UniFi Gateway 可以通过 BGP，与运营商的 MPLS 或 L3VPN 线路、AWS Direct Connect 或 Azure ExpressRoute 链路，或通过 Equinix Fabric 或 Megaport 等交换平台提供的交叉连接交换路由。这样，您可以通过专用三层路径将分支机构连接到数据中心或云环境，动态学习远程网络，并选择让互联网流量在本地传输或经由数据中心发送。本文介绍如何将专用线路连接到网关、如何为其选择 LAN 或 WAN 接口，以及 UniFi 支持哪些架构。

有关 BGP 配置文件格式以及 ISP 和 AWS VPN 的示例，请参阅 UniFi - 边界网关协议 (BGP). 本文是在该文基础上撰写的。

选择接口类型

除非需要专用连接承载默认路由，否则请将专用线路配置为 LAN 接口。UniFi Gateway 不会安装从 BGP 邻居学习到的默认路由（0.0.0.0/0）。如果包括互联网流量在内的所有流量都必须通过专用连接发送，请将其配置为 WAN 接口，以便由 UniFi 的基于 SLA 的 WAN 故障转移管理默认路由。

局域网接口 广域网接口
推荐用途 本地存在互联网；专用连接仅承载企业和云网络流量 专用连接必须承载所有流量，包括互联网流量
默认路由 此接口不能在 UniFi 中用作默认路由 此接口可通过 UniFi 的基于 SLA 的 WAN 故障转移用作默认路由（不是通过 BGP 学习）
默认防火墙区域 内部 外部
NAT 应用 无 默认应用；必须手动禁用
其他配置要求 无 允许 BGP 从外部到网关的防火墙策略；NAT 排除

作为 LAN 接口连接

这是推荐的接口配置方法。只要本地存在标准互联网流量，就应使用此方法（即该接口不在 UniFi 中用作默认路由）。

  1. 导航至 设置 > 网络，并 创建 一个用于专用连接的新网络（例如 MPLS Transit）。
  2. 将网关地址和子网 设置 为提供商分配给您的 IP 地址（例如 172.31.10.2/30）。
  3. 禁用 此网络上的 DHCP 服务器。传输子网上的任何设备都不应从 UniFi 获取地址。
  4. 导航 至 端口，选择 网关，选择 连接到提供商交接设备的端口，并将新网络 设置 为其原生 VLAN。如果交接设备在同一端口承载多个连接（例如 Azure ExpressRoute 线路的两个会话），请为每个连接创建一个传输网络，并将其他网络作为带标签的 VLAN 添加到端口，VLAN ID 应与提供商分配的 ID 匹配。
  5. 创建 BGP 配置文件。使用提供商的路由器地址作为邻居，并仅通告您希望远端访问的网络。
  6. 导航 至 设置 > 路由 > BGP，创建新的 BGP 条目，并 上传 文件。
  7. 验证 远程网络是否显示在 设置 > 策略引擎 > 路由表 中，并且下一跳为提供商的路由器。

配置完成后，传输网络将被置于 内部 防火墙区域。默认情况下，该网络与此区域中的其他网络之间允许通信。如果提供商一侧只能访问特定网络或服务，请为传输网络创建防火墙策略，允许所需流量并阻止其余流量。请参阅 UniFi 中的基于区域的防火墙。

作为 WAN 接口连接

当专用连接必须承载默认路由时，请使用此选项。

  1. 导航至 设置 > 互联网，选择 一个可用的 WAN 端口用于专用连接，并使用提供商分配的地址将连接类型 设置 为 静态 IP，网关填写提供商的路由器地址。
  2. 设置 WAN 优先级，使此 WAN 为主 WAN；如果有互联网 WAN，则将其设为故障转移 WAN。这样可以确保此接口用作默认路由。
  3. 为此 WAN 创建 自定义 SLA，并使用可通过专用连接访问的验证服务器（例如数据中心中的服务器），然后将其 分配 给 WAN。默认的 自动 SLA 使用公共互联网目标，这些目标可能无法通过专用线路访问。
  4. 创建 允许 BGP 邻居访问网关的防火墙策略：
    • 源区域
      • 外部
      • 可选择 IP，将范围限制为 BGP 邻居的 IP 地址
    • 操作
      • 允许
      • 自动允许返回流量
    • 目标区域
      • 网关
      • 任意
      • 可选择特定端口，并将服务配置为 BGP。
  5. 创建 其他防火墙规则，允许相关流量从专用 WAN 接口（外部区域）传输到其他本地网络（内部区域）。如果不执行此操作，所有未建立的入站流量默认都会被阻止。
  6. 从 NAT 中 排除 相关网络。发往数据中心和其他站点的流量必须保留原始源地址，否则从数据中心向您的设备发起的连接将失败。
    • 前往 UniFi 设备，选择网关，打开 设置 > 全局 NAT 设置，取消勾选 自动，选择 自定义，然后选择排除的网络。
    • 如果保留互联网 WAN 作为故障转移，请在互联网 WAN 接口上为这些网络创建 伪装 NAT 规则，以便故障转移期间互联网流量仍会进行转换。请参阅 UniFi 中的 DNAT、SNAT 和伪装。
  7. 按照选项 A 创建 BGP 配置文件，使用提供商的路由器地址作为邻居，并在 设置 > 路由 > 选择 BGP 配置 > 启用 下 上传 该文件。
  8. 还可以配置 WAN 故障转移和 WAN SLA，它们将决定流量的默认路由。

