IPSEC二层透明部署组网问题

核心策略：旁挂透明模式

具体部署步骤（两端对称配置）

1. 物理连接（关键改动）

• 东站侧（左侧）：
  • 原有链路： 汽车东站核心交换机 → 汽车东站PTN
  • 新链路：
    1. 汽车东站核心交换机（GE_01） → 防火墙内网口
    2. 防火墙外网口 → 汽车东站PTN（GE_01）
  • 注：如果防火墙接口不够，也可以串在PTN之后，即“汽车东站PTN → 防火墙 → 外网”，效果相同。
• 总公司侧（右侧）：
  • 原有链路： 徐家坞公交总公司PTN → 公交总公司
  • 新链路：
    1. 徐家坞公交总公司PTN（GE_04） → 防火墙外网口
    2. 防火墙内网口 → 公交总公司服务器/交换机（GE_01）

2. IP地址规划（保持不变）

• 原有IP保留：
  • 汽车东站核心交换机接口IP：192.168.1.4（保持不变）
  • 公交总公司服务器/接口IP：192.168.1.1（保持不变）
• 防火墙接口IP：
  • 防火墙的内网口和外网口不需要配置网关。
  • 为了管理方便，可以给防火墙配置一个管理IP（Management IP），该IP需与两端网段同网段但不冲突（例如东站侧配置192.168.1.254，总公司侧配置192.168.1.253）。

3. IPSec隧道配置

• 模式选择： 透明模式（Bridge Mode / Layer 2 Mode）。
• IPSec配置：
  • 本端源地址： 防火墙的管理IP（或外网口的MAC地址，视设备支持而定）。
  • 对端目的地址： 对端防火墙的管理IP。
  • 感兴趣流（Traffic Selector）： 配置为 源IP: 192.168.1.4 → 目的IP: 192.168.1.1 （即保护原本要通信的两个业务IP）。

部署优势分析

1. 无需修改路由表： 由于防火墙是透明的，两端的PTN设备和核心交换机不需要修改任何路由配置。
2. 无需重新划VLAN： 保持原有的VLANIF配置不变。
3. 高可靠性： 如果防火墙故障，理论上可以通过Bypass功能（如果有）或物理直连恢复网络，不影响底层转发。