Cisco ASA को पारदर्शी मोड में कॉन्फ़िगर करें: Layer2 DMZ w / Vlan अनुवाद

15

मैं एक परियोजना के बीच में एक एएसए फ़ायरवॉल के पीछे कुछ मौजूदा स्विच किए गए ईथरनेट dot1q चड्डी माइग्रेट करने के लिए हूं ... इन चड्डी में प्रत्येक पांच vlans हैं (गिने 51 - 55)। यह मूल लेयर 2 सेवा का एक सरल रेखाचित्र है ...

VLAN_Translation_00

आवश्यकताओं में से एक मूल डॉट 1 ट्रंक में वलान प्रति एएसए फ़ायरवॉल संदर्भ है। इसका मतलब है कि मैं प्रत्येक एफडब्ल्यू संदर्भ में डीएमजेड इंटरफेस में नए इनसिड इंटरफेस को पाटने के लिए बीवीआई का उपयोग कर रहा हूं। अन्य बाधाओं के कारण, मैं इस तरह से एक एफडब्ल्यू कॉन्फ़िगरेशन के साथ हवा देता हूं (मैं प्रश्न को सरल बनाने के लिए सभी संदर्भ सामग्री को संक्षेप में प्रस्तुत कर रहा हूं ...)

firewall transparent
!
interface GigabitEthernet0/1.51
 vlan 51
 nameif INSIDE
 security-level 100
 bridge-group 1
!
interface GigabitEthernet0/2.951
 vlan 951
 nameif DMZ
 security-level 50
 bridge-group 1
!
interface BVI1
 ip address 10.10.51.240 255.255.255.0 standby 10.10.51.241
!

Cisco ASAs पारदर्शी मोड में दो अलग-अलग vlan ID का उपयोग करके एकल लेयर 2 vlan सेवा को कनेक्ट करने के लिए हवा देता है। के माध्यम से दो vlans कनेक्ट interface BVI1; bridge-group 1प्रत्येक भौतिक इंटरफेस पर विन्यास ऊपर config में Vlan51 और Vlan951 के बीच संबंध बनाता है।

एएसए मान लें: Gi0 / 2 4507 से जुड़ता है: Gi1 / 2 ... गौर करें कि DMZ इंटरफ़ेस का क्या होता है ... ASA DMZ Vlan 951 है, और यह एक dot1q ट्रंक के माध्यम से DMZ स्विच (Cat4507) से जुड़ता है। मुझे D1 को स्विचपोर्ट 4507: Gi1 / 1 से कनेक्ट करने की आवश्यकता है, लेकिन मुझे V1951-955 सेवाओं को 4501: Gi1 / 1 पर dot1q Vlan51-55 के रूप में D1 में वितरित करना होगा। दूसरे शब्दों में, वलन बीवीआई की तकलीफ़ मुझे एएसए पर करनी पड़ी, जो वलन नंबरिंग को मेरी घरेलू सेवा परिभाषा में गड़बड़ करता है।

VLAN_translation_01

अफसोस की बात है, मैं Vlans को D1 पर आसानी से नहीं बदल सकता। सही समाधान किसी भी तरह 4507 पर Vlan951: Gi1 / 2 से Vlan51 को 4507: Gi1 / 1 पर अनुवाद करना होगा। सिस्को में वलान मैपिंग नामक एक सुविधा है , लेकिन इसके लिए QQQ की आवश्यकता लगती है ... मेरी सभी सेवाएं सरल डॉट 1q हैं ... 4500 वलान मैपिंग डॉक्स के बारे में स्पष्ट नहीं हैं कि वे कैसे सरल डॉट 1 एकैप्सुलेशन को संभालते हैं।

मुझे पता है कि मैं 4500 में लूपबैक केबल के माध्यम से vlans का अनुवाद कर सकता हूं, लेकिन यह प्रति Vlan दो अतिरिक्त पोर्ट जलाता है ... सेवा में सभी Vlans के लिए कुल दस अतिरिक्त पोर्ट (v51 - v55)।

सवाल

नीचे दिए गए चित्र को देखें।

VLAN_translation_01

मैं 4507 पर गिने हुए सभी Vlans का अनुवाद कैसे कर सकता हूं: Gi1 / 2 dot1q ट्रंक 4507 पर Vlan5x गिने जा सकता है: Gi1 / 1 dot1q? मुझे "ट्रांसलेशन ओवरहेड" के लिए कम से कम पोर्ट का उपयोग करने की आवश्यकता है। कृपया उन सभी पोर्ट के लिए कॉन्फिगर करें, जिनके लिए आपके उत्तर की आवश्यकता होती है।

मैं वलान मैपिंग के लिए खुला हूं , अगर कोई समझा सकता है कि इस टोपोलॉजी में यह कैसे काम करेगा ...

