Skonfiguruj Cisco ASA w trybie transparentnym: Layer2 DMZ z tłumaczeniem Vlan

Jestem w trakcie projektu migracji niektórych istniejących przełączanych łączy ethernetowych dot1q za zaporą ogniową ASA ... te łącza mają po pięć sieci VLAN (o numerach 51 - 55). Jest to prosty rysunek oryginalnej usługi layer2 ...

Jednym z wymagań jest posiadanie kontekstu zapory ASA dla Vlan w oryginalnym pnia dot1q. Oznacza to, że używam BVI do połączenia nowego interfejsu INSIDE z interfejsem DMZ w każdym kontekście FW. Z powodu innych ograniczeń kończę z konfiguracją FW taką jak ta (podsumowuję wszystkie kontekstowe rzeczy, aby uprościć pytanie) ...

firewall transparent
!
interface GigabitEthernet0/1.51
 vlan 51
 nameif INSIDE
 security-level 100
 bridge-group 1
!
interface GigabitEthernet0/2.951
 vlan 951
 nameif DMZ
 security-level 50
 bridge-group 1
!
interface BVI1
 ip address 10.10.51.240 255.255.255.0 standby 10.10.51.241
!

Cisco ASA w trybie przezroczystym łączą się za pomocą dwóch różnych identyfikatorów vlan, aby połączyć jedną usługę vlan warstwy2. Połącz dwa vlany przez interface BVI1; bridge-group 1konfiguracja każdego fizycznego interfejsu tworzy połączenie pomiędzy Vlan51 i Vlan951 w konfiguracji powyżej.

Załóżmy, że ASA: Gi0 / 2 łączy się z 4507: Gi1 / 2 ... Zwróć uwagę na to, co dzieje się z interfejsem DMZ ... ASA DMZ Vlan to 951, a to łączy się poprzez łącze dot1q z przełącznikiem DMZ (Cat4507). Muszę podłączyć D1 do switchportport 4507: Gi1 / 1, ale muszę dostarczyć usługi Vlan951-955 do D1 jako dot1q Vlan51-55 na 4507: Gi1 / 1. Innymi słowy, kłamanie Vlan BVI, które musiałem wykonać na ASA, zaburza numerację Vlan w mojej oryginalnej definicji usługi.

Niestety nie mogę łatwo przenumerować Vlanów na D1. Idealnym rozwiązaniem byłoby jakoś przetłumaczyć Vlan951 na 4507: Gi1 / 2 na Vlan51 na 4507: Gi1 / 1. Cisco ma funkcję zwaną mapowaniem vlan , ale wydaje się, że wymaga QinQ ... wszystkie moje usługi są proste dot1q ... 4500 dokumentów mapowania vlan nie jest jasne, jak radzą sobie z prostym enkapsulacją dot1q.

Wiem, że mogę przetłumaczyć vlany w 4500 za pomocą kabla sprzężenia zwrotnego, ale powoduje to spalenie dwóch dodatkowych portów na Vlan ... w sumie dziesięć dodatkowych portów dla wszystkich Vlanów w serwisie (v51 - v55).

Pytanie

Zobacz poniższy schemat.

Jak mogę przetłumaczyć wszystkie Vlany o numerze 95x na pniu 4507: Gi1 / 2 dot1q, aby były ponumerowane Vlan5x na 4507: Gi1 / 1 dot1q? Potrzebuję użyć najmniejszej liczby portów zużytych na „narzut tłumaczenia”. Podaj konfiguracje dla wszystkich portów, których wymaga twoja odpowiedź.

Jestem otwarty na mapowanie vlan , jeśli ktoś może wyjaśnić, jak to by działało w tej topologii ...

Ekwipunek

• 4507R + E, Sup7L-E z IOS XE 3.4.0
• ASA5555X z 9.0 (2)

Nie mam SUP7 do przetestowania, ale działa na SUP6 i SUP32, zakładam, że SUP7 zachowuje tę funkcjonalność.

Testowałem między JNPR M320 <-> SUP32, a ' mapowanie Vlan JNPR SUP32 ' działa dobrze.

QinQ nie jest potrzebny, opcja QinQ dodaje to, że dodaje górny znacznik do jednego szczególnie znacznika. Zmapowałby więc switchport vlan mapping 1042 dot1q-tunnel 42przychodzący stos [1042] na stos [42 1042]. W przeciwieństwie do tego, switchport vlan mapping 1042 42które mapuje przychodzące kropki Vlan [1042] do kropki Q Vlan [42].

Konfiguracja JNPR M320:

{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# show 
vlan-id 1042;
family inet {
    address 10.42.42.1/24;
}
{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# run show interfaces ge-0/1/0               
Physical interface: ge-0/1/0, Enabled, Physical link is Up
  Interface index: 135, SNMP ifIndex: 506
  Description: B: SUP32 ge5/1
  Link-level type: Flexible-Ethernet, MTU: 9192, Speed: 1000mbps, BPDU Error: None,
  MAC-REWRITE Error: None, Loopback: Disabled, Source filtering: Disabled, Flow control: Disabled,
  Auto-negotiation: Enabled, Remote fault: Online
  Device flags   : Present Running
  Interface flags: SNMP-Traps Internal: 0x4000
  CoS queues     : 8 supported, 8 maximum usable queues
  Current address: 00:12:1e:d5:90:7f, Hardware address: 00:12:1e:d5:90:7f
  Last flapped   : 2013-02-19 09:14:29 UTC (19w6d 21:12 ago)
  Input rate     : 4560 bps (5 pps)
  Output rate    : 6968 bps (4 pps)
  Active alarms  : None
  Active defects : None
  Interface transmit statistics: Disabled

Konfiguracja SUP32:

SUP32#show run int giga5/1
Building configuration...

