防火墙虚拟线应用.docVIP

　虚拟线说明：　　作用：相当于一个物理层交换机，一次可以有2个接口加入一个虚拟线组。加入虚拟线的接口收包时，会直接从另一个接口转发出去，不会进行路由、arp和mac表的查找。使用此功能不需要配置接口的trunk模式（和本地的access或trunk配置无关；即使对端直连trunk口，本地接口也不用做相应配置）。在虚拟线内转发的报文，除DPI过滤外，其他功能正常实现。但不支持地址转换。　　典型应用环境 　　如上图所示，一个较为典型的应用环境是：防火墙透明接入一个交换环境，上下游交换机有2条做聚合的链路穿过墙，且聚合口trunk了多个VLAN。在此环境下，如果防火墙配置为透明模式（VLAN），那么墙上的4个接口会因为trunk了相同的VLAN而导致环路。　　有2个解决办法：　　1)在防火墙上配置相应的聚合端口（005版本开始支持）。　　2)采用虚拟线的方式接入。这种方式更加简单，2条命令就可以无缝接入原有网络，且仍然能够支持防火墙的大部分功能。　　配置说明（以上图为例）：　　TopsecOS# network virtual-line add　　dev1 the first device of the virtual-line　　dev2 the second device of the virtual-line　　TopsecOS# network virtual-line add dev1 eth0 dev2 eth1　　TopsecOS# network virtual-line add dev1 eth2 dev2 eth3　　TopsecOS# network virtual-line show　　ID xxxx dev1:eth0 dev2:eth1　　ID xxxx dev1:eth2 dev2:eth3