我正在进行设备迁移，设置有点类似于 Mike 的（在透明模式下配置 Cisco ASA：第 2 层 DMZ w/ Vlan 转换），但不同之处在于我需要内部和外部 VLAN 不同。
我们有X 个“外部”VLAN（ID 为 600-699）和X 个“内部”VLAN（ID 为 700 到 799）。我的想法与 Mike 的帖子相同：两个子接口（一个在外面，一个在里面）和一个桥接组。设置看起来不错......在纸上。
我发现的第一件事是您需要有一个 BVI 接口才能使网桥组工作，因此无缘无故地刻录一个（在我们的例子中是公共的）IP。第二件事，你们中的一些人可能知道但我什至不认为我应该检查，ASA 允许最多 8 个 BVI 接口（如果在多模式下，每个上下文 8 个）。
我的问题
我最想知道为什么 ASA 有这样的要求。
- 如果我们只想桥接两个接口，为什么需要具有有效 IP 地址的 BVI 接口？文档模糊地说明 BVI 用于管理和源自 ASA（ARP 等）的数据包，但为什么透明 L2 防火墙需要这些？我理解当我们谈论路由器上的 IRB 时的需要，但我真的不知道基本上应该只是丢弃或传递帧的设备。
- 限制 8 个桥组的原因是什么？是否有任何技术原因，或者这只是因为如果您想做这样的事情，您需要购买更多的上下文许可证。
- 当然，您对这个问题有什么不同的解决方案吗？
我知道他们的想法可能是为每个 VLAN（或上下文和网桥组的混合）设置不同的上下文。我关心的是管理，例如您可以在上下文之间共享对象吗？我们在“外部”有很多网络设备和服务器，并且无法为每个上下文为它们创建对象。