Current configuration : 365 bytes
!
interface GigabitEthernet5/1
 description F: M320 ge-0/1/0
 switchport
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport nonegotiate
 switchport vlan mapping enable
 switchport vlan mapping 1042 42
 mtu 9216
 bandwidth 1000000
 speed nonegotiate
 no cdp enable
 spanning-tree portfast edge trunk
 spanning-tree bpdufilter enable
end

SUP32#show ru int vlan42
Building configuration...

Current configuration : 61 bytes
!
interface Vlan42
 ip address 10.42.42.2 255.255.255.0
end

SUP32#sh int GigabitEthernet5/1 vlan mapping  
State: enabled
Original VLAN Translated VLAN
------------- ---------------
  1042           42  

SUP32#sh int vlan42                           
Vlan42 is up, line protocol is up 
  Hardware is EtherSVI, address is 0005.ddee.6000 (bia 0005.ddee.6000)
  Internet address is 10.42.42.2/24
  MTU 1500 bytes, BW 1000000 Kbit, DLY 10 usec, 
     reliability 255/255, txload 1/255, rxload 1/255
  Encapsulation ARPA, loopback not set
  Keepalive not supported
  ARP type: ARPA, ARP Timeout 04:00:00
  Last input 00:00:09, output 00:01:27, output hang never
  Last clearing of "show interface" counters never
  Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0
  Queueing strategy: fifo
  Output queue: 0/40 (size/max)
  5 minute input rate 0 bits/sec, 0 packets/sec
  5 minute output rate 0 bits/sec, 0 packets/sec
  L2 Switched: ucast: 17 pkt, 1920 bytes - mcast: 0 pkt, 0 bytes
  L3 in Switched: ucast: 0 pkt, 0 bytes - mcast: 0 pkt, 0 bytes mcast
  L3 out Switched: ucast: 0 pkt, 0 bytes mcast: 0 pkt, 0 bytes
     38 packets input, 3432 bytes, 0 no buffer
     Received 21 broadcasts (0 IP multicasts)
     0 runts, 0 giants, 0 throttles 
     0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
     26 packets output, 2420 bytes, 0 underruns
     0 output errors, 0 interface resets
     0 output buffer failures, 0 output buffers swapped out

I

SUP32#ping 10.42.42.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.42.42.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
SUP32#sh arp | i 10.42.42.1
Internet  10.42.42.1             12   0012.1ed5.907f  ARPA   Vlan42
SUP32#show mac address-table dynamic address 0012.1ed5.907f
Legend: * - primary entry
        age - seconds since last seen
        n/a - not available

  vlan   mac address     type    learn     age              ports
------+----------------+--------+-----+----------+--------------------------
Active Supervisor:
*  450  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   50  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   40  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   42  0012.1ed5.907f   dynamic  Yes          5   Gi5/1


user@m320# run ping 10.42.42.2 count 2 
PING 10.42.42.2 (10.42.42.2): 56 data bytes
64 bytes from 10.42.42.2: icmp_seq=0 ttl=255 time=0.495 ms
64 bytes from 10.42.42.2: icmp_seq=1 ttl=255 time=0.651 ms

--- 10.42.42.2 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max/stddev = 0.495/0.573/0.651/0.078 ms

{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# run show arp no-resolve |match 10.42.42.2 
00:05:dd:ee:60:00 10.42.42.2      ge-0/1/0.1042        none

wsparcie dla powyższej odpowiedzi @ytti, mam nadzieję, że to pomoże:

pomarańczowy # sh ver
Oprogramowanie Cisco IOS, oprogramowanie IOS-XE, oprogramowanie przełącznika Catalyst 4500 L3 (cat4500e-UNIVERSALK9-M), wersja 03.04.00.SG RELEASE SOFTWARE (fc3)
…
pomarańczowy # sh mod
Typ podwozia: WS-C4507R + E.

Mod Porty Typ karty Model Nr seryjny
--- + ----- + -------------------------------------- + - ----------------- + -----------
 4 4 Sup 7-E 10GE (SFP +), 1000BaseX (SFP) WS-X45-SUP7-E CAT1xxxxxxx 
…
orange # sh run int ten4 / 1
Konfiguracja budynku ...

Aktualna konfiguracja: 112 bajtów
!
interfejs TenGigabitEthernet4 / 1
 pień trybu przełączania
 Przełączanie mapowania sieci vlan 100 10
 interwał obciążenia 30
koniec

orange # sh run int ten4 / 2
!
interfejs TenGigabitEthernet4 / 2
 pień trybu przełączania
 Switchport Vlan Mapowanie 10 100
 interwał obciążenia 30
…
mapowanie pomarańczowe # sh vlan 
Interfejs Te4 / 1:
Sieci VLAN na przewodzie Przetłumaczone Działanie sieci VLAN
------------------------------ --------------- ----- ---------
100 10 1 do 1
Interfejs Te4 / 2:
Sieci VLAN na przewodzie Przetłumaczone Działanie sieci VLAN
------------------------------ --------------- ----- ---------
10 100 1 do 1

Ja też nie mam tego SUP dostępnego, ale mogę to łatwo zrobić na Brocade Netiron.

Po prostu umieść dwa porty w VPLS i oznacz je różnymi sieciami. Tak jak:

router mpls

    vpls translate test 100
     vlan 200
     tagged ethe 1/1
     vlan 300
     tagged eth1/2

Zaletą Brocade jest to, że możesz przekonwertować dowolny znacznik na inny znacznik, podwójny znacznik na inny podwójny znacznik, podwójny znacznik na pojedynczy znacznik i pojedynczy znacznik na podwójny znacznik