码迷,mamicode.com
首页 > 其他好文 > 详细

Juniper-SSG系列之子接口(单臂路由)运用

时间:2015-06-15 16:42:51      阅读:262      评论:0      收藏:0      [点我收藏+]

标签:子接口 单臂路由 juniper-ssg系列 netscreen

    先上图:

技术分享


三、分析与预规划

规划如上图↑

分析客户目前暂定的拓扑方案,实现多vlan间通信。G0/0/48端口做成Trunk,理论上SW-A默认只会让10.10.0.X/24的主机过,Juniper防火墙Ping vlanif1-6都能到,这个是问题来了,只有10.10.0.x/24的主机,端口不做情况下就能到Juniper设备上。这时就能意识到,单臂路由的方向!!(*^__^*) 


【单臂路由定义扫盲】

单臂路由(router-on-a-stick)是指在路由器的一个接口上通过配置子接口(或“逻辑接口”,并不存在真正物理接口)的方式,实现原来相互隔离的不同VLAN(虚拟局域网)之间的互联互通(这一次由于起子接口的设备上是Juniper设备,防火墙通过策略可以实现Vlan间互相独立,若不做策略便是互联互通

优点:实现不同vlan之间的通信,有助理解、学习VLAN原理和子接口概念。

缺点:容易成为网络单点故障,配置稍有复杂,现实意义不大。

四、防火墙配置:

Web-UI上配置如下:

Step-1,下拉选择Sub-IF

技术分享

Step-2,填写参数

技术分享

    set interface "ethernet0/1.1" tag2 zone "Trust"

    set interface "ethernet0/1.2" tag3 zone "Trust"   #e0/1创建子接口并打上vlan标签

    set interface ethernet0/1.1 ip 10.10.2.1/24       #IP配置

    set interface ethernet0/1.1 nat

    set interface ethernet0/1.2 ip 10.10.3.1/24       #IP配置

    set interface ethernet0/1.2 nat

(PS:注意接口和区域,和Vlan tag,这里的10.10.2.1/24是SW-A的Vlanif2,所以这里要一一对应起来,),点击-OK输出如下图


技术分享


这里请各位留意,子接口一旦建立,默认是UP,一旦主接口down,子接口也就down了。这样一一对应都建立好了之后,刚才vlan间的不能通信也顺利完成了通信。测试vlan端口正常,这也就是单臂路由。为了更好的让各位理解单臂路由,我找了一个图,大家往下看。

技术分享


理论上,vlan10与vlan20之间是无法互相ping通的,但通过介绍的单臂路由就可以实现他们的互联互通。(通俗一点讲,就是在Fa0/0通过子接口方式起多个网关)

五、实施回顾

单臂路由长应用在中小型企业当中,当企业无法预算购买三层交换机时,通过二层交换机实现多vlan的互联互通。

此次跨境通的实施交付,因客户需要vlan间互通,我这里策略就没做,以下为各位简单的介绍下SSG系列策略配置。

禁止2个网段互相访问,这个可以根据实际需要添加

     set policy id 35 from "Trust"to "Trust" "10.10.2.1/24" "10.10.3.1/24" "ANY" denylog

     set policy id 35

     exit

     set policy id 34 from "Trust"to "Trust" "10.10.3.1/24" "10.10.2.1/24" "ANY" denylog

     set policy id 34

接着配置Untrust-Trust的访问策略,互相独立起来,做各自的安全policy即可:

     set policy id 36 from "Utrust"to "Trust"  "any""10.10.2.1/24" "ANY" deny log

     set policy id 36

     set policy id 37 from "Utrust"to "Trust"  "any""10.10.3.1/24" "ANY" deny log

     set policy id 37










本文出自 “从零到壹” 博客,转载请与作者联系!

Juniper-SSG系列之子接口(单臂路由)运用

标签:子接口 单臂路由 juniper-ssg系列 netscreen

原文地址:http://allen686.blog.51cto.com/6758434/1662052

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!