J'ai du mal à comprendre comment configurer cela et le fournisseur MPLS ne m'aide pas, alors j'ai pensé que je demanderais ici.

J'ai un MPLS à 2 nœuds chaque site ayant un accès Internet sur le même circuit que le MPLS monte. Ces circuits remplacent l'accès Internet dédié à chaque site par un tunnel IPSEC entre les sites. Nous voulons laisser nos pare-feu existants en place car ils fournissent des services de filtrage de contenu et de VPN. J'essaie de configurer un commutateur de couche 3 (un Cisco SG300-10P) sur chaque site pour configurer ce scénario.

Les informations pertinentes (les adresses IP ont été modifiées pour protéger mon idiotie)

Site A

1. LAN local: 172.18.0.0/16
2. Pare-feu existant (interne): 172.18.0.254
3. Passerelle MPLS vers le site B: 172.18.0.1
4. Plage IP Internet 192.77.1.144/28
5. Passerelle de l'opérateur vers Internet 192.77.1.145

Les éléments 3 et 5 sont sur un seul morceau de cuivre provenant d'un adtran netvana (équipement de transporteur auquel je n'ai pas accès)

Site B

1. LAN local: 192.168.2.0/23
2. Pare-feu existant (interne): 192.168.2.1
3. Passerelle MPLS vers le site A: 192.168.2.2
4. Plage IP Internet 216.60.1.16/28
5. Passerelle de l'opérateur vers Internet 216.60.1.16

Les éléments 3 et 5 sont sur un seul morceau de cuivre provenant d'un adtran 908e (équipement de transporteur auquel je n'ai pas accès)

Donc, étant donné ce qui précède, ce que je veux faire sur chaque site est de configurer ces commutateurs Cisco de sorte que:

Port 1 = Carrier Connection Port 2 = Interal Lan Port 3 = Firewall

Lorsque le réseau local n'est pas exposé à la plage IP Internet (c'est-à-dire si certains yahoo configurent leur machine sur une IP Internet fournie avec la passerelle des opérateurs, cela ne fonctionne pas) Ou mettez différemment du port 1 tout le trafic dans le sous-réseau Internet ne peut que quittez le port 3 et du port 1 tout le trafic sur le sous-réseau local ne peut quitter que le port 2.

Chaque tentative que j'ai faite jusqu'à présent n'aboutit à aucun accès entre les ports ou à un comportement basique de swith (n'importe quel hôte sur n'importe quel port peut traverser toutes les plages IP).

Première question ici, alors soyez gentil. :) Si vous avez besoin de plus d'informations, je serais heureux de vous les fournir.

Selon la façon dont le service est fourni par le SP, vous dicterez comment séparer les services de votre côté.

Les méthodes typiques sont soit un port par service, soit une balise VLAN par service.

Si le SP marque le trafic, vous pouvez simplement configurer votre commutateur de jonction vers le SP, puis séparer le trafic en deux ports d'accès (un vers FW et un vers LAN).

S'il s'agit d'un port par service, créez simplement deux VLAN avec les services dans différents VLAN pour l'isolement.

En supposant qu'Adtran n'utilise pas de VLAN, j'établirais un réseau de transport entre le routeur Adtran et le pare-feu (en utilisant peut-être celui qui existe déjà sur l'interface Adtran).

Cela fait, il vous suffit d'ajouter des routes sur le pare-feu pour couvrir tous vos besoins de communication (passerelle par défaut pointant vers l'Adtran).

Ensuite, vous pouvez connecter tout le reste derrière votre pare-feu afin qu'il protège vos réseaux.