Налаштуйте Cisco ASA у прозорому режимі: Layer2 DMZ без перекладу Vlan

Я перебуваю в середині проекту з міграції деяких існуючих комутованих Ethernet dot1q магістралей позаду брандмауера ASA ... у цих магістралей є по п’ять вланів (номер 51 - 55). Це простий малюнок оригінального сервісу layer2 ...

Одна з вимог - мати контекст брандмауера ASA на Vlan в оригінальному магістралі dot1q. Це означає, що я використовую BVI для мосту нового інтерфейсу INSIDE до інтерфейсу DMZ у кожному контексті FW. У зв'язку з іншими обмеженнями, я закінчую такий конфігурацію FW (я підсумовую всі контекстні речі, щоб спростити питання) ...

firewall transparent
!
interface GigabitEthernet0/1.51
 vlan 51
 nameif INSIDE
 security-level 100
 bridge-group 1
!
interface GigabitEthernet0/2.951
 vlan 951
 nameif DMZ
 security-level 50
 bridge-group 1
!
interface BVI1
 ip address 10.10.51.240 255.255.255.0 standby 10.10.51.241
!

ASA у Cisco у прозорому режимі завершуються, використовуючи два різні ідентифікатори vlan для підключення послуги vlan one2. З’єднайте два влана наскрізь interface BVI1; bridge-group 1конфігурації на кожному фізичному інтерфейсі робить з'єднання між Vlan51 і Vlan951 в конфігурації вище.

Припустимо, ASA: Gi0 / 2 підключається до 4507: Gi1 / 2 ... Зверніть увагу, що відбувається з інтерфейсом DMZ ... ASA DMZ Vlan 951, і це з'єднується через магістраль dot1q до комутатора DMZ (Cat4507). Мені потрібно підключити D1 до комутатора 4507: Gi1 / 1, але я повинен доставити послуги Vlan951-955 до D1 як dot1q Vlan51-55 на 4507: Gi1 / 1. Іншими словами, суперечки Vlan BVI, які мені довелося зробити на ASA, переплутали нумерацію Vlan у моєму початковому визначенні служби.

На жаль, я не можу легко перенумерувати власників на D1. Ідеальним рішенням було б якось перекласти Vlan951 на 4507: Gi1 / 2 на Vlan51 на 4507: Gi1 / 1. Cisco має функцію під назвою vlan mapping , але, схоже, вимагає QinQ ... всі мої сервіси прості dot1q ... Документи 4500 картографування vlan не зрозуміли, як вони обробляють просту інкапсуляцію dot1q.

Я знаю, що можу перевести влани в 4500 за допомогою шлейфового кабелю, але це спалює два додаткові порти на Влан ... загалом десять додаткових портів для всіх власників у сервісі (v51 - v55).

Питання

Дивіться схему нижче.

Як я можу перевести всі Влани з номером 95x на магістралі 4507: Gi1 / 2 dot1q, щоб їх було нумеровано Vlan5x на 4507: Gi1 / 1 dot1q? Мені потрібно використовувати найменшу кількість портів, що споживаються для "перекладних витрат". Будь ласка, додайте конфігурації для всіх портів, на які потрібна відповідь.

Я відкритий для картографування влан , якщо хтось може пояснити, як би це працювало в цій топології ...

Обладнання

• 4507R + E, Sup7L-E з IOS XE 3.4.0
• ASA5555X з 9.0 (2)

У мене немає SUP7 для тестування, але він працює на SUP6 і SUP32, я вважаю, що SUP7 зберігає цю функціональність.

Я провів тестування між JNPR M320 <-> SUP32, і ' vlan mapping JNPR SUP32 ' працює чудово.

У QinQ немає необхідності, те, що робить варіант QinQ, це те, що він додає верхній тег до одного особливо тегу. Так switchport vlan mapping 1042 dot1q-tunnel 42би відобразити вхідний стек [1042] на стек [42 1042]. На відміну від того, switchport vlan mapping 1042 42які карти входять dot1q Vlan [1042] до do11 Vlan [42].

Конфігурація JNPR M320:

{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# show 
vlan-id 1042;
family inet {
    address 10.42.42.1/24;
}
{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# run show interfaces ge-0/1/0               
Physical interface: ge-0/1/0, Enabled, Physical link is Up
  Interface index: 135, SNMP ifIndex: 506
  Description: B: SUP32 ge5/1
  Link-level type: Flexible-Ethernet, MTU: 9192, Speed: 1000mbps, BPDU Error: None,
  MAC-REWRITE Error: None, Loopback: Disabled, Source filtering: Disabled, Flow control: Disabled,
  Auto-negotiation: Enabled, Remote fault: Online
  Device flags   : Present Running
  Interface flags: SNMP-Traps Internal: 0x4000
  CoS queues     : 8 supported, 8 maximum usable queues
  Current address: 00:12:1e:d5:90:7f, Hardware address: 00:12:1e:d5:90:7f
  Last flapped   : 2013-02-19 09:14:29 UTC (19w6d 21:12 ago)
  Input rate     : 4560 bps (5 pps)
  Output rate    : 6968 bps (4 pps)
  Active alarms  : None
  Active defects : None
  Interface transmit statistics: Disabled

Конфігурація SUP32:

SUP32#show run int giga5/1
Building configuration...

