发生故障后，自动切换到电信出接口，使用电信提供的NAT地址池TelPool。

　　默认所有用户都走教育网出口访问internet，如果教育网出口down，则用户走电信出口。

　　配置两条静态路由：

　　ip route-static 0.0.0.0 0 202.119.36.1 preference 10

　　ip route-static 0.0.0.0 0 61.19.20.1 preference 20

　　对于用户如果走教育网出口，则使用EduPool；如果用户走电信出口，则使用TelPool：

　　nat-list 200 permit 10.10.0.0 0.0.255.255

　　nat-list 201 permit 10.20.0.0 0.0.255.255

　　nat address-group 0 slot 2 202.119.36.2 202.119.36.4 description EduPool

　　nat address-group 1 slot 2 61.19.20.2 61.19.20.4 description TelPool

　　int vlan 20

　　nat enable

　　nat bind list 200 address-group 0 slot 2

　　nat bind list 201 address-group 0 slot 2

　　int vlan 60

　　nat enable

　　nat bind list 200 address-group 1 slot 2

　　nat bind list 201 address-group 1 slot 2

　　2 多ISP复杂需求举例

　　如下图所示，S8016作为整个校园网的出口，担负整个校园网的地址转换工作。校园网共有两个出口，分别接教育网内部的路由器和电信网路由器。校园网内部采用公私网地址混合组网方式，有一些公网地址的服务器，不通过NAT变换，供外部用户直接访问。

　　需要进行NAT变换的用户从总体上分为教师和学生两个网段。对于学生来说，正常情况下从教育网出口出去，在教育网出口出现异常时自动切换到电信网出口。并且某些国外网段不允许学生访问。

　　对于教师来说，正常情况下从电信网出口出去，在电信网出口发生异常时自动切换到教育网出口。所有的地址均允许教师访问。

　　配置步骤

　　Vlan的配置这里不作说明。

　　#配置两条默认路由，分别通向教育网出口和电信网出口。教育网出口的路由优先级高于电信网出口。

　　[Quidway] ip route-static 0.0.0.0 0 202.119.36.1 preference 10

　　[Quidway] ip route-static 0.0.0.0 0 61.19.20.1 preference 20

　　#配置两个公网地址池，分别使用教育网和电信网的地址

　　[Quidway] nat address-group 0 202.119.36.3 202.119.36.5 slot 2 description EduPool

　　[Quidway] nat address-group 1 61.19.20.3 61.19.20.5 slot 2 description TelPool

　　#配置NAT访问控制列表

　　[Quidway] nat-list 200 permit 10.10.0.0 0.0.255.255

　　[Quidway] nat-list 201 permit 10.20.0.0 0.0.255.255

　　#分别在两个出接口下配置地址池和NAT访问控制列表的绑定关系。

　　[Quidway-Vlanif50] nat bind list 200 address-group 0 slot 2

　　[Quidway-Vlanif50] nat bind list 201 address-group 0 slot 2

　　[Quidway-Vlanif60] nat bind list 200 address-group 1 slot 2

　　[Quidway-Vlanif60] nat bind list 201 address-group 1 slot 2

　　#配置接口的nat enable状态。

　　[Quidway-Vlanif50] nat enable

　　[Quidway-Vlanif60] nat enable

　　# 由于教师默认从电信网出口出去，而电信网出口的路由优先级低于教育网出口，所以这里需要作策略路由（关于策略路由请参考《Quidway S8016路由交换机操作手册第二分册》），且从策略路由走时仍需要做NAT变换

　　[Quidway] rule-map intervlan ip_Teacher ip 10.10.0.0 0.0.255.255 any

　　[Quidway] flow-action redirect_to_Tel redirect ip 61.19.20.1 nat-enable

　　[Quidway] eacl eacl_Teacher ip_Teacher redirect_to_Tel

　　[Quidway] access-group eacl eacl_Teacher port gigabitethernet 4/0/0

　　# 限制学生对国外网段207.68.0.0/16、60.10.0.0/16的访问