外贸网站建设高端的,商城类网站备案,网页游戏代理加盟,建设银行个人网站显示不了如图所示#xff0c;由于业务需要#xff0c;用户有访问Internet的需求。 用户通过接入层交换机SwitchB和核心层交换机SwitchA以及接入网关Router与Internet进行通信。为了保证数据和网络的安全性#xff0c;用户希望保证Internet到服务器全部流量的安全性#xff0c;配置重…如图所示由于业务需要用户有访问Internet的需求。 用户通过接入层交换机SwitchB和核心层交换机SwitchA以及接入网关Router与Internet进行通信。为了保证数据和网络的安全性用户希望保证Internet到服务器全部流量的安全性配置重定向将外网到内网的全部流量送至防火墙进行安全过滤。 配置思路
出于安全性考虑在SwitchA上旁挂一台核心防火墙Firewall对流量进行安全过滤。由于进入防火墙的流量是二层流量因此通过重定向到接口将来自Internet的所有流量重定向到防火墙进行安全过滤。为了防止出现环路在SwitchA与防火墙相连的接口上配置端口隔离并配置禁止MAC地址学习防止MAC漂移。
SwitchB
创建VLAN并配置各接口保证二层互通在SwitchB上创建VLAN100和VLAN200。
sysname SwitchB
#
vlan batch 100 200 interface Ethernet0/0/1 port link-type trunk port trunk allow-pass vlan 2 to 4094
#
interface Ethernet0/0/2 port link-type access port default vlan 200
#
interface Ethernet0/0/3 port link-type access port default vlan 100 SwitchA
配置SwitchA上接口GE0/0/1、GE0/0/2、GE0/0/3和GE0/0/4接口类型为Trunk允许VLAN100和VLAN200通过。将接口GE0/0/3和GE0/0/4加入同一个端口隔离组配置接口GE0/0/4禁止MAC地址学习防止MAC漂移。
sysname SwitchA
#
vlan batch 100 200 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 2 to 4094
#
interface GigabitEthernet0/0/2 # port link-type trunk port trunk allow-pass vlan 2 to 4094
#
interface GigabitEthernet0/0/3 port link-type trunk port trunk allow-pass vlan 2 to 4094# port-isolate enable group 1 //加入同一个端口隔离组
#
interface GigabitEthernet0/0/4 mac-address learning disable //禁止MAC地址学习防止MAC漂移port link-type trunk port trunk allow-pass vlan 2 to 4094 port-isolate enable group 1 //加入同一个端口隔离组
配置基于ACL的重定向实现防火墙流量过滤 配置基本ACL匹配所有允许通过的报文。
acl number 4001 rule 5 permit vlan-id 100 rule 10 permit vlan-id 200 在SwitchA的GigabitEthernet0/0/1入方向配置重定向报文到指定接口。
interface GigabitEthernet0/0/1 traffic-redirect inbound acl 4001 interface GigabitEthernet0/0/3验证配置
[SwitchA]display traffic-applied interface gigabitethernet 0/0/1 inbound
-----------------------------------------------------------
ACL applied inbound interface GigabitEthernet0/0/1ACL 4001rule 5 permit vlan-id 100
ACTIONS:redirect interface GigabitEthernet0/0/3
-----------------------------------------------------------ACL 4001rule 10 permit vlan-id 200
ACTIONS:redirect interface GigabitEthernet0/0/3
-----------------------------------------------------------
