第 1 部分：Internet 连接的初始配置

此配置示例显示如何使用 SRX 服务网关、EX 系列交换机和路由器部署中小型Mist AP。此示例使用带 LTE 备份链路的主动/主动模式下的两个 WAN 链路。此外，瞻博网络 Mist 云分别用于将 EX 交换机和 Mist AP配置为有线和无线保证的一部分。

该示例还显示了如何使用性能监控和基于策略的路由来提供应用程序体验质量 （AppQoE）。当一个或多个链路出现故障时，AppQoE 以智能方式确定业务关键信息流的优先处理顺序。

您需要以下硬件和软件来配置此示例：

• 一个 SRX300 系列设备（SRX320、SRX340、SRX345、SRX380）或 SRX5000 系列设备 （SRX550M）：软件版本：Junos OS 版本 19.4R1 或更高版本。

  • 此示例要求安装应用程序识别许可证，以及下载和安装应用程序标识包。有关详细信息 ，请参阅 SRX 系列的 许可证 。使用 show system license 和 show services application-identification status 命令。

    注意：

    应用程序签名Junos OS更新由单独许可的订阅服务授权。您必须在设备上安装应用程序识别应用程序签名更新许可证密钥才能下载，然后安装 瞻博网络。许可证密钥到期时，您可以继续使用本地存储的应用程序签名包内容，但是不能更新包。

• 一台 EX 系列以太网交换机（EX2300、EX3400 或 EX4300）：软件版本：Junos OS 19.4R1或更高版本。

• 一个或多个 MIST 接入点（AP12、AP41、AP43、AP61或 AP32）。

• 用于 SRX 网络的一个 LTE 小型 PIM 服务网关。

• 一个订阅数据服务的 SIM 卡。

• 一瞻博网络 Mist 云登录。请于 ： 瞻博网络 Mist 云 。

此示例将配置一个SRX550来提供 DHCP 和 SNAT。SRX 为 EX 交换机、交换机和Mist AP客户端设备提供安全传出 Internet 访问。主要链路连接到专用 WAN 网络（例如虚拟专用 LAN 服务 （VPLS），辅助链路使用以太网上宽带 Internet 接入。备份链路使用 LTE 蜂窝网络。

主链路和辅助链路在主动/主动模式下运行。除非主链路和辅助链路同时关闭，否则不会使用 LTE 调制解调器。

此示例EX4300-24P 交换机连接到 SRX 设备，为分支机构提供有线第 2 层功能（桥接）。由多个交换机、EX2300交换机EX3400虚拟机EX4300 （VC） 为较大的分支机构位置支持更高的端口密度。对于无线接入，我们将一个瞻博网络 Mist AP61接入点连接到 EX 交换机。

在瞻博网络 Mist 云具有所需 Internet 接入后，该Mist AP可快速配置 EX 系列交换机和交换机，以用于所需的分支机构连接。

注意：

此示例支持一系列 SRX 服务网关。我们先从修改后的出厂默认配置开始，SRX550。出厂默认配置因 SRX 型号而异。读者必须确保其 SRX 配置符合其拓扑结构的具体要求。

该示例包含三个主要部分：

• 首先，对 SRX 和 EX 执行初始配置。此配置提供对 EX、Mist AP 和分支办事处 V VPN 的分支机构站点（带 S-NAT）的 Internet 访问。

• 接下来，您可使用 瞻博网络 Mist 云 配置 EX 交换机，Mist AP为分支办事处的 VLA 提供无线连接。

• 在最后一部分，您将配置 SRX 服务网关以提供基于策略的高级路由 （APBR），以支持应用程序体验质量 （AppQoE）。此配置将业务流量映射到所需链路，并实施 SLA 探测器以确定流量应在何时属于备份链路。当主要和辅助链路均不能满足相关 SLA 时，此策略还会激活 LTE 调制解调器。