BGP 和 UniFi SD-WAN

使用 BGP 和 UniFi 原生 SD-WAN 时，有两种常见架构：

  • UniFi Hub 使用 BGP 与专用数据中心网络和/或云网络建立对等连接，并将这些路由通告给没有自身直接连接的 SD-WAN 分支。可以在 设置 > 路由表 > 选择 重新分发到 SD-WAN 中配置此功能。注意：您还必须修改 BGP FRR 文件，加入“redistribute ospf”关键字。
  • 每个 UniFi 分支使用 BGP 与专用线路建立对等连接，并将其用作首选路径，SD-WAN 仅用作备份。通过 BGP 学习的路由优先于通过 SD-WAN 学习的相同路由，因此仅当 BGP 邻居中断时流量才会转移到 SD-WAN，邻居恢复后则返回专用线路。

关于“中心-辐射”式架构，请参阅 UniFi 网关 - 通过 UniFi 站点管理器和网络架构 (Fabrics) 配置 SD-WAN.

常见架构

具有本地互联网出口的专用连接

分支网关通过 LAN 接口与运营商建立对等连接，学习数据中心和其他分支网络，并通过自身的 WAN 发送互联网流量。在入站路由映射中拒绝默认路由，以便分支继续使用其互联网 WAN。

承载默认路由的专用连接

包括互联网流量在内的所有分支流量都通过专用连接发送，并经由数据中心出口。专用连接必须配置为禁用 NAT 的 WAN 接口。如果分支还拥有互联网线路，请将其配置为带 SLA 的故障转移 WAN，并添加 NAT 伪装，以确保流量正确转换。

两个数据中心

两个数据中心连接到同一运营商网络，并通告各自的网络。运营商会为每个网络向分支提供最佳路由，因此分支配置与单个数据中心的配置相同，具体取决于是否存在本地互联网出口，或默认路由是否必须使用专用连接。当两个数据中心通告相同网络时，分支使用哪个数据中心由数据中心设置的路由偏好（例如在辅助数据中心执行 AS 路径预置）和运营商决定；分支无需自行配置偏好。当每个数据中心通告自己的网络时，发往每个网络的流量会前往拥有该网络的数据中心。如果分支从两个具有相同属性的邻居收到相同网络，maximum-paths 会在两者之间启用 ECMP。

专用云连接（AWS Direct Connect、Azure ExpressRoute）

数据中心或托管设施中的网关通过专用线路与云提供商建立对等连接，可以直接连接，也可以通过 Equinix Fabric 或 Megaport 等交换平台连接。交换平台提供三层交接；BGP 配置与运营商线路相同，使用 UniFi 网关上的 LAN 接口。

  • AWS Direct Connect： 使用专用虚拟接口。AWS 每个 BGP 会话最多接受 100 个前缀，因此请通告汇总网络。为实现冗余，AWS 建议使用两个连接，每个连接都有自己的虚拟接口和 BGP 会话。
  • Azure ExpressRoute： 使用专用对等连接。Azure 在两个 /30 子网上提供两个 BGP 会话，必须配置两个会话，连接才能受到 Azure 可用性 SLA 的覆盖。Azure 的 AS 编号为 12076。

两个云提供商都不会向您通告默认路由。您的网关会通告本地网络，并接收 VPC 或 VNet 地址范围。

其他注意事项

  • 来自 BGP 邻居的默认路由： UniFi Gateway 不会安装从 BGP 邻居接收的默认路由。如果为该邻居配置 default-originate，则与 UniFi Gateway 建立对等连接的第三方路由器仍可从其接收默认路由。
  • ECMP： maximum-paths 支持等价多路径（ECMP）。
  • 限制邻居： BGP 不能绑定到单个接口。要控制哪些路由器可以连接，请在配置文件中使用 bgp listen range <network> peer-group <group>。
  • 影子模式故障转移： 影子模式网关会继承主设备的 BGP 配置。专用线路必须实际连接到两个网关，例如在提供商交接设备与两个网关之间连接一个 WAN 交换机。
  • MTU 和 MSS 调整： 通过物理端口交付的专用连接通常使用标准的 1500 字节 MTU，无需调整 MSS。网关的 MSS 调整 设置（UniFi 设备 > 选择您的网关 > 设置）仅适用于 PPPoE WAN 连接。如果专用连接运行在隧道内，请在定义隧道的位置配置 MSS：UniFi SD-WAN 在 Site Manager 中配置，IPsec VPN 在隧道设置中配置。
  • 重新通告路由： 从一个 eBGP 邻居接收的网络会在无需额外配置的情况下通告给其他 eBGP 邻居。使用出站路由映射限制每个邻居接收的内容。

常见问题

我的 UniFi Gateway 可以接受 MPLS 提供商的默认路由吗？

不可以。要通过专用连接发送所有流量，请将其连接为 WAN 接口（选项 B），以便由 UniFi 的 WAN 故障转移管理默认路由。

传输子网应使用 /30 还是 /31？

两者都可以。请使用提供商分配的类型。

专用连接是否需要使用专用端口？

建议使用专用端口。如果提供商交接设备通过带标签的 VLAN 承载多个连接，则一个端口可以承载所有连接，并为每个 VLAN 配置一个传输网络。

Equinix Fabric 或 Megaport 是否有所不同？

没有。交换平台提供三层连接，您的网关会在其上建立 BGP 会话，方式与通过运营商线路建立会话完全相同。

通过 BGP 学习的网络能否从我的 SD-WAN 分支访问？

可以。Hub 通过 BGP 学习的所有网络都会与 SD-WAN 组共享。