【2022争霸赛*干货满满】某医院AF、AD、AC和核心交换机设备项目方案和割接上线经验分享

      1、项目需求

   随着医疗行业信息技术的飞速发展，医院信息系统的各类应用不断扩充，最典型的特征之一就是互联网业务增加、信息共享要求提高。XX医院在互联网+医院的环境下，医院对于互联网的使用需求越来越高。当前医院互联网出口有3条网络线路，分别为10M电信、100M电信、200M联通。然而，现有的网络出口不足以支撑业务访问的使用需求，综合评估之后，医院计划新增一条约1G的互联网线路,来提示互联网出口的带宽。

对于新增的互联网线路，现有互联网安全设备和网络设备已经无法满足本次带宽的扩展需求，因此，需要新增一台AD、一台AF、一台AC和一台核心交换机来满足本项目的性能需求。

2、实施网络拓扑

注：新购设备版本和性能都高于现网设备，因此无法做双活，原有设备只能做为冷备。红色标志为本次项目替换设备。

3、设备清单

设备名称	设备型号	数量	用途
上网行为管理	深信服AC-1000-B2250	1	替换旧AC
下一代防火墙	深信服AF-2000-B2200	1	替换旧AF
应用交付AD	深信服AD-1000-B2200	1	替换旧AD
外网核心交换机	H3C  S10506X	1	替换旧外网核心交换机

4、配置割接思路

1）先将现网设备配置进行备份；

2）先把AD、AF、AC主机接线、加电；

3）AD/AF/AC软件版本都为最新，不能导入配置，只能导入部分配置，其他只能一比一对照设备进行配置照搬；

4）配置主机网络配置、安全策略、认证策略、高可用性策略等；

5）配置完成后，设备关电，进行设备上架；进行设备的内网接线；

6）跟客户申请好断网时间后，几台设备内网调测完后，进行线路割接，将现网设备的一些出口线路切换到新的AD上；

7）线路切换完毕后，进行业务测试，看是否能够访问互联网；验证目的映射是否ok等。

5、设备配置

   1）AD网络配置：根据实际情况完成 AD所有接口配置。配置健康检查，使用ping或arp探测联通/电信网关IP；使用arp探测核心sw的IP。

2）AF网络配置：AF已路由模式部署，完成内外网口以及管理口的配置

3）AC网络配置：AC以网桥模式部署，完成各网口以及管理口、网关的配置，建议开启多网桥链路同步。

4）智能路由配置

去电信：

去联通：

5)AF应用策略配置

针对上网流量进行安全防护，针对业务访问流量进行安全防护，包括应用控制、僵尸网络防护、漏洞攻击防护、内容安全、WEB应用防护等。

6）AC流量管理

针对上网用户上班期间禁止使用P2P下载等高带宽消耗的应用

步骤一：定义好虚拟线路和带宽。

                              

步骤二：配置流量通道针对上网用户在上班期间限制使用P2P下载等带宽消耗的应用。注意需要复制到多条虚拟线路。

       6、网络测试

设备配置完成后，通过配置电脑接入交换机的端口进行网络测试，PING测试是否能够连通。如下图：

测试没有问题，证明本次割接ok。

7、设备割接应急方案

应急方案的基本原则是:如果切换或改造失败,应及时恢复网络原先的状态，确保网络系统不会中断。在这样一个总的原则下，为了确保网络迁移和改造工作的顺利进行，以及可能发生的紧急情况的及时处理，我们有以下一些具体的工作需要做：

1)切换前详细记录原网络设备及终端连接状况；

2)切换前备份所有网络设备配置；

3)一旦切换后出现在回退时间前无法解决的问题，即使恢复原网络结构。

感谢楼主分享！文章记录了一例AD+AF+AC双机作为互联网出口的部署案例，从部署思路到详细配置过程，介绍的非常清晰，期待楼主带来更多有价值的案例分享

感谢分享

学习了 ！！！！！！！！！！！

感谢分享，有助于工资和学习！！！

学习学习，感谢分享~~~

感谢分享，相对来说是一次难度不大的割接，继续加油

感谢分享，有助于工资和学习！！！

楼主分享的案例很实用，具有典型性，希望有更多这样的干货供我们学习参考，非常感谢！

楼主分享的案例很实用，具有典型性，希望有更多这样的干货供我们学习参考，非常感谢！