原文链接：http://support.huawei.com/enterprise/docinforeader!loadDocument1.action?contentId=DOC1000098180&partNo=10012#dc_cfg_campus_002

1 中小型园区/分支出口综合配置举例

园区网出口简介

园区网出口一般位于企业网内部网络与外部网络的连接处，是内部网络与外部网络之间数据流的唯一出入口。对于中小型企业来说，考虑到企业网络建设的初期投资与长期运维成本，一般希望将多种业务部署在同一设备上。企业网络用户一般同时需要访问Internet和私网VPN，而对于中小型企业来说考虑到建设及维护成本问题，一般租用运营商Internet网络组建私网VPN。对于部分可靠性要求较高的园区网络，一般考虑部署两台出口路由器做冗余备份实现设备级可靠性，同时应用链路聚合、VRRP、主备路由等技术保证园区出口的可靠性。华为AR系列路由器配合华为S系列交换机是中小型园区网出口设备的理想解决方案。

• 园区出口设备需要具备NAT Outbound及NAT Server的功能，实现私网地址和公网地址之间的转换，以满足用户访问Internet或者Internet用户访问内网服务器的需求。
• 园区出口设备需要具备通过Internet构建私网VPN的功能，以满足企业用户各个机构之间私网VPN互通的需求
• 园区出口设备需要具备数据加密传输的功能，以保证数据的完整性和机密性，保障用户业务传输的安全
• 中小型园区出口需要具备可靠性、安全性、低成本、易维护等特点。

配置注意事项

• 本配置案例适用于中小型企业园区/分支出口解决方案。
• 本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为S系列园区交换机快速配置中的“中小园区组网场景”。

组网需求

某企业总部和分支分别位于不同的城市，地域跨度较远，总部存在A、B两个不同的部门，分支只有一个部门。现在需要建设跨地域的企业园区网络，需要实现的需求如下：

• 总部和分支都需要实现用户访问Internet的需求。总部划分为A、B两个部门，其中A部门的用户可以访问Internet，但是B部门的用户不能访问Internet；分支所有用户都可以访问Internet。
• 总部有Web服务器，对外提供WWW服务，外网用户可以访问内网服务器。
• 总部和分支之间需要通过Internet进行私网VPN互通，通信内容需要有安全保护。
• 总部园区出口可靠性要求较高，需要考虑链路级的可靠性和设备级的可靠性。
• 分支可以适当降低可靠性要求。

　　2018年5月3日，工业和信息化部发布关于贯彻落实《推进互联网协议第六版（IPv6）规模部署行动计划》的通知，这份文件，成为智慧校园发展的巨大引擎，文件对教育网的IPv6改造做了明确要求：

　　到2018年底，教育网完成业务运营支撑系统升级改造，建立面向IPv6业务的运维管理体系和业务管理流程，具备IPv6用户统计、网络日志审计、流量统计以及IPv6业务受理、开通、运行维护等能力。

　　到2019年底，省教育计算机网以及高等学校校园网完成IPv6升级改造。鼓励有条件的高等学校开展纯IPv6试验网建设；鼓励中小学、幼儿园积极推进校园网IPv6改造。

　　国家政策虽然一直在强调校园网的IPv6改造，但就目前IPv6升级而言，高校仍旧没有找到相关IPv6安全合规且系统有效的解决方案。

　　按照现有等级保护标准，网络安全主要有三个防护要求：

访问控制、边界完整性和安全审计

。

　　需要强调的是，访问控制是建立在实名认证的基础上，然后结合接入控制设备进行实名用户访问控制。

　　而实名认证分为准入和准出认证，准入认证的好处是实现边界完整和IP实名审计，但要实现IPv6准入认证就意味着现有准入和汇聚网络设备要改造，这对很多高校来说需要很大的预算。

　　网络设备仅仅简单支持IPv6准入认证还是不够，仍然需要解决很多细节才能建立安全的IPv6网络，这是由于IPv6的以下几个重要特性：