防火墙context共享vlan典型配置说明_虚墙透明部署

组网不涉及，探讨如何划分vlan资源给context。

如下两个案例有简单介绍：

某局点SecPath F1080 虚墙的安全策略看不到匹配次数故障排查经验案例

虚墙之间共享使用vlan需要开启vlan-unshared模式

以上案例都有提到，创建context的时候可以选择共享vlan，亦或者是不共享vlan。

创建Context时，通过vlan-unshared参数可选择是否和其它Context共享VLAN：

·              如果选择和其它Context共享VLAN，需要在缺省Context内创建并配置VLAN，再分配给非缺省Context。共享VLAN由多个Context共同所有。VLAN 1为系统缺省VLAN，由缺省Context独有，不能分配给非缺省Context。此种方式的非缺省Context不支持将以太网接口切换为二层模式，也不支持将二层以太网接口独占方式分配给此种非缺省Context。

·              如果选择不和其它Context共享VLAN，请登录该Context，并使用vlan命令创建VLAN 2～VLAN 4094。VLAN 1为缺省VLAN，用户不能手工创建和删除。Context各自使用和管理VLAN，互不干扰。

缺省共享，这里的共享意思是说缺省context和自定义context共享一套vlan环境，也就是说vlan1-4094属于所有的context。对于某一个context，如果划分了vlan给它。那么这个vlan于它而言只属于它。这样做的目的是根据vlan区分流量由对应的context处理。

如果是不共享，那么每一个context均有自己的vlan环境，此时划分给context的接口就是context独占的。流量根据接口区分上送对应的context处理。

对于共享的vlan，有如下限制：

对于共享VLAN，请先在缺省Context内创建VLAN，再通过allocate vlan命令将指定VLAN分配给指定的Context使用。

VLAN 1不能被共享。

端口的缺省VLAN不能被共享。

 

已经创建了VLAN接口的VLAN不能被共享。

以vlan共享的环境举例，共享的接口需要配置为trunk接口，并放行对应的vlan。然后共享二层接口以及vlan给对应的context。

#

interface GigabitEthernet2/2/4/0

port link-mode bridge

port link-type trunk

undo port trunk permit vlan 1

port trunk permit vlan 2 to 4094   //根墙跑除了vlan10以外的流量

#

interface GigabitEthernet2/2/4/1

port link-mode bridge

port link-type trunk

undo port trunk permit vlan 1

port trunk permit vlan 2 to 4094   //根墙跑除了vlan10以外的流量

#

 

#

context altair id 2

context start

location blade-controller-team 1

allocate interface GigabitEthernet2/2/4/0 to GigabitEthernet2/2/4/1 share

allocate vlan 10

 

#

共享vlan模式下，接口要配置成trunk接口，并放行对应的vlan。