Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
Nesta página
 

Túneis dinâmicos baseados em next-hop

Exemplo: Configuração de túneis dinâmicos MPLS-over-UDP baseados em próximo salto

Este exemplo mostra como configurar um túnel MPLS-over-UDP dinâmico que inclui um próximo salto composto por túnel. O recurso MPLS-over-UDP oferece uma vantagem de escalabilidade no número de túneis IP suportados em um dispositivo.

A partir do Junos OS Release 18.3R1, os túneis MPLS-over-UDP são suportados em roteadores da Série PTX e switches da Série QFX. Para cada túnel dinâmico configurado em um roteador PTX ou um switch QFX, um próximo salto composto por túnel, um próximo salto indireto e um próximo salto de encaminhamento são criados para resolver a rota de destino do túnel. Você também pode usar o controle de políticas para resolver o túnel dinâmico em prefixos selecionados, incluindo a declaração de configuração de encaminhamento rib no nível de [edit routing-options dynamic-tunnels] hierarquia.

Requisitos

Este exemplo usa os seguintes componentes de hardware e software:

  • Cinco roteadores da Série MX com MPCs e MICs.

  • Junos OS Release 16.2 ou posterior nos roteadores de borda (PE) do provedor.

Antes de começar:

  1. Configure as interfaces do dispositivo, incluindo a interface de loopback.

  2. Configure a ID do roteador e o número automático do sistema para o dispositivo.

  3. Estabeleça uma sessão BGP interna (IBGP) com o dispositivo PE remoto.

  4. Estabeleça peering OSPF entre os dispositivos.

Visão geral

Começando pelo Junos OS Release 16.2, um túnel UDP dinâmico oferece suporte à criação de um próximo salto composto por túnel para cada túnel UDP configurado. Esses túneis UDP dinâmicos baseados em próximo salto são chamados de túneis MPLS-over-UDP. O próximo salto composto do túnel é habilitado por padrão para os túneis MPLS-over-UDP.

Os túneis MPLS-over-UDP podem ser bidirecionais ou de natureza unidirecional.

  • Bidirecional — Quando os dispositivos PE são conectados por túneis MPLS-over-UDP em ambas as direções, ele é chamado de túnel MPLS-over-UDP bidirecional.

  • Unidirecional — Quando dois dispositivos PE são conectados pelo túnel MPLS-over-UDP em uma direção e sobre MPLS/IGP na outra direção, é chamado de túnel MPLS-over-UDP unidirecional.

    Túneis MPLS-over-UDP unidirecionais são usados em cenários de migração ou nos casos em que dois dispositivos de PE fornecem conectividade entre si em duas redes desarticuladas. Como o túnel de direção reversa não existe para túneis MPLS-over-UDP unidirecionais, você deve configurar uma decapsulação MPLS-over-UDP baseada em filtro no dispositivo PE remoto para o encaminhamento do tráfego.

A partir do Junos OS Release 18.2R1, em roteadores da série PTX e QFX10000 com túneis MPLS-over-UDP unidirecionais, você deve configurar o dispositivo PE remoto com um filtro de entrada para pacotes MPLS-over-UDP e uma ação para descapsular os cabeçalhos IP e UDP para o encaminhamento dos pacotes na direção do túnel reverso.

Por exemplo, no dispositivo PE remoto, Dispositivo PE2, a seguinte configuração é necessária para túneis MPLS-over-UDP unidirecionais:

PE2

Na configuração de amostra acima, Decap_Filter está o nome do filtro de firewall usado para descapsulação MPLS-over-UDP. O termo udp_decap é o filtro de entrada para aceitar pacotes UDP na interface voltada para o núcleo do Dispositivo PE2 e, em seguida, descapsular os pacotes MPLS-over-UDP para pacotes MPLS-over-IP para encaminhamento.

Você pode usar os comandos de modo operacional de firewall existentes, como show firewall filter a descapsulação MPLS-over-UDP baseada em filtro.

Por exemplo:

Nota:

Para túneis MPLS sobre UDP unidirecionais:

  • Apenas o endereço IPv4 é suportado como cabeçalho externo. A decapsulação MPLS-over-UDP baseada em filtro não oferece suporte ao endereço IPv6 no cabeçalho externo.

  • Somente a instância de roteamento padrão é suportada após a descapsulação.

A partir do Junos OS Release 17.1, em roteadores da Série MX com MPCs e MICs, o limite de escala dos túneis MPLS sobre UDP é aumentado.

A partir do Junos Release 19.2R1, em roteadores da Série MX com MPCs e MICs, a arquitetura de operadora de suporte para operadoras (CSC) pode ser implantada com túneis MPLS-over-UDP que transportam tráfego MPLS em túneis IPv4 UDP dinâmicos estabelecidos entre os dispositivos PE da operadora de suporte. Com esse aprimoramento, a vantagem de escala que os túneis MPLS-over-UDP forneceram é ainda maior. O suporte de CSC com o túnel MPLS-over-UDP não é suportado para o túnel IPv6 UDP.

O recurso de túnel dinâmico existente requer configuração estática completa. Atualmente, as informações de túnel recebidas de dispositivos peer em rotas anunciadas são ignoradas. A partir do Junos OS Release 17.4R1, nos roteadores da Série MX, os túneis MPLS-over-UDP dinâmicos baseados em próximo salto são sinalizados usando a comunidade estendida de encapsulamento BGP. A política de exportação do BGP é usada para especificar os tipos de túnel, anunciar as informações do túnel lateral do remetente e analisar e transmitir informações do túnel lateral do receptor. Um túnel é criado de acordo com a comunidade de túneis do tipo recebido.

Vários encapsulamentos de túneis são suportados pelo BGP. Ao receber vários recursos, o túnel dinâmico baseado em next-hop é criado com base na política BGP configurada e na preferência por túneis. A preferência do túnel deve ser consistente em ambas as extremidades do túnel para que o túnel seja configurado. Por padrão, o túnel MPLS-over-UDP é preferido em relação aos túneis GRE. Se a configuração dinâmica de túneis existir, ela tem precedência sobre a comunidade de túneis recebidos.

Ao configurar um túnel MPLS-over-UDP dinâmico baseado em próximo salto, fique ciente das seguintes considerações:

  • Uma sessão do IBGP deve ser configurada entre os dispositivos PE.

  • Um switchover entre os encapsulamentos dinâmicos de túnel (UDP e GRE) baseados no próximo salto é permitido, e isso pode afetar o desempenho da rede em termos dos valores de escala de túnel IP suportados em cada modo.

  • Ter tipos de encapsulamento dinâmico de túnel baseado em próximo salto GRE e UDP para o mesmo destino de túnel leva a uma falha de confirmação.

  • Para túneis MPLS-over-UDP unidirecionais, você deve configurar explicitamente a descapsulação MPLS-over-UDP baseada em filtro no dispositivo PE remoto para que os pacotes sejam encaminhados.

  • O switchover gracioso do mecanismo de roteamento (GRES) é suportado com MPLS-over-UDP, e as bandeiras do tipo de túnel MPLS-over-UDP são unificadas em conformidade com o ISSU e o NSR.

  • Os túneis MPLS-over-UDP são suportados em MX virtual (vMX) no modo Lite.

  • Os túneis MPLS-over-UDP oferecem suporte à criação dinâmica de túneis GRE com base em novos saltos próximos IPv4 mapeados-IPv6.

  • O túnel MPLS-over-UDP é suportado na interoperabilidade com o contrail, onde os túneis MPLS-over-UDP são criados do contrail vRouter para um gateway MX. Para isso, é necessário que a comunidade a seguir seja anunciada na rota do roteador da Série MX até o contrail vRouter:

    Em um determinado momento, apenas um tipo de túnel é suportado no contrail vRouter — túneis GRE dinâmicos baseados em próximo salto, túneis MPLS-over-UDP ou VXLAN.

