SecPath UTM 同VLAN二层InLine转发的典型配置

SecPath UTM 同VLAN二层InLine转发的典型配置

一．用户需求

   某公司内网用户PC1与PC2处于同一网段、同一VLAN中，在此中间加入我司UTM设备作为二层模式使用，且UTM与PC1,PC2互联接口配置为InLine模式转发，实现PC1与PC2之间的访问控制。

二．组网图

三．配置步骤

1.配置GE0/1为二层接口

在导航栏中选择“设备管理 > 接口管理”界面，配置接口为二层模式。

2.配置GE0/2为二层接口

3.配置接口所属VLAN

在导航栏中选择“网络管理 > VLAN > VLAN”，新建VLAN2 ，并将接口GE0/1和GE0/2加入VLAN2。

4. 配置INLINE转发组

在导航栏中选择“网络管理 > Inline转发”，配置“策略ID”为“1”，将端口GigabitEthernet0/1和GigabitEthernet0/2设置为同一转发组。配置inline策略：

5.配置PC1与PC2的IP

PC1：192.168.2.10/24

PC2：192.168.2.11/24

（1）将GigabitEthernet0/1加入Trust安全域，将GigabitEthernet0/2加入Untrust安全 域；从PC1 Ping PC2，得到结果A；

（2）配置GigabitEthernet0/1 属于Vlan2；GigabitEthernet0/2属于vlan3，再从PC1 Ping PC2，得到结果B；

（3）配置GigabitEthernet0/1 为access端口；GigabitEthernet0/2为trunk端口，再从PC1 Ping PC2，得到结果C；

四．验证结果

A、能够Ping通；

B、能够Ping通；

C、能够Ping通；（配置inline转发后，端口下vlan的配置及端口类型配置对流量转发均无影响）

五．配置注意事项

 （1）INLINE转发依赖于所配置的INLINE转发组进行转发，不按MAC地址转发。

 （2）INLINE转发只能在二层物理接口上配置，不支持子接口及虚接口。

 （3）INLINE转发只在入口处检查报文tag，目的是检查是否要走三层转发，所以报文发起方所在接口的“所属Vlan”影响报文的转发，注意不是端口的PVID，是Web页面上的配置。即：INLINE转发仅判断入报文的Vlan tag是否为本虚拟设备安全域中的vlan成员；若是则放行，否则则不通。

 （4）入端口如果是Access端口，一样可以接收带不同Vlan tag的报文，并不检查Vlan tag是否与自身PVID一致；而纯二层转发时，端口只接收与自身PVID相同的带tag或不带tag的报文。

 （5）在trunk口上配置Inline转发，入口配置的permit vlan 不影响转发，而纯二层转发时，trunk端口只转发允许的vlan。

 （6）报文经过G0/2转出时tag并没有去掉，而是直接透传了，流量在配置好的INLINE组内两接口上转发，经过安全模块处理后透传出去，出接口对报文不作任何修改。