Juniper SSG5 VLAN設定

-


Juniper SSG5 VLAN設定

關於Trunk、Hybrid、Access、Tag、Untag、Pvid的關係與區別 
一、相關定義
1、Trunk口，Trunk口上可以同時傳送多個VLAN的包，一般用於交換機之間的鏈結。
2、Hybrid口，Hybrid口上可以同時傳送多個VLAN的包，一般用於交換機之間的鏈結或交換機於伺服器的鏈 接。
3、Access口，Access口只能屬於1個VLAN，一般用於連接電腦的埠。
4、Tag和Untag，tag是指vlan的標籤，即vlan的id，用於指名資料包屬於那個vlan，untag指數據包不屬於任何vlan，沒有vlan標記。
5、pvid，即埠vlan id號，是非標記埠的vlan id 設定，當非標記資料包進入交換機，交換機將檢查vlan設定並決定是否進行轉發。一個ip包進入交換機埠的時候，如果沒有帶tag頭，且該埠上配置了 pvid，那麼，該資料包就會被打上相應的tag頭！如果進入的ip包已經帶有tag頭（vlan資料）的話，那麼交換機一般不會再增加tag頭，即使是 埠上配置了pvid號；當非標記資料包進入交換機。
二、埠的Tag和Untag
若某一埠在vlan設定中被指定為非標記埠untagged port, 所有從此埠轉發出的資料包上都沒有標記 (untagged)。若有標記的資料包進入交換機，則其經過非標記埠時，標記將被去除。因為目前眾多設備並不支援標記資料包，其也無法識別標記資料 包，因此，需要將與其連接的埠設定為非標記。
若某一埠在vlan設定中被指定為標記埠tagged port, 所有從此埠轉發出的資料包上都將有標記 (tagged)。若有非標記的資料包進入交換機，則其經過標記埠時，標記將被加上。此時，其將使用在ingress 埠上的pvid設定作為增加的標記中的vlan id號。
三、埠的封裝類型：ISL、802.1Q
ISL Trunk上所有的包都是tag的（Cisco專用）；
802.1q 設計的時候為了相容與不支援VLAN的交換機混合部署，特地設計成可以不tag：但是只有一個VLAN允許不tag，這樣N個VLAN，(N-1)個都tag了，不tag的包一定是來自那個特殊VLAN的，所以不會亂套。（當然也可以所有VLAN都tag）
四、各埠收發資料的區別
埠類型
收發
描述
Access
收報文
判斷是否有VLAN資訊：如果沒有則打上埠的PVID，並進行交換轉發，如果有則直接丟棄（缺省）
發報文
將報文的VLAN資訊剝離，直接發送出去
Trunk
收報文
收到一個報文，判斷是否有VLAN資訊：如果沒有則打上埠的PVID，並進行交換轉發，如果有判斷該trunk埠是否允許該 VLAN的資料進入：如果可以則轉發，否則丟棄
發報文
比較埠的PVID和將要發送報文的VLAN資訊，如果兩者相等則剝離VLAN資訊，再發送，如果不相等則直接發送
Hybrid
收報文
收到一個報文判斷是否有VLAN資訊：如果沒有則打上埠的PVID，並進行交換轉發，如果有則判斷該hybrid埠是否允許該VLAN的資料進入：如果可以則轉發，否則丟棄
發報文
判斷該VLAN在本埠的屬性（disp interface 即可看到該埠對哪些VLAN是untag， 哪些VLAN是tag）如果是untag則剝離VLAN資訊，再發送，如果是tag則直接發送




________________ ssg5 vlan設定 sample_____________________
basic-firewall_cfg - vlan - 50_60 - 6subnet.txt
以下設定根據CD中之設定檔截取而來，歸類成三種設定方式如下

