联通电信双链路内网VRRP+BFD&&PPTP+MYSQL+FreeRadius实现IDC堡垒机连接IDC机房

一、具体需求与实现

1、wan:两条宽带接入链路,使用VRRP+BFD技术,实现链路冗余;

2、IDC机房远程管理和登录限制:使用PPTP+freeRadius+mysql实现VPN,限制指定网段或IP进行拨号认证登录IDC机房,并编写脚本检查非法用户登录IDC机房服务器情况;

3、内网VLAN划分:利于安全管理、IP分流和带宽限制;

4、内网监控:使用NTOPcacti等实现;

5、IDC机房服务器监控:使用zabbixsnort、脚本实现;

6、用户带宽使用限速:交换机处配置流量整形,对内网IP进行限速;(慎用)

7、访客控制:需要接入层设备支持Qos802.1x协议(暂不考虑)

 

 

二、关键需求分析与考虑

1、wan

   A、以RouterARouterB分别拨号直连internet,避开使用同一设备时需编写策略路由;

   B、便于正常时对上网、邮件、视频及核心业务进行分路,其中一台设备、链路down   的时候,业务快速转移到正常设备、链路上;

   C、不同部门上网业务分流管理;

2、IDC机房远程管理和登录限制

   A、由之前的ItranetVPN(内联网关:网关网关),改变为AccessVPN(远程接入VPN:

      户端网关);

   B、把VPN用户认证转移至Radius服务器上,增加安全性高、节省路由设备有限内存;

   C、可记录VPN用户的登录时间,传送字节数,从而对用户进行统计;

   D、利用mysql实现用户的增删查改、中文名记录和其他信息等

3、内网VLAN划分

   A、有利于登录IDCIPRadius上进行限制;

   B、根据网段进行IP分流和部门分链路上网;

   C、对指定网段进行带宽限制;

4、内网监控

A、使用Ntop可以实现监控用户流量行为;

Bcacti主要用于远程监控IDC机房服务器流量;

5、IDC机房服务器监控

A、将zabbix服务迁移至IDC机房利于减少因网络不稳定引起的误报;

6、用户带宽使用限速

A、对流量队列整形限速,由于IP输出速率被限制在规定范围内,队列满后,无法缓存

   报文将被丢弃,造成用户上网失效和卡顿等(不建议使用)

三、拓扑、设备选型和IP规划

blob.png

设备选型、IP规划略


四、实施

分两个部分,第一部分为使用VRRP+BFD实现双线路切换,第二部分为PPTP+MYSQL+FreeRadius实现堡垒机访问IDC机房

第一部分,双链路内网VRRP+BFD

按照拓扑配置,配置文件如下:

R1,连接移动链路

R2,连接移动链路

下游交换机

  以上,实现了双链路切换,可以自行端口链路测试配置结果,并使用disp bfd\NQA\VRRP\iprouting-table检查配置结果,并逐一排错。

 下一篇为PPTP+MYSQL+FreeRadius实现IDC堡垒机部分

原创文章,作者:handsomeyoleen@qq.com,如若转载,请注明出处:/35905

联系我们

400-080-6560

在线咨询:点击这里给我发消息

邮件:1823388528@qq.com

工作时间:周一至周五,9:30-18:30,节假日同时也值班

友情链接:万达注册  万达招商QQ  万达娱乐平台  万达娱乐主管QQ  guoqibee.com  万达直属  万达娱乐主管QQ  测试  万达主管QQ