出站连接的ScreenOS MIP选择

Question

给定具有此配置的ScreenOS 6.3.0防火墙：

unset flow reverse-route clear-text
set interface "ethernet0/0" zone "Trust" 
set interface ethernet0/0 ip 192.168.1.1/24 
set interface ethernet0/2 ip 10.0.0.1/24 
set interface ethernet0/2 mip 10.9.9.10 host 192.168.1.10 netmask 255.255.255.255 vr trust-vr
set interface ethernet0/2 mip 10.8.8.10 host 192.168.1.10 netmask 255.255.255.255 vr trust-vr
set route 0.0.0.0/0 interface ethernet0/2 gateway 10.0.0.254

..。(并假设有适当的策略)是否有办法控制防火墙为192.168.1.10启动的出站连接选择哪一个MIP？(大概是因为我希望上游10.0.0.254对数据包执行不同的操作，这取决于它的源IP是什么)。

更新:好的，我的场景是:我有两个ISP上行链路，每个都给了我一个不同的IP空间。每个ISP只会路由他们分配给我的IP空间。

为了让两个ISP都能到达服务器，我需要为同一台服务器提供两个MIP，每个接口上都有一个。入站流量将在使用中的“未设置流反向路由明文”选项中正常工作。

但是对于出站(比如发送消息的电子邮件服务器)，我需要一种方法来选择一个适当的MIP，这取决于我希望系统使用哪个出站链接，我希望它具有弹性，这样如果防火墙喜欢的链接在夜间关闭，我就不必手动翻转一些东西来保持邮件的畅通。

基本上，我试图避免不得不购买链接平衡器设备(或两个，因为我需要一个集群)。

有办法这样做吗？

Answer 1

假设您希望同时对两个出站链路进行主动控制(即系统A使用IP A并退出上行链路A，系统B使用IP B并退出上行链路B)，则答案是否定的，您不能这样做。您需要一个链路均衡器。

如果您不关心出站流量使用哪个链接，您可以设置两个MIP(每个ISP链路一个)并设置ip跟踪路由，防火墙将选择“最佳”的一个(即它将使用一个，然后在失败时停止使用)。您可以使用路由排序和度量来偏倚选择。

但底线是，要有控制，你需要一个链接平衡器。

如果你有支持，打电话给JTAC。