उपकरण

  • आईओएस एक्सई 3.4.0 के साथ 4507 आर + ई, सुपर 7 एल-ई
  • ASA5555X 9.0 (2) के साथ
cisco  ethernet  cisco-catalyst  vlan  firewall 
— माइक पेनिंगटन
स्रोत

जवाबों:

13

मेरे पास परीक्षण करने के लिए SUP7 नहीं है, लेकिन यह SUP6 और SUP32 पर काम करता है, मुझे लगता है कि SUP7 इस कार्यक्षमता को बनाए रखेगा।

मैंने JNPR M320 के बीच परीक्षण किया है -> SUP32, और ' vlan मैपिंग JNPR SUP32 ' ठीक काम करता है।

QinQ के लिए कोई ज़रूरत नहीं है, QinQ विकल्प क्या करता है, यह शीर्ष टैग को एक विशेष रूप से टैग जोड़ता है। तो switchport vlan mapping 1042 dot1q-tunnel 42आने वाले नक्शे में [1042] स्टैक [42 1042] स्टैक होगा। जैसा कि switchport vlan mapping 1042 42आने वाले dot1q Vlan [1042] से dot1q Vlan [42] के नक्शे के विपरीत है ।

JNPR M320 कॉन्फ़िगरेशन:

{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# show 
vlan-id 1042;
family inet {
    address 10.42.42.1/24;
}
{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# run show interfaces ge-0/1/0               
Physical interface: ge-0/1/0, Enabled, Physical link is Up
  Interface index: 135, SNMP ifIndex: 506
  Description: B: SUP32 ge5/1
  Link-level type: Flexible-Ethernet, MTU: 9192, Speed: 1000mbps, BPDU Error: None,
  MAC-REWRITE Error: None, Loopback: Disabled, Source filtering: Disabled, Flow control: Disabled,
  Auto-negotiation: Enabled, Remote fault: Online
  Device flags   : Present Running
  Interface flags: SNMP-Traps Internal: 0x4000
  CoS queues     : 8 supported, 8 maximum usable queues
  Current address: 00:12:1e:d5:90:7f, Hardware address: 00:12:1e:d5:90:7f
  Last flapped   : 2013-02-19 09:14:29 UTC (19w6d 21:12 ago)
  Input rate     : 4560 bps (5 pps)
  Output rate    : 6968 bps (4 pps)
  Active alarms  : None
  Active defects : None
  Interface transmit statistics: Disabled

SUP32 कॉन्फ़िगरेशन:

SUP32#show run int giga5/1
Building configuration...

Current configuration : 365 bytes
!
interface GigabitEthernet5/1
 description F: M320 ge-0/1/0
 switchport
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport nonegotiate
 switchport vlan mapping enable
 switchport vlan mapping 1042 42
 mtu 9216
 bandwidth 1000000
 speed nonegotiate
 no cdp enable
 spanning-tree portfast edge trunk
 spanning-tree bpdufilter enable
end

SUP32#show ru int vlan42
Building configuration...

Current configuration : 61 bytes
!
interface Vlan42
 ip address 10.42.42.2 255.255.255.0
end

SUP32#sh int GigabitEthernet5/1 vlan mapping  
State: enabled
Original VLAN Translated VLAN
------------- ---------------
  1042           42  

SUP32#sh int vlan42                           
Vlan42 is up, line protocol is up 
  Hardware is EtherSVI, address is 0005.ddee.6000 (bia 0005.ddee.6000)
  Internet address is 10.42.42.2/24
  MTU 1500 bytes, BW 1000000 Kbit, DLY 10 usec, 
     reliability 255/255, txload 1/255, rxload 1/255
  Encapsulation ARPA, loopback not set
  Keepalive not supported
  ARP type: ARPA, ARP Timeout 04:00:00
  Last input 00:00:09, output 00:01:27, output hang never
  Last clearing of "show interface" counters never
  Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0
  Queueing strategy: fifo
  Output queue: 0/40 (size/max)
  5 minute input rate 0 bits/sec, 0 packets/sec
  5 minute output rate 0 bits/sec, 0 packets/sec
  L2 Switched: ucast: 17 pkt, 1920 bytes - mcast: 0 pkt, 0 bytes
  L3 in Switched: ucast: 0 pkt, 0 bytes - mcast: 0 pkt, 0 bytes mcast
  L3 out Switched: ucast: 0 pkt, 0 bytes mcast: 0 pkt, 0 bytes
     38 packets input, 3432 bytes, 0 no buffer
     Received 21 broadcasts (0 IP multicasts)
     0 runts, 0 giants, 0 throttles 
     0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
     26 packets output, 2420 bytes, 0 underruns
     0 output errors, 0 interface resets
     0 output buffer failures, 0 output buffers swapped out

