SecPath UTM 同VLAN二层InLine转发的典型配置

关键词:
功能需求

 

SecPath UTM 同VLAN二层InLine转发的典型配置

 

一.用户需求

   某公司内网用户PC1与PC2处于同一网段、同一VLAN中,在此中间加入我司UTM设备作为二层模式使用,且UTM与PC1,PC2互联接口配置为InLine模式转发,实现PC1与PC2之间的访问控制。

 

二.组网图

 

三.配置步骤

 

1.配置GE0/1为二层接口

 

在导航栏中选择“设备管理 > 接口管理”界面,配置接口为二层模式。

 

 

2.配置GE0/2为二层接口

 

 

 

 

3.配置接口所属VLAN

 

在导航栏中选择“网络管理 > VLAN > VLAN”,新建VLAN2 ,并将接口GE0/1和GE0/2加入VLAN2。

 

 

4. 配置INLINE转发组

 

在导航栏中选择“网络管理 > Inline转发”,配置“策略ID”为“1”,将端口GigabitEthernet0/1和GigabitEthernet0/2设置为同一转发组。配置inline策略:

 

 

5.配置PC1与PC2的IP

 

PC1:192.168.2.10/24

PC2:192.168.2.11/24

 

1)将GigabitEthernet0/1加入Trust安全域,将GigabitEthernet0/2加入Untrust安全 域;从PC1 Ping PC2,得到结果A;

2)配置GigabitEthernet0/1 属于Vlan2;GigabitEthernet0/2属于vlan3,再从PC1 Ping PC2,得到结果B;

3)配置GigabitEthernet0/1 为access端口;GigabitEthernet0/2为trunk端口,再从PC1 Ping PC2,得到结果C;

 

 

四.验证结果

 

A、能够Ping通;

B、能够Ping通;

C、能够Ping通;(配置inline转发后,端口下vlan的配置及端口类型配置对流量转发均无影响)

 

五.配置注意事项

 

 (1)INLINE转发依赖于所配置的INLINE转发组进行转发,不按MAC地址转发。

 (2)INLINE转发只能在二层物理接口上配置,不支持子接口及虚接口。

 (3)INLINE转发只在入口处检查报文tag,目的是检查是否要走三层转发,所以报文发起方所在接口的“所属Vlan”影响报文的转发,注意不是端口的PVID,是Web页面上的配置。即:INLINE转发仅判断入报文的Vlan tag是否为本虚拟设备安全域中的vlan成员;若是则放行,否则则不通。

 (4)入端口如果是Access端口,一样可以接收带不同Vlan tag的报文,并不检查Vlan tag是否与自身PVID一致;而纯二层转发时,端口只接收与自身PVID相同的带tag或不带tag的报文。

 (5)在trunk口上配置Inline转发,入口配置的permit vlan 不影响转发,而纯二层转发时,trunk端口只转发允许的vlan。

 (6)报文经过G0/2转出时tag并没有去掉,而是直接透传了,流量在配置好的INLINE组内两接口上转发,经过安全模块处理后透传出去,出接口对报文不作任何修改。

 

案例信息

案例类型:典型配置
案例号:KMS - 16981
创建时间:2009年6月6日
更新时间:2009年6月11日
发布时间:2009/6/11 4:51:22
文章密级:游客可见
有效期:长期有效
发布者:万欣 [w06753]
点击次数:384
评论平均得分:0
关键词:
产品线:
产品系列:
产品版本:
技术分类:安全产品技术 MPLS

常用操作
收藏