NetdefendOS_2.27.01_Firewall_User_Manual_RUS

gw-world:/> set EthernetDevice lan
EthernetDriver=IXP4NPEEthernetDriver
PCIBus=0 PCISlot=0 PCIPort=2
3.3.3. VLAN
Полный список опций CLI-команд приведен в руководстве CLI Reference Guide.
Обзор
Виртуальная локальная сеть (Virtual LAN, VLAN), поддерживаемая системой NetDefendOS
позволяет определять один или несколько VLAN-интерфейсов, которые связаны с конкретным
физическим интерфейсом. VLAN-интерфейсы рассматриваются как логические интерфейсы
NetDefendOS и могут обрабатываться как и другие интерфейсы в системе NetDefendOS с помощью
наборов правил и таблиц маршрутизации.
VLAN применяется в нескольких случаях. Обычное применение – когда один Ethernet-интерфейс
представлен как несколько интерфейсов. Это означает, что число физических Ethernet-портов на
межсетевых экранах NetDefend не ограничивается числом соединений внешних сетей.
Другим типичным случаем применения VLAN является группировка отдельных пользователей
таким образом, чтобы трафик, принадлежащий различным группам, был полностью отделен от
других виртуальных локальных сетей. Трафик может проходить только между различными VLANсетями,
находящимися под управлением NetDefendOS и фильтроваться с помощью политик
безопасности, описываемых наборами правил системы NetDefendOS.
Ниже более подробно объясняется о том, что конфигурация VLAN системы NetDefendOS включает
в себя комбинацию VLAN-каналов от межсетевых экранов NetDefend до коммутаторов, на
интерфейсах которых порты настроены на основе VLAN. Любой физический интерфейс
межсетевого экрана может одновременно пропускать как не- VLAN-трафик, так и VLAN-трафик для
одного или нескольких VLAN.
Механизм работы VLAN
NetDefendOS полностью поддерживает стандарт IEEE 802.1Q. В этом стандарте определяется, как
функционирует VLAN, добавляя к заголовку Ethernet-кадра виртуальный идентификатор локальной
сети (VLAN ID), который является частью трафика VLAN-сети.
VLAN ID – это число от 0 до 4095, используемое для идентификации конкретной виртуальной
локальной сети, которой принадлежит каждый фрейм. С применением такого механизма Ethernetфреймы
могут принадлежать разным виртуальным локальным сетям и при этом совместно
использовать один физический интерфейс.
В основе обработки системой NetDefendOS VLAN-тэговых Ethernet-фреймов на физическом
интерфейсе лежат следующие принципы:
• Etnernet-фреймы, полученные системой NetDefendOS от физического интерфейса проверяются
на наличие VLAN ID. Если VLAN ID найден и для этого интерфейса определен
соответствующий VLAN-интерфейс, NetDefendOS будет использовать этот VLAN-интерфейс в
качестве логического интерфейса источника для дальнейшей обработки набором правил.
• Если в Ethernet-фрейме, полученном на интерфейс, нет VLAN ID, то источником фрейма
считается физический интерфейс, а не VLAN.
• Если на физический интерфейс принимается VLAN-тэгированный трафик и в конфигурации
системы NetDefendOS для этого интерфейса не определен VLAN с соответствующим VLAN ID,
то этот трафик отклоняется NetDefendOS и генерируется сообщение журнала unknown_vlanid.
96