तथा 

SUP32#ping 10.42.42.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.42.42.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
SUP32#sh arp | i 10.42.42.1
Internet  10.42.42.1             12   0012.1ed5.907f  ARPA   Vlan42
SUP32#show mac address-table dynamic address 0012.1ed5.907f
Legend: * - primary entry
        age - seconds since last seen
        n/a - not available

  vlan   mac address     type    learn     age              ports
------+----------------+--------+-----+----------+--------------------------
Active Supervisor:
*  450  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   50  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   40  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   42  0012.1ed5.907f   dynamic  Yes          5   Gi5/1


user@m320# run ping 10.42.42.2 count 2 
PING 10.42.42.2 (10.42.42.2): 56 data bytes
64 bytes from 10.42.42.2: icmp_seq=0 ttl=255 time=0.495 ms
64 bytes from 10.42.42.2: icmp_seq=1 ttl=255 time=0.651 ms

--- 10.42.42.2 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max/stddev = 0.495/0.573/0.651/0.078 ms

{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# run show arp no-resolve |match 10.42.42.2 
00:05:dd:ee:60:00 10.42.42.2      ge-0/1/0.1042        none
— ytti
स्रोत
उदाहरण के लिए धन्यवाद ... अब तक, आप मूल प्रश्न में Gi1 / 1 को कॉल करने के लिए एक SVI का उपयोग कर रहे हैं; हालाँकि, यह एक बेहतर जवाब होगा यदि यह साबित करता है कि आपको V32 को Sup32 से परे साझा करने के लिए QinQ एनकैप की आवश्यकता नहीं है। जब आप जल्दी जवाब नहीं देते हैं तो मैं खुद से कोशिश करूँगा ...
— माइक पेनिंगटन
1
इसमें कोई QQQ शामिल नहीं है। कल्पना कीजिए कि आपका परिवार कल्याण मेरी M320 है और आपका SUP7 मेरा SUP32 है। अपने SUP7 परिवार कल्याण पोर्ट में आप बस एफडब्ल्यू वीएलएएन को फिर से लिखते हैं जो बाहरी रूप से होना चाहिए 'स्विचपोर्ट वलान मैपिंग <एफडब्ल्यू वीएलएएन> <बाहरी वीएलएएन>'
— ytti
5
सिस्को VLAN मैपिंग को दो तरीके से करता है। QinQ का उपयोग मूल VLAN टैग को संरक्षित करने के लिए किया जाता है, जबकि एक "विदेशी" नेटवर्क जैसे कि SP। वन-टू-वन वीएलएएन मैपिंग, जो कि यहां दिखाई गई है, डॉट 1q टैग्स को स्वैप करती है, दिए गए इंटरफ़ेस को अग्रेषित या प्राप्त करते समय वीएलएएन आईडी को बदल देती है। दोनों दिए गए प्रश्न के लिए काम करेंगे।
— सैंटिनो
QinQ एप्लीकेशन ज्यादातर यह CustL2 - OperL2 - CustL2 है, तो CustL2 का सामना करने वाले operL2 पोर्ट में आप 'switchport mode dot1q-tunnel' और 'switchport access vlan 42' को कॉन्फ़िगर करते हैं। और सभी CustL2 VLANs '[42 X]' के रूप में OperL2 पारगमन करेंगे। हालाँकि, ऑपरेल 2 में ये सभी सिंगल मैक टेबल हैं, इसलिए यह पूरी तरह से पारदर्शी नहीं है, आप अलग-अलग डस्ट साइटों में एक्सएलएएनएल से टकरा नहीं सकते। MACINMAC (PBB) बेहतर स्केलिंग (कोर में मैक उपयोग) के साथ अधिक पारदर्शी समाधान है।
— यती
FYI करें, ऐसा लगता है कि switchport vlan mapping enableSup7 पर आवश्यक नहीं है ...
— माइक पेनिंगटन
7

ऊपर दिए गए जवाब में @ytti के लिए कुछ समर्थन, आशा है कि यह मदद करता है:

नारंगी # श
सिस्को IOS सॉफ्टवेयर, IOS-XE सॉफ्टवेयर, उत्प्रेरक 4500 L3 स्विच सॉफ्टवेयर (cat4500e-UNIVERSALK9-M), संस्करण 03.04.00.SG RELEASE SOFTWARE (fc3)
...
नारंगी # श आधुनिक
चेसिस प्रकार: WS-C4507R + E

