Multi-WAN solution

在ForiGate的產品上, 其實任何一個port都可以拿來當WAN或LAN, 即不管是不是internal的情況下, 名稱上的標示意義不大. 當然, internal是被建議盡量用於LAN network(因為當初的設定整個就是一個switch). 有一個可能會發生的情況, Multi-WAN connection, 這表示出WAN的port不止是單單一個, 它可能有多個的情況下應用, 視管理者需求而定. 比方說HiNet 100M/40M配發6 fixed IPs, 拿其中三個配置於WAN1, WAN2和DMZ. 根據這個案例, 設定了以下條件:
1. WAN 1: 固定IP
2. WAN 2: 由VTU-R透過DHCP配發的IP
3. WAN 3: 固定IP
* 在VTU-R設定Interface Grouping操作通道切割. 這樣WAN2出來的routing不會存在一個bridge上(br1)

根據預設的EMCP為Source IP based, 根據IP表示不同的路由分配. 不過在這邊的案例, 希望將不同的LAN端路由強制指定在特定的WAN/DMZ port上. 在Routing設定上會使用幾種方式:
1. Static Routing
2. Policy Routing
首先按照了以下的routing設定:

Distance全為相等, 透過Priority指定不同的優先權. 數字愈小級優先權愈大, 因此一個預設情況下traffic會被導向通用的路由. 從上圖來看即預設情況流入WAN 1. 另外可以發現WAN 2為VTU-R透過DHCP機制取得的IP, 在Mutli-WAN上要從CLI設定, 請勿勾選以下checkbox.

使用以下的CLI設定:

PPPoE連線也一樣適用在這個情況下. 這樣基本的routing設定便完成, 接下來是強制設定哪些LAN的routing流入其它的WAN/DMZ port上. 以下我設定的幾個條件:
1. 10.2.162.0/24 => DMZ
2. 10.2.[116-118].0/24 => WAN 2
* DEFAULT: All traffic => WAN 1
因此在Policy Routing如下設定:

我從Gateway設定下指定為0.0.0.0進行動態判斷, 不需要強指定. 如下這樣的設定方式:

將這些設定完成過後, 一些routing便可強至流入在特定的port上. 一種簡單的方式可以使用sniffer進行觀察, 透過如下CLI表示:

另外也可以從policy table增加一些欄位查看相關的count以及sessions.

PS:
有一個情況要注意, 大多固定IP配發皆屬於同網段的情況下, 因此比方說:
WAN 1: 123.11.224.15/24
這樣設定後, 第二個固定IP設定時, 將會遭遇到一些錯誤訊息, 提示你無法重複網段設定.
WAN 2: 123.11.224.18/24 <==by default: 不允許
使用以下的CLI便可允許重覆網段的IP設定: