【文章內(nèi)容簡(jiǎn)介】 /0/25 AGING 0013728e54e6 103 Learned GigabitEther0/0/26 AGING 0013728e54e6 102 Learned TenGigabitEther2/0/1 AGING 0024e8ae161f 103 Learned TenGigabitEther2/0/1 AGING 33 三層子接口轉(zhuǎn)發(fā) ? 應(yīng)用場(chǎng)景： ?客戶端網(wǎng)關(guān)直接部署在防火墻上 ?或者防火墻和交換機(jī)之間三層互聯(lián) PC1 PC2 XGE0/ XGE0/ GE0/0/25 GE0/0/26 XGE2/0/1 SecBlade II FW VLAN 102 VLAN 103 34 port access vlan 102 vlantype dot1q vid 102 ip add 24 三層子接口報(bào)文轉(zhuǎn)發(fā)流程 Switch SecBlade II FW XGE0/ XGE0/ Trunk Trunk TenGE2/0/1 PC1 PC2 Vlan 102 Vlan 103 vlantype dot1q vid 103 ip add 24 Vlan 102 port access vlan 103 Vlan 102 ，報(bào)文被打上 Vl 102的 tag，并被轉(zhuǎn)發(fā)給網(wǎng)關(guān)； ，去掉報(bào)文的 Vlan Tag，在防火墻內(nèi)部按照路由完成報(bào)文轉(zhuǎn)發(fā)； 35 port access vlan 102 vlantype dot1q vid 102 ip add 24 三層子接口報(bào)文轉(zhuǎn)發(fā)流程 Switch SecBlade II FW XGE0/ XGE0/ Trunk Trunk TenGE2/0/1 PC1 PC2 Vlan 102 Vlan 103 vlantype dot1q vid 103 ip add 24 port access vlan 103 Vlan 103 ，去掉報(bào)文的 Vlan Tag，在防火墻內(nèi)部按照路由完成報(bào)文轉(zhuǎn)發(fā)； FW處理后按照路由轉(zhuǎn)發(fā)，打上出接口的 Vlan Tag，送回到交換機(jī)進(jìn)行處理； ，去掉相應(yīng)的 vlan tag，將報(bào)文送到相應(yīng)的主機(jī)； 36 三層子接口報(bào)文轉(zhuǎn)發(fā) ? 轉(zhuǎn)發(fā)流程： ? PC1報(bào)文進(jìn)入交換機(jī)，交換機(jī)對(duì)報(bào)文加上 Vlan 102 Tag標(biāo)簽，由 Trunk口發(fā)送至防火墻插卡。 ? 防火墻收到 Vlan 102的報(bào)文，發(fā)現(xiàn)其 Vlan Tag與子接口 TenGE0/臵的 Vlan Tag相同，于是送給 102子接口處理，并且去掉報(bào)文中的 Tag，查找路由轉(zhuǎn)發(fā)，確定從 103子接口將報(bào)文轉(zhuǎn)發(fā)出去。 ? 報(bào)文從 103子接口轉(zhuǎn)發(fā)出去的時(shí)候，加上子接口 TenGE0/Vlan Tag 103，然后被發(fā)送至交換機(jī)。 ? 交換機(jī)在對(duì)應(yīng)的 Vlan中轉(zhuǎn)發(fā)報(bào)文。 ? 三層子接口所能處理的 Vlan不是由子接口的編號(hào)決定的，而是由子接口下面配臵的 vlantype dot1q vid命令決定的 ? 報(bào)文出入安全域由出入報(bào)文的三層子接口所在安全域決定 37 三層子接口轉(zhuǎn)發(fā)配臵 ? 命令行配臵： 交換機(jī)上配臵： vlan 102 to 103 interface TenGigabitEther2/0/1 port linkmode bridge port linktype trunk undo port trunk permit vlan 1 port trunk permit vlan 102 to 103 interface GigabitEther0/0/25 port linkmode bridge port access vlan 102 interface GigabitEther0/0/26 port linkmode bridge port access vlan 103 FW上配臵： interface TenGigabitEther0/0 port linkmode route interface TenGigabitEther0/ vlantype dot1q vid 102 ip address interface TenGigabitEther0/ vlantype dot1q vid 103 ip address ? FW Web頁面配臵： 38 三層子接口轉(zhuǎn)發(fā)信息 ? 