V7防火墙，透明模式，管理地址怎么配？

我刚刚用模拟器做了一个实验，放通的策略如下：

业务vlan是vlan1

管理vlan是vlan2

防火墙上联和下联口设置的trunk口，不然管理vlan地址up不起来。

将vlan2逻辑接口放入到trust zone，内部zone策略是permit，SW2去ping防火墙的管理地址不通，打开debug信息如下：

<H3C>*Aug 22 09:18:27:150 2020 H3C FILTER/7/PACKET: -COntext=1; The packet is denied. Src-ZOne=Trust, Dst-ZOne=Local;If-In=Vlan-interface2(1286), If-Out=InLoopBack0(1284); Packet Info:Src-IP=192.168.2.253, Dst-IP=192.168.2.254, VPN-Instance=,Src-Port=8, Dst-Port=0, Protocol=ICMP(1), Application=ICMP(22742), ACL=none, Rule-ID=none.

发现vlan if 地址是属于local zone，放通策略就通了

放通相应zone到防火墙local zone的策略就可以

可以配置VLAN，也可以直接配置带外管理，用VRF隔离

可以这样配置,G1/0/0和G1/0/1默认是管理口，所以避开。

物理接口GE1/0/2接路由器，划入untrust域，物理接口GE1/0/3接核心交换机，划入trust域

interface rang GigabitEthernet 1/0/2 to GigabitEthernet 1/0/3 

port link-mode bridge 

security-zone name untrust 

import interface GigabitEthernet 1/0/2 vlan 1 to 4094 

security-zone name trust

import interface GigabitEthernet 1/0/3 vlan 1 to 4094 

security-policy ip

 rule 0 name 0

 action pass

 至此透明部署已完成

ip vpn-instance Management

 interface GigabitEthernet 1/0/10

ip binding vpn-instance Management 

ip address 192.168.10.10 24

ip route-static vpn-instance Management 0.0.0.0 0 192.168.10.254

 然后将10号口接核心，并且划入管理网段。这样可以隔离路由表，做单独的管理，不影响转发。