C7609路由器和ASA模块之间通过两个vlan10和vlan20互联 想这么做，这样有问题吗？

1.C7609路由器和ASA模块之间通过两个vlan10和vlan20互联，分别对应到ASA的inside接口和outside接口
2.部分业务流量需要走ASA，这部分流量在Cisco7609上通过路由方式将这部分流量通过vlan10（inside）抛到ASA上
3.这部分流量再通过vlan20（outside）传送的C7609上，通过C7609的路由表选择传送到Internet上，想这么做，这样有问题吗？
+ t( b6 Y8 s. H
2 B$ Y. F' V) v( r C7609: interface vlan 10
- D" B) d  g0 s1 l2 {/ P3 r' K; [           ip address 192.168.253.254/30
          interface vlan 20
           ip address 192.168.254.254/30
0 e, q7 G7 }' ?) P- H. _2 C1 R   ASA:interface vlan 10
         nameif outside
5 q( M9 J0 H' @$ c+ L4 ?; a         ip address 192.168.253.253/30
       interface vlan20
         nameif inside
$ e& @/ K5 Q/ L4 s# b0 h         ip address 192.168.254.253/30
5 o9 \9 |$ b# p2 y2 S! T, P
) h" S' j8 O8 z! E* q4 X1 `8 a  @3 _* G
. T  B, K% z3 T本问题来自论坛QQ群 2258097(免费解答学习/工作中的问题)

相当于MSFC----ASA-----MSFC这种连接方式, 6500或者7600部分需要开启多vlan接口(默认只允许配置一个vlan接口和ASASM对接),命令firewall multiple-vlan-interfaces
; c4 N, R' T) Y$ P' [
" Q0 S; V6 K+ [' J5 V, ~$ s# u% r另外,这么做, inside和outside在MSFC部分都做了三层,这样可能导致直接路由交换部分就三层互通了,流量可能不走ASASM模块.
比如: 客户端-----路由到192.168.253.254/30,交换机上一查,目标地址本地路由表里面有,直接路由转发了,这个时候流量根本没有上到防火墙.

针对你这种情况,可以考虑下面两种方案的一种:
1.  vlan 20 在路由交换部分不要起三层(推荐);
2.  vlan20和vlan10在路由交换部分都启用了三层,但是可以做ACL限制特定流量只能送到ASASM,不能直接路由交换(举个例子,inside里面既有ip主机也有ipx主机,这个时候ipx需要绕行防火墙)


: P; h* O; _9 B" i个人拙见,供参考.
$ R  l) a" K/ {6 P$ |: ~' E