##設定vlan40，直接將vlan設置在ssg設備端口上
由於預設系統策略為deny all，所以只要將端口ethernet0/4加入安全區vlan40就能達到vlan的功能，每個安全區(zone) 之間是互不相通的，除非在策略(policy)中設定允許才行。
set zone id 100 "vlan40"
unset zone "vlan40" tcp-rst
set interface "ethernet0/4" zone "vlan40"
set interface ethernet0/4 ip 192.168.40.1/24
set interface ethernet0/4 route
set interface ethernet0/4 dhcp server service
set interface ethernet0/4 dhcp server enable
set interface ethernet0/4 dhcp server option gateway 192.168.40.1      ##指定default gateway
set interface ethernet0/4 dhcp server option netmask 255.255.255.0
set interface ethernet0/4 dhcp server option dns1 168.95.1.1        ##指定dns
set interface ethernet0/4 dhcp server ip 192.168.40.11 to 192.168.40.111     ##指定位址集
set policy id 2 name "vlan40-untrust" from "vlan40" to "Untrust"  "Any" "Any" "ANY" permit


##設定vlan50 — 網路介面模式為nat，並設定tag
一般通常將介面模式設為route，在此示範nat模式，一旦將 介面模式設為nat，則您在策略設定中就必須加入nat src的設定，才能與外界溝通。
set zone id 101 "vlan50"
unset zone "vlan50" tcp-rst
set interface "ethernet0/5" zone "vlan50"       ##為介面指定安全區
set interface "ethernet0/5.1" tag 51 zone "vlan50"      ##為子介面指定TAG及安全區
set interface "ethernet0/5.2" tag 52 zone "vlan50"
set interface ethernet0/5.1 ip 192.168.51.1/24       ##為子介面指定IP
set interface ethernet0/5.1 nat               ##設定子介面網路模式為NAT
set interface ethernet0/5.2 ip 192.168.52.1/24
set interface ethernet0/5.2 nat
set interface ethernet0/5.1 dhcp server service       ##為ethernet0/5二個子界面設定DHCP參數
set interface ethernet0/5.2 dhcp server service
set interface ethernet0/5.1 dhcp server enable
set interface ethernet0/5.2 dhcp server enable
set interface ethernet0/5.1 dhcp server option gateway 192.168.51.1     ##指定default gateway
set interface ethernet0/5.1 dhcp server option netmask 255.255.255.0
set interface ethernet0/5.1 dhcp server option dns1 168.95.1.1   ##指定dns
set interface ethernet0/5.2 dhcp server option gateway 192.168.52.1
set interface ethernet0/5.2 dhcp server option netmask 255.255.255.0
set interface ethernet0/5.2 dhcp server option dns1 168.95.1.1
set interface ethernet0/5.1 dhcp server ip 192.168.51.11 to 192.168.51.111    ##指定位址集
set interface ethernet0/5.2 dhcp server ip 192.168.52.11 to 192.168.52.111
set policy id 3 name "vlan50-untrust" from "vlan50" to "Untrust"  "Any" "Any" "ANY" nat src permit
/* 因為將子介面網路模式設定為NAT，所以policy必須設定nat src(來源位址轉譯)網路才會通。 */


##設定vlan60 — 網路介面模式為route，並設定tag
另外，ssg5一個介面(端口)只能設定一種介面模式哦。
set zone id 102 "vlan60"
unset zone "vlan60" tcp-rst
set interface "ethernet0/6" zone "vlan60"
set interface "ethernet0/6.1" tag 61 zone "vlan60"
set interface "ethernet0/6.2" tag 62 zone "vlan60"
set interface ethernet0/6.1 ip 192.168.61.1/24
set interface ethernet0/6.1 route
set interface ethernet0/6.2 ip 192.168.62.1/24
set interface ethernet0/6.2 route
set interface ethernet0/6.1 dhcp server service
set interface ethernet0/6.2 dhcp server service
set interface ethernet0/6.1 dhcp server enable
set interface ethernet0/6.2 dhcp server enable
set interface ethernet0/6.1 dhcp server option gateway 192.168.61.1
set interface ethernet0/6.1 dhcp server option netmask 255.255.255.0
set interface ethernet0/6.1 dhcp server option dns1 168.95.1.1
set interface ethernet0/6.2 dhcp server option gateway 192.168.62.1
set interface ethernet0/6.2 dhcp server option netmask 255.255.255.0
set interface ethernet0/6.2 dhcp server option dns1 168.95.1.1
set interface ethernet0/6.1 dhcp server ip 192.168.61.11 to 192.168.61.111
set interface ethernet0/6.2 dhcp server ip 192.168.62.11 to 192.168.62.111
set policy id 4 name "vlan60-untrust" from "vlan60" to "Untrust"  "Any" "Any" "ANY" permit
##讓vlan60能夠上網

