VLAN透傳配置舉例

1、目錄1介紹1.1 特性簡介1.2 特性關鍵技術點2特性使用指南2.1 使用場合2.2 配置指南2.2.1 配置混合模式橋組2.3 注意事項3配置舉例3.1 VLAN透傳典型應用組網(wǎng)3.1.1 組網(wǎng)需求3.1.2 物理連接圖3.1.3 配置步驟3.2 SecPathF100-AVLAN透傳組網(wǎng)3.2.1 組網(wǎng)需求3.2.2 物理連接圖3.2.3 配置步驟3.3 故障排除3.3.1 故障排除命令3.3.2 故障現(xiàn)象舉例4關鍵命令4.1 bridgeenable4.2 bridgebridge-setenable4.3 bridgevlanid-transparent-transmitenable4

2、.4 insulate5相關資料5.1 其它相關資料1 介紹1.1 特性簡介在混合模式下，橋支持VLAND透傳特性是指：通過對加入橋組的設備出接口配置支持VLANID透傳，可以使報文從該接口送出時，不對報文的VLANID做任何修改。使能橋出接口VLANID透傳，則報文從該接口發(fā)出時保留報文入橋時的VLANID,如果沒有VLANID不增加VLANID。1.2 特性關鍵技術點配置了VLANS傳后，防火墻不會對報文的VLANtag進行任何的修改和去除等操作。從而可以實現(xiàn)VLANtag的透明傳輸，保證不同VLAN間的隔離、同一VLAN之間的互通。2 特性使用指南2.1 使用場合當系統(tǒng)中存在VLAN&a

3、mp;B署，不同的VLA也間需要進行隔離,而且所有VLAN的防火墻策略（比如配置在接口上的防火墻包過濾）是一樣的。2.2 配置指南混合模式下橋接功能的配置步驟分為以下幾步：使能橋組功能使能一個橋組。將接口加入到橋組中使能橋組下接口的VLANS傳功能2.2.1 配置混合模式橋組步驟操作說明|操作命令1使能橋組功能H3Cbridgeenable2使能一個橋組H3Cbridgebridge-setenable步驟操作說明操作命令3進入接口視圖H3Cinterfacetypenumber4將接口加入到橋組中H3C-GigabitEthernet0/0bridge-setbridge-set5在接口卜配

4、置VLANS傳H3C-GigabitEthernet0/0bridgevlanid-transparent-transmitenable2.3 注意事項當配置VLANS傳功能時，需要注意以下事項：子接口不支持VLANS傳。F100A設備的四個LAN接口需要執(zhí)行undoinsulate命令聚合成一個接口才能使用VLAN1傳功能。VLAN1傳與交換機的Trunk功能并不相同，當與交換機互通時，如果希望SecPath防火墻與交換機的管理VLAN互通，需要借助子接口來實現(xiàn)。即將配置了與交換機管理VLANID相同的子接口加入到橋組，并創(chuàng)建相應的橋組虛接口（BVI接口），配置同一網(wǎng)段地址，則防火墻的橋組虛

5、接口就可以與交換機管理VLA般口互通。3 配置舉例3.1 VLAN透傳典型應用組網(wǎng)3.1.1 組網(wǎng)需求客戶端PGAC屬于VLAN100客戶端PC,B、D屬于VLAN200客戶端PGM屬于VLAN99用來模擬屬于不同VLAN的用戶。在交換機1和交換機2與防火墻相連接口上都要配置成Trunk模式，保證帶Tag標記的報文能夠透傳。交換機Switch1和Switch2的管理VLANVLAN99要求VLAN100ffiVLAN200tg夠互相隔離，交換機可以通過管理VLAN99f防火墻3.1.2物理連接圖圖1VLAN透傳組網(wǎng)圖3.1.3 配置步驟1 .使用的版本Comwaresoftware,Versi

6、on3.40,ESS16222 .支持產(chǎn)品SecPathF1000-A/F1000-S/F100-E/F100-A3 .配置防火墻當前視圖配置命令簡單說明H3Cfirewallpacket-filterdefaultpermit防火墻包過濾默認改為允許H3Cbridgeenable使能橋組功能H3Cbridge1enable創(chuàng)建橋組1H3Cbridge99enable創(chuàng)建橋組99H3CinterfaceBridge-template99創(chuàng)建橋組虛接口BVI99H3C-Bridge-template99ipaddress99.1.1.2255.255.255.0配置管理地址H3C-Bridge-

