在传统组网中，分支网络连接常面临配置复杂、维护成本高和部署周期长等问题。飞连通过简化配置和降低成本，提供了一种高效的分支组网解决方案。管理员只需要在企业内网部署飞连分支网关，将企业的分支、总部、IDC 机房或者云服务的网络与飞连 SD-WAN 网络互联，即可实现企业各分支机构与总部的互联互通。 # 适用场景以下场景可通过飞连分支网关进行分支组网： * 分支机构与总部组网 * 分支机构与数据中心组网 * 分支机构与公有云网络组网 # 配置概览 1. 创建分支网关。分别在企业分支、总部、数据中心、公有云网络内部署飞连分支网关。 2. 内网配置引流策略。在企业内网完成分支网关部署后，需要在总部、分支内网（CPE LAN 口所接设备上）做路由策略（支持静态路由、策略路由）。 * 总部：将去往分支网段的路由指向总部 CPE 设备 LAN 口。 * 分支：把去往总部、DC、云 DC 的路由，指向分支 CPE 设备的 LAN 口。 # 场景案例 ## 案例介绍如下图，某企业 A 总部在北京，在北京建设了自己的 IDC 数据中心，企业相关的内网服务均部署在该数据中心内，此外该企业在各省均开设了分公司。为了减少内网业务的暴露面、确保核心数据安全，该公司决定使用 SD-WAN 组网的方式打通各个分公司与总部的网络。案例场景中通过在数据中心和分公司部署飞连分支网关实现分支与总部的组网。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/6f49d139394744efb8779fe9990fb870~tplv-goo7wpa0wc-image.image =593x) ## 部署方案规划分别在北京数据中心、上海分公司、深圳分公司部署硬件分支网关设备 FLG-X2。北京数据中心、上海、深圳分公司采用 VRRP（虚拟路由冗余协议）模式部署。其中： * 北京数据中心：旁路部署两台 FLG-X2 在出口防火墙 * 上海分公司：旁路部署两台 FLG-X2 在出口防火墙 * 深圳分公司：旁路部署两台 FLG-X2 在出口防火墙

## IP 信息规划 1. IP 子网信息收集。沟通确认各个分支机构的子网信息如下： | | | \ |**分支名称** |**IP子网信息** | |---|---| | | | \ |北京数据中心 |10.10.0.0/16，10.20.0.0/16 | | | | \ |上海分公司 |172.16.1.0/24，172.16.2.0/24，172.16.3.0/24 | | | | \ |广州分公司 |192.168.1.0/24，192.168.2.0/24，192.16.83.0/24 | 2. 分支网关接口地址规划。在部署分支网关之前，需要给各个分支的设备规划对应的 IP 地址，包含 LAN、WAN 和 VRRP 接口 IP，详情如下表。 | | | | | | | \ |**分支名称** |**设备类型** |**LAN IP** |**LAN VRRP IP** |**WAN IP** |**WAN VRRP IP** | |---|---|---|---|---|---| | | | | | | | \ |北京数据中心 |\ | |主机 |10.10.10.1/24 |10.10.10.3/24 |10.10.20.1/24 GW 10.10.20.54 |10.10.20.3/24 | |^^| | | | | | \ | |备机 |10.10.10.2/24 |10.10.10.3/24 |10.10.20.2/24 GW 10.10.20.54 |10.10.20.3/24 | | | | | | | | \ |上海分公司 |主机 |172.16.1.1/24 |172.16.1.3/24 |172.16.2.1/24 GW 172.16.2.254 |172.16.2.3/24 | |^^| | | | | | \ | |备机 |172.16.1.2/24 |72.16.1.3/24 |172.16.2.2/24 GW 172.16.2.254 |172.16.2.3/24 | | | | | | | | \ |广州分公司 |主机 |192.168.1.1/24 |192.168.1.3/24 |192.168.2.1/24 GW 192.168.1.254 |192.168.2.3/254 | |^^| | | | | | \ | |备机 |192.168.1.2/24 |192.168.1.3/24 |92.168.2.2/24 GW 192.168.1.254 |192.168.2.3/254 | ## 配置步骤 ### 步骤一：在飞连管理后台配置分支网关在飞连管理后台，依次部署北京数据中心分支网关、上海分公司分支网关、广州分公司分支网关。 :::tip 本章节仅以部署北京数据中心分支网关为例介绍具体步骤，配置完成后继续重复该步骤依次配置： 1. 上海分公司分支网关，IP 改为上海分公司规划的 IP 即可。 2. 广州分公司分支网关，IP 改为广州分公司规划的 IP 即可。 ::: 1. 登录飞连管理后台。 2. 在左侧导航栏，选择**办公组网** ＞ **分支网关**。 1. 在**分支网关**页面右上角，选择**添加分支** ＞ **硬件版**。如果是首次使用该功能，需要先在页面上单击**开始使用**。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/f9bd3dd297e24176be6212bc12988751~tplv-goo7wpa0wc-image.image =534x) 2. 在**基本配置**界面，完成以下配置项，并单击**下一步**。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/70e1fa80f7964950aa84d213473f1b4d~tplv-goo7wpa0wc-image.image =536x) | | | | \ |**配置项** |**说明** |**示例配置** | |---|---|---| | | | | \ |**分支名称（中文）** |自定义分支网关的中文名称名称，用于标识该网关。 |北京数据中心 | | | | | \ |**分支名称（英文）** |自定义分支网关的英文名称，用于标识该网关。 |BJ-DC | | | | | \ |**设备型号** |按照采购的硬件型号进行选择。 |FLG-X2 | | | | | \ |**分支网关类型** |用于标识该分支网关对应的企业机构。可选： |\ | | |\ | |* **企业分支**：表示与企业的分支机构相关联的网关。 |\ | |* **企业总部**：表示与企业总部相关联的网关。 |\ | |* **IDC 机房**：表示与互联网数据中心（IDC）机房相关联的网关。 |\ | |* **公有云**：表示与公有云服务提供商相关联的网关。 |\ | |* **其他**：这是一个通用选项，用于标识其他类型的企业机构或网络位置。 |IDC 机房 |\ | | | | | | | | \ |**设备高可靠** |\ | |启用设备高可靠增加了系统的冗余性和可靠性，如果一个节点出现故障或中断，另一个节点可以接管工作，确保分支的连续性和可用性： |\ | | |\ | |* **启用**：启用设备高可靠后，该分支会自动生成两个分支节点，两个 CPE 节点之间可采用 VRRP 实现设备高可靠。 |\ | |* **不启用**：不启用设备高可靠意味着系统不会自动生成额外的分支节点，也不支持浮动 IP 实现高可靠。在这种情况下，如果一个节点发生故障，可能会导致分支的中断或不可用。 |启用 | 3. 进入**资源发布**界面，完成以下配置项，并单击**下一步**。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/e52bde0c5b1846eea7d06a850efe9cb1~tplv-goo7wpa0wc-image.image =530x) | | | | \ |**配置项** |**说明** |**示例配置** | |---|---|---| | | | | \ |IP 资源发布 |启用后，分支 IP 资源发布至 SD-WAN，其他分支可访问。不启用则不可访问。 |启用，且**分支网段**填写： |\ | | |10.10.0.0/16，10.20.0.0/16 | | | | | \ |域名资源发布 |启用后，系统自动为分支创建选路策略，发布后将域名资源调度到该分支网关。若不启用，可在创建分支网关后在**办公组网** > **应用调度**配置策略。 |不启用 | | | | | \ |是否启用 DNS 代理 |高级配置，当分支网关作为上车点时需启用，应用调度域名用飞连中心 DNS 解析，其他域名用此处配置的 DNS 代理服务器。 |不启用 | | | | | \ |路由优先级 |高级配置，当目标应用同时发布 IP 和域名资源时，设置优先策略。 |域名调度优先 | 4. 到**设备开局**页面，点击左下方的**结束**完成分支网关的创建。 3. 设备开局，把 2 台 FLG 设备安装网络规划，设备开箱接电源部署到对应的机房机柜。 1. **主机开局** 1. 管理 PC 网线接 FLG-X2 设备 1 的网口 0。 2. 打开浏览器，输入 `http://192.168.168.1`。 3. 初次登陆，按照页面要求修改本地登录密码。 4. 重新登录，进入分支网关本地配置页面。 1. 进行 WAN 口配置，按照 IP 规划进行配置。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/eee922e2fc1a49f292cc12ac220a3d35~tplv-goo7wpa0wc-image.image =652x) 2. 进行开局配置。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/6ea6072f14f04ec1b6ec7b4f1f65d32b~tplv-goo7wpa0wc-image.image =654x) 1. 开局 URL：在飞连管理后台**办公组网** ＞ **分支网关**页面，找到名称为**北京数据中心**的分支，在**基本信息**页面，复制**设备开局信息**中的鉴权 URL 地址到此处。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/87bdbb39ae53405d9053dfb68e8c49e6~tplv-goo7wpa0wc-image.image =405x) 2. ID：在飞连管理后台**办公组网** ＞ **分支网关**页面，找到名称为**北京数据中心**的分支，在**基本信息**页面，复制节点 1 的 ID 到此处。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/7f36929c300d4978a632df67af6a4abb~tplv-goo7wpa0wc-image.image =515x) 3. Secret：在飞连管理后台**办公组网** ＞ **分支网关**页面，找到名称为**北京数据中心**的分支，在**基本信息**页面，复制节点 1 的 Secret 到此处。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/ceae921bd1a9492c8cf09016cb387b0c~tplv-goo7wpa0wc-image.image =514x) 4. 单击**设备激活**，开始激活该设备。 5. 在健康检查页面进行健康检查，监控检查完成后进行下一步。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/d407e3d7b5e342798414801c438076ba~tplv-goo7wpa0wc-image.image =524x) 6. 在正常使用页面看到如下提示则表示设备开局成功 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/7483d75f5cc044278a24b7b3175dcb58~tplv-goo7wpa0wc-image.image =526x) 2. **备机开局** 1. 管理 PC 网线接 FLG-X2 设备 1 的网口 0。 2. 打开浏览器，输入 `http://192.168.168.1`。 3. 初次登陆，按照页面要求修改本地登录密码。 4. 重新登录，进入分支网关本地配置页面。 1. 进行 WAN 口配置，按照 IP 规划进行配置。