【接口篇 / Lan】(5.6) ❀ 04. 与思科交换机二层链路聚合连接 ❀ FortiGate 防火墙

　　【简介】思科交换机除了支持三层的链路聚合外，同样支持二层链路聚合，也就是说二层的思科交换机也可以与飞塔防火墙用链路聚合连接。

---

   防火墙链路聚合设置

        防火墙链路聚合设置二层与三层差不多，只是不需要设定IP地址。

        ① 这次我们将13和14端口建立汇聚口，与思科交换机二层链路聚合连接。因为是二层，所以这里不用输入IP地址。

        ② 那交换机上的电脑怎么连接到防火墙上来呢？是通过VLAN ID，在汇聚口下建立ID为100的VLAN，在这里需要设置VLAN100的IP地址。

        ③ 建好后可以看到汇聚口Server下已经有了VLAN100，同样可以根据实际情况建立多个VLAN。

  思科二层交换机链路聚合设置

       这里我们用三层路由器设置二层链路聚合。

        ① 首先建立链路聚合，由于是三层交换机，默认链路聚合也是三层，这里需要转换成二层。

        (1) configure terminal命令进入全局配置模式。

        (2) interface port-channel 2命令进入链路聚合通道，2为通道号。

        (3) switchport命令把接口转换成二层。

        (4) end结束并保存。      

        ② 然后链路聚合需要绑定的端口，这里使用21和22，加入到新建的链路聚合端口通道中。

        (1) configure terminal命令进入全局配置模式。

        (2) interface range gigabitethernet 1/0/21-22指定交换机21和22接口。

        (3) switchport虽然默认接口是二层，这里还是转换一下。

        (4) switchport trunk encapsulation dot1q声明此交换机端口中继链路封装协议是802.1q 。

        (5) switchport mode trunk将端口配置成trunk模式，允许所有的VLAN通过。

        (6) channel-group 2 mode activeLACP有四种模式（ON、OFF、Active、Passive），这里设置模式为Active（主动）。

        (7) no shutdown启用接口。

        (8) end结束并保存。

       ③ 交换机和防火墙对应的聚合接口接好网线，稍等一会可以看接口的灯都正常。最后我们可以用命令show etherchannel summary查看链路聚合的状态，我们看到端口通道Po2的状态是SU，表示正在二层使用。说明链路聚合配置成功。

       ④ 回到飞塔防火墙，可以看到汇聚口的状态显示绿色向上箭头，说明接口启用了。

  思科三层交换机其它设置

       虽然链路聚合接口已经设置好了，但是要用起来还要配置VLAN，这里配置和三层有一点点不同。

        ① 新建立一个VLAN，并将1-8号接口加入新建的VLAN。

        (1) configure terminal命令进入全局配置模式。

        (2) vlan 100新建一个ID为100的VLAN。

        (3) name Admin把VLAN命名为Admin（管理）。

        (4) exit返回上一层。

        (5) interface vlan 100进入VLAN接口。

        (6) ip address 172.16.1.1 255.255.255.0给VLAN接口设置IP地址。

        (7) no shutdown启用接口。

        (8) exit返回上一层。

        (9) interface range gigabitEthernet 1/0/1-8指定1-8号接口。

        (10) switchport虽然接口默认都是二层，但是这里还是转换一下。

        (11) switchport mode access设置接口为交换模式。

        (12) switchport access vlan 100将接口加入到VLAN中。

        (13) end结束并保存。

        ② 给VLAN配置DHCP服务。因为是二层，不需要路由，所以和三层设置相比，这里少了路由设置。

        (1) configure terminal命令进入全局配置模式。

        (2) ip dhcp pool Admin建立一个DHCP地址池。

        (3) network 172.16.1.0 255.255.255.0地址的网段是172.16.1.0。

        (4) default-router 172.16.1.2默认路由的地址是交换机的下一跳，也就是防火墙上汇聚口下的VLAN接口的IP地址。

        (5) dns-server 202.96.134.133 114.114.114.114如果内网有DNS服务器，测DNS地址指向内网，这里指向上互联网的DNS地址。

        (6) exit返回上一层。

        (7) ip dhcp excluded-address 172.16.1.1 172.16.1.10在这里设置DHCP保护地址，1-10不会被DHCP分配。

        (8) end结束并保存。

  防火墙设置

       将电脑接入1口，可以自动获取IP地址了，Ping交换机上的链路聚合口IP，也可以Ping通，Ping防火墙上的VLAN地址，也可以Ping通。但是，要上网的话怎么办呢？

        ① 防火墙把每个VLAN都当成一个虚拟接口，建立一条策略，指定VLAN100接口可以访问互联网。同样，不同VLAN之间要互相访问，也可以用防火策略进行控制。

        ② 在防火墙的仪表板上分别加入13、14接口，可以看到这两个接口同时都是流量通过。说明链路聚合是起作用的。塔技术-老梅子   QQ：57389522

---