Estou no meio de um projeto para migrar alguns troncos Ethernet comutados dot1q existentes atrás de um firewall ASA ... esses troncos têm cinco vlans cada (numerados 51 - 55). Este é um desenho simples do serviço layer2 original ...
Um dos requisitos é ter um contexto de firewall ASA por Vlan no tronco dot1q original. Isso significa que eu acabo usando um BVI para conectar a nova interface INSIDE à interface DMZ em cada contexto do FW. Devido a outras restrições, acabo com uma configuração do FW como esta (estou resumindo todo o material de contexto para simplificar a pergunta) ...
firewall transparent
!
interface GigabitEthernet0/1.51
vlan 51
nameif INSIDE
security-level 100
bridge-group 1
!
interface GigabitEthernet0/2.951
vlan 951
nameif DMZ
security-level 50
bridge-group 1
!
interface BVI1
ip address 10.10.51.240 255.255.255.0 standby 10.10.51.241
!
Os ASAs da Cisco no modo transparente acabam usando dois IDs de vlan diferentes para conectar um único serviço de vlan layer2. Conecte as duas vlan através interface BVI1
; a bridge-group 1
configuração em cada interface física faz a conexão entre Vlan51 e Vlan951 na configuração acima.
Suponha que ASA: Gi0 / 2 se conecte a 4507: Gi1 / 2 ... Observe o que acontece com a interface DMZ ... a ASA DMZ Vlan é 951, e isso se conecta por meio de um tronco dot1q ao comutador DMZ (o Cat4507). Preciso conectar o D1 ao switchport 4507: Gi1 / 1, mas devo entregar os serviços Vlan951-955 ao D1 como dot1q Vlan51-55 no 4507: Gi1 / 1. Em outras palavras, a disputa de Vlan BVI que eu tive que fazer no ASA atrapalha a numeração de Vlan na minha definição de serviço original.
Infelizmente, não posso renumerar facilmente os Vlans no D1. A solução perfeita seria traduzir de alguma forma a Vlan951 no 4507: Gi1 / 2 para Vlan51 no 4507: Gi1 / 1. A Cisco possui um recurso chamado mapeamento de vlan , mas parece exigir o QinQ ... todos os meus serviços são dot1q simples ... os documentos de mapeamento de 4500 vlan não são claros sobre como eles lidam com o encapsulamento dot1q simples.
Eu sei que posso traduzir as vlans no 4500 via cabo de loopback, mas isso queima duas portas extras por Vlan ... um total de dez portas extras para todas as Vlans no serviço (v51 - v55).
Questão
Consulte o diagrama abaixo.
Como posso converter todos os Vlans numerados 95x no tronco 4507: Gi1 / 2 dot1q para serem numerados Vlan5x em 4507: Gi1 / 1 dot1q? Eu preciso usar o menor número de portas consumidas para "sobrecarga de tradução". Inclua configurações para todas as portas que sua resposta exigir.
Estou aberto ao mapeamento de vlan , se alguém puder explicar como funcionaria nessa topologia ...
Equipamento
- 4507R + E, Sup7L-E com IOS XE 3.4.0
- ASA5555X com 9.0 (2)