防火墙 路由器

子接口引流

PC1报文进入交换机，交换机对报文加上VLAN102 Tag标签，由Trunk口发送至防火墙插卡。

防火墙收到VLAN102的报文，发现其VLAN tag与子接口ten-g0/0.102配置的VLAN Tag相同，于是送给102子接口处理，并且去掉报文中的Tag，查找路由转发，确定从103子接口将报文转发出去。

报文从103子接口转发出去的时候，加上子接口ten-g0/0.103对应的VLAN Tag103，然后被发送至交换机。

交换机在对应的VLAN中转发报文。

子接口所能接收的VLAN不是有子接口的编号决定的，而是由子接口下面配置的vlan-type dot1q vid 号决定的，同样从子接口发送出去的报文携带的Tag也是有vid号决定的。

报文的入安全域由入报文的三层子接口所在的安全域决定，该报文的出安全域由出报文的三层子接口所在的安全域决定。

交换机上配置：

#              

vlan 102 to 103

#

interface Ten-GigabitEthernet2/0/1

 port link-mode bridge

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 102 to 103

#

interface GigabitEthernet0/0/25

 port link-mode bridge

 port access vlan 102

#

interface GigabitEthernet0/0/26

 port link-mode bridge

 port access vlan 103

FW上配置：

#

interface Ten-GigabitEthernet0/0

 port link-mode route

#

interface Ten-GigabitEthernet0/0.102

 vlan-type dot1q vid 102

 ip address 192.168.102.1 255.255.255.0

#

interface Ten-GigabitEthernet0/0.103

 vlan-type dot1q vid 103

 ip address 192.168.103.1 255.255.255.0