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/3a55435d384e4a60970f70edf56c6c76~tplv-goo7wpa0wc-image.image =550x) 2. 进行开局配置。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/d6de9ccbf9314c358d202c648b1673a9~tplv-goo7wpa0wc-image.image =551x) 1. 开局 URL：在飞连管理后台**办公组网** ＞ **分支网关**页面，找到名称为**北京数据中心**的分支，在**基本信息**页面，复制**设备开局信息**中的鉴权 URL 地址到此处。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/87bdbb39ae53405d9053dfb68e8c49e6~tplv-goo7wpa0wc-image.image =405x) 2. ID：在飞连管理后台**办公组网** ＞ **分支网关**页面，找到名称为**北京数据中心**的分支，在**基本信息**页面，复制节点 2 的 ID 到此处。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/55131011465b498198b9f99f7b83997c~tplv-goo7wpa0wc-image.image =535x) 3. Secret: 在管理后台**办公组网** ＞ **分支网关**页面，找到名称为“北京数据中心”的分支，在【基本信息】页面，复制节点1的Secret到此处。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/24e310aa08b5403e99cc268677ebf418~tplv-goo7wpa0wc-image.image =572x) 4. 单击**设备激活**，开始激活该设备。 5. 在健康检查页面进行健康检查，监控检查完成后进行下一步。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/8fe9b4b0daa84fc4a8c8927ed45a9e19~tplv-goo7wpa0wc-image.image =578x) 6. 在正常使用页面看到如下提示则表示设备开局成功。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/7d193422126844f3bce30ddcaafc0009~tplv-goo7wpa0wc-image.image =555x) 3. 配置分支网关接口。登录飞连管理后台，在**办公组网** ＞ **分支网关**页面，找到名称为**北京数据中心**的分支，进行如下配： 1. LAN IP 配置。需要完成主机和备机的 LAN 接口配置，规划 FLG-X2 的物理接口 3 口为 LAN 口。 1. 主机配置，在节点 1 的 Tab 下进行配置。 1. 在**网络配置** > **节点1** > **LAN 配置**页签找到系统默认接口，点击**编辑**。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/b3c0875f61624ebcb8c02c33a7ad0efd~tplv-goo7wpa0wc-image.image =497x) 2. 进入如下图 LAN 接口编辑页面，关联物理 LAN 接口，把 LAN2、LAN3、LAN4 的复选框取消，然后单击**确认**。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/acd3fe3e65dc4b588a826054929b481c~tplv-goo7wpa0wc-image.image =489x) 3. 在**网络配置 > 节点1** > **LAN 配置**页签，单击**添加逻辑接口**，并完成以下配置。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/72269c91497e4b2bb15e4d16e310cdd5~tplv-goo7wpa0wc-image.image =444x) * **逻辑接口名称**：命名为 LAN100 * **VLAN ID**：0 * **IP 地址**：10.10.10.1/24 * **DHCP**：不启用 * **关联物理 LAN 接口**：选中 LAN2 完成主机（节点 1）的 LAN 接口配置如下图所示。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/1bd1f1228d1d451a98dc5074f2003ffd~tplv-goo7wpa0wc-image.image =535x) 2. 备机配置，在节点 2 的 Tab 下进行配置。 1. 在**网络配置** > **节点2** > **LAN 配置**页签，找到系统默认接口，单击**编辑**。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/4346c105d6854716b52119c0bfee2983~tplv-goo7wpa0wc-image.image =536x) 2. 进入如下图 LAN 接口编辑页面，关联物理 LAN 接口出，把 LAN2、LAN3、LAN4 的复选框取消，然后单击**确认**。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/45704bb8b79943c4b8ace45534b3238a~tplv-goo7wpa0wc-image.image =534x) 3. 在**网络配置** > **节点2** > **LAN 配置**页签，单击**添加逻辑接口**，并完成以下配置。