![Watchguard VLAN 需要头部抓握](https://linux22.com/image/655472/Watchguard%20VLAN%20%E9%9C%80%E8%A6%81%E5%A4%B4%E9%83%A8%E6%8A%93%E6%8F%A1.png)
我正在努力弄清楚如何设置我的新 Watchguard M400。以下是我需要弄清楚的事情以及我目前所做的工作。
我的 ISP 为我提供了一个 P2P IP,我将其插入我的接口(107. 地址)。他们还为我提供了不同子网上的一组 IP(也是完全不同的范围,50. 范围),所以请记住这一点。我还有一个想要使用的私有 IP(192.)。
我已经使用 P2P IP(外部)设置了接口 0,并使用简单的 192 设置了内部设置(受信任)。
防火墙后面有几个交换机:
交换机一(名称:CORE1)有 48 个端口,上面将有许多 VLAN。端口一显然是防火墙(中继)端口。
端口二将作为我独立摄像机网络的另一个交换机(名称:CORE2,VLAN=4)的上行链路。
一些其他端口将专用于 Firebox 所在的办公室(受信任的网络)VLAN=5
48 端口(CORE1)上的其余端口将插入需要分配公网 IP 的服务器,在与外界通信时,它们需要显示其公网 IP,而不是我的 Firebox 的 IP(通常会显示 P2P 地址)
我认为我已经让它工作了(有点),但是创建一个可选接口,将我的块的第一个 IP 分配给它,然后我将另一个块设置为我的笔记本电脑,它就神奇地工作了。
问题在于,使用这种方法,我需要在火炉和交换机之间建立多个连接,但我认为这行不通。
我尝试在盒子上设置 VLAN,但是它要求我为此创建一个单独的接口,但我不确定是否要这样做?
我附上了一张我制作的临时图画来帮助你想象:
现在,我的 Firebox 上的界面如下所示:
所以你可以看到三个接口。我只是为了测试而制作了“VLANUplink”,所以那是垃圾。我真的想尽可能地压缩所有这些。
我尝试使用 VLAN 属性,出于某种原因,它要求我为 VLAN 设置一个特殊接口,这就是您看到“vlanuplink”接口的原因。同样,这都是垃圾。
对于那些向我推荐网上文章的人,我已经通宵阅读了许多文章,但由于我的“声誉”不够,所以我不被允许发布它们。但请相信我。
我确实在这里找到了这篇很棒的文章:
由于我无法发布链接,请去谷歌输入“使用 xtm 后面的公共 IP 地址”,这是第一个 PDF。
我认为我会被视为“场景 1”,但如果我错了,请纠正我。请参考我绘制的临时网络图进行比较。我希望防火墙后面的一切都在,但防火墙后面的任何东西都不能相互通信,这就是 VLAN 存在的原因。
答案1
由于这刚刚被推到头版 - 您可能不需要“使用 XTM 后面的公共 IP 地址”场景,并且确实想要创建新的 VLAN 接口。
将接口 0 设置为外部,并像以前一样分配公共地址。
制作新的 VLAN 接口,每个 VLAN 一个。将它们设置为“可选”,为每个 VLAN 中的防火墙提供一个内部 IP 地址,并根据需要配置 DHCP。VLAN 中的每个设备都应获取该 VLAN 中的防火墙 IP 作为其网关 - 使用防火墙提供 DHCP 将自动执行此操作,如果它们是手动配置的或者其他东西执行 DHCP,则必须设置它。
然后设置将接口 1 设置为 VLAN 接口,并标记它以发送所有 VLAN 的流量你刚刚定义的。
要为某些服务器获取不同的公共 IP 地址,添加 1-1 NAT 条目将公共IP映射到服务器的内部IP。
为 VLAN 之间的流量制定防火墙策略,例如允许“从 VLAN2 到 VLAN5 的任何流量”,无论何种策略适合创建单独的摄像机网络和私人办公网络。
在交换机端将其设置为 VLAN 中继端口。
此设置只需要一根从防火墙到交换机的电缆(尽管如果您需要额外的带宽,可以轻松添加更多电缆 - 将接口 2 配置为 VLAN 中继,并将一些 VLAN 标记到接口 1 上,将一些 VLAN 标记到接口 2 上)。
答案2
你在这里问了很多问题,而且涉及一些相当具体的硬件,所以我只提供一些高级指导以确保合理。
首先是服务器。您希望它们具有公共 IP。这很好。但是,它们也是您内部网络的一部分;请为它们提供内部 IP。然后,您需要在 watchguard 上设置端口转发策略,以映射每个服务器的公共 IP,并将流量转发到正确的内部地址。您可能希望将此与在本地 DNS 服务器中设置记录配对,以便如果您从网络内部进行查找,则任何公开指向互联网 IP 的域都将指向本地 IP。
接下来是交换机。您的图表显示 CORE1 交换机比其他交换机更重要/更集中。如果可以,您应该让此交换机执行您的 VLAN 路由,而不是 watchguard。该交换机应该为每个 VLAN 都有一个虚拟接口,并且网络上执行 dhcp 的任何设备都应将交换机上的相应接口 IP 作为所有设备的默认网关。交换机本身应将 watchguard 的内部 IP 设置为其网关,并具有到所有 VLAN 的路由。然后将通向 watchguard 的端口设置为中继端口,或者仅标记除 watchguard 的内部 IP 之外的所有 VLAN(该 VLAN 将是未标记的成员)。
现在,您可以在 watchguard 上为每个内部网络设置 NAT 策略和路由,当然还要为服务器设置端口转发策略。您只需配置两个接口即可完成此操作,并且一条电缆就能处理所有这些流量。
不幸的是,我无法更具体。我已经以这种方式成功配置了 Watchguard 400 系列,但这只是我们后来返回的演示,因此目前我无法更具体说明每个选项的去向。(FWIW,我们现在改用 Untangle,我更喜欢它)。