65、深入解析防火墙透明模式：原理、特性与应用

深入解析防火墙透明模式：原理、特性与应用

1. 职责分离与透明模式的选择

在一些网络环境中，路由、交换、防火墙和入侵防御系统（IPS）服务可能由不同的团队管理。在这种情况下，若在防火墙上配置路由功能，可能需要多个团队参与，这并非理想的安排。虽然从技术角度看，在这种场景下使用透明模式并无强制要求，但后勤和管理等因素会使透明模式成为更合适的选择。

2. 现有透明模式基础设施的升级

当需要对现有的透明模式防火墙基础设施进行升级时，用新的透明模式防火墙替换旧的防火墙是最简单的过渡方式。因为从二层模式切换到三层模式会导致三层基础设施发生变化。

3. MAC地址学习

处于透明模式的SRX在转发流量时的表现类似于交换机。真正的二层交换机是基于接收到的帧的目的媒体访问控制（MAC）地址进行转发，而非基于IP地址。为了将流量转发到目的地，SRX必须了解网络中MAC地址的位置。SRX通过特定端口上学习到的源MAC地址，来确定哪些端口是通往某个MAC地址的路径。这些信息会被缓存到SRX的桥接表中，用于数据包转发和策略查找。

如果SRX不知道在虚拟局域网（VLAN）的哪个端口可以找到目的MAC地址，它会根据配置执行以下两种操作之一：
- 泛洪帧 ：默认情况下，SRX会将目的MAC地址未知的数据包泛洪到同一VLAN的所有接口（接收该数据包的端口除外）。这是交换机在不知道目的MAC地址时的标准行为。
- ARP与跟踪路由 ：出于安全考虑，有些用户可能不希望进行数据包泛洪。Junos提供了另一种选择，即发送地址解析协议（ARP）数据包，并可选择发送