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/a2eff4f923634bc189fa5f8fedb139fe~tplv-goo7wpa0wc-image.image =522x) * **逻辑接口名称**：命名为 LAN100 * **VLAN ID**：0 * **IP 地址**：10.10.10.2/24 * **DHCP**：不启用 * **关联物理 LAN 接口**：选中 LAN2 完成备机（节点2）的 LAN 接口配置如下图所示。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/056a26e7be744436b160f4b2e75c5d45~tplv-goo7wpa0wc-image.image =518x) 2. HA 接口配置。 1. 主机 HA 配置，进入**网络配置** > **节点1** > **HA 配置**页签，并完成以下配置。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/25c575516c694a2098bf52db36e954d4~tplv-goo7wpa0wc-image.image =548x) 1. 启用 **VPPR 配置** 开关。 2. 单击**添加 VRRP 接口**，并完成以下配置。 1. 添加 LAN 接口的 VRRP 接口。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/d9d92a32f94a43708d037a7a2dce989f~tplv-goo7wpa0wc-image.image =294x) * **应用接口**：选择 LAN * **生效接口**：选择 LAN100 * **VRRP 工作 IP**：10.10.10.3 * **Route ID** : 1 2. 添加 WAN1 接口的 VRRP 接口。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/2e5c9a89a33549a0ab1dc9d843466f9a~tplv-goo7wpa0wc-image.image =298x) * **应用接口**：选择 WAN1 * **VRRP 工作 IP**：10.10.10.3 * **Route ID**：2 2. 备机 HA 配置，进入**网络配置** > **节点2** > **HA 配置**页签，并完成以下配置。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/945198a3b9dd456c9fffd52e7f51b13c~tplv-goo7wpa0wc-image.image =510x) 1. 启用 **VPPR 配置**开关。 2. 单击**添加 VRRP 接口**，并完成以下配置。 1. 添加 LAN 接口的 VRRP 接口。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/cbe2844e0ec54f939c4e351a70bf1a84~tplv-goo7wpa0wc-image.image =314x) * **应用接口**：选择 LAN * **生效接口**：选择 LAN100 * **VRRP 工作 IP**：10.10.10.3 * **Route ID** : 1 2. 添加 WAN1 接口的 VRRP 接口。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/15ee46f635c4449ba76e4cfdab24de92~tplv-goo7wpa0wc-image.image =318x) * **应用接口**：选择 WAN1 * **VRRP 工作 IP**：10.10.10.3 * **Route ID**：2 3. 静态路由配置。 1. 主机静态路由配置，在**设备管理** > **节点 1** 页签，单击**添加路由**。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/d4090464889243e39b73554daeb4ff82~tplv-goo7wpa0wc-image.image =504x) 1. 添加路由，添加 10.10.0.0/255.255.0.0，下一跳 10.10.10.254。 2. 添加路由，添加 10.20.0.0/255.255.0.0，下一跳 10.10.10.254。 2. 备机静态路由配置，在**设备管理** > **节点 2** 页签，单击**添加路由**。 ![Image](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/93afd4458b95452888e1f069969ddf4f~tplv-goo7wpa0wc-image.image =1248x) 1. 添加路由，添加 10.10.0.0/255.255.0.0，下一跳 10.10.10.254。 2. 添加路由，添加 10.20.0.0/255.255.0.0，下一跳 10.10.10.254。 ### **步骤二：内网引流策略** 分支网关的创建，只是完成了各个分支网关之间的网络，此时如果要实现各个分支之间的相互访问，还需要在内网上做路由策略，把去往其他分支的路由，指向飞连分支网关设备的 LAN 口。 **北京数据中心** * 配置位置：出口防火墙 * 策略内容：配置静态路由，目标网段包含172.16.1.0/24，172.16.2.0/24，172.16.3.0/24，192.168.1.0/24，192.168.2.0/24，192.16.83.0/24，下一跳指向北京数据中心的飞连分支网关的 LAN 口 10.10.10.3。 **上海分公司** * 配置位置：出口防火墙 * 策略内容：配置静态路由，目标网段包含10.10.0.0/16，10.20.0.0/16，192.168.1.0/24，192.168.2.0/24，192.16.83.0/24，下一跳指向北京数据中心的飞连分支网关的 LAN 口 172.16.1.3。 **广州分公司** * 配置位置：出口防火墙 * 策略内容：配置静态路由，目标网段包含10.10.0.0/16，10.20.0.0/16，172.16.1.0/24，172.16.2.0/24，172.16.3.0/24，下一跳指向北京数据中心的飞连分支网关的 LAN 口 192.168.1.3。