7、template99quit退回系統(tǒng)視圖H3CinterfaceGigabitEthernet0/0進入連接g0/0的接口視圖H3C-GigabitEthernet0/0bridge-set1將接口g0/0加入到橋組1H3C-GigabitEthernet0/0bridgevlanid-transparent-transmitenable使能接口VLANS傳H3C-GigabitEthernet0/0interfaceGigabitEthernet0/1進入連接g0/1的接口視圖當前視圖配置命令簡單說明H3C-GigabitEthernet0/1bridge-set1將接口g0/1加入到橋組1

8、H3C-GigabitEthernet0/1bridgevlanid-transparent-transmitenable使能接口VLANS傳H3C-GigabitEthernet0/1quit退回系統(tǒng)視圖H3CinterfaceGigabitEthernet0/0.99創(chuàng)建子接口g0/0.99H3C-GigabitEthernet0/0.99bridge-set99將接口g0/0.99加入到橋組99H3C-GigabitEthernet0/0.99vlan-typedot1qvid99設置接口封裝類型并加入到VLAN99H3C-GigabitEthernet0/0.99quit退回系統(tǒng)視圖H

9、3CinterfaceGigabitEthernet0/1.99創(chuàng)建子接口g0/1.99H3C-GigabitEthernet0/1.99bridge-set99將接口g0/1.99加入到橋組99H3C-GigabitEthernet0/1.99vlan-typedot1qvid99設置接口封裝類型并加入到VLAN99H3C-GigabitEthernet0/1.99quit退回系統(tǒng)視圖1H3Cfirewallzonetrust進入trust區(qū)域視圖H3C-zone-trustaddinterfaceGigabitEthernet。/。將接口g0/0加入到trust區(qū)域H3C-zone-tru

10、staddinterfaceGigabitEthernet0/0.99將接口g0/0.99加入到trust區(qū)域H3C-zone-trustaddinterfaceBridge-template99將接口Bridge-template99力口入至1Jtrust區(qū)域H3C-zone-trustquit退回系統(tǒng)視圖1H3Cfirewallzoneuntrust進入untrust區(qū)域視圖H3C-zone-untrustaddinterfaceGigabitEthernet0/1將接口g0/1加入至Uuntrust區(qū)域H3C-zone-untrustaddinterfaceGigabitEthernet

11、0/1.99將接口g0/1.99力口入至Uuntrust區(qū)域H3C-zone-untrustquit退回系統(tǒng)視圖4 .驗證結果(1) 連通測試同在VLAN100F的A和C能夠透過防火墻連通，同樣在VLAN200F的B和D也能透過防火墻連通。不同VLAN間不能互通。(2) 管理操作通過客戶端M可以ping通Switchl、Switch2的管理VLAN!址和SecPathF1000-A的BVI99接口地址，并且可以進行管理。M無法與A、B、C、D互通。在Switch2進行端口鏡像，抓包測試從A向C進行ping包測試，發(fā)現(xiàn)tag標記沒有改變圖2APingC的抓包測試從B向D進行ping包測試，發(fā)現(xiàn)t

12、ag標記沒有改變圖3BPingD的抓包測試3.2SecPathF100-AVLAN透傳組網(wǎng)3.2.1 組網(wǎng)需求客戶端PGAC屬于VLAN100客戶端PC,B、D屬于VLAN200用來模擬屬于不同VLAN勺用戶，在交換機1和交換機2與防火墻相連接口上都要配置成Trunk模式，保證帶Tag標記的報文能夠透傳。3.2.2 物理連接圖圖4VLAN透傳組網(wǎng)圖3.2.3 配置步驟1 .使用的版本Comwaresoftware,Version3.40,ESS16222 .支持產(chǎn)品SecPathF100-A3 .配置防火墻當前視圖配置命令簡單說明H3Cfirewallpacket-filterdefaultp

13、ermit防火墻包過濾默認改為允許H3Cundoinsulate取消以太網(wǎng)接口隔離H3Cbridgeenable使能橋組功能H3Cbridge1enable創(chuàng)建橋組1H3CinterfaceEthernet0/0進入連接e0/0的接口視圖H3C-Ethernet0/0bridge-set1將接口e0/0加入到橋組1H3C-Ethernet0/0bridgevlanid-transparent-transmitenable使能接口VLAN透傳H3C-Ethernet0/0interfaceEthernet1/2進入連接e1/2的接口視圖H3C-Ethernet1/2bridge-set1將接口e

