在透明模式下配置Cisco : Layer2 DMZ w/ Vlan转换

Question

我正在一个项目中迁移一些现有的交换以太网dot1q干线在一个ASA防火墙后.这些干线每个有五个vlans (编号51-55)。这是原始layer2服务的简单绘图.

其中一个要求是在原始的dot1q主干中每个Vlan都有一个ASA防火墙上下文。这意味着，在每个FW上下文中，我最终使用BVI将新的内部接口桥接到DMZ接口。由于其他限制因素，我最终得到了这样一个FW配置(为了简化问题，我正在总结所有的上下文内容).

firewall transparent
!
interface GigabitEthernet0/1.51
 vlan 51
 nameif INSIDE
 security-level 100
 bridge-group 1
!
interface GigabitEthernet0/2.951
 vlan 951
 nameif DMZ
 security-level 50
 bridge-group 1
!
interface BVI1
 ip address 10.10.51.240 255.255.255.0 standby 10.10.51.241
!

采用透明模式的Cisco最终使用两个不同的vlan连接单个layer2 vlan服务。通过interface BVI1连接两个vlans；每个物理接口上的bridge-group 1配置在上面的配置中使Vlan51和Vlan951之间建立了连接。

假设ASA:Gi0/2连接到4507:Gi1/2.注意DMZ接口发生了什么..。ASA DMZ是951，它通过dot1q中继连接到DMZ交换机( Cat4507)。我需要将D1连接到交换端口4507:Gi1/1，但我必须将Vlan951-955服务作为4507:Gi1/1上的Vlan51-55交付给D1。换句话说，我在ASA上所做的Vlan争论使我原来的服务定义中的Vlan编号混乱了。

遗憾的是，我无法轻松地将D1上的Vlans重新编号。最好的解决方案是将Vlan951 on 4507:Gi1/2翻译成Vlan51 on 4507:Gi1/1。思科有一个名为vlan映射的功能，但它似乎需要QinQ.我所有的服务都是简单的dot1q..。4500个vlan映射文档不清楚它们如何处理简单的dot1q封装。

我知道我可以通过回送电缆来翻译4500中的Vlan，但是这样每个Vlan需要额外的两个端口.服务中的所有Vlans总共有10个额外端口(v51 - v55)。

问题

请参阅下图。

如何将4507:Gi1/2 dot1q主干上编号为95x的所有Vlans转换为4507:Gi1/1 dot1q上的编号为Vlan5x？我需要使用用于“转换开销”的最少数量的端口。请包括您的回答所需的所有端口的信任。

我对vlan映射开放，如果有人能解释它在这个拓扑中是如何工作的.

设备

• 4507R+E，Sup7L-E和IOSXE3.4.0
• 带9.0(2)的ASA5555X

Answer 1

我不需要测试SUP7，但是它可以在SUP6和SUP32上运行，我认为SUP7保留了这个功能。

我在JNPR M320 <-> SUP32之间进行了测试，并且'vlan映射JNPR SUP32‘工作得很好。

不需要QinQ，QinQ选项所做的就是将顶部标记添加到一个特定的标记中。因此，switchport vlan mapping 1042 dot1q-tunnel 42会将传入的一零四二堆栈映射到42 1042堆栈。与switchport vlan mapping 1042 42相反，后者将传入的dot1q Vlan 一零四二映射到dot1q Vlan 42。

JNPR M320配置：

{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# show 
vlan-id 1042;
family inet {
    address 10.42.42.1/24;
}
{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# run show interfaces ge-0/1/0               
Physical interface: ge-0/1/0, Enabled, Physical link is Up
  Interface index: 135, SNMP ifIndex: 506
  Description: B: SUP32 ge5/1
  Link-level type: Flexible-Ethernet, MTU: 9192, Speed: 1000mbps, BPDU Error: None,
  MAC-REWRITE Error: None, Loopback: Disabled, Source filtering: Disabled, Flow control: Disabled,
  Auto-negotiation: Enabled, Remote fault: Online
  Device flags   : Present Running
  Interface flags: SNMP-Traps Internal: 0x4000
  CoS queues     : 8 supported, 8 maximum usable queues
  Current address: 00:12:1e:d5:90:7f, Hardware address: 00:12:1e:d5:90:7f
  Last flapped   : 2013-02-19 09:14:29 UTC (19w6d 21:12 ago)
  Input rate     : 4560 bps (5 pps)
  Output rate    : 6968 bps (4 pps)
  Active alarms  : None
  Active defects : None
  Interface transmit statistics: Disabled

SUP32配置：

SUP32#show run int giga5/1
Building configuration...