मॉड पोर्ट्स कार्ड प्रकार मॉडल सीरियल नं।
--- + ----- + -------------------------------------- + - ----------------- + -----------
 ४ ४ सुपर)-ई १० जीई (एसएफपी +), १०००बेस (एसएफपी) डब्ल्यूएस-एक्स ४५- एसपी SUP-ई 1१ कैट १ एक्सएक्सएक्सएक्सएक्सएक्सएक्सएक्सएक्स 
...
नारंगी # श रन int दस4 / 1
भवन विन्यास ...

वर्तमान विन्यास: 112 बाइट्स
!
इंटरफ़ेस TenGigabitE ईथरनेट4 / 1
 स्विचपोर्ट मोड ट्रंक
 स्विचपोर्ट वलान मैपिंग 100 10
 लोड-अंतराल 30
समाप्त

नारंगी # श रन int दस4 / 2
!
इंटरफ़ेस TenGigabitE ईथरनेट4 / 2
 स्विचपोर्ट मोड ट्रंक
 स्विचपोर्ट वलान मैपिंग 10 100
 लोड-अंतराल 30
...
नारंगी # श वलन मानचित्रण 
इंटरफ़ेस Te4 / 1:
वीएलएएन वायर पर अनुवादित वीएलएएन ऑपरेशन
------------------------------ --------------- ----- ---------
100 10 1-टू -1
इंटरफ़ेस Te4 / 2:
वीएलएएन वायर पर अनुवादित वीएलएएन ऑपरेशन
------------------------------ --------------- ----- ---------
१० १०० १-से १
— smoothbSE
स्रोत
3

मेरे पास भी SUP उपलब्ध नहीं है, लेकिन ब्रोकेड नेट्रोन पर आसानी से ऐसा कर सकते हैं।

बस एक वीपीएलएस में दो पोर्ट डालें और उन्हें अलग-अलग vlans के साथ टैग करें। इस तरह:

router mpls

    vpls translate test 100
     vlan 200
     tagged ethe 1/1
     vlan 300
     tagged eth1/2

ब्रोकेड के बारे में अच्छी बात यह है कि आप किसी भी टैग को दूसरे टैग में बदल सकते हैं, डबल टैग को दूसरे डबल-टैग को, डबल-टैग को सिंगल-टैग और सिंगल-टैग को डबल-टैग में बदल सकते हैं

— mellowd
स्रोत
मुझे इस सेवा के लिए एक c4507R + E में सुपरवाइज़र 7 का उपयोग करना है।
— माइक पेनिंगटन
जैसा कि मैं समझता हूं कि यह तकनीकी रूप से अनुवाद नहीं है - यह उस वीपीएलएस उदाहरण के लिए दो समापन बिंदुओं को परिभाषित कर रहा है। एक एकल वीपीएलएस उदाहरण में इस तरह कई टैग किए गए समापन बिंदुओं को परिभाषित करना वास्तव में सभी टैग किए गए ट्रैफ़िक को एक साथ मिलाना है। अनुवाद एक नोड पर एक VPLS उदाहरण होगा, जिसमें समापन बिंदु एक टैग VLAN + इंटरफ़ेस होता है, और फिर दूसरे नोड पर एक ही VPLS उदाहरण के साथ एक अलग टैग VLAN + इंटरफ़ेस होता है।
— जॉन जेन्सेन
यह भी जोड़ते हुए कि यदि आप एक डिवाइस पर अनुवाद करना चाहते हैं, तो आपको VPLS उदाहरण के बजाय एक vll-local का उपयोग करना होगा।
— जॉन जेन्सेन
यह कोई वीपीएलएस काम नहीं करेगा। ब्रोकेड आपको vll-local का उपयोग करने और डबल / सिंगल टैग किए गए फ़्रेम पर बहुत अधिक लचीलेपन का उपयोग करने की अनुमति नहीं देगा। और हाँ, जबकि 'तकनीकी रूप से' यह अनुवाद नहीं है, ठीक यही है। उदाहरण के लिए एक फ्रेम के ऊपर उदाहरण में 200 का वलान टैग eth1 / 1 में आता है, eth1 / 2 से बाहर निकल जाएगा 300 के वलान टैग के साथ। इसलिए अंतिम परिणाम वही है जो ओपी चाहता है - यह निश्चित रूप से समायोजित नहीं होगा किसी भी बीपीयू फ्रेम
— मध्याह्न
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.