若要讓vlan能夠互通，則要設定policy才行。
set policy id 5 from "vlan50" to "vlan60"  "Any" "Any" "ANY" nat src permit
set policy id 6 from "vlan60" to "vlan50"  "Any" "Any" "ANY" permit

________________子網路Swithces的vlan相關設定 _____________________


本範例為一8prots簡單網管型switches，簡單網管交換機預設端口1為溝通彙聚端口，且vlan 1無法被刪除。
首先要將交換機端口1與SSG5 ethernet0/5、ethernet0/6端口相連，SSG5端口已經設定好VLAN ID為51,52,61,62四個VLAN，並已經設定好DHCP，預設只要接入交換機的2,3,4,5埠，就能取得相對應的IP網段之IP。
當然，本例所使用的為一8prots簡單網管型switches，簡單網管交換機預設端口1為溝通彙聚端口(只有1個trunk port)，所以您要vlan51,52能通，就得將SSG5 ethernet0/5與switches端口1連接；若您要vlan61,62能通，就得將SSG5 ethernet0/6與switches端口1連接；沒辦法，簡單網管交換機嘛!
若想要一條就能通全部，簡單，在ssg5將所有vlan51,52,61,62全部設在ethernet0/6端口即可，本例純屬示範網路介面模式nat、route而已。
另外，ssg5一個介面(端口)只能設定一種介面模式哦。
設定方法如下：
端口1為接路由的VLAN彙聚口，端口2-5設定成VLAN 51,52,61,62，端口6-8用不到，設定成單獨VLAN 6。
首先，在VLAN ID號裏填51，VLAN 名可以任意(本例空白)，然後埠1 選擇"Tagged"，埠2選擇"Untagged"，然後點擊"增加/修改"。
然後繼續設置VLAN52,61,62。設置完後結果如下：


VLAN ID 設置好之後，進入VLAN PVID埠設置，將埠的PVID 設置成跟VLAN ID 一致，接收幀格式為ALL，如下圖：
端口選擇 "Port 2"，PVID填入51，允許類型選擇"所有"，然後點擊"應用"。
其餘設定類推。
(PS：同一個VLAN的VLAN ID與PVID編號要設定一致，否則VLAN會不通，無論有無TAG標記都一樣不通)                                                                          

設置完後請在工具裏點保存，否則會斷電導致設置丟失
________________ 子網路Swithces的vlan相關設定 __________________end


這個網誌中的熱門文章

如何測試網路連線--網路斷線了怎麼辦?

