【接口篇 / Lan】(5.4) ❀ 0２. 与交换机连接 (回程路由) ❀ FortiGate 防火墙

        【简介】大多数企业都会配备三层交换机，通过划分VLAN更好的管理内部网络，三层交换机功能强大，本身带路由功能，可以控制VLAN之间的互相访问，这里要介绍的是三层交换机与防火墙连接上网。

---

  回程路由

        在没有等动态路由的情况下，数据从交换机到达防火墙的时候，交换机必须知道如何到达防火墙，所以交换机上要配置到达防火墙的路由。

        当交换机的数据包到达防火墙，防火墙需要做出回应，所以防火墙要知道如何到达交换机，因此防火墙必须有到达交换机的路由，也就是回程路由。

  交换机端口设置

       交换机连接防火墙的接口，必须配置为三层接口，并设定IP地址，开启路由。

        ① 这里以思科三层交换机为例，配置第24口连接防火墙。

        (1) configure terminal命令进入全局配置模式。

        (2) interface命令进入第24接口配置。

        (3) description命令标注接口的作用是连接互联网的。

        (4) no switchport命令把接口转换成三层可路由接口。

        (5) ip address命令给接口配置IP地址和子网掩码。

        ② ip routing命令为VLAN间路由启用IP路由功能，ip route命令以防火墙连三层交换机的接口IP地址为下一跳，允许通过这个地址访问互联网。

  防火墙接口设置

       交换机的路由接口配置完后，将网线接入24口，另一头接入飞塔防火墙接口，防火墙接口的IP地址要和交换机24口的IP在同一网段。

        ① 防火墙的Internal1接口，用来连接思科三层交换机，防火墙接口IP地址172.20.1.1，交换机接口IP172.20.1.254。

        ② 防火墙的internal1接口是允许访问互联网的。

        ③ 三层交换机访问防火墙，需要配置回程路由，也就是数据返回交换机时应该走哪个接口哪个网关，当访问172.16.0.0网段时，数据走internal1接口，网关IP是交换机路由接口的IP地址。

        ④ 三层交换机有几个网段，回程路由也就要建几条。

  VLAN互访及上网测试

        将电脑接入三层交换的不同接口，自动获取或手动设置IP地址、子网掩码、网关和DNS，然后Ping包测试。

        ① 测试结果，交换机上172.18.2.0网段可以通过交换机第24口经飞塔防火墙internal1接口上网。塔技术-老梅子   QQ：57389522

---