ASA5520 到 2960X 设置

网络工程 思科 路由 转变 思科-ASA 防火墙
2022-02-09 03:20:52

我正在使用 ASA5520 到 Cisco 2960X 交换机设置新的远程办公室设置。我在内部对 ASA 进行了子接口，以允许有线和无线子网。在 2960 上，我为有线创建了一个 Vlan 100，为无线创建了一个 Vlan 200。我可以从 ASA 向下游 ping 通到 Vlan100 和 Vlan200 的交换机。

在交换机上，我可以通过 vlan100 ping 上游到 ASA，因为它位于同一子网上，但我无法从 vlan 200 ping 上游。我想也许 ip route 语句可以工作，但仍然不行。感谢您的任何见解。

作为一个

interface GigabitEthernet0/0
 description INSIDE
 no nameif
 no security-level
 no ip address
!
interface GigabitEthernet0/0.1
 vlan 100
 nameif inside
 security-level 100
 ip address 192.168.2.1 255.255.255.0 
!
interface GigabitEthernet0/0.2
 vlan 200
 nameif Wireless
 security-level 100
 ip address 192.168.3.1 255.255.255.0

2960X

interface FastEthernet0
no ip address
!
interface GigabitEthernet1/0/1
switchport access vlan 100
switchport mode access
spanning-tree portfast
!
interface GigabitEthernet1/0/2
switchport access vlan 100
switchport mode access
spanning-tree portfast
!
interface GigabitEthernet1/0/3
switchport access vlan 100
switchport mode access
spanning-tree portfast
!
interface GigabitEthernet1/0/4
switchport access vlan 100
switchport mode access
spanning-tree portfast
!
interface GigabitEthernet1/0/5
switchport access vlan 100
switchport mode access
spanning-tree portfast
!

最多 1/0/44 相同

    interface GigabitEthernet1/0/45
    description WIRELESS WAPS
    switchport trunk native vlan 100
    switchport mode trunk
    spanning-tree portfast
   !
 ` interface GigabitEthernet1/0/46
   description WIRELESS WAPS
   switchport trunk native vlan 100
   switchport mode trunk
   spanning-tree portfast
   !
  interface GigabitEthernet1/0/47
  description Connection to ASA
  switchport mode trunk
  !
  interface GigabitEthernet1/0/48
  description X-Connect to Sw2
  switchport mode trunk
!
interface GigabitEthernet1/0/49
!         
interface GigabitEthernet1/0/50
!
interface GigabitEthernet1/0/51
!
interface GigabitEthernet1/0/52
!
interface Vlan1
 no ip address
!
interface Vlan100
 ip address 192.168.2.5 255.255.255.0

!
interface Vlan200
 ip address 192.168.3.5 255.255.255.0

!
ip default-gateway 192.168.2.1
ip http server
ip http secure-server
!
ip route 192.168.3.0 255.255.255.0 192.168.2.1``
2个回答

我之前解释过，尝试从不同的网络 ping ASA 接口可能是一个问题。那是安全的事情。您似乎想要的是能够在 VLAN 之间进行通信，这似乎对您有用，所以一切都很好。

至于您在 VLAN 之间路由的位置，这完全取决于您。如果您对将 ASA 用作 LAN 路由器感到满意，那很好。许多人使用聚合交换机（直接连接到 ASA 的交换机）作为 LAN 路由器。为此，您有一个单独的小型网络，该网络从 ASA 接口（ASA 上没有 VLAN 或子接口）到使用no switchport命令配置的交换机接口和接口上配置的 IP 地址。您还可以使用ip routing交换机上的命令启用路由。

这样做的问题是 ASA 不知道将流量发送到交换机另一端的网络的位置，因此需要特别告知它，无论是使用静态路由（如果您有很多VLAN），或者您可以在 ASA 和交换机之间运行路由协议。这将减轻 ASA 路由 LAN 流量的负担，因此如果您的大部分流量是本地流量，这将非常有用。

对于初学者来说ip route 192.168.3.0 255.255.255.0 192.168.2.1，开关是无稽之谈。它实际上不会做任何事情，因为有一个 CONNECTED 路由到 3.0/24。

交换机不充当路由器，所以不要担心它。它将流量从两个 VLAN 传递到 ASA（和其他适当的端口。）

核心问题在于 ASA。是防火墙，不是路由器。（来自 Cisco 的直接引用）必须将其配置为允许流量在两个相同安全级别的接口之间流动。（打开两者。）

pix-515e(config)# same-security-traffic permit ?

configure mode commands/options:
  inter-interface  Permit communication between different interfaces with the same security level 
  intra-interface  Permit communication between peers connected to the same interface
其它你可能感兴趣的问题
上一篇Diffie-Hellman 密钥交换的共享密钥 下一篇用于 Intranet 和静态路由的棒上的防火墙