27、数据中心FWSM设计与PVLAN配置详解

数据中心FWSM设计与PVLAN配置详解

1. 数据中心环境与FWSM设计概述

在企业客户环境中，当前的趋势是整合网络基础设施，以降低总体运营成本。通过第3层VPN（Layer 3 VPN）可以实现广域网（WAN）基础设施的整合。在设计数据中心时，可结合第3层VPN和FWSM实现虚拟化，且无需使用生成树协议（Spanning Tree），就能让多个部门在数据中心环境中使用相同的交换机、路由器或防火墙，并保持独立的安全域和流量隔离。

实现理想设计方案有两种方式：
- 第3层VPN隔离（多VRF或MPLS）结合第3层FWSM的多上下文模式。
- 第3层VPN隔离（多VRF或MPLS）结合第2层FWSM的多上下文模式。

1.1 第3层VPN隔离与第3层FWSM（多上下文模式）

该设计包含三个逻辑块：
|逻辑块|说明|
| ---- | ---- |
|倒数第二跳路由器（Penultimate Hop Router）|若使用MPLS第3层VPN进行流量隔离，此路由器会移除MPLS标签。它基于VLAN映射VRF，并与边界路由器通信。每个VRF的流量将通过各自的VLAN传输，将未标记的流量映射到每个VLAN足以实现该路由器与边界设备之间的隔离。这里使用vrf lite（多VRF）技术实现路由隔离。|
|边界设备（Perimeter Device）|对于连接到每个FWSM虚拟上下文（路由模式）的接口，会在PFC上为相应的VRF定义新的SVI接口，使所有链路成为点对点链路，并将VRF内定义的SVI绑定为隔离区域。防火墙可以定义两个以上的接口，外部、DMZ和内部接口将位于单独的VRF实例中。若流量是跨VRF的，数据