  • Os recursos a seguir não são suportados com a configuração dinâmica de túnel MPLS-over-UDP baseada em próximo salto:

    • Malha automática RSVP

    • Configuração de túnel IPV6 GRE e UDP simples

    • Sistemas lógicos

Topologia

Figura 1 ilustra um cenário VPN de Camada 3 em túneis MPLS sobre UDP dinâmicos. Os dispositivos de borda do cliente (CE), CE1 e CE2, conectam-se a dispositivos de borda de provedor (PE), PE1 e PE2, respectivamente. Os dispositivos PE são conectados a um dispositivo de provedor (Dispositivo P1) e uma sessão interna de BGP (IBGP) interconecta os dois dispositivos PE. Um túnel MPL-over-UDP bidirecional dinâmico baseado em próximo salto é configurado entre os dispositivos PE.

Figura 1: Túneis MPLS dinâmicos sobre UDPTúneis MPLS dinâmicos sobre UDP

O túnel MPLS-over-UDP é tratado da seguinte forma:

  1. Depois que um túnel MPLS-over-UDP é configurado, uma rota de máscara de destino de túnel com um próximo salto composto por túnel é criada para o túnel na tabela de roteamento inet.3. Essa rota de túnel IP só é retirada quando a configuração dinâmica do túnel é excluída.

    Os atributos de próximo salto composto do túnel incluem:

    • Quando o próximo salto de VPN de Camada 3 for desativado — endereço de origem e destino, string de encapsulamento e rótulo VPN.

    • Quando a alocação de rótulos de VPN por prefixo e de vpn por prefixo da Camada 3 for ativada, o endereço de origem, o endereço de destino e a string de encapsulamento.

    • Quando o próximo salto de VPN de Camada 3 é habilitado e a alocação de rótulos de VPN por prefixo é desativada — endereço fonte, endereço de destino e string de encapsulamento. A rota neste caso é adicionada à outra tabela de instâncias de roteamento e encaminhamento virtual com uma rota secundária.

  2. Os dispositivos pe estão interconectados usando uma sessão do IBGP. A rota do IBGP próximo salto para um vizinho BGP remoto é o próximo salto de protocolo, que é resolvido usando a rota de máscara de túnel com o túnel próximo salto.

  3. Após o próximo salto de protocolo ser resolvido sobre o próximo salto composto do túnel, são criados próximos saltos indiretos com o encaminhamento de próximos saltos.

  4. O próximo salto composto do túnel é usado para encaminhar os próximos saltos da indireto próximo salto.

Configuração

Configuração rápida da CLI

Para configurar rapidamente este exemplo, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com a configuração da sua rede, copiar e colar os comandos na CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.

CE1

CE2

PE1

P1

PE2

Procedimento

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter informações sobre como navegar na CLI, consulte Usando o Editor de CLI no modo de configuração no Guia do usuário da CLI.

Para configurar o dispositivo PE1:

  1. Configure as interfaces do dispositivo, incluindo a interface de loopback do dispositivo.

  2. Configure uma rota estática para rotas do Dispositivo PE1 com o dispositivo P1 como destino de próximo salto.

  3. Configure o ID do roteador e o número do sistema autônomo para o Dispositivo PE1.

  4. (somente na Série PTX) Configure o controle de políticas para resolver a rota dinâmica de túnel MPLS-over-UDP em prefixos selecionados.

  5. (somente na Série PTX) Configure a política de importação de entrada para resolver rotas dinâmicas de destino de túneis.

  6. Configure o peering do IBGP entre os dispositivos PE.

  7. Configure o OSPF em todas as interfaces do Dispositivo PE1, excluindo a interface de gerenciamento.

  8. Habilite a configuração dinâmica de túnel GRE baseada em próximo salto no Dispositivo PE1.

    Nota:

    Essa etapa é necessária apenas para ilustrar a diferença de implementação entre túneis GRE dinâmicos baseados em next-hop e túneis MPLS-over-UDP.

  9. Configure os parâmetros de túnel MPLS-over-UDP do Dispositivo PE1 ao Dispositivo PE2.

  10. Configure uma instância de roteamento VRF no Dispositivo PE1 e outros parâmetros de instância de roteamento.

  11. Habilite o BGP na configuração da instância de roteamento para peering com o dispositivo CE1.

Resultados

A partir do modo de configuração, confirme sua configuração entrando noshow interfaces, show routing-optionsshow protocolse show routing-instances comandos. Se a saída não exibir a configuração pretendida, repita as instruções neste exemplo para corrigir a configuração.

Se você terminar de configurar o dispositivo, entre no commit modo de configuração.

Verificação

Confirme se a configuração está funcionando corretamente.

Verificando a conexão entre dispositivos PE

Propósito

Verifique o status de peering BGP entre o Dispositivo PE1 e o Dispositivo PE2 e as rotas BGP recebidas do Dispositivo PE2.

Ação

Do modo operacional, execute e show bgp summaryshow route receive-protocol bgp ip-address table bgp.l3vpn.0 comandos.

Significado

  • Na primeira saída, o estado de sessão bgp é Establ, o que significa que a sessão está ativa e os dispositivos PE são peered.

  • Na segunda saída, o Dispositivo PE1 aprendeu uma rota BGP do Dispositivo PE2.

Verifique as rotas dinâmicas de túnel no dispositivo PE1

Propósito

Verifique as rotas na tabela de roteamento inet.3 e as informações dinâmicas do banco de dados do túnel no Dispositivo PE1.

Ação

A partir do modo operacional, execute o show route table inet.3, show dynamic-tunnels database terseshow dynamic-tunnels databasee show dynamic-tunnels database summary comandos.

Significado

  • Na primeira saída, porque o Dispositivo PE1 está configurado com o túnel MPLS-over-UDP, uma rota de tunelamento é criada para a entrada da tabela de roteamento inet.3.

  • Nas saídas restantes, o túnel MPLS-over-UDP é exibido com o tipo de encapsulamento de túnel, parâmetros de próximo salto do túnel e status do túnel.

Verifique as rotas dinâmicas de túnel no dispositivo PE2

Propósito

Verifique as rotas na tabela de roteamento inet.3 e as informações dinâmicas do banco de dados do túnel no Dispositivo PE2.

Ação

Do modo operacional, execute o show route table inet.3e os show dynamic-tunnels database terse comandos.

Significado

As saídas mostram a criação de túneis MPLS-over-UDP e a ID de próximo salto atribuída como interface de próximo salto, semelhante ao Dispositivo PE1.

Verificando se as rotas têm a bandeira de indireto-próximo salto esperada

Propósito

Verifique se o DISPOSITIVO PE1 e o Dispositivo PE2 estão configurados para manter o próximo salto indireto para encaminhar a ligação de próximo salto na tabela de encaminhamento do Mecanismo de encaminhamento de pacotes.

Ação

A partir do modo operacional, execute o show krt indirect-next-hop comando no Dispositivo PE1 e dispositivo PE2.

Significado

As saídas mostram que um túnel MPLS-over-UDP dinâmico baseado em próximo salto é criado entre os dispositivos PE.

Solução de problemas

Para solucionar problemas dos túneis dinâmicos baseados no próximo salto, veja:

Comandos de solução de problemas

Problema

A configuração dinâmica de túnel MPLS-over-UDP baseada em próximo salto não está surtindo efeito.

Solução

Para solucionar problemas da configuração de túnel MPLS-over-UDP baseada em próximo salto, use os seguintes traceroute comandos na hierarquia de [edit routing-options dynamic-tunnels] declaração:

  • traceoptions file file-name

  • traceoptions file size file-size

  • traceoptions flag all

Por exemplo:

Proteção anti-Spoofing para visão geral de túneis dinâmicos baseados em next-hop

Com o aumento da implantação de túneis IP de alta escala em data centers, há a necessidade de adicionar medidas de segurança que permitam aos usuários limitar o tráfego malicioso de máquinas virtuais comprometidas (VMs). Um possível ataque é a injeção de tráfego em uma VPN arbitrária do cliente de um servidor comprometido através do roteador de gateway. Nesses casos, verificações anti-spoofing em túneis IP garantem que apenas fontes legítimas estão injetando tráfego em data centers de seus túneis IP designados.

