问

防火墙对接交换机问题

设备部署方式

3天前提问

0关注
0收藏，75浏览

zhiliao_uTeyfc

zhiliao_uTeyfc 四段

粉丝：0人关注：0人

问题描述：

二层交换机（分部）-防火墙（分部）-PTN（分部）-外网-（PTN总部）-防火墙（总部）-二层交换机（总部）

如上，防火墙怎么对接二层交换机，防火墙分部与防火墙总部准备建立IPSEC中间链路透明，现在主要是二层交换机到防火墙怎么互联更好，有什么好的方式吗？做直连还是透明部署

最佳答案

zhiliao_Gixe

zhiliao_Gixe 三段

粉丝：2人关注：9人

分部与总部防火墙之间建立IPSec隧道，二层交换机到防火墙的互联方式取决于业务需求。

推荐方案：透明模式部署
1. 防火墙配置为透明模式（二层模式），创建二层安全域（如VLAN接口加入安全域）
2. 交换机与防火墙之间配置Trunk链路，允许业务VLAN通过
3. 防火墙配置安全策略，允许分部与总部间VLAN流量并触发IPSec加密

配置要点：
- 防火墙切换透明模式（系统视图下：`firewall mode transparent`，需重启）
- 创建二层聚合接口或VLAN接口，例如：
interface Vlan-interface10
ip address 192.168.1.1 255.255.255.0 //管理IP，非必需
firewall zone trust
add interface Vlan-interface10
- 配置IPSec策略与感兴趣流（ACL定义总部与分部VLAN间流量）

优点：不改变现有二层网络拓扑，交换机无需修改路由，配置简单。

若需三层隔离或策略控制，可采用路由模式（直连），但需调整交换机默认网关指向防火墙。请根据实际网络规划选择。

3 个回答

按时间按赞数

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉丝：98人关注：11人

防火墙现在跑三层的话，建议跟交换机也三层

国服第181小鱼人

国服第181小鱼人六段

粉丝：8人关注：0人

根据你的组网需求（分部-防火墙-PTN-外网-总部，中间需要建立IPSEC VPN），强烈建议防火墙采用透明模式（二层）与交换机对接。

这种方式不需要改动现有网络拓扑和IP地址规划，防火墙就像一根“安全网线”串接在中间，对原有网络透明，同时能完美支持IPSEC VPN的建立和业务流量的安全检测。

为了帮你做出最合适的选择，这里详细对比了透明部署与路由模式（直连/三层）的区别：

对比维度	透明模式部署 (推荐方案)	路由模式/三层直连
网络改动	无需改动原有交换机和终端的IP地址、网关配置。	需要修改网络规划，防火墙需要配置三层接口，下联交换机可能需要修改网关指向或配置路由。
业务影响	对业务影响极小。防火墙故障时可通过bypass或物理短接快速恢复。	影响较大。防火墙故障会直接中断三层路由，导致整个网络断网。
配置复杂度	简单。主要配置VLAN透传、安全域和安全策略。	较复杂。需要配置VLAN接口IP、路由协议或静态路由、NAT策略等。
安全策略	对流经的流量进行二层安全检测，策略基于IP地址/端口，对用户透明。	防火墙作为网络网关，承担路由、NAT和三层安全策略，管控粒度可以更精细。
IPSEC VPN建立	完全支持。防火墙可以在透明模式下终结VPN隧道，总部与分部之间的加密流量不受影响。	完全支持，这也是标准的VPN网关部署方式。
高可用性（HA）	支持主备模式，但链路设计需注意避免来回路径不一致的问题。	支持主备/主主模式，通过VRRP或路由协议实现切换。

根据你的描述，核心需求是“中间链路透明”和“建立IPSEC”。透明模式有以下几个优势：

真正实现“透明”插入：你的分部交换机原本怎么配置，现在还怎么配置。防火墙可以像串接一个“隐形设备”一样加入网络，不需要改动交换机的VLAN、网关等配置。
简化故障处理：如果防火墙出现问题，可以快速拔掉，将网线直连或者让交换机端口恢复原状，业务就能立刻恢复。这在应急处理时非常关键。
完美支持VPN：IPSEC VPN是三层隧道技术，透明模式的防火墙依然是一个三层设备，可以正常进行路由选择、加密封装，与VPN功能完全不冲突。

以下是基于H3C官方文档整理的配置要点：

配置交换机（改动最小）
- 将连接防火墙的上联口和下联口（例如连接分部核心交换机的接口和连接PTN设备的接口）都配置为Trunk模式。
- 确保Trunk放行了业务所需的VLAN（例如你内网的VLAN 10，以及用于管理/互联的VLAN）。
配置防火墙（关键步骤）
- 设置接口为二层模式：将GigabitEthernet1/0/1（连交换机）和GigabitEthernet1/0/2（连PTN）都设置为二层模式（port link-mode bridge）。
- 划分VLAN：在防火墙上创建业务VLAN（如VLAN 10），并将两个接口都加入该VLAN。
- 加入安全域：将GigabitEthernet1/0/1加入Trust安全域，将GigabitEthernet1/0/2加入Untrust安全域。
- 配置安全策略：创建从Trust到Untrust的安全策略，放行业务流量。（这是确保业务能通的必要步骤）。
- 配置IPSEC VPN：在防火墙上正常配置IPSEC策略，指定本端和对端的公网地址、认证密钥等。
关于高可用性（HA）的重要提醒
- 主要原因：在透明模式下，如果两台防火墙做主主负载均衡，非常容易导致一条业务流的来回路径不一致（比如请求报文经过FW-A，响应报文却从FW-B回来），这会引发防火墙会话创建失败、安全策略失效等问题，排查起来非常复杂。采用主备模式可以完全避免这个问题，是更稳妥的选择。
如果你考虑部署两台防火墙做主备，强烈建议采用主备模式，而不是主主模式。