Current configuration : 365 bytes
!
interface GigabitEthernet5/1
 description F: M320 ge-0/1/0
 switchport
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport nonegotiate
 switchport vlan mapping enable
 switchport vlan mapping 1042 42
 mtu 9216
 bandwidth 1000000
 speed nonegotiate
 no cdp enable
 spanning-tree portfast edge trunk
 spanning-tree bpdufilter enable
end

SUP32#show ru int vlan42
Building configuration...

Current configuration : 61 bytes
!
interface Vlan42
 ip address 10.42.42.2 255.255.255.0
end

SUP32#sh int GigabitEthernet5/1 vlan mapping  
State: enabled
Original VLAN Translated VLAN
------------- ---------------
  1042           42  

SUP32#sh int vlan42                           
Vlan42 is up, line protocol is up 
  Hardware is EtherSVI, address is 0005.ddee.6000 (bia 0005.ddee.6000)
  Internet address is 10.42.42.2/24
  MTU 1500 bytes, BW 1000000 Kbit, DLY 10 usec, 
     reliability 255/255, txload 1/255, rxload 1/255
  Encapsulation ARPA, loopback not set
  Keepalive not supported
  ARP type: ARPA, ARP Timeout 04:00:00
  Last input 00:00:09, output 00:01:27, output hang never
  Last clearing of "show interface" counters never
  Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0
  Queueing strategy: fifo
  Output queue: 0/40 (size/max)
  5 minute input rate 0 bits/sec, 0 packets/sec
  5 minute output rate 0 bits/sec, 0 packets/sec
  L2 Switched: ucast: 17 pkt, 1920 bytes - mcast: 0 pkt, 0 bytes
  L3 in Switched: ucast: 0 pkt, 0 bytes - mcast: 0 pkt, 0 bytes mcast
  L3 out Switched: ucast: 0 pkt, 0 bytes mcast: 0 pkt, 0 bytes
     38 packets input, 3432 bytes, 0 no buffer
     Received 21 broadcasts (0 IP multicasts)
     0 runts, 0 giants, 0 throttles 
     0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
     26 packets output, 2420 bytes, 0 underruns
     0 output errors, 0 interface resets
     0 output buffer failures, 0 output buffers swapped out

和

SUP32#ping 10.42.42.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.42.42.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
SUP32#sh arp | i 10.42.42.1
Internet  10.42.42.1             12   0012.1ed5.907f  ARPA   Vlan42
SUP32#show mac address-table dynamic address 0012.1ed5.907f
Legend: * - primary entry
        age - seconds since last seen
        n/a - not available

  vlan   mac address     type    learn     age              ports
------+----------------+--------+-----+----------+--------------------------
Active Supervisor:
*  450  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   50  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   40  0012.1ed5.907f   dynamic  Yes          0   Gi5/1
*   42  0012.1ed5.907f   dynamic  Yes          5   Gi5/1


user@m320# run ping 10.42.42.2 count 2 
PING 10.42.42.2 (10.42.42.2): 56 data bytes
64 bytes from 10.42.42.2: icmp_seq=0 ttl=255 time=0.495 ms
64 bytes from 10.42.42.2: icmp_seq=1 ttl=255 time=0.651 ms

--- 10.42.42.2 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max/stddev = 0.495/0.573/0.651/0.078 ms

{master}[edit interfaces ge-0/1/0 unit 1042]
user@m320# run show arp no-resolve |match 10.42.42.2 
00:05:dd:ee:60:00 10.42.42.2      ge-0/1/0.1042        none

Answer 2

我也没有那个SUP可用，但可以很容易地做到这一点上的一个博科Netiron。

只需在一个VPLS中放置两个端口，并使用不同的vlans标记它们。就像这样：

router mpls

    vpls translate test 100
     vlan 200
     tagged ethe 1/1
     vlan 300
     tagged eth1/2

Brocade的好处是你可以将任何标签转换成另一个标签，双标签转换成另一个双标签，双标签转换为单标签，单标签转换为双标签。