天下网吧 >> 网吧方案 >> 方案实例 >> 正文

实战:PIX 虚拟防火墙配置

    实验拓扑:

    这个拓扑中,中间的PIX配置三个虚拟防火墙,Ethernet0连接到一个3550交换机的TRUNK端口,分别接到三个不同的VLAN,外口Ethernet1连接到Internet,试验中可以使用一台路由器代替。

    由于这里Ethernet0是和交换机的TRUNK端口相连,来接收不同VLAN的流量,所以这里使用子接口为TRUNK去VLAN标签,并将这些子接口分配给各个虚拟防火墙,是内部各个VLAN都能访问Internet

   

首先配置3550交换机:

interface FastEthernet0/2
 switchport access vlan 2
!
interface FastEthernet0/3
 switchport access vlan 3
!
interface FastEthernet0/4
 switchport access vlan 4
!
interface FastEthernet0/10    
//和PIX的Ethernet0口相连
 switchport trunk encapsulation dot1q 
  //PIX的默认的TRUNK类型就是dot1q
 switchport trunk allowed vlan 2,3,4
 switchport mode trunk

PIX的配置:

changeto system:

interface Ethernet0
!
interface Ethernet0.2
 vlan 2                            
    //为子接口进行封装,去VLAN标签
interface Ethernet0.3
 vlan 3
interface Ethernet0.4
 vlan 4
!
interface Ethernet1
!
admin-context admin
context admin
  allocate-interface Ethernet0.2 Intf1       
  //分配E0.2子接口到虚拟防火墙admin,别名是Intf1
  allocate-interface Ethernet1 Intf0            
//分配接口E1到虚拟防火墙admin,别名是Intf0
  config-url flash:/admin.cfg
!
context DepartmentA
  allocate-interface Ethernet0.3 Intf1
  allocate-interface Ethernet1 Intf0
  config-url flash:/DepartmentA.cfg
!
context DepartmentB
  allocate-interface Ethernet0.4 Intf1
  allocate-interface Ethernet1 Intf0
  config-url flash:/DepartmentB.cfg

changeto context admin:

interface Intf1
 nameif inside
 security-level 100
 ip address 192.168.2.1 255.255.255.0
!
interface Intf0
 mac-address 00aa.0000.01c1
 nameif outside
 security-level 0
 ip address 192.168.1.10 255.255.255.0

 

changeto context DepartmentA:

interface Intf1
 nameif inside
 security-level 100
 ip address 192.168.3.1 255.255.255.0
!
interface Intf0

 mac-address 00aa.0000.01c2
 nameif outside
 security-level 0
 ip address 192.168.1.11 255.255.255.0

changeto context DepartmentB:

interface Intf1
 nameif inside
 security-level 100
 ip address 192.168.4.1 255.255.255.0
!
interface Intf0
 mac-address 00aa.0000.01c3
 nameif outside
 security-level 0
 ip address 192.168.1.12 255.255.255.0

    最后在试验中代替Internet的路由器上进行验证:

   

    成功ping通每个虚拟接口上配置的IP地址。

    注意:
    因为当前E1只有一个MAC地址,2层数据帧在到达防火墙E1口时,将不知道如何将数据帧发给谁,需要在C1、C2的E1接口上指定不同的MAC地址来分类流量

本文来源:天下网吧 作者:网吧方案

声明
声明:本站所发表的文章、评论及图片仅代表作者本人观点,与本站立场无关。若文章侵犯了您的相关权益,请及时与我们联系,我们会及时处理,感谢您对本站的支持!联系Email:support@txwb.com,系统开号,技术支持,服务联系QQ:1175525021本站所有有注明来源为天下网吧或天下网吧论坛的原创作品,各位转载时请注明来源链接!
天下网吧·网吧天下