-
圖片
如何測試網路連線--網路斷線了怎麼辦? 如何測試網路連線 -- 網路不通了 DIY 自行檢測網路連線 當我們打開電腦，卻發現無法上網了，這時候我們該怎麼辦呢 ? 如果在公司的話，我們可以請電腦人員來處理，而若是在家裡，我們就必須 DIY 先自行檢查一遍，如果檢查後仍然不能上網的話，我們也只能請朋友或是廠商來維修了。 而我們又要如何 DIY 先自行檢查呢 ? 請您依照下列步驟來進行： 第一步：進入 DOS 命令列模式。 按 " 視窗鍵 +R 鍵 " ，開啟執行視窗並輸入 " cmd " 後按 enter 鍵來進入 DOS 命令列模式。 第二步：檢查 ip 是否正常。 請輸入 " ipconfig " 來 檢查有無取得正常 IP 或是 IP 設定是否正確。 若電腦要上網，則每台電腦 一 定都要配有一個 IP 位址才行，本例的 IP 位址為 192.168.1.11 。 而 IP 位址分成 公共 IP 與 私有 IP 兩種， 只有公共 IP 才能上網 ( 網際網路 ) ，私有 IP 是無法直接上網的，私有 IP 只能在區域網路中使用 。而因為公共 IP 太少，所以要搭配私有 IP 來上網才行，這樣就可以達到以 100 台電腦，或是以 10000 台電腦，使用私有 IP 經過網路設備的轉換而達成只需使用 1 個公共 IP 就能讓大家一起上網的目的了。 私有 IP 無法直接連接網際網路，需要使用 網絡地址轉換（ Network Address Translator ， NAT ） 或者 代理伺服器   （ proxy server ） 來實現。與公網 IP 相比，私有 IP 是免費的，同時節省了 IP 位址資源，適合在區域網使用。私有 IP 常被用於家庭，學校和企業的區域網。 私有 IP 的範圍： 192.168.XX. XX 172.16. XX.XX – - 172.31. XX.XX 10. XX.XX.XX 我們只要看到 IP 位址開頭為上述範圍的 IP ，就表示您的 IP 為私有 IP 。 還有一種 ip 位址為 169.254. X.X ， 這種...
閱讀完整內容

筆記電腦刷BIOS失敗無法開機—用CH341A編程器重刷BIOS教學！

-
圖片
ASUS 筆記電腦更新 BIOS 失敗無法開機 —用 CH341A 編程 器重刷 BIOS 教學！ 前一陣子買了一台新的筆記電腦 (∩_∩) ，因此讓跟了我多年的 ASUS A42JA 筆電因此就被束之高閣沒有再被使用了 ヽ (´ ー ` )┌ ，後來想說反正放著不用也是浪費，乾脆就整理一下拿到拍賣網站給便宜賣掉算了 (¬ ‿ ¬) ，於是便動手開始移除個人的資料， 把 WINDOWS 7 系統還原到出廠狀態，順便一起更新 BIOS 的版本 ，而更新的過程很順利，在寫入 100% 後便自行重開機，重開機後小弟發現電源燈與硬碟燈皆恆亮，且螢幕沒有畫面，但小弟當然得等著它繼續開機更新 BIOS ，可是 2 分鐘 .. ， 5 分鐘過了 .. ，情況還是一樣，此時心中不禁起了疑惑   (• ิ _• ิ )? ，不會吧 ！ 會不會更新失敗了 ？ 難道這麼倒楣的事都讓小弟我給碰上了 ？ 一直等到十分鐘過後，小弟我終於失去耐性了，便下定決心長按電源鍵來讓筆記電腦強行關機   ( ╯‵ □′) ╯ ︵ ╧═╧ ，然後再開機，結果依然還是沒有畫面，電源燈與硬碟燈都恆亮的情況，小弟仍不死心的又重試了幾次，問題最後終於明朗化了，他媽的 BIOS 真的更新失敗了，對小弟來說一直是傳說中的問題竟被我給遇上了 ！！！   。゜゜ (´ Ｏ `) ゜゜。 因為這台 ASUS A42JA 筆電已購置多年，早就過保固了，因此小弟先上網 GOOGLE 下，發現這類問題 ASUS 原廠通常是換主機板（這是在論壇上討論的內容），且一片要價 $5000 元   ( ⊙ _ ⊙ ) ，所以送回原廠維修的方案小弟就不考慮了（超出了筆電的價值沒有維修的必要），小弟接著再努力的 GOOGLE 幾下，終於發現 BIOS 更新失敗後似乎可以自行使用燒錄器來重刷 BIOS  (¬_¬;) ，於是這便成為小弟唯一可行的解決方案了。 從網路上找到的刷 BIOS 案例中，發現大多是使用 ”CH341A 編程器 （ 燒錄器 ） ” 來進行燒錄作業，其基本作法是用烙鐵將主機板上的 BIOS 晶片（ 芯片 ） 拆下，再用 CH341A 燒錄器將原廠下載的 BIOS 檔案燒入芯片中，最後再將 BIOS 芯片焊接回筆電主機板上。而因為小弟也是...
閱讀完整內容

