交换机对接防火墙的几种方式

摘要：交换机与防火墙之间进行对接，而交换机这边会通过尾单a四幺零幺接口配置的ip地址九二点幺六八幺零幺点幺与防火墙的对端接口，幺九二点幺六八幺零幺点二进行对接。

交换机与防火墙之间进行对接，而交换机这边会通过尾单a四幺零幺接口配置的ip地址九二点幺六八幺零幺点幺与防火墙的对端接口，幺九二点幺六八幺零幺点二进行对接。

连接的时候交换机的端口应该配置什么样的端口类型？通常情况下配置的是xs端口类型。为什么要配置xs端口类型？原因是交换机发网，防火墙的数据走的是三层，另外就是数据包到达对端是需要剥离尾栏幺零幺的标签的，带着标签防火墙是不认的。

当防火墙这边的数据发往交换机的时候，因为它是不带标签过来，这个端口又是excess端口类型，确成尾栏是幺零幺，所以进入到这个端口的时候会打上幺零幺的标签，数据包打上幺零幺的标签以后就能访问尾栏if幺零幺的接口，这样就实现防火墙与路由器之间的通线。

其实除了这个 x x端口以外用其他的行不行？如果是 x x怎么去配？我是这样去配的，肯定是这样去配。如果不使用access，使用 trunk行不行？想问大家使用 trunk类型行不行？创客类型芯片，来试一下。

首先在这个端口上关闭这个端口，然后这个端口把它设置成端口类型设置成创可，如果是设置成创可行不行？当然也可以。如果是设成创可首先要放行未来幺零幺，带着幺零幺的标签可以到达对方。

如果这边的数据带着标签要去访问防火墙，防火墙这个接口因为带着标签过，防火墙在物理接口上肯定是不认，如果不认怎么办？可以在防火墙的物理接口上去创建此接口，比如创个点幺零幺，就是进入到记忆一杠零杠零点幺零幺这个接口，在这个子接口下去终结尾栏幺零幺的标签就行，去终结，带着尾栏幺零幺标签剥离掉就可以，这种配置方法也可以。

如果不想那么麻烦怎么办？在这边在交换机的时候离开的时候就把幺零幺的标签剥离掉，如何去剥离？只需要在戆客上打pv i d设置个缺省的幺零幺蓝标，这样如果这个端口确实是幺零幺，发出去的也是幺带着幺零幺的标签，这个端口会剥离，离开交换机的数据会剥离幺零幺的标签。交换机从防火墙过来进入的数据不带标签的时候会打上围栏101的标签，这个就相当于和刚才xs基本上就差不多了。

这是创可的配置方法，当然如果不用创可用hurberry的行不行？当然其实也行，先把创可的配置删除掉，不part trunk pvid回来，这个端口把它设置成了哈贝的类，如果是哈贝类型如何拍？肯定是首先去打上围栏101的标签，然后这个端口去放行围栏101，放行的过程中是玻璃标签的，所以至少有四种方法，交换机与路由器或者是交换机与防火枪对接至少有四种方法，就是刚才讲的这四种。