Comunicação entre Firewall e Switch

[rafaeldeconto02]

Possuo um Cisco Asa 5506x como firewall e um Switch Dell S3148, a ideia é criar uma VLAN fora da rede interna, já fiz as configurações necessárias em ambos equipamentos, mas ao fazer o troubleshooting em um pc ele me informa rede não identificada, segue abaixo as configs:
Cisco 
interface GigabitEthernet1/6
 no nameif
 no security-level
 no ip address

interface GigabitEthernet1/6.10
 vlan 10
 nameif wifiexterno
 security-level 0
 ip address 192.168.10.1 255.255.255.0

Dell

interface Vlan 10
 name if wifiexterno
 no ip address
 tagged GigabitEthernet 1/43,1/48
 no shutdown

 

interface GigabitEthernet 1/43
 no ip address
 switchport
 no shutdown
 

interface GigabitEthernet 1/48
 no ip address
 switchport
 no shutdown

 

onde está o erro?

[Cadu Campos]

@rafaeldeconto02 Olá amigo, tudo bem?

Recomendo você entender primeiro como funciona vlan, dessa forma você vai ficar batendo a cabeça sem entender o problema. 

Existe dois modos de configuração de vlan que são TAGGED/TRUNK ou UNTAGGED/ACCESS (varia de switch pra switch a nomeclatura), para comunicação de equipamentos que permitem vlan, a configuração da mesma será em TAGGED/TRUNK entre as portas de uplink e para equipamentos que não suportam vlan será em UNTAGGED/ACCESS.

Respondendo o seu caso, a comunicação entre o FIREWALL x SWITCH a vlan estará em TAGGED e a interface que faz a comunicação com o computador será em UNTAGGED. 

obs1: Todo switch só opera com uma vlan em untagged/access;
obs2: Todo switch pode trabalhar com até 4096 vlans em modo tagged em cada interface (em caso de cisco existem vlans exclusivas que não podem ser usadas pois são para processos internos)
obs3: Alguns switchs você precisa configurar o modo da vlan e inserir o pvid ex;

exemplo de interface com vlan em untagged
INTERFACE ETHERNET 1/48
SWITCHPORT MODE ACCESS
SWITCHPORT ACCESS VLAN 50 

exemplo de interface em modo general (aceita vlan em trunk e uma em pvid)

 

INTERFACE ETHERNET 1/47
SWITCHPORT MODE TRUNK
SWITCHPORT TRUNK ALLOWED VLAN ADD 40,41,42,43,50
SWITCHPORT ACCESS VLAN 50
SWITCHPORT TRUNK NATIVE VLAN 50 

este exemplo foi utilizado um switch cisco nexus 3064.

[rafaeldeconto02]

@Cadu Campos

20 horas atrás, Cadu Campos disse:

@rafaeldeconto02 Olá amigo, tudo bem?

Recomendo você entender primeiro como funciona vlan, dessa forma você vai ficar batendo a cabeça sem entender o problema. 

Existe dois modos de configuração de vlan que são TAGGED/TRUNK ou UNTAGGED/ACCESS (varia de switch pra switch a nomeclatura), para comunicação de equipamentos que permitem vlan, a configuração da mesma será em TAGGED/TRUNK entre as portas de uplink e para equipamentos que não suportam vlan será em UNTAGGED/ACCESS.

Respondendo o seu caso, a comunicação entre o FIREWALL x SWITCH a vlan estará em TAGGED e a interface que faz a comunicação com o computador será em UNTAGGED. 

obs1: Todo switch só opera com uma vlan em untagged/access;
obs2: Todo switch pode trabalhar com até 4096 vlans em modo tagged em cada interface (em caso de cisco existem vlans exclusivas que não podem ser usadas pois são para processos internos)
obs3: Alguns switchs você precisa configurar o modo da vlan e inserir o pvid ex;

exemplo de interface com vlan em untagged
INTERFACE ETHERNET 1/48
SWITCHPORT MODE ACCESS
SWITCHPORT ACCESS VLAN 50 

exemplo de interface em modo general (aceita vlan em trunk e uma em pvid)

 

INTERFACE ETHERNET 1/47
SWITCHPORT MODE TRUNK
SWITCHPORT TRUNK ALLOWED VLAN ADD 40,41,42,43,50
SWITCHPORT ACCESS VLAN 50
SWITCHPORT TRUNK NATIVE VLAN 50 

este exemplo foi utilizado um switch cisco nexus 3064.

Ok, entendi, porém o meu firewall não tem a função switchport, então quando coloco em tagged ele não se comunica da maneira adequada com o switch, utilizando untagged está ok, o problema é que como você citou, existe a possibilidade de colocar várias VLANs em uma interface, era isso que eu gostaria de fazer. Tenho outra solução? 

[Cadu Campos]

@rafaeldeconto02 Qual o modelo de seu firewall? pois o mesmo trabalha com vlan, a questão de switchport é somente para switchs trabalharem em layer 2, quando se cria a vlan interface ethernet 1/47.50 neste caso esta trabalhando com layer 3.

att;

[rafaeldeconto02]

@Cadu Campos Cisco Asa 5506x

[Cadu Campos]

@rafaeldeconto02 No caso deste modelo ele é considerado a vlan como sub-interface então quando se cria uma sub-interface você está deixando ela TAGGED, na interface do switch que está conectado no firewall você vai ter que colocar como TAGGED o id da sub interface.