在H3C防火墻與核心交換機(jī)之間橋接部署深信服上網(wǎng)行為管理設(shè)備時(shí),設(shè)備工作在透明模式(二層橋接),默認(rèn)無(wú)法直接獲取三層設(shè)備的MAC地址。以下是實(shí)現(xiàn)三層MAC地址獲取的詳細(xì)方案:
典型部署拓?fù)錇椋?br />`
互聯(lián)網(wǎng) → H3C防火墻(三層路由) → 深信服設(shè)備(透明橋接) → 核心交換機(jī)(三層網(wǎng)關(guān))`
核心問(wèn)題:
- 深信服設(shè)備工作在二層,只能看到直接相連設(shè)備的MAC地址
- 無(wú)法直接獲取防火墻后的終端真實(shí)MAC地址
- 影響基于MAC地址的審計(jì)、管控策略
2. H3C防火墻配置:
`
interface GigabitEthernet 0/1 # 連接深信服的接口
arp-proxy enable # 啟用ARP代理
arp-proxy inner-sub-proxy enable # 啟用子網(wǎng)內(nèi)代理
`
2. H3C設(shè)備SNMP配置示例:
`
snmp-agent
snmp-agent community read public # 配置只讀社區(qū)名
snmp-agent sys-info version v2c # 使用v2c版本
snmp-agent target-host trap address udp-domain 192.168.1.100 params securityname public # 深信服設(shè)備IP
`
2. H3C交換機(jī)鏡像配置:
`
mirroring-group 1 remote-source # 創(chuàng)建遠(yuǎn)程鏡像組
mirroring-group 1 mirroring-port GigabitEthernet 1/0/1 both # 源端口
mirroring-group 1 monitor-port GigabitEthernet 1/0/24 # 目的端口(接深信服)
`
通過(guò)以上方案,可在橋接模式下準(zhǔn)確獲取三層網(wǎng)絡(luò)的MAC地址,確保上網(wǎng)行為管理的完整性和準(zhǔn)確性。建議首選方案1(ARP代答)與方案2(SNMP)結(jié)合使用,實(shí)現(xiàn)最佳效果。
如若轉(zhuǎn)載,請(qǐng)注明出處:http://m.zhdprjp.cn/product/19.html
更新時(shí)間:2026-05-15 14:56:41