Os túneis ip dinâmicos baseados em next-hop criam um próximo salto composto de túnel para cada túnel dinâmico criado no dispositivo. Como os túneis dinâmicos baseados em next-hop removem a dependência de interfaces físicas para cada novo túnel dinâmico configurado, a configuração de túneis dinâmicos baseados em next-hop oferece uma vantagem escalonante sobre o número de túneis dinâmicos que podem ser criados em um dispositivo. A partir do Junos OS Release 17.1, recursos anti-spoofing para túneis IP dinâmicos baseados em next-hop são fornecidos para túneis dinâmicos baseados em next-hop. Com esse aprimoramento, uma medida de segurança é implementada para evitar a injeção de tráfego em uma VPN do cliente arbitrária de um servidor comprometido através do roteador de gateway.

O anti-spoofing é implementado usando verificações de encaminhamento de caminho reverso no Mecanismo de encaminhamento de pacotes. As verificações são implementadas para o tráfego que passa pelo túnel até a instância de roteamento. Atualmente, quando o roteador de gateway recebe tráfego de um túnel, apenas o destino nos procura e o pacote é encaminhado de acordo. Quando a proteção anti-spoofing é habilitada, o roteador de gateway também faz uma busca de endereço fonte do cabeçalho IP do pacote de encapsulamento na VPN, além da busca pelo destino do túnel. Isso garante que fontes legítimas estejam injetando tráfego por meio de seus túneis IP designados. Como resultado, a proteção anti-spoofing garante que o tráfego do túnel seja recebido de uma fonte legítima nos túneis designados.

Figura 2 ilustra uma topologia de amostra com os requisitos para proteção anti-spoofing.

Figura 2: Proteção anti-spoofing para túneis dinâmicos baseados em next-hopProteção anti-spoofing para túneis dinâmicos baseados em next-hop

Neste exemplo, o roteador de gateway é o Roteador G. O roteador G tem duas VPNs — Verde e Azul. Os dois servidores, Server A e Server B, podem alcançar as VPNs verdes e azuis no Roteador G pelos túneis dinâmicos T1 e T2, respectivamente. Vários hosts e máquinas virtuais (P, Q, R, S e T) conectados aos servidores podem alcançar as VPNs através do roteador de gateway, o Roteador G. O Roteador G tem as tabelas de roteamento e encaminhamento virtual (VRF) para VPNs verdes e azuis, cada uma povoada com as informações de acessibilidade para as máquinas virtuais nessas VPNs.

Por exemplo, na VPN Green, o Roteador G usa o túnel T1 para alcançar o host P, o túnel T2 para chegar aos hosts R e S, e o balanceamento de carga é feito entre os túneis T1 e T2 para chegar ao host Q multihomed. Na VPN Azul, o Roteador G usa o túnel T1 para alcançar hosts P e R, e o túnel T2 para chegar aos hosts Q e T.

A verificação passa para o encaminhamento do caminho inverso quando:

  • Um pacote vem de uma fonte legítima em seu túnel designado.

    Host P em VPN Green envia um pacote para hospedar X usando o túnel T1. Como o Roteador G pode alcançar o host P através do túnel T1, ele permite que o pacote passe e encaminhe o pacote para hospedar X.

  • Um pacote vem de uma fonte multihomed em seus túneis designados.

    O Host Q em VPN Green é multihomed nos servidores A e B, e pode chegar ao Roteador G através dos túneis T1 e T2. O Host Q envia um pacote para hospedar Y usando o túnel T1, e um pacote para hospedar X usando o túnel T2. Como o Roteador G pode alcançar o host Q através dos túneis T1 e T2, ele permite que os pacotes passem e os encaminhem para hosts Y e X, respectivamente.

As VPNs de camada 3 não têm a proteção anti-spoofing habilitada por padrão. Para permitir o anti-spoofing para túneis dinâmicos baseados em next-hop, inclua a ip-tunnel-rpf-check declaração no nível hierárquico [edit routing-instances routing-instance-name routing-options forwarding-table] . A verificação de encaminhamento de caminho inverso é aplicada apenas à instância de roteamento VRF. O modo padrão está definido para strict, onde o pacote que vem de uma fonte em um túnel não fornecido não passa na verificação. O ip-tunnel-rpf-check modo pode ser definido como loose, quando a verificação de encaminhamento do caminho inverso falha quando o pacote vem de uma fonte inexistente. Um filtro de firewall opcional pode ser configurado sob a ip-tunnel-rpf-check declaração para contar e registrar os pacotes que falharam na verificação de encaminhamento do caminho inverso.

A saída de amostra a seguir mostra uma configuração anti-spoofing:

Considere as seguintes diretrizes ao configurar a proteção anti-spoofing para túneis dinâmicos baseados em next-hop:

  • A proteção anti-spoofing pode ser habilitada apenas para túneis IPv4 e tráfego de dados IPv4. Os recursos anti-spoofing não são suportados em túneis IPv6 e tráfego de dados IPv6.

  • O anti-spoofing para túneis dinâmicos baseados em next-hop pode detectar e evitar uma máquina virtual comprometida (verificação de encaminhamento de caminho reverso de fonte interna), mas não um servidor comprometido que é falsificação de rótulos.

  • Os túneis IP baseados em próximo salto podem se originar e terminar em uma tabela de roteamento inet.0.

  • A proteção anti-spoofing é eficaz quando a instância de roteamento VRF tem interfaces comutada por rótulos (LSIs) (usando as vrf-table-labelinterfaces de túnel virtual (VT) ou túnel virtual. Com per-next-hop rótulo na instância de roteamento VRF, a proteção anti-spoofing não é suportada.

  • É rpf fail-filter aplicável apenas ao pacote IP interno.

  • Habilitar verificações anti-spoofing não afeta o limite de escala dos túneis dinâmicos baseados em next-hop em um dispositivo.

  • A utilização de recursos do sistema com proteção anti-spoofing habilitada para a instância de roteamento VRF é um pouco maior do que a utilização de túneis dinâmicos baseados em next-hop sem a proteção anti-spoofing habilitada.

  • A proteção anti-spoofing requer verificações adicionais de endereço IP de origem, o que tem impacto mínimo no desempenho da rede.

  • O switchover gracioso do mecanismo de roteamento (GRES) e a atualização de software em serviço (ISSU) são suportados com proteção anti-spoofing.

Exemplo: Configuração da proteção anti-spoofing para túneis dinâmicos baseados em next-hop

Este exemplo mostra como configurar verificações de encaminhamento de caminho reverso para a instância de roteamento e encaminhamento virtual (VRF) para permitir a proteção anti-spoofing para túneis dinâmicos baseados em next-hop. As verificações garantem que fontes legítimas estão injetando tráfego através de seus túneis IP designados.

Requisitos

Este exemplo usa os seguintes componentes de hardware e software:

  • Três roteadores da Série MX com MICs, cada um conectado a um dispositivo host.

  • Junos OS Release 17.1 ou posterior em um ou todos os roteadores.

Antes de começar:

  • Habilite a configuração dos serviços de túnel no Concentrador PIC Flexível.

  • Configure as interfaces do roteador.

  • Configure o ID do roteador e atribua um número de sistema autônomo para o roteador.

  • Estabeleça uma sessão BGP interna (IBGP) com os endpoints do túnel.

  • Configure o RSVP em todos os roteadores.

  • Configure o OSPF ou qualquer outro protocolo de gateway interior em todos os roteadores.

  • Configure dois túneis de IP dinâmicos baseados em next-hop entre os dois roteadores.

  • Configure uma instância de roteamento VRF para cada conexão de roteador para host.