图 1 显示了分支机构拓扑。

图 2 显示了分支办事处的管理网络示例。在此例中，我们依靠控制台访问。SRX 和 EX 设备支持基于以太网的管理网络。此Mist AP只能通过云进行管理。

我们的拓扑在 SRX 系列设备上具有以下硬件布局：

• SRX 上加载最小基准配置。稍后部分将提供开始基准。

• SRX 系列设备上插槽 1 包含 LTE 小型 PIM。

• LTE 小型 PIM 的插槽 1 已安装 SIM 卡。

• ge-0/0/3 接口连接到主 WAN 链路。

• ge-0/0/2 接口连接到宽带 Internet 链路。

• 接口 cl-1/0/0 标识调制解调器小型 PIM 的插槽。

• 蜂窝网络的链路端位于接口 dl0.0 上。

• ge-0/0/2 接口通过 DHCP 接收其 IP 地址、网络掩码和默认网关。您可以在与 WAN 提供商兼容的专用 WAN 接口 （ge-0/0/3） 上配置静态 IP 地址和默认路由。

• 蜂窝服务提供商将 IP 地址、网络掩码和默认网关分配给 LTE 接口 （cl-1/0/0）。

在 EX 交换机上，我们具有以下布局：

• 使用 root 密码加载并修改出厂默认配置，以允许提交默认配置。

• EX 交换机上的接口 ge-0/0/1 连接到 SRX 的接口 ge-0/0/4。

• Mist接入点 ETH0 接口连接到 EX 交换机的 ge-0/0/5。

在 Mist AP 上，我们具有以下布局：

• 接入点 ETH0 接口连接到 EX 交换机的 ge-0/0/5。

注意：

必须通过此Mist AP配置和管理 瞻博网络 Mist 云。您可使用Mist AP第瞻博网络 Mist 云中的配置配置。

我们在 SRX 设备上配置两个安全区域，一个可信安全区域名为 ，一个不可信 trust 安全区域名为 untrust 。通过在不同的安全区域建立接口，我们可以分离流量并缓解企业内部网的风险。安全区域用于实施清晰和简化的安全策略。我们托管能够访问该区域中的 Internet 的 untrust 接口。企业内部网上的专用 WAN 链路和其他内部接口位于 trust 区域内。虽然存在五个 VLA，但从分支机构站点中仅能路由出三个。您也可配置受限和默认 VLAN。VLAN 如下所示：

• VLAN 1 是 SRX 设备上的默认 VLAN。此设置将 SRX 与 EX 交换机上的出厂默认 VLAN 匹配。

• 这些IoT设备使用 VLAN 20。IoT设备一般用于灯和 HVAC 控制器。

• 监控摄像机使用 VLAN 30。

• 有线公司设备使用 VLAN 40。

• VLAN 99 用作所有未使用的有线端口和使用动态分析的端口的受限 VLAN。SRX 设备未配置此 VLAN。其结果是产生一个仅包含站点-本地范围的不可路由 VLAN。

  此示例使用了动态分析。未配置的端口从 VLAN 99 开始。当交换机端口识别设备时，会为瞻博网络 Mist 云 VLAN 重新配置交换机端口。

有关在 SRX 上配置的接口、安全区域和安全策略的信息，请参阅图3和表1。

表 1 详细介绍了 SRX 安全策略以及可信区域和不受信任区域之间的流量预期行为。

表 1：区域安全策略

从区	至区域	允许流量的安全策略行为
信任	信任	不
不可信	不可信	不
信任	不可信	是的
不可信	信任	仅信任启动。

表 2 列出了 SRX 上接口的 VLAN 和 IP 地址信息。

表 2：接口 VLAN 及其 IP 寻址

接口	VLAN ID	IP 地址	网络掩码
cl-1/0/0	—	由服务提供商分配	—
ge-0/0/2	—	172.16.1.10 （DHCP）	255.255.255.0
ge-0/0/3	—	192.168.220.2	255.255.255.0
ge-0/0/4.0	1	192.168.1.1	255.255.255.0
ge-0/0/4.20	20	10.10.20.1	255.255.255.0
ge-0/0/4.30	30	10.10.30.1	255.255.255.0
ge-0/0/4.40	40	10.10.40.1	255.255.255.0

