Estoy en medio de un proyecto para migrar algunos enlaces troncales dot1q de ethernet conmutados existentes detrás de un firewall ASA ... estos enlaces tienen cinco vlans cada uno (numerados 51-55). Este es un dibujo simple del servicio original de layer2 ...
Uno de los requisitos es tener un contexto de firewall ASA por Vlan en el enlace troncal dot1q original. Esto significa que termino usando un BVI para conectar la nueva interfaz INSIDE a la interfaz DMZ en cada contexto FW. Debido a otras restricciones, termino con una configuración de FW como esta (estoy resumiendo todo el contexto para simplificar la pregunta) ...
firewall transparent
!
interface GigabitEthernet0/1.51
vlan 51
nameif INSIDE
security-level 100
bridge-group 1
!
interface GigabitEthernet0/2.951
vlan 951
nameif DMZ
security-level 50
bridge-group 1
!
interface BVI1
ip address 10.10.51.240 255.255.255.0 standby 10.10.51.241
!
Los ASA de Cisco en modo transparente terminan usando dos ID de vlan diferentes para conectar un solo servicio de vlan de capa2. Conecte los dos vlans a través interface BVI1
; La bridge-group 1
configuración en cada interfaz física establece la conexión entre Vlan51 y Vlan951 en la configuración anterior.
Suponga que ASA: Gi0 / 2 se conecta a 4507: Gi1 / 2 ... Observe lo que sucede con la interfaz DMZ ... el ASA DMZ Vlan es 951, y esto se conecta a través de un enlace dot1q al conmutador DMZ (el Cat4507). Necesito conectar D1 al puerto de conmutación 4507: Gi1 / 1, pero debo entregar los servicios Vlan951-955 a D1 como dot1q Vlan51-55 en 4507: Gi1 / 1. En otras palabras, la disputa Vlan BVI que tuve que hacer en el ASA arruina la numeración de Vlan en mi definición de servicio original.
Lamentablemente, no puedo renumerar fácilmente los Vlans en D1. La solución perfecta sería traducir de alguna manera Vlan951 en 4507: Gi1 / 2 a Vlan51 en 4507: Gi1 / 1. Cisco tiene una característica llamada mapeo vlan , pero parece requerir QinQ ... todos mis servicios son simples dot1q ... los documentos de mapeo 4500 vlan no tienen claro cómo manejan la encapsulación dot1q simple.
Sé que puedo traducir los vlans en el 4500 a través del cable de bucle invertido, pero esto quema dos puertos adicionales por Vlan ... un total de diez puertos adicionales para todos los Vlans en el servicio (v51 - v55).
Pregunta
Hacer referencia al diagrama de abajo.
¿Cómo puedo traducir todos los Vlans numerados 95x en 4507: Gi1 / 2 dot1q troncal para que se numeren Vlan5x en 4507: Gi1 / 1 dot1q? Necesito usar la menor cantidad de puertos consumidos para la "sobrecarga de traducción". Incluya configuraciones para todos los puertos que requiera su respuesta.
Estoy abierto a la asignación de vlan , si alguien puede explicar cómo funcionaría en esta topología ...
Equipo
- 4507R + E, Sup7L-E con IOS XE 3.4.0
- ASA5555X con 9.0 (2)