65、透明模式防火墙技术解析

透明模式防火墙技术解析

1. 职责分离与透明模式的应用场景

在某些网络环境中，路由、交换、防火墙和入侵防御系统（IPS）服务可能由不同的团队管理。在这种情况下，若防火墙开启路由功能，可能需要多个团队参与，这并非理想的情况。虽然从技术角度看，这种场景下使用透明模式并非必要，但后勤和管理等因素可能使透明模式成为更优选择。

另外，当现有的透明模式防火墙基础设施需要升级时，用新的透明模式防火墙替换现有设备是最简单的过渡方式。因为从二层模式切换到三层模式会导致三层基础设施发生变化。

2. MAC 地址学习机制

处于透明模式的 SRX 设备在转发流量时类似交换机。真正的二层交换机根据接收到的数据帧的目的媒体访问控制（MAC）地址而非 IP 地址进行转发。为了将流量转发到目的地，SRX 必须了解网络中 MAC 地址的位置。它通过学习特定端口上的源 MAC 地址来确定哪些端口是到达某个 MAC 地址的路径。这些信息会被缓存到 SRX 的桥接表中，用于数据包转发和策略查找。

如果 SRX 不知道虚拟局域网（VLAN）中目的 MAC 地址所在的端口，会根据配置采取以下两种操作之一：
- 泛洪数据帧 ：默认情况下，SRX 会将数据包泛洪到同一 VLAN 中的所有接口（除了数据包到达的端口），这是交换机在不知道目的 MAC 地址时的常见操作方式。
- 使用 ARP 和跟踪路由 ：出于安全考虑，有些用户可能不希望泛洪数据包。此时，Junos 提供了另一种选择，即发送地址解析协议（ARP）数据包，并可选择发送生存时间（TTL）为 1 的互联网控制消息协议（ICMP）数据