Visão geral

A partir do Junos OS Release 17.1, recursos anti-spoofing são adicionados a túneis IP dinâmicos baseados em next-hop, onde são implementadas verificações para o tráfego que passa pelo túnel até a instância de roteamento usando o encaminhamento de caminho inverso no Mecanismo de encaminhamento de pacotes.

Atualmente, quando o roteador de gateway recebe tráfego de um túnel, apenas a busca pelo endereço de destino é feita antes do encaminhamento. Com a proteção anti-spoofing, o roteador de gateway faz uma busca de endereço de origem do cabeçalho IP de pacotes de encapsulamento na VPN para garantir que fontes legítimas estão injetando tráfego através de seus túneis IP designados. Isso é chamado de modo rigoroso e é o comportamento padrão da proteção anti-spoofing. Para passar o tráfego de túneis não assinados, a verificação de encaminhamento do caminho inverso é habilitada no modo de perda. Para tráfego recebido de fontes inexistentes, a verificação de encaminhamento do caminho inverso falha tanto para os modos rigorosos quanto soltos.

O anti-spoofing é suportado em instâncias de roteamento VRF. Para permitir o anti-spoofing para túneis dinâmicos, inclua a ip-tunnel-rpf-check declaração no nível de [edit routing-instances routing-instance-name routing-options forwarding-table] hierarquia.

Topologia

Figura 3 ilustra uma topologia de rede de amostra habilitada com proteção anti-spoofing. Os roteadores R0, R1 e R2 estão conectados aos hosts Host0, Host1 e Host2, respectivamente. Dois túneis dinâmicos de encapsulamento de roteamento genérico (GRE), Túnel 1 e Túnel 2 – conecte o Roteador R0 com roteadores R1 e R2, respectivamente. A instância de roteamento VRF está sendo executada entre cada roteador e seus dispositivos de host conectados.

Figura 3: Proteção anti-spoofing para túneis dinâmicos baseados em next-hopProteção anti-spoofing para túneis dinâmicos baseados em next-hop

Tomando como exemplo, três pacotes (Pacotes A, B e C) são recebidos no Roteador 0 do Roteador R2 através do túnel GRE dinâmico (Túnel 2) com base no próximo salto. O endereço IP de origem desses pacotes é 172.17.0.2 (Pacote A), 172.18.0.2 (Pacote B) e 172.20.0.2 (Pacote C).

O endereço IP de origem dos pacotes A e B pertencem ao Host 2 e Host 1, respectivamente. O pacote C é um túnel de origem inexistente. O túnel designado neste exemplo é o Túnel 2, e o túnel não designado é o Túnel 1. Portanto, os pacotes são processados da seguinte forma:

  • Packet A— Como a fonte vem de um túnel designado (Túnel 2), o Pacote A passa pela verificação de encaminhamento do caminho inverso e é processado para encaminhamento pelo Túnel 2.

  • Packet B— Como a fonte vem do Túnel 1, que é um túnel não indesinado, por padrão, o Packet B falha na verificação de encaminhamento do caminho inverso no modo rigoroso. Se o modo solto estiver habilitado, o Pacote B pode ser encaminhado.

  • Packet C— Como a fonte é uma fonte de túnel inexistente, o Packet C falha na verificação do encaminhamento do caminho inverso e o pacote não é encaminhado.

Configuração

Configuração rápida da CLI

Para configurar rapidamente este exemplo, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com a configuração da sua rede, copiar e colar os comandos na CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.

Roteador R0

Roteador R1

R2

Procedimento

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter informações sobre como navegar na CLI, consulte Usando o Editor de CLI no modo de configuração no Guia do usuário da CLI.

Para configurar o Roteador R0:

  1. Configure as interfaces do Roteador R0, incluindo a interface de loopback.

  2. Atribua o ID do roteador e o número do sistema autônomo para o Roteador R0.

  3. Configure o peering do IBGP entre os roteadores.

  4. Configure o OSPF em todas as interfaces do Roteador R0, sem a interface de gerenciamento.

  5. Configure o RSVP em todas as interfaces do Roteador R0, sem a interface de gerenciamento.

  6. Habilite a configuração dinâmica de túnel GRE baseada em next-hop no Roteador R0.

  7. Configure os parâmetros dinâmicos de túnel GRE do Roteador R0 ao Roteador R1.

  8. Configure os parâmetros dinâmicos de túnel GRE do Roteador R0 ao Roteador R2.

  9. Configure uma instância de roteamento e encaminhamento virtual (VRF) no Roteador R0 e atribua a interface conectada ao Host 1 à instância VRF.

  10. Configure uma sessão BGP externa com o Host 1 para a instância de roteamento VRF.

  11. Configure a proteção anti-spoofing para a instância de roteamento VRF no Roteador R0. Isso permite a verificação de encaminhamento de caminho reverso para os túneis dinâmicos baseados em next-hop, T1 e T2, no Roteador 0.

Resultados

A partir do modo de configuração, confirme sua configuração entrando noshow interfaces, show routing-optionsshow protocolse show routing-options comandos. Se a saída não exibir a configuração pretendida, repita as instruções neste exemplo para corrigir a configuração.

Verificação

Confirme se a configuração está funcionando corretamente.

Verificando a configuração básica

Propósito

Verifique o status de peering OSPF e BGP entre o roteador R0 e os roteadores R1 e R2.

Ação

Do modo operacional, execute e show ospf neighborshow bgp summarycomandos.

Significado

As sessões de OSPF e BGP estão em funcionamento entre os roteadores R0, R1 e R2.

Verificação da configuração dinâmica do túnel

Propósito

Verifique o status dos túneis GRE dinâmicos baseados em próximo salto entre o Roteador R0 e os roteadores R1 e R2.

Ação

Do modo operacional, execute o show route table inet.3e os show dynamic-tunnels database terse comandos.

Significado

Os dois túneis GRE dinâmicos baseados em próximo salto, o Túnel 1 e o Túnel 2, estão funcionando.

Verificando a configuração da proteção anti-spoofing

Propósito

Verifique se a verificação de encaminhamento do caminho inverso foi habilitada na instância de roteamento VRF no Roteador R0.

Ação

A partir do modo operacional, execute o show krt table VPN1.inet.0 detail.

Significado

A verificação de encaminhamento de caminho reverso configurada é habilitada na instância de roteamento VRF no modo rigoroso.

Visão geral da localização dinâmica de túneis baseados em next-hop

Os túneis dinâmicos baseados em próximo salto incluem túneis genéricos de encapsulamento de roteamento (GRE) e túneis MPLS-over-UDP. Esses túneis oferecem uma vantagem de escala sobre os túneis baseados em interface. No entanto, ao contrário dos túneis baseados em interface, os túneis dinâmicos baseados em next-hop são de natureza sem âncora, onde as informações de encaminhamento dos túneis são distribuídas para os Mecanismos de encaminhamento de pacotes (PFEs) em todas as placas de linha do dispositivo. Isso limita o número máximo de túneis suportados no dispositivo à capacidade de túnel de uma única placa de linha. Com o suporte para a localização, você pode configurar a localização dinâmica de túneis baseados em next-hop para criar as informações de encaminhamento apenas no PFE de uma placa de linha designada como PFE âncora. Os PFEs nas outras placas de linha do dispositivo têm informações de encaminhamento de estado para direcionar os pacotes para o PFE âncora. Isso oferece uma vantagem de escalabilidade aumentando o número máximo de túneis suportados em um dispositivo.

Benefícios da localização dinâmica de túneis baseados em next-hop

Oferece uma vantagem de escalabilidade aumentando o número máximo de túneis suportados em um dispositivo.

Casos de uso para localização dinâmica de túneis baseados em next-hop

  • Os dispositivos de gateway IPsec que hospedam vários MS-MPC são usados para encerrar túneis IPSec e são necessários para suportar carga moderada. Esse suporte é afetado com o uso de túneis dinâmicos baseados em next-hop quando o limite de escala do dispositivo é atingido. Com a localização de túneis dinâmicos baseados em next-hop, o número máximo de túneis suportados é aumentado, permitindo que o dispositivo acomode mais túneis ao custo de um salto de malha extra.