14、1/2加入到橋組1H3C-Ethernet1/2bridgevlanid-transparent-transmitenable使能接口VLAN透傳H3C-Ethernet1/2quit退回系統(tǒng)視圖H3Cfirewallzonetrust進入trust區(qū)域視圖H3C-zone-trustaddinterfaceEthernet。/。將接口e0/0加入到trust區(qū)域H3C-zone-trustquit退回系統(tǒng)視圖H3Cfirewallzoneuntrust進入untrust區(qū)域視圖H3C-zone-untrustaddinterfaceEthernet1/2將接口e1/2加入至Uuntrust區(qū)

15、域H3C-zone-untrustquit退回系統(tǒng)視圖4 .驗證結果(1)連通測試同在VLAN100F的A和C能夠透過防火墻連通，同樣在VLAN200F的B和D也能透過防火墻連通。不同VLAN間不能互通。在Switch2進行端口鏡像，抓包測試從A向C進行ping包測試，發(fā)現(xiàn)tag標記沒有改變圖5SecPathF100-A上APingC的抓包測試從B向D進行ping包測試，發(fā)現(xiàn)tag標記沒有改變圖6SecPathF100-A上BPingD的抓包測試3.3故除排除3.3.1故障排除命令操作命令打開網(wǎng)橋的以太幀轉發(fā)調試信息開關debuggingbridgeeth-forwardinginterfac

16、einterface-typeinterface-number關閉網(wǎng)橋的以太幀轉發(fā)調試信息開關undodebuggingbridgeeth-forwardinginterfaceinterface-typeinterface-number打開網(wǎng)橋的IP轉發(fā)調試開關debuggingbridgeip-forwarding關閉網(wǎng)橋的IP轉發(fā)調試開關undodebuggingbridgeip-forwarding顯示網(wǎng)橋模塊中所有或指定的橋組的信息displaybridgeinformationbridge-setbridge-set顯示MAO址轉發(fā)表的信息displaybridgeaddress-

17、tablebridge-setbridge-set|interfaceinterface-typeinterface-number|macmac-addressstatic|dynamic顯示橋組中接口的流量統(tǒng)計數(shù)據(jù)displaybridgetrafficbridge-setbridge-set|interfaceinterface-typeinterface-number顯示接口上的以太幀過濾統(tǒng)計信息displayfirewallethernet-frame-filterall|interfaceinterface-typeinterface-number清除MAO址轉發(fā)表resetbrid

18、geaddress-tablebridge-setbridge-set|interfaceinterface-typeinterface-number清除橋組中接口的流量統(tǒng)計數(shù)據(jù)resetbridgetrafficbridge-setbridge-set|interfaceinterface-typeinterface-number清除ACL規(guī)則過濾情況的統(tǒng)計信息resetfirewallethernet-frame-filterall|interfaceinterface-typeinterface-number3.3.2故障現(xiàn)象舉例在混合模式下使能VLANS傳的功能步驟比較少，如果VLAN

19、S傳不成功，可以從下面幾個方面來考慮：防火墻默認包過濾規(guī)則為deny沒有使能橋組功能沒有在相應接口使能VLAN®傳，例如，僅使能了一個方向的VLANS傳，而另一個方向沒有使能沒有將接口加入安全域4關鍵命令配置本特性的關鍵命令有：bridgeenablebridgebridge-setenablebridgevlanid-transparent-transmitenable另外，F(xiàn)100-A設備如果在LAN口上使能VLANS傳，還需要配置insulate命令,4.1 bridgeenable【命令】bridgeenableundobridgeenable【視圖】系統(tǒng)視圖【參數(shù)】無【描述

20、】bridgeenable命令用來使能網(wǎng)橋功能，undobridgeenable命令用來禁止網(wǎng)橋功能。當存在已使能的橋組時，不能使用undobridgeenable命令來禁用網(wǎng)橋功能，需要先通過undobridgebridge-setenable命令刪除橋組。缺省情況下，系統(tǒng)禁止網(wǎng)橋功能。只有使能網(wǎng)橋功能，網(wǎng)橋的配置才能生效?！九e例】#使能網(wǎng)橋功能。H3Cbridgeenable4.2 bridgebridge-setenable【命令】bridgebridge-setenableundobridgebridge-setenable【視圖】系統(tǒng)視圖【參數(shù)】bridge-set:網(wǎng)橋組編號，取值