查理王的電腦部落格-首頁

-
查理王的電腦部落格 之所以成立這個部落格，最主要是要和大家分享自己學習電腦的一些經驗，在學習上往往因為一個指令或是一個觀念，常常我們要上網查幾天的資料才有答案，因此也就有了將自己的電腦學習經驗分享出來的想法，但是個人的經驗往往不足，觀念也不見得完全正確，加上粗心大意，校稿不認真等等因素，文中若有謬誤不對之處尚請大家見諒，還望各位大大能不吝賜教，將錯誤指明並 email 給我 ( taiwankid168@gmail.com ) ，小弟在此萬分感謝您 !! 因為沒有太多時間管理部落格，所以並沒有開放留言區提供給大家留言，尚請大家見諒 !! 小弟一向喜愛美食，所以未來會陸續在本版中加入美食文章，主要原因也是小弟文章的產量一向不高，所以就不另外開美食部落格了。另外，小弟也會在本版中陸續加入宗教相關文章，介紹小弟常拜拜的廟宇，歡迎大家來點閱。   美食文章    宗教相關文章    Juniper 防火牆相關文章   近期發表文章： 屏東 東港東隆宮介紹 （ 溫府千歲 、 王爺公 ） 屏東慈鳳宮 介紹 （ 屏東媽、阿猴媽 ） 花蓮聖地慈惠堂總堂介紹 （ 金母娘娘 ） 台中清水壽天宮介紹 （ 西勢媽 ） 高雄三鳳宮 介紹 （ 太子爺 ） 三峽清水祖師廟介紹 （ 清水祖師 ） 苗栗玉清宮介紹 （ 關聖帝君 ） 後龍山邊媽祖宮 介紹 （ 山邊媽 ） 竹南後厝龍鳳宮介紹 （ 媽祖 ） 新竹普天宮 介紹 （ 關聖帝君 ） 清水慈雲 宮介紹 （ 觀音佛祖 ） 新竹東寧宮介紹 （ 地藏王菩薩 ） 台南南鯤鯓代天府 介紹 （ 五府王爺 ） 台南南鯤鯓萬善堂 介紹 （ 囝仔公小王爺 ） 台南南 鯤鯓代天府 - 凌霄寶殿介紹（玉皇上帝 ） 難得的平民美味 - 甕仔海鮮麵 - 新竹北門雞絲飯 彰化 北斗美食 - 阿美姊高麗菜飯（北斗奠安宮前） 艋舺龍山寺介紹 （ 觀世音菩薩 ） 三峽行修 宮（ 行天宮三峽分宮 ）介紹 （ 關聖帝君 ） 北投行 天宮（ 忠義 廟 ）介紹 （ 關聖帝君 ） 行天宮（ 恩主公廟 ）介紹 （ 關聖帝君 ） 竹北天后宮介紹（竹北媽） 鹿港天后宮（舊祖宮）介紹 （鹿港媽） 苗栗通霄白沙屯拱天宮介紹 （ 白沙屯媽 ） 埔里寶湖宮天地堂地母廟介紹 （ 全台地母至尊總廟 ） 新竹竹蓮寺 介紹（觀世音菩薩） 彰化北斗奠安...
閱讀完整內容