表 3 列出了此示例中使用的 V VPN、使用情况和端口类型。SRX 系列设备和 EX 交换机上的所有其他端口都是未标记的 VLAN 端口。

表 3：VLAN使用情况

VLAN	VLAN ID	名字	SRX 到 EX 端口类型	使用
vlan1	1	默认	未标记/本机	由 SRX 设备、EX 交换机和接入点用于管理。
vlan20	20	IoT	标记	由 IoT 使用。
vlan30	30	安全	标记	监控摄像机使用。
vlan40	40	企业	标记	员工使用。
vlan99	99	限制	标记	所有其他端口为默认设置。支持动态分析，以将识别的设备重新分配给可路由的 VLAN。

确保您的 SRX 服务网关具有与示例拓扑兼容的功能基准。出厂默认设置可能因 SRX 型号而异。许多 SRX 设备支持此示例。考虑到这一变体，假设以下显示的功能基准，更容易记录解决方案。

按照以下步骤加载 SRX 基准配置。

1. 保存现有配置之后，请将其删除，以全新开始此示例：

2. 分配强 root 密码。下面展示的一个仅供文档使用！

3. 将以下基准配置命令复制粘贴到文本编辑器中，并根据需要修改以适应您的环境。使用配置模式命令将编辑CLI load set terminal 加载到配置模式中。

4. 提交基准配置：

提示：

对系统身份验证或管理访问进行更改时，请考虑使用 commit confirmed 。配置将自动回滚恢复远程访问，从而将更改与设备隔离。

开始基准提供此功能：

• 系统主机名和 root 用户认证。

• 我们会保留 LTE 小型 PIM （cl-1/0/0） 和 dl0.0 拨号器接口的出厂默认设置。

• 您可配置可公开访问的域名和 NTP 服务器以及本地时区。

• 您修改默认系统记录部分以包含会话相关信息。如果您需要调试 SRX 主机上的连接问题，有关阻止和已接受的会话的详细信息服务网关。

• 定义信任区域和不信任区域的基本安全区设置。我们将源NAT用作此示例的一部分。出厂默认NAT规则位于基准中，用于以后保存一些键入操作。

1. 为连接到企业内部网的四种类型的分支机构设备创建 VLAN。您也可创建一个基础架构 VLAN，用于支持将基于 DHCP 的地址分配到 EX 交换机并Mist AP。ge-0/0/4 接口分配给基础架构 VLAN。请参阅 表 3。

2. 配置 ge-0/0/4 接口，用于向 EX 交换机和交换机Mist AP。此配置将接口设置为带有灵活 VLAN 标记的中继，以支持混合未标记和已标记的流量。此示例将 VLAN 1 用作不承载 VLAN 标记的本机 VLAN。

3. 按表 2为 SRX 中继接口上每个 VLAN 配置 IP 子网。

4. 配置用于将 IP 地址分配给 EX 交换机的 DHCP 地址池Mist AP。 将接口 ge-0/0/4.0 配置为 DHCP 服务器

5. 创建 DHCP 服务器和 IP 地址池，以分配给 vlan20 上的设备。将接口 ge-0/0/4.20 配置为 DHCP 服务器地址

6. 创建 DHCP 服务器和 IP 地址池，以分配给 vlan30 上的设备。将接口 ge-0/0/4.30 配置为 DHCP 服务器地址

7. 创建 DHCP 服务器和 IP 地址池，以分配给 vlan40 上的设备。将接口 ge-0/0/4.40 配置为 DHCP 服务器地址

8. 将 ge-0/0/3 和 ge-0/0/4 接口放在信任区域。ge-0/0/4 接口用作中继。请确保包含所有已配置的逻辑单元。

   注意：

   在此示例中，基准 SRX 配置具有一个信任区域集以允许所有主机入站协议和服务。如果需要，您可将主机入站服务限制为仅 DHCP 和 ICMP。这允许在 EX 交换机和 SRX 交换机之间分配 DHCP 地址并后续执行 ping 服务网关。