  • Para dispositivos de gateway de Internet ou VPN, como um data center virtual de nuvem pública, há a necessidade de que os dispositivos de gateway se comuniquem com um grande número de servidores. Os servidores de data center podem ser alcançados por túneis dinâmicos baseados em next-hop. A propriedade sem âncora dos túneis dinâmicos limita os números gerais de escala do dispositivo. Os dispositivos de gateway hospedam vários MPCs, com demandas de tráfego cada vez maiores. Com a localização dos túneis dinâmicos baseados em próximo salto, os túneis podem ser espalhados pelos MPCs, facilitando assim um aumento no número de escalamento de túneis.

Manuseio de tráfego com localização de túneis dinâmicos baseados em next-hop

Com suporte para a localização, o estado dinâmico do túnel baseado em próximo salto é localizado em um mecanismo âncora de encaminhamento de pacotes, e o outro Mecanismo de encaminhamento de pacotes tem o estado do túnel para direcionar o tráfego para a âncora do túnel.

Figura 4 ilustra o caminho de encaminhamento de túneis dinâmicos baseados em next-hop sem localização.

Figura 4: Caminho de encaminhamento de túneis dinâmicos baseados em next-hop sem localizaçãoCaminho de encaminhamento de túneis dinâmicos baseados em next-hop sem localização

Figura 5 ilustra o caminho de encaminhamento de túneis dinâmicos baseados em next-hop com localização.

Figura 5: Caminho de encaminhamento de túneis dinâmicos baseados em next-hop com localizaçãoCaminho de encaminhamento de túneis dinâmicos baseados em next-hop com localização

Configuração da localização de túneis dinâmicos baseados em next-hop

O suporte à localização pode ser configurado para túneis dinâmicos baseados em next-hop recém-criados, ou para túneis dinâmicos não locais existentes.

Configurando a localização para novos túneis dinâmicos baseados em next-hop

A localização de túneis dinâmicos baseados em next-hop usa uma abordagem baseada em políticas para especificar grupos de prefixo. Em outras palavras, as políticas de rota são usadas para aplicar as propriedades de localização aos túneis dinâmicos baseados em next-hop. Os perfis dinâmicos de atributos de túnel são criados e configurados sob opções de roteamento para associação com o grupo de prefixo usando a política.

  1. Criação de perfis dinâmicos de túneis.

    O perfil dinâmico do túnel especifica o tipo de túnel e as informações do mecanismo de encaminhamento de pacotes âncora. Vários perfis dinâmicos de túneis podem ser criados para a localização dos túneis dinâmicos. Os valores para o tipo dinâmico de túnel podem ser GRE, UDP ou BGP-SIGNAL.

    Embora o BGP-SIGNAL não seja um tipo de túnel válido, ao atribuir o BGP-SIGNAL como tipo de túnel, os túneis criados a partir dos atributos sinalizados pelo BGP são localizados. Ao usar o BGP-SIGNAL, o tipo de túnel é decidido com base no tipo anunciado pelo BGP em seu TLV. Os túneis BGP-SIGNAL são sempre túneis baseados em next-hop. Os túneis GRE criados dinamicamente pelo BGP-SIGNAL são sempre baseados em next-hop, mesmo que o usuário tenha configurado manualmente túneis criados pela GRE para usar IFLs.

    O valor do mecanismo de encaminhamento de pacotes âncora é a placa de linha do mecanismo de encaminhamento de pacotes âncora, por exemplo, pfe-x/y/0. Essas informações podem ser visualizadas a partir da show interfaces terse pfe* saída de comando.

    Sample Configuration:

  2. Associação do perfil dinâmico do túnel à lista de prefixos.

    Configurar uma política com dynamic-tunnel-attributes a ação associa o túnel dinâmico à lista de prefixo. A ação de política from permite a criação de túnel com atributos especificados para qualquer condição de correspondência, como uma faixa de prefixo, comunidade ou endereço fonte de rotas BGP, etc.

    Sample configuration:

  3. Incluindo a política de túnel sob a política de exportação da tabela de encaminhamento.

    Após a configuração da política, ela está incluída na política de exportação da tabela de encaminhamento para a análise da política.

    Usando a política de exportação, os atributos do túnel ficam associados à rota. Sempre que uma rota do BGP está na fila para resolução, a política de exportação da tabela de encaminhamento é avaliada e os atributos do túnel são obtidos do módulo de política com base nos filtros aplicados. Os atributos de túnel obtidos são então anexados ao próximo salto em forma de um próximo salto composto por túnel. As estruturas de encaminhamento de âncora correspondentes, baseadas no nome do mecanismo de encaminhamento de pacotes e tipo de túnel, são criadas e enviadas para a mesa de encaminhamento antes que um próximo salto composto de túnel seja enviado. No entanto, se nenhum dos atributos mapa para o túnel composto próximo salto, então a estrutura de encaminhamento é criada em cada Mecanismo de encaminhamento de pacotes, semelhante aos túneis dinâmicos não localizados.

    Sample configuration:

Configuração da localização para túneis dinâmicos baseados em next-hop existentes

CUIDADO:

Fazer mudanças em tempo real em atributos dinâmicos de túnel pode resultar em uma falha de FPC devido à alta utilização da memória. Por isso, recomendamos desativar a configuração de túneis dinâmicos antes de configurar a localização.

Para atualizar atributos de túnel para túneis dinâmicos baseados em next-hop existentes, o seguinte deve ser executado:

  1. Desativar a dynamic-tunnels configuração sob o nível de [edit routing-options] hierarquia.

    Sample configuration:

  2. Altere os atributos do túnel conforme necessário.

  3. Ativar dynamic-tunnels a configuração sob o nível de [edit routing-options] hierarquia.

    Sample configuration:

Para configurar a localização para túneis dinâmicos não locais baseados em next-hop existentes:

CUIDADO:

Fazer mudanças em tempo real para configurar a localização de túneis dinâmicos não locais baseados em next-hop existentes pode resultar em uma falha de FPC devido à alta utilização da memória. Por isso, recomendamos desativar a configuração de túneis dinâmicos antes de configurar a localização.

  1. Desativar a dynamic-tunnels configuração no nível de [edit routing-options] hierarquia.

  2. Crie um perfil de atributos de túnel e adicione políticas para a localização dos túneis dinâmicos, semelhantes aos novos túneis dinâmicos baseados em next-hop.

  3. Ativar a dynamic-tunnels configuração.

Resolução de problemas localizados de túneis dinâmicos baseados em next-hop

Com a localização de túneis dinâmicos baseados em next-hop, os próximos saltos compostos do túnel estão associados às IDs âncoras do mecanismo de encaminhamento de pacotes. As seguintes declarações de configuração de traceroute no nível de [edit routing-options] hierarquia ajudam na resolução de problemas dos túneis dinâmicos localizados:

  • dynamic-tunnels traceoptions flag all— Rastreamento da criação e exclusão de túnel no DTM.

  • resolution traceoptions flag tunnel— Rastreamento das operações de resolver na rota BGP.

  • forwarding-table traceoptions flag all— Rastreamento de túneis enviados para o kernel.

  • traceoptions flag all— Rastreamento do processo de aprendizado de rota.

Os comandos a seguir podem ser usados para verificar se uma rota está usando um túnel dinâmico localizado baseado em next-hop:

  1. show route prefix extensive— Para obter o próximo salto indireto.

    Por exemplo:

  2. show krt indirect-next-hop index indirect-next-hop detail— Para verificar se há um campo âncora do Mecanismo de encaminhamento de pacotes na saída detalhada do próximo salto indireto.

