La configuration est la suivante :

-
Edité par MrLulu 30 mars 2021 à 12:31:49

Salut,

Est-ce que tu peux faire un petit schéma pour illustrer ton réseau ? Histoire d'y voir un peu plus clair

Hello, merci pour le schéma

Pour moi, quand ton Core Swtch reçoit un paquet destiné à être forwardé vers ta gateway, il procède comme ça :

• L'IP vers qui forwarder (obtenue dans la table de routage) est dans un subnet d'une de mes interfaces, le subnet 192.168.10.0/24. Quelle est sa mac ?
• S'il l'a dans son cache ARP, il connait l'adresse mac. Mais comment l'obtient-t'il ?
• Sinon, il envoie un ARP request sur cette interface (donc sur le VLAN 10). La requête passe par les firewall (qui sont en bridge donc transparents pour ARP), et tes Routeurs répondront avec la mac virtuelle de ton vrrp. Ton core switch peut peupler son cache ARP avec l'adresse mac répondue.
• Maintenant, ton core switch a tout ce qu'il faut pour transmettre la requête : l'interface, et la mac destination !

Là où ça pourrait mal se passer, c'est si l'adresse de l'interface VLAN 20 du core switch est située sur le même subnet. Dans ce cas, selon ta configuration, le trafic peut être transmis via l'une ou l'autre interface de ton core switch, donc soit par le VLAN 10 soit par le VLAN 20 (auquel cas tu contournes ton firewall).

EDIT: d'ailleurs ton "core switch" serait plutôt un "core router" non ?

-
Edité par FantasMaths 31 mars 2021 à 17:58:41

sur le core, le vlan 20 n’est que présent en L2, aucune SVI n’est configurée.

Pour ce qui est de la communication sur deux subnet , c’est bien ce qui me faisait peur ...

le core est un modèle Cisco 6500-E, donc pour moi c’est bien un core switch ? c’est lui qui fait office de switch de distrib + intervlan. 

-
Edité par MrLulu 31 mars 2021 à 21:58:24

Ah oui au temps pour moi ! Je ne connaissais pas les Switch L3.

De ce que j'ai pu -rapidement- lire je pense que mon raisonnement est bon, mais il n'est pas exclu que je ne sache pas quelque chose de basique qui ruine tout du coup j'espère ne pas avoir raconté n'importe quoi !

En fait, on est bien d'accord que la com'va se faire via le VLAN 10 jusqu'au firewall, puisse le trafic va passer par le VLAN 20 (entre les firewall et le routeur) ? Grâce à la configuration du bridge, c'est le même subnet pour les deux VLAN (Ex : 192.168.10.10 est dans VLAN 10, 192.168.10.1 est dans VLAN 20).

Plus précisément, je pense que le trafic par du core switch dans le VLAN 10 et passe par le firewall, car il voit l'adresse MAC de 192.168.10.1 derrière leurs ports.

Ensuite, le firewall détecte que l'adresse Mac de destination (passerelle) et sur le deuxième segment qu'il a (VLAN 20, interface OUT) et transfert dans le trafic vers ce VLAN , et enfin le trafic arrive au routeur master ?

-
Edité par MrLulu 1 avril 2021 à 9:08:05