ROS与Bridge实现二层端口隔离.docVIP

ROS的Bridge实现二层端口隔离 - - RouterOS具有Bridge的桥接功能，在配置多网口的情况下可以实现二层数据的转发，即可以实现交换机功能，加上RouterOS支持birdge filter的过滤，同样也支持对二层数据的管理，通过配置Bridge的防火墙规则实现多网口的端口隔离。 在这里我们通过RB150的操作为实例，配置二层端口隔离。 首先我们在Bridge中添加一个网桥bridge1： 在RouterOS同样支持STP（Spring Tree Protocol）生成树协议，防止二层的回环出现，同样也是支持二层的冗余功能，在这里我们将STP打上勾：在添加完桥接功能后，需要将对应的网卡添加入bridge1中，进入Port中设置，我们将五个网卡一个一个添加到bridge1 添加完每个端口后，现在RB150的5个以太网口，就完成了桥接的设置，这样5个口就实现了二层的交换功能。 现在我们需要让ether1为上联口，即ether1能与ether2、ether3、ether4和ether5进行通信，但ether2、ether3、ether4和ether5之间是被隔离。 我们进入filter中设置防火墙过滤规则，我们首先配置ether2与ether3的数据隔离我们在interface选项中设置In-interface和Out-interface（In-interface为数据进入的网口，Out-interface为数据出去的网口）： 设置好对应的端口后，丢弃他们之间的数据： 因为数据是双向的，上面这条规则是隔离的从ether2到ether3的数据，但无法封闭ether3 到ether2的数据，所以我们还要做一条反方向的规则，即两个口之间需要做两条规则： 整个端口控制组合如下： Ether2 – Ether3 Ether3 - Ether2 Ether2 – Ether4 Ether4 – Ether2 Ether2 – Ether5 Ether5 – Ether2 Ether3 – Ether4 Ether4 – Ether3 Ether3 – Ether5 Ether5 – Ether3 Ether4 – Ether5 Ether5 – Ether4 这样的配置就实现了让ether1为上联口，即ether1能与ether2、ether3、ether4和ether5进行通信，但ether2、ether3、ether4和ether5之间是被隔离。 通过Bridge filter的配置，可以实现对各种二层数据链路层的相应数据和协议做控制。 在启用bridge后，Queue和ip firewall filter的规则仍然能启作用，能实现三层数据的过滤和流控，这样RouterOS在设置为Bridge后可以做到三层路由器的功能，只要加以设置和组合。 注：在3.0版本后RouterOS在bridge中增加一个设置选项use ip firewall，该规则是询问数据控制是否经过ip firewall，如果不打勾数据将不再进入ip firewall处理，这样可以加快数据的转发，减少处理过程。增加了系统的灵活性。