    Por exemplo:

Recursos sem suporte para a localização de túneis dinâmicos baseados em next-hop

O Junos OS não oferece suporte à seguinte funcionalidade com localização para túneis dinâmicos baseados em next-hop:

  • Próximo saltos compostos acorrentados no nível de [edit routing-options forwarding-table chained-composite-next-hop ingress l3vpn] hierarquia.

  • Resiliência do mecanismo de encaminhamento de pacotes âncora.

    Não há suporte de resiliência para túneis dinâmicos baseados em próximo salto com localização. Após a localização dos túneis dinâmicos baseados em próximo salto, o âncora Packer Forwarding Engine torna-se a entidade única para processar qualquer túnel no dispositivo. Embora a resiliência do packer forwarding engine não seja suportada, para dispositivos de gateway, a redundância no dispositivo de gateway garante que quando o Packer Forwarding Engine para o qual o próximo salto é delegado cai, o tráfego deve ser redirecionado para o dispositivo de gateway redundante. O processo de protocolo de roteamento monitora o estado do Packer Forwarding Engine, e retira o anúncio BGP de todas as rotas apontando para o túnel composto próximo saltos ancorados naquele Packer Forwarding Engine.

    Apenas o mecanismo de encaminhamento de pacotes ancorado tem o próximo salto composto de túnel completo e todos os outros Mecanismos de encaminhamento de pacotes têm apenas entradas de direcionamento para encaminhar o tráfego para o mecanismo âncora de encaminhamento de pacotes. Essas entradas de direcionamento não são retiradas quando um FPC âncora cai.

  • A localização de túneis dinâmicos baseados em next-hop não é suportada em sistemas lógicos.

  • O IPv6 não é compatível com a localização de túneis dinâmicos baseados em next-hop.

  • Com a localização, o show dynamic-tunnels database summary comando não exibe um resumo preciso de túneis quando o estado da placa de linha do mecanismo de encaminhamento de pacotes âncora não está funcionando. Como uma solução alternativa, use a saída e show dynamic-tunnels database terse o show dynamic-tunnels database comando.

Visão geral do tunelamento dinâmico baseado em next-hop usando encapsulamento IP sobre IP

Benefícios

O tunelamento IP sobre IP oferece os seguintes benefícios:

  • Alternative to MPLS over UDP— Pode ser usado como uma alternativa ao tunelamento MPLS-over-UDP para fornecer serviço IP em que haja um dispositivo dedicado por serviço.

  • Ability to steer specific traffic— Permite uma migração suave quando as redes MPLS e IP coexistem porque as rotas podem ser filtradas para direcionar tráfego específico sobre túneis IP em oposição aos túneis MPLS.

  • Ability to support tunnels at increasing scale— A criação dinâmica de túneis usando o plano de controle BGP pode facilitar a criação de túneis em escala.

O que é o tunelamento dinâmico de próximo salto IP sobre IP?

Uma rede IP contém dispositivos de borda e dispositivos de núcleo. Para obter maior escala e confiabilidade entre esses dispositivos, você precisa isolar logicamente a rede central da rede externa com a qual os dispositivos de borda interagem, usando um encapsulamento overlay.

A partir do Junos OS Release 20.3R1, oferecemos suporte a um encapsulamento IP sobre IP para facilitar a construção de sobreposição de IP sobre a rede de transporte IP. O IP sobre IP depende de uma próxima infraestrutura baseada em salto para oferecer suporte a uma escala mais alta. O recurso oferece suporte ao encapsulamento IPv4 da carga de IPv6 e IPv4. Entre outros encapsulamentos de overlay suportados, o encapsulamento IP sobre IP é o único tipo que permite:

  • dispositivos de trânsito para analisar a carga interna e usar campos internos de pacotes para computação de hash

  • dispositivos de borda do cliente para rotear o tráfego para dentro e para fora do túnel sem qualquer redução de taxa de transferência

Nos roteadores da Série MX, o daemon de protocolo de roteamento (RPD) envia o cabeçalho de encapsulamento com nexthop composto por túnel e o Mecanismo de encaminhamento de pacotes (PFE) encontra o endereço de destino do túnel e encaminha o pacote. Em roteadores da Série PTX e switches QFX10000, o RPD envia um túnel totalmente resolvido com base em salto para o Packet Forwarding Engine. O protocolo BGP é usado para distribuir rotas e sinalizar túneis dinâmicos.

A ilustração a seguir mostra como o tráfego IPv4 ou IPv6 é enviado de R-1 para R-5 através de um IP sobre túnel IP estabelecido entre R-2 e R-4:

Costura de túnel IP sobre IP

No Junos OS Release 21.3R1, apresentamos pontos de túnel IP sobre IP em MX240, MX480, MX960, PTX1000, PTX10008, PTX10016 e QFX10002. Você pode usar esse recurso para encerrar um túnel IP sobre IP em um dispositivo e iniciar outro túnel no mesmo dispositivo. Quando um dispositivo recebe o pacote IP sobre IP, ele des encapsula o cabeçalho externo de pacotes e a busca interna de pacotes ocorre. O cabeçalho interno do pacote IP aponta para outro túnel no mesmo dispositivo, onde o mesmo dispositivo encapsula o pacote novamente com outro cabeçalho IP sobre IP.

Exemplo: Configuração de túneis dinâmicos IP sobre IP baseados em next-hop

Saiba como configurar os próximos túneis baseados em hop usando o encapsulamento IP sobre IP.

Requisitos

Este exemplo usa os seguintes componentes de hardware e software:

  • 5 roteadores da Série MX.

  • Versão 20.3R1 ou posterior do Junos OS.

Visão geral

A partir do Junos OS Release 20.3R1, oferecemos suporte a um encapsulamento IP sobre IP para facilitar a construção de sobreposição de IP sobre a rede de transporte IP. Este exemplo mostra o estabelecimento de túneis ip-over-IP unicast entre dispositivos com um próximo salto de protocolo (PNH) através de um peering IBGP entre R2 e R4, que estão conectados em um núcleo OSPF, para trocar rotas e sinalizar túneis dinâmicos.

Topologia

A Figura 1 ilustra um cenário IP sobre IP com 5 dispositivos.

Neste exemplo, estamos trocando rotas de R1 para R5 e vice-versa através de túneis dinâmicos IP sobre IP estabelecidos entre o R2 e o R4. As rotas do R1 são exportadas para R2 e as rotas de R5 são exportadas para R4, usando o protocolo IS-IS. Configuramos um túnel Tunnel-01 IPIP unicast de R2 para R4 e outro túnel Tunnel-01 de R4 a R2. Prefixos de rota gerados dentro das máscaras de rede a partir das redes de destino configuradas do dispositivo peer são usados para criar o túnel e os fluxos de tráfego na direção oposta das rotas no túnel..

Configuração de túneis dinâmicos IP sobre IP com um próximo salto de protocolo

Configuração rápida da CLI

Para configurar rapidamente este exemplo, copie os seguintes comandos, cole-os em um arquivo de texto, remova qualquer quebra de linha, altere todos os detalhes necessários para combinar com a configuração da sua rede, copiar e colar os comandos na CLI no nível de [edit] hierarquia e, em seguida, inserir o commit a partir do modo de configuração.

R1

R2

R3

R4

R5

Configuração de túneis dinâmicos IP-IP com um Protocolo Next Hop

Procedimento passo a passo para R1

R1 e R5 têm uma configuração semelhante, então só mostraremos o procedimento passo a passo para r1.

  1. Insira o modo de configuração no R1.

  2. Configure a interface conectada ao R2 e à interface lo0. Certifique-se de configurar a família inet e iso. A família iso é necessária para o protocolo IS-IS.

  3. Configure a ID do roteador.

  4. Configure protocolos IS-IS. As rotas são anunciadas entre R1 e R2 usando o protocolo IS-IS.

  5. Insira commit no R1 a partir do modo de configuração.

Procedimento passo a passo para R2

R2 e R4 têm uma configuração semelhante, então só mostraremos o procedimento passo a passo para o R2.