防火墻會(huì)話信息和 MAC地址表： [FW]dis sess table verbose Initiator: Source IP/Port : Dest IP/Port : VPNInstance/VLAN ID/VLL ID: Responder: Source IP/Port : Dest IP/Port : VPNInstance/VLAN ID/VLL ID: Pro: ICMP(1) App: unknown State: ICMPCLOSED Start time: 20230426 12:15:49 TTL: 27s Root Zone(in): Trust Zone(out): Untrust Received packet(s)(Init): 4 packet(s) 240 byte(s) Received packet(s)(Reply): 4 packet(s) 240 byte(s) FWdis arp Type: SStatic DDynamic IP Address MAC Address VLAN ID Interface Aging Type 0024e8ae1975 N/A XGE0/ 19 D 0013728e54e6 N/A XGE0/ 19 D ? 交換機(jī) MAC地址表： H3Cdis macaddress MAC ADDR VLAN ID STATE PORT INDEX AGING TIME(s) 0024e8ae1975 102 Learned GigabitEther0/0/25 AGING 0013728e54e6 103 Learned GigabitEther0/0/26 AGING 000fe280de93 102 Learned TenGigabitEther2/0/1 AGING 000fe280de93 103 Learned TenGigabitEther2/0/1 AGING 39 三層虛接口轉(zhuǎn)發(fā) ? 組網(wǎng)說明： ?三層虛接口轉(zhuǎn)發(fā)流程與三層子接口一致 ?防火墻物理接口工作在橋模式，能同時(shí)進(jìn)行三層轉(zhuǎn)發(fā)和二層轉(zhuǎn)發(fā) PC1 PC2 Vlaninterface 102 GE0/0/25 GE0/0/26 XGE2/0/1 SecBlade II FW VLAN 102 VLAN 103 Vlaninterface 103 40 三層虛接口轉(zhuǎn)發(fā) ? 轉(zhuǎn)發(fā)流程： ?報(bào)文進(jìn)入交換機(jī)，交換機(jī)對(duì)報(bào)文加上 Tag標(biāo)簽后，由Trunk口發(fā)送至防火墻插卡 ?防火墻插卡收到報(bào)文后檢查目的 MAC地址，若該MAC地址為 Vlan虛接口的 MAC地址，則將該報(bào)文去掉二層頭，上送到三層轉(zhuǎn)發(fā)引擎處理 ?三層轉(zhuǎn)發(fā)引擎將對(duì)上送上來的 IP報(bào)文，查找正確的路由轉(zhuǎn)發(fā)，確定從哪個(gè) Vlan虛接口將報(bào)文轉(zhuǎn)發(fā)出去，加上對(duì)應(yīng)的二層報(bào)文頭信息后被轉(zhuǎn)發(fā)到交換機(jī) ?交換機(jī)在對(duì)應(yīng)的 Vlan中轉(zhuǎn)發(fā)報(bào)文 ? 報(bào)文的出入安全域由出入報(bào)文對(duì)應(yīng)的 Vlan虛接口所在的安全域決定 41 三層虛接口轉(zhuǎn)發(fā)配臵 ? 命令行配臵： 交換機(jī)上配臵： vlan 102 to 103 interface TenGigabitEther2/0/1 port linkmode bridge port linktype trunk undo port trunk permit vlan 1 port trunk permit vlan 102 to 103 interface GigabitEther0/0/25 port linkmode bridge port access vlan 102 interface GigabitEther0/0/26 port linkmode bridge port access vlan 103 FW上配臵： vlan 102 to 103 interface Vlaninterface102 ip address interface Vlaninterface103 ip address interface TenGigabitEther0/0 port linkmode bridge port linktype trunk undo port trunk permit vlan 1 port trunk p