iT邦幫忙

0

routing 路由設定問題

https://ithelp.ithome.com.tw/upload/images/20200520/20113211YL9CUQpKLR.jpg

架構圖如上, 有三個問題:

1.PC A要傳資料到PC B, 但PC A的gateway是設在防火牆上, 這時候L3 switch用static route設定就可以解決A到B的問題嗎?

2.PC A的gateway設定在防火牆上這樣是正規作法嗎? 還是正規設法gateway要設定在L3 switch身上?

3.L3 switch除了用static route, 有更好的設定嗎? 例如用OSPF? RIP?

謝謝!

3
echochio
iT邦高手 1 級 ‧ 2020-05-20 20:05:36
  1. L3 設定 static route 就可以了
  2. 正規設法gateway要設定在L3 switch
  3. L3 switch除了用static route .... 你確定了解 OSPF 與 RIP 嗎?
    你的網路架構有多台且星狀的路由 , 有就考慮用 RIP -> IGRP -> OSPF
    最小的 RIP 支援 單一路徑最多支援15個網路設備 .... 你有需要嗎 ?
    動態學習路由會吃效能的
看更多先前的回應...收起先前的回應...

不太理解為什麼有L4設備為什麼中間要掛一台L3 switch,這樣內部policy不就沒有任何意義,如果單純要做路由繞送,邏輯上應該把L3 switch放在最上面吧

防火牆擺外面這是最好的方式吧
路由交給L3這樣是最符合效能的

ee88521 iT邦新手 5 級 ‧ 2020-05-21 14:20:55 檢舉

L3 SW是hardware routing對比防火牆software routing效率應該會比較好

echochio iT邦高手 1 級 ‧ 2020-05-22 08:50:19 檢舉

@ harvey9527
不知您是否知道 core switch 定義 ,
正常是
core switch -> L3 內部交換用 ...
f/W -> L4 - L7 做對外交換用 ...
當然 L4 - L7 來當 內部交換用也可 ...
很多人L3 不路由當 L2 用... XD

@echochio
理解core switch,單純是好奇內部管理都直接通過L3 switch,那要怎樣透過政策去做管理,他又沒辦法做L4 session管制;當然理解FW該做的事對外政策/NAT等等做交換,這裏只是討論一個架構做法,沒有規定一定要這樣做

echochio iT邦高手 1 級 ‧ 2020-05-23 10:57:22 檢舉

@harvey9527
沒規定要如何做, 既然問 "正規作法" 當然回 -> 正規作法
只是於IPS 那種 -> 正規作法
當然有那種將所有內外網線都接在 f/w 上 , 所有都由 f/w 交換的 ,
更本沒有 L3

我可以理解這樣的配置,只是我是好奇那內部管治要怎樣做到?
另外,如果要都由 f/w 交換的,正常做法也是都線都接在L2上面,做port-channel 和F/w對接

2
yesongow
iT邦大師 1 級 ‧ 2020-05-21 13:07:58

Layer3 swtich 的ip interface 有沒有 PC B的網段?理論上要有,以便當pc B的gateway
例如10.0.1.253/24

所以,L3 Switch 不用 設定 route ,才對,而是設定Interface 2 IP=10.0.1.253/24
(如同你的左右手,你不用告知左手如何找到右手,因為左右手都是你的interface)

PC A的IP與FW是同網段,所以PC A的GW可以是FW,也能是L3 Switch 同網段的ip
(Interface 1 IP=192.168.1.253)

另外一個重點,你必須要在FW牆上,設定PC B網段,需透過L3 Switch IP,這很重要!
(你必須告訴你的同事,你的右手藏在哪裡(撸管?),這樣她才知道如何找到你的右手)

類似這樣的規則
route add 10.0.1.0/24 192.168.1.253 metric 1

ee88521 iT邦新手 5 級 ‧ 2020-05-21 14:30:15 檢舉

另外一個重點,你必須要在FW牆上,設定PC B網段,需透過L3 Switch IP

請問FW牆上如果沒設定PC B網段需走向L3 SW, 這樣在怎樣的情況下會出問題呢? 因為封包如果是由下往上出internet, 路都打通了, 封包回來時應該不會有routing找不到的問題, 我的想法不知道對嗎? 謝謝您!

echochio iT邦高手 1 級 ‧ 2020-05-22 08:33:33 檢舉

樓上說的正確 , "你必須要在FW 上,設定PC B網段,需透過L3 Switch IP" ,

然後 說 L3 Switch 不用 設定 route ,才對 ....