  1. Insira o modo de configuração no R2.

  2. Configure as interfaces conectadas ao R1 e R3 e à interface lo0. Certifique-se de configurar a famíliainet e iso a interface conectada ao R1 e lo0.

  3. Configure protocolos IS-IS para a interface conectada ao R1. A política de exportação para anunciar rotas BGP para o IS-IS é mostrada na etapa de configuração de políticas.

  4. Configure o protocolo OSPF para a interface conectada ao R3 para obter acessibilidade lo0.

  5. Configure o router-id e autonomous-systemo IBGP entre R2 e R4. A política de exportação para anunciar rotas IS-IS para BGP é mostrada na etapa de configuração de políticas.

  6. Configure as políticas de exportação BGP e IS-IS que foram aplicadas durante as etapas anteriores. A export-bgp política é aplicada aos protocolos IS-IS como uma exportação para anunciar rotas BGP para o IS-IS e a export-isis política é aplicada ao BGP como uma exportação para anunciar rotas IS-IS para BGP. A opção de auto-salto próximo permite que o R2 anuncie as rotas IS-IS para o BGP com R2 como o próximo salto em vez da interface next-hop do R1.

  7. Configure o túnel Tunnel-01 dinâmico IP-IP de R2 a R4. A opção resolution-ribs inet.3 de configuração permite que a resolução de rotas ocorra no inet.3 e é necessária para estabelecer o túnel.

  8. (Opcional) — Configuração alternativa para o túnel Tunnel-01 dinâmico IP-IP de R2 a R4. Em vez de configurar a resolution-ribs inet.3 preferência do túnel mais baixa do que a preferência de próximo salto do protocolo pela rota até o endpoint do túnel. A rota para R4 é aprendida usando OSPF e tem uma preferência de 10 e a preferência padrão do túnel é 305. Configure a preferência do túnel mais baixa do que a preferência do OSPF permite que o túnel seja preferido e estabeleça.

  9. Entre no commit modo de configuração no R2.

Procedimento passo a passo para R3

  1. Insira o modo de configuração na R3.

  2. Configure as interfaces conectadas ao R2 e R4 e à interface lo0.

  3. Configure a ID do roteador.

  4. Configure o protocolo OSPF para as interfaces conectadas ao R2 e R4 para obter acessibilidade lo0.

  5. Entre no commit modo de configuração no dispositivo R3.

Resultados

Verifique sua configuração verificando as configurações abaixo dos dispositivos da seguinte forma:

Veja como verificar as configurações no R2:

user@R2# show interfaces

user@R2# show routing-options

user@R2# show protocols

user@R2# show policy-options

Verificação

Verificar banco de dados dinâmico de túneis
Propósito

Para verificar as informações dinâmicas do banco de dados do túnel, use o comando do show dynamic-tunnels database modo operacional.

Ação
Significado

A saída indica que um túnel IPoIP está estabelecido entre R2 (192.168.0.21 fonte) e R4 (192.168.0.41 destino) e outro túnel IPoIP está estabelecido entre R4 (192.168.0.41 fonte) e R2 (192.168.0.21 destino).

Verifique a tabela de rotas em inet.3
Propósito

Para verificar as rotas geradas na tabela inet.3, use o comando do show route table inet.3 modo operacional.

Ação
Significado

A saída indica a rota usada para resolver o tráfego BGP que usará o túnel.

Verifique as rotas BGP usando o túnel
Propósito

Para verificar se as rotas BGP recebidas no R2 e R4 para R1 e R5 estão usando o túnel.

Ação
Significado

A saída indica que o R2 está usando o túnel para a rota BGP para R5, e R4 está usando o túnel para a rota BGP para R1.

Verifique a acessibilidade de ponta a ponta
Propósito

Verifique se o R1 pode ping R5 usando o comando de ping 192.168.255.5 source 192.168.255.1 count 2 modo operacional.

Ação
Significado

A saída do R1 mostra que o R1 pode ping R5.

Exemplo: Configure um túnel IPoIP em um ambiente MPLS com túnel LDP, resolvido por inetcolor.0 usando configurações estáticas

Por padrão, o MPLS tem uma preferência maior que o IP. Por exemplo, com MPLS e LDP configurados entre R2, R3 e R4, onde o R2 é acessível com R4 por LDP, as rotas do R2 serão resolvidas por LDP, em vez de IP sobre IP, devido à maior preferência.

Se você preferir ter uma rota específica para resolver sobre o IP sobre IP em vez de LDP, você pode fazê-lo criando uma tabela inetcolor, onde o IP sobre IP tem uma preferência e configuração BGP mais altas para resolver essa rota sobre a tabela inetcolor em vez de uma tabela inet3. O exemplo a seguir mostra como fazê-lo usando configurações estáticas.

Topologia

Neste exemplo, estamos trocando rotas de R1 para R5 e vice-versa através de túneis dinâmicos IP sobre IP estabelecidos entre o R2 e o R4. As rotas do R1 são exportadas para R2 e as rotas de R5 são exportadas para R4, usando o protocolo IS-IS. Configuramos um túnel Tunnel-01 IPIP unicast de R2 para R4 e outro túnel Tunnel-01 de R4 a R2. Prefixos de rota gerados dentro das máscaras de rede a partir das redes de destino configuradas do dispositivo peer são usados para criar o túnel e os fluxos de tráfego na direção oposta das rotas no túnel.

Configuração rápida da CLI

R1

R2

R3

R4

R5

Procedimento

Procedimento passo a passo para R1

R1 e R5 têm uma configuração semelhante, então só mostraremos o procedimento passo a passo para r1.

  1. Insira o modo de configuração no R1.

  2. Configure a interface conectada ao R2 e à interface lo0. Certifique-se de configurar a família inet e iso. A família iso é necessária para o protocolo IS-IS.

  3. Configure a ID do roteador.

  4. Configure protocolos IS-IS. As rotas são anunciadas entre R1 e R2 usando o protocolo IS-IS.

  5. Insira commit no R1 a partir do modo de configuração.

Procedimento passo a passo para R2

R2 e R4 têm uma configuração semelhante, então só mostraremos o procedimento passo a passo para o R2.

  1. Insira o modo de configuração no R2.

  2. Configure as interfaces conectadas ao R1 e R3 e à interface lo0. Certifique-se de configurar tanto a famíliainetiso quanto a interface conectada ao R1 e lo0, e configurar tanto a famíliainetmpls quanto a interface conectada ao R3.

  3. Configure protocolos IS-IS para a interface conectada ao R1. A política de exportação para anunciar rotas BGP para o IS-IS é mostrada na etapa de configuração de políticas.

  4. Configure o protocolo OSPF para a interface conectada ao R3 para obter acessibilidade lo0.

  5. Configure os protocolos LDP e MPLS para a interface conectada ao R3.

  6. Configure a router-id hierarquia e autonomous-system configure o routing-options IBGP entre R2 e R4. A política de importação para adicionar uma comunidade às rotas aprendidas usando BGP e a política de exportação para anunciar rotas IS-IS para BGP é mostrada na etapa de configuração de políticas. Certifique-se de incluir extended-nexthop-color a opção à family inet unicast configuração para permitir a resolução usando a tabela inetcolor.0.

  7. Configure o túnel Tunnel-01 dinâmico IP-IP de R2 a R4. A opção colors de configuração permite que o túnel seja criado na tabela de rotas inetcolor.0. Configura dyn-tunnel-attribute-policy set-dynamic-tunnel-ep um endpoint de túnel estático. A política é mostrada com a etapa de configuração de políticas.

  8. Configure as políticas que foram aplicadas durante as etapas de configuração anteriores. A export-bgp política anuncia rotas BGP para o IS-IS. A export-isis política anuncia rotas IS-IS para BGP com a mudança do próximo salto para R2. A ipip-tunnel-color política aplica a comunidade à rota que é combinada na colors configuração do túnel dinâmico. A set-dynamic-tunnel-ep política configura o R4 como endpoint do túnel.