9. 将用于访问宽带 Internet 的 ge-0/0/2 接口放在不信任区域。

10. 配置连接到专用 WAN 提供商的 ge-0/0/3 接口。包括说明以指明其作为专用 WAN 链路的角色，该链路主要用于业务关键型信息流。

11. 您可为专用 WAN 链路配置静态默认路由，该链路将指向非本地流量的专用 WAN。此路由具有修改的优先级，以确保其不如通过宽带 Internet 链路上的 DHCP 学习的默认路由更可取。修改的优先级会导致 SRX 在操作时通过宽带 Internet 链路路由未分类的信息流。如果需要，您可将优先级设置为 12，使两个默认路由等于成本，然后均衡未分类的流量。

12. 将 ge-0/0/2 接口放入不信任区域。

13. 配置连接到宽带 Internet 提供商的 ge-0/0/2 接口。包括说明以指明其作为宽带 Internet 链路的角色，并且将接口配置为 DHCP 客户端。此接口通过互联网提供商的 DHCP 服务器同时接收 IP 地址和默认路由。

14. 配置不信任区域以支持 DHCP 和 ping。基于 DHCP 的地址分配用于宽带 Internet 链路上。

    注意：

    不可信接口通过 DHCP 或蜂窝服务提供商接收 LTE 链路的默认路由。

15. 您可为信任NAT接口之间的流量配置一个策略。该策略支持专用 WAN 链路上的 VLAN 流量。SRX 开始基准包括出厂默认NAT域与不信任区域之间的流量规则。此默认策略支持发送到宽带 Internet 或 LTE 接口的 VLAN 流量。

16. 创建地址簿和安全策略以允许可信区域和不受信任区域之间的流量。请确保包含所有四个 VLA 的网络子网，并且将支持的应用程序包括到策略中。只要流量源自分支机构站点的其中一个 VLA，就允许所有应用程序。

17. 配置调制解调器接口 （LTE-MPIM） 并插入 SIM 卡激活插槽。

    注意：

    SRX 基准在出厂默认配置中保留一些调制解调器接口设置。

18. 配置拨号器接口。确保从配置中卸下出厂 always-on 默认拨号器选项。我们期望仅在专用 WAN 和宽带 Internet 链路关闭时按需激活 LTE 链路。

    注意：

    我们在 SRX 中保留一些出厂默认拨号器设置，以开始基准配置。请确保从开始 always-on 基准中删除拨号器选项。试图删除不存在的配置语句不会造成损害。明确删除此选项可防止 LTE 调制解调器链路被意外激活。激活 LTE 调制解调器通常有计费影响。

19. 在 SRX 设备上提交配置。

20. 设置调制解调器 （LTE-MPIM） 中 SIM 的接入点名称 （APN）。

在此部分中，您可以在 EX 交换机上加载并提交出厂默认配置。此配置会导致将 IRB 接口配置为 DHCP 客户端，所有交换机端口均属于默认 VLAN （VLAN ID 1）。借助此配置，EX 交换机和 Mist AP都能从 SRX 获取 DHCP 分配的地址。IP 地址来自 192.168.1.2-254/24 地址池。

注意：

如果需要，您可将 EX 交换机归零，而不是加载出厂默认设置。将设备归零时，不需要 root 密码。如果选择零化方法，将在控制台上看到零接触调配 （ZTP） 消息。您可能需要进入配置模式，然后发出 ，然后 delete chassis auto-image-upgrade 发出 来防止 commit 这些消息。

不管使用哪种方法，以后在控制瞻博网络 Mist 云将 （re） 配置 root 密码。

1. 使用控制台访问 EX 交换机，然后加载出厂默认配置。

2. 分配强 root 密码。下面展示的一个仅供文档使用！

3. 提交修改后的出厂默认配置：

   注意：

   加载出厂默认设置后，先前分配的主机名将一直有效，直到重新启动 EX 交换机。

此时，SRX 应具有通过专用 WAN 和宽带 Internet 提供商的连接。此外，还应从 192.168.1.0/24 地址池中为 EX 交换机和 Mist AP 分配 IP 地址。提供给 EX 和数据中心的 DCHP 配置AP域名服务器和默认路由。

您可为信任区域与不信任区域之间的流量以及信任区域接口之间的流量配置 SNAT。

• 目的
• 行动
• 意义

• 目的
• 行动
• 意义

• 目的
• 行动
• 意义