當然可以的 ... 那用 L2 就好為啥用 L3 有點浪費 使用
把 L2 做 trunk 連到 f/w , 然後所有規則在 f/w 做 ....
例如 routing , nat , dnz , policy ....

應該沒有人會說 f/w 的 routing 效能會比 L3 好吧 ?
既然如此為啥用 f/w 做不用 L3 做 ?
0
msnman
iT邦研究生 2 級 ‧ 2020-05-21 14:13:53

1.L3上作static route是可行,但如果要把gateway設在firewall上,firewall也必須作static route,如此,firewall才會認識pcA和pcB的網段。
2.正規的做法應該是L3上面做trunk讓vlan可以溝通,然後,gateway設在firewall上。
3.同上。ospf,eigrp這些都是cisco route的動態路由設定。L3switch也可設定rip。

ee88521 iT邦新手 5 級 ‧ 2020-05-21 14:31:41 檢舉

L3 switch要在防火牆上方,那routing不就都透過防火牆? 這樣防火牆loading不是很重? 我本來想防火牆應該在最上方耶

msnman iT邦研究生 2 級 ‧ 2020-05-21 14:38:56 檢舉

如果L3有做static route,那PCA和PCB溝通就跑L3的static route,在L3SWITCH上同時使用RIP,就可動態路由最少設備。
如果L3有做trunk,那PCA和PCB溝通就跑L3的trunk。不會跑gateway。

echochio iT邦高手 1 級 ‧ 2020-05-22 08:40:23 檢舉
正規的做法應該是L3上面做trunk讓vlan可以溝通,然後,gateway設在firewall上。

既然如此納為啥要 用 L3
買 L2 就可做 trunk vlaln 到 f/w , 路由在 f/w 做不就好了 ?

1
mytiny
iT邦大師 1 級 ‧ 2020-05-21 18:32:41

樓主不知用哪牌防火牆的
如果有說防火牆各式檢測出來效能都一致的
那肯定就是software routing

不過,防火牆也有晶片做路由的,效能好得很

網段跟網段除了抑制封包廣播外
沒有安全檢核的作用與功能
所以最好還是交防火牆分割網段做路由及資安檢核吧
其實,內網如果數量多,HP1910能做啥實在很令人懷疑
如果想網路管理做得好,除切網段做路由外還有很多課題

目前看了很多先進的做法
感覺跟上一世紀的網路做法沒啥變化
還在切網段,設trunk,搞tag,做路由
其實,現代的網路很進步了
接一接線路,把網段設一下防火牆政策就好
其它什麼設IP、路由、Trunk的全都不用做
拓譜圖自動直接會畫出來,
設備接在哪裡清清楚楚
以後大概學網管的會失業

echochio iT邦高手 1 級 ‧ 2020-05-22 09:51:44 檢舉

HP1910能做啥實在很令人懷疑 .... 真的.... XD
HP1910 在 HP 定義於 樓層收納用的 交換機
正常放於 core switch 下面 與 L2 之間
當然 HP 定義不是所有 路由都是由 core switch 來做 所以才有這個超低階的 L3
學網管的會失業 ... 那是在一般小企業....
要學去ISP 你就會用到 TAG , VLAN ,Trunk , RIP , OSPF ....

msnman iT邦研究生 2 級 ‧ 2020-05-22 11:52:24 檢舉

網管又不是只會router跟switch

我要發表回答

立即登入回答