Current configuration : 365 bytes
!
interface GigabitEthernet5/1
 description F: M320 ge-0/1/0
 switchport
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport nonegotiate
 switchport vlan mapping enable
 switchport vlan mapping 1042 42
 mtu 9216
 bandwidth 1000000
 speed nonegotiate
 no cdp enable
 spanning-tree portfast edge trunk
 spanning-tree bpdufilter enable
end

SUP32#show ru int vlan42
Building configuration...

Current configuration : 61 bytes
!
interface Vlan42
 ip address 10.42.42.2 255.255.255.0
end

SUP32#sh int GigabitEthernet5/1 vlan mapping  
State: enabled
Original VLAN Translated VLAN
------------- ---------------
  1042           42  

SUP32#sh int vlan42                           
Vlan42 is up, line protocol is up 
  Hardware is EtherSVI, address is 0005.ddee.6000 (bia 0005.ddee.6000)
  Internet address is 10.42.42.2/24
  MTU 1500 bytes, BW 1000000 Kbit, DLY 10 usec, 
     reliability 255/255, txload 1/255, rxload 1/255
  Encapsulation ARPA, loopback not set
  Keepalive not supported
  ARP type: ARPA, ARP Timeout 04:00:00
  Last input 00:00:09, output 00:01:27, output hang never
  Last clearing of "show interface" counters never
  Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0
  Queueing strategy: fifo
  Output queue: 0/40 (size/max)
  5 minute input rate 0 bits/sec, 0 packets/sec
  5 minute output rate 0 bits/sec, 0 packets/sec
  L2 Switched: ucast: 17 pkt, 1920 bytes - mcast: 0 pkt, 0 bytes
  L3 in Switched: ucast: 0 pkt, 0 bytes - mcast: 0 pkt, 0 bytes mcast
  L3 out Switched: ucast: 0 pkt, 0 bytes mcast: 0 pkt, 0 bytes
     38 packets input, 3432 bytes, 0 no buffer
     Received 21 broadcasts (0 IP multicasts)
     0 runts, 0 giants, 0 throttles 
     0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
     26 packets output, 2420 bytes, 0 underruns
     0 output errors, 0 interface resets
     0 output buffer failures, 0 output buffers swapped out

І

SUP32#ping 10.42.42.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.42.42.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
SUP32#sh arp | i 10.42.42.1
Internet  10.42.42.1             12   0012.1ed5.907f  ARPA   Vlan42
SUP32#show mac address-table dynamic address 0012.1ed5.907f
Legend: * - primary entry
        age - seconds since last seen
        n/a - not available

  vlan   mac address     type    learn     age              ports
------+----------------+--------+-----+----------+--------------------------
Active Supervisor:
*  450  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   50  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   40  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   42  0012.1ed5.907f   dynamic  Yes          5   Gi5/1


user@m320# run ping 10.42.42.2 count 2 
PING 10.42.42.2 (10.42.42.2): 56 data bytes
64 bytes from 10.42.42.2: icmp_seq=0 ttl=255 time=0.495 ms
64 bytes from 10.42.42.2: icmp_seq=1 ttl=255 time=0.651 ms

--- 10.42.42.2 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max/stddev = 0.495/0.573/0.651/0.078 ms

{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# run show arp no-resolve |match 10.42.42.2 
00:05:dd:ee:60:00 10.42.42.2      ge-0/1/0.1042        none

деяка підтримка відповіді @ytti вище, сподіваюся, що це допоможе:

помаранчевий # ш вер
Програмне забезпечення Cisco IOS, програмне забезпечення IOS-XE, програмне забезпечення перемикача Catalyst 4500 L3 (cat4500e-UNIVERSALK9-M), версія 03.04.00.SG ПРОГРАМНЕ ЗАБЕЗПЕЧЕННЯ (fc3)
…
помаранчевий # ш мод
Тип шасі: WS-C4507R + E

Тип карт Порт мода Серійний номер
--- + ----- + -------------------------------------- + - ----------------- + -----------
 4 4 Sup 7-E 10GE (SFP +), 1000BaseX (SFP) WS-X45-SUP7-E CAT1xxxxxxx 
…
помаранчевий # sh run int ten4 / 1
Конфігурація будівлі ...

Поточна конфігурація: 112 байт
!
інтерфейс TenGigabitEthernet4 / 1
 магістраль режиму перемикання
 mapport vlan mapping 100 10
 інтервал навантаження 30
кінець

помаранчевий # sh run int ten4 / 2
!
інтерфейс TenGigabitEthernet4 / 2
 магістраль режиму перемикання
 mapport vlan mapping 10 100
 інтервал навантаження 30
…
помаранчеве # ш влан картографування 
Інтерфейс Te4 / 1:
VLAN на дроті Операція з перекладеною VLAN
------------------------------ --------------- ----- ---------
100 10 1-до-1
Інтерфейс Te4 / 2:
VLAN на дроті Операція з перекладеною VLAN
------------------------------ --------------- ----- ---------
10 100 1-до-1

У мене теж немає такого SUP, але легко можу це зробити на Brocade Netiron.

Просто помістіть два порти у VPLS та позначте їх різними вланами. Так:

router mpls

    vpls translate test 100
     vlan 200
     tagged ethe 1/1
     vlan 300
     tagged eth1/2

Приємна річ у Brocade полягає в тому, що ви можете конвертувати будь-який тег в інший тег, подвійний тег в інший подвійний тег, подвійний тег в один тег і один тег для подвійного тегу