レイヤー 3 サブインタフェースの開始。

297768

Created On 09/25/18 18:55 PM - Last Modified 07/18/19 20:11 PM

Resolution

私のファイアウォールを展開した Vlan を構成するし -サブインタフェース

今では新しいパロアルトネットワークファイアウォールを実行して、レイヤー 3 のサブインタフェースを作成することによってミックスに VLAN タグを追加することを見てみましょう。最初の分割払いでは、ファイアウォールをアンパックして、VWire または Layer 3 モードで更新および構成された後の第一歩を説明しました。私は私のファイアウォールをアンパックしたチェックアウト、今何?と私は私のファイアウォールをアンパックして、あなたが私に言ったことをした、今何?

パブリック web サーバからユーザのワークステーションを分離する組織で複数のネットワークセグメントがあります。これらのネットワークが相互に通信することを防ぐために良い方法は、ブリッジまたは両方の仮想ネットワークを接続するゲートウェイのいくつかのフォームをせずに、別のホストとの通信の 1 つの VLAN にあるホストを防止するコアスイッチで Vlan を実装することによってです。

見ていきます最初の構成は、以前スタートガイドでやめたところに基づいています。ファイアウォールレイヤー 3 インターフェイスがあり、私たちは基幹スイッチのインタフェースと通信できるように信頼のインターフェイスを変更するつもりは今。

通常の、またはアクセス、switchport の構成とトランクの switchport の違いは、アクセスポートが任意のパケットでイーサネットヘッダーを改ざんしないことですが、トランクポートは、 VLAN を接続するのに対しタグを IEEE 802.1 q ヘッダーの形式でパケットにします。これにより、パケットが VLAN スイッチ外情報を保持し、次にこれらのパケットを受信するホストによって異なる LAN ネットワークとして扱われるべき。

インタフェース GigabitEthernet1/36
 switchport
 switchport アクセス vlan 100
 switchport モードアクセス
switchport nonegotiate
スパニングツリー portfast

...

インターフェイス GigabitEthernet1/36
 switchport
 switchport トランク許可 vlan 100200
 switchport モードトランク
switchport nonegotiate
スパンツリー portfast

通常のインターフェイスからタグ付きサブインタフェースに設定を切り替えます。

1。サブインタフェースの作成

最初のステップは、物理的なファイアウォールから IP 構成を削除することです。

[ネットワーク] タブに移動します。
左側のペインのインターフェイスに移動します。
インターフェイスの構成を開きます。
[IPv4] タブに移動します。
サブネットを選択します。
[削除] をクリックします。

我々は今先に行くし、サブインタフェースを追加できます。

サブインターフェイス構成でインターフェイス番号とタグを割り当てなければなりません。タグ VLAN を一致する必要がありますが、インターフェイス番号が異なる場合があります。管理の容易さ、VLAN タグに同じ id を設定することをお勧めします。'Default' 仮想ルータを追加し、'信頼' のセキュリティゾーンに割り当てます。

次に、[IPv4] タブに移動し、インターフェイスに ip アドレスを追加します。

[詳細] タブに移動し、' ping ' 管理プロファイルを設定

次に、私たちネットワークに web サーバを追加し、スイッチの VLAN 200 にそれを置きます。

だから我々は 2 番目のサブインタフェースを追加し、VLAN タグ 200 に設定する必要があります。また、それに異なるセキュリティポリシーを適用できるように新しいセキュリティゾーンを作成します。

新しいゾーン「dmz」と呼びましょう

異なる IP サブネットにインターフェイスを割り当てると

私たちも 'ping' 管理プロファイルを設定します

インターフェイスの構成は次のようになります。

2。DHCP を再構成します。

我々は今、我々は新しいサブインターフェイスを前回作成 DHCP サーバーに移動する必要があります。

[ネットワーク] タブに移動します。
左側のペインから DHCP のメニューを開きます。
インターフェイス ethernet1/2 の DHCP 構成を開きます。
Ethernet1/2.100 新しいサブインターフェイスを一致させるためにインタフェースを変更します。

3。新しい NAT ポリシーを作成します。

次のステップは、NAT ファイアウォールの外部 IP アドレス経由でウェブサーバに到達するインターネット上のホストを許可するポリシーを作成することです。

[ポリシー] タブに移動します。
左側のペインから NAT 構成を開く。
新しい NAT ポリシーを作成する追加] をクリックします。

オリジナルのパケットのタブでは、ファイアウォールの外部 IP アドレスに untrust、ソースと宛先ゾーンと宛先アドレスの設定を行って私たち。移動先のゾーンは、ファイアウォールが、ルーティングテーブルに基づいて受信したパケットの宛先ゾーンを決定しようので untrust です。この場合、元の送信先 IP アドレスに NAT を適用すると、前に信頼ゾーンに属しています。