21、范圍為1255。【描述】bridgebridge-setenable命令用來使能橋組的橋接功能，undobridgebridge-setenable命令用來禁止橋組的橋接功能。缺省情況下，禁止橋組的橋接功能。只有使能橋組的橋接功能，橋組的配置才能生效?！九e例】#使能橋組1的橋接功能。H3Cbridge1enable4.3 bridgevlanid-transparent-transmitenablebridgevlanid-transparent-transmitenableundobridgevlanid-transparent-transmitenable【視圖】接口視圖【參數(shù)】無【描述】

22、bridgevlanid-transparent-transmitenable命令用來使能VLANID透傳功能。undobridgevlanid-transparent-transmitenable命令用來關閉VLANID透傳功能。VLANID透傳是指通過對加入橋組設備的出接口配置支持VLANID透傳，使接口直接轉發(fā)報文，不對該報文中的VLANID做任何處理。通過VLANID透傳，可以使加入橋組的非以太出接口也能轉發(fā)帶有VLANID的報文，而不會因此丟失VLANID,并且即使加入橋組設備的出接口上有VLANID的情況下，也不會改變報文原有的VLANID,從而實現(xiàn)不同VLAN勺隔離。當以太網(wǎng)子接

23、口配置VLANID后，該子接口只會接收這個VLAN的數(shù)據(jù)，這就決定了該橋組負責傳輸哪些VLAN的數(shù)據(jù)。在使能了VLANID透傳功能以后，系統(tǒng)不對報文的VLANID做任何處理，兩端相連的交換機可以看成是直接相連的。為了正常通信，用戶需要給兩端交換機的trunk口配置相同的VLANID。缺省情況下，關閉VLANID透傳功能?！九e例】#在GigabitEthernet0/0口上使能VLANID透傳功能。H3CinterfaceGigabitEthernet0/0H3C-GigabitEthernet0/0bridgevlanid-transparent-transmitenable4.4 insul

24、ate【命令】insulateundoinsulate【視圖】系統(tǒng)視圖【參數(shù)】無【描述】insulate命令用來配置LAN以太網(wǎng)接口之間進行隔離，undoinsulate命令用來配置LAN以太網(wǎng)接口之間不進行隔離。當LAN以太網(wǎng)接口處于隔離模式時，各個LAN以太網(wǎng)接口工作在第三層，作為可路由接口使用，即可以為其配置各種第三層屬性，如IP地址等。當LAN以太網(wǎng)接口處于非隔離模式時，各個LAN以太網(wǎng)接口工作在Hub方式，即工作在物理層，不能為其配置如IP地址等第三層屬性。當LAN以太網(wǎng)接口工作在非隔離模式下時，可以通過配置一個管理IP地址以對其進行管理或使其提供網(wǎng)絡服務（例如Telnet、SNMP

25、NA邙）。由于接口性質的因素，只能在第一個LAN口（即編號最小的）上配置子接口。在隔離模式下擴展出來的另外三個LAN口都不能配置子接口，且第一個LAN口上配置的子接口只能在非隔離模式下工作。僅SecPathF100-A防火墻、SecPathV100-S安全網(wǎng)關支持此命令。缺省情況下，LAN以太網(wǎng)接口之間相互隔離。【舉例】#將各個LAN以太網(wǎng)接口進行隔離。H3Cinsulate#當接口之間被隔離后，所有LAN以太網(wǎng)接口（Ethernet。/。、Ethernet0/1、Ethernet0/2、Ethernet0/3）都可見，并可以為其進行單獨配置如IP地址等第三層屬性。<H3C>dis

26、playipinterfacebrief*down:administrativelydown(s):spoofingInterfaceProtocolDescriptionIPAddressPhysicalAux0nup(s)Aux0Inteunassigned.dowEncrypt2/0downEncrypt2/.unassigneddownEthernet0/0downEthernet0.unassignedupEthernet0/1downEthernet0.unassignedupEthernet0/2downEthernet0.unassigneddownEthernet0/3downEthernet0.unassigneddownEthernet1/0downEthernet1.unassigneddownEthernet1/1downEthernet1.unassigneddownEthernet1/2downEthernet1.unassigneddown#配置不將LAN以太網(wǎng)接口之間進行隔離。H3Cundoinsulate# 當接口之間未被隔離時，可以看到只有一個管理接口Ethernet0/0可見，其它所有LAN以太網(wǎng)接口都將不可見?？梢栽诠芾斫涌谏吓渲肐P地址作為管理IP地址。# H3C>displayipinterfacebrief# down:ad