  9. Entre no commit modo de configuração.

Procedimento passo a passo para R3

  1. Insira o modo de configuração na R3.

  2. Configure as interfaces conectadas ao R2 e R4 e à interface lo0. Certifique-se de configurar a família inet e mpls as interfaces conectadas ao R2 e R4.

  3. Configure a ID do roteador.

  4. Configure o protocolo OSPF para as interfaces conectadas ao R2 e R4 para obter acessibilidade lo0.

  5. Configure os protocolos LDP e MPLS para as interfaces conectadas ao R2 e R4.

  6. Entre no commit modo de configuração no dispositivo R3.

Resultados

Verifique sua configuração verificando as configurações abaixo dos dispositivos.

Veja como verificar as configurações no R2:

user@R2# show interfaces

user@R2# show protocols

user@R2#show routing-options

user@R2#show policy-options

Verificação

Verificar a resolução da rota
Propósito

Para verificar a resolução de rota de rotas em tabelas inet.3 e inetcolor.0, use os comandos de show route table inet.3 modo operacional e show route table inetcolor.0 operacional.

Ação
Significado

A saída R2 indica que, na tabela inet.3, a rota 10.1.255.4 está sendo resolvida pelo LDP devido à preferência maior do que o IP sobre IP. Por outro lado, na recém-criada tabela inetcolor.0, a rota 10.1.255.4 está sendo resolvida através do túnel IP sobre IP com <c> anexo.

Verificar banco de dados dinâmico de túneis
Propósito

Para verificar o túnel dinâmico IP sobre IP criado por rotas na tabela inetcolor.0, use o comando de show dynamic-tunnels database terse modo operacional.

Ação
Significado

A saída R2 indica que a rota 192.168.0.41 criou um túnel dinâmico baseado em next-hop.

Verifique os próximos saltos de rota
Propósito

Para verificar todos os próximos saltos da rota que está definido para ser resolvido por IP sobre IP, use o comando de show route 192.168.255.5 extensive expanded-nh modo operacional.

Ação
Significado

A saída do R2 mostra o próximo salto expandido para a 192.168.255.5 rota. Como o R2 é um roteador da Série MX, ele envia um protocolo próximo salto e um próximo salto indireto.

Verifique a acessibilidade de ponta a ponta
Propósito

Verifique se o R1 pode ping R5 usando o comando de ping 192.168.255.5 source 192.168.255.1 count 2 modo operacional.

Ação
Significado

A saída do R1 mostra que o R1 pode ping R5.

Exemplo: Configure um túnel IPoIP com túnel LDP em uma nuvem MPLS, resolvido através do inetcolor.0 usando sinalização BGP

Em um ambiente MPLS com LDP habilitado, as rotas BGP são resolvidas através do LDP na tabela inet.3 porque o MPLS tem uma preferência maior que o IP.

Se você ainda preferir ter suas rotas resolvidas por IP sobre IP no ambiente MPLS, você pode fazê-lo criando uma tabela inetcolor.0 que atribui maior preferência por IP sobre IP e resolve rotas escolhidas por IP sobre IP. Para habilitar esse recurso usando o BGP, a resolução de rota é realizada no dispositivo final remoto do túnel e, com a política de exportação configurada no dispositivo remoto, as rotas são recebidas e anunciadas por meio da sinalização BGP. Este exemplo mostra como configurá-lo usando a configuração do protocolo BGP.

Neste exemplo, estamos trocando rotas de R1 para R5 e vice-versa através de túneis dinâmicos IP sobre IP estabelecidos entre o R2 e o R4. As rotas do R1 são exportadas para R2 e as rotas de R5 são exportadas para R4, usando o protocolo IS-IS. Configuramos um túnel Tunnel-01 IPIP unicast de R2 para R4 e outro túnel Tunnel-01 de R4 a R2. Prefixos de rota gerados dentro das máscaras de rede a partir das redes de destino configuradas do dispositivo peer são usados para criar o túnel e os fluxos de tráfego na direção oposta das rotas no túnel.

Configuração rápida da CLI

R1

R2

R3

R4

R5

Procedimento

Procedimento passo a passo para R1

R1 e R5 têm uma configuração semelhante, então só mostraremos o procedimento passo a passo para r1.

  1. Insira o modo de configuração no R1.

  2. Configure a interface conectada ao R2 e à interface lo0. Certifique-se de configurar a família inet e iso. A família iso é necessária para o protocolo IS-IS.

  3. Configure a ID do roteador.

  4. Configure protocolos IS-IS. As rotas são anunciadas entre R1 e R2 usando o protocolo IS-IS.

  5. Insira commit no R1 a partir do modo de configuração.

Procedimento passo a passo para R2

R2 e R4 têm uma configuração semelhante, então só mostraremos o procedimento passo a passo para o R2.

  1. Insira o modo de configuração no R2.

  2. Configure as interfaces conectadas ao R1 e R3 e à interface lo0. Certifique-se de configurar tanto a famíliainetiso quanto a interface conectada ao R1 e lo0, e configurar tanto a famíliainetmpls quanto a interface conectada ao R3.

  3. Configure protocolos IS-IS para a interface conectada ao R1. A política de exportação para anunciar rotas BGP para o IS-IS é mostrada na etapa de configuração de políticas.

  4. Configure o protocolo OSPF para a interface conectada ao R3 para obter acessibilidade lo0.

  5. Configure os protocolos LDP e MPLS para a interface conectada ao R3.

  6. Configure a router-id hierarquia e autonomous-system configure o routing-options IBGP entre R2 e R4. A política de importação para adicionar uma comunidade às rotas aprendidas usando o BGP e a política de exportação para anunciar rotas IS-IS no BGP e definir os atributos do túnel é mostrado na etapa de configuração da política. Certifique-se de incluir a opção extended-nexthop-tunnel com a family inet unicast configuração para permitir a resolução usando a tabela inetcolor.0.

  7. Configure opções de roteamento no R2 para criar um túnel de R2 a R4. A opção bgp-signal permite a criação de túneis sinalizada pelo BGP. A opção colors de configuração permite que o túnel seja criado na tabela de rotas inetcolor.0.

  8. Configure as políticas que foram aplicadas durante as etapas de configuração anteriores. A export-bgp política anuncia rotas BGP para o IS-IS. A export-tunnel-route política anuncia a rota IS-IS de R1 para BGP com o tunnel-attribute e muda o próximo salto para R2. A tunnel-attr-01 tunnel-attribute configuração define o tunnel-typeendpoint do túnel e a cor combinada na colors configuração para o túnel dinâmico.

  9. Entre no commit modo de configuração.

Procedimento passo a passo para R3

  1. Insira o modo de configuração na R3.

  2. Configure as interfaces conectadas ao R2 e R4 e à interface lo0. Certifique-se de configurar a família inet e mpls as interfaces conectadas ao R2 e R4.

  3. Configure a ID do roteador.

  4. Configure o protocolo OSPF para as interfaces conectadas ao R2 e R4 para obter acessibilidade lo0.

  5. Configure os protocolos LDP e MPLS para as interfaces conectadas ao R2 e R4.

  6. Entre no commit modo de configuração no dispositivo R3.

Resultados

Você pode verificar suas configurações usando os seguintes comandos de exibição a partir do modo de configuração.

Veja como verificar as configurações no dispositivo R2:

user@R2# show interfaces

user@R2# show protocols

user@R2# show routing-options

user@R2# show policy-options

Verificação

Verifique as rotas BGP

Propósito

Verifique as rotas enviadas usando o protocolo BGP.

Ação

R2

Significado

A saída mostra as rotas do BGP.

Verificar rotas recebidas

Propósito

Verifique as rotas recebidas por BGP usando os seguintes comandos de modo operacional.

Ação

R2

Significado

A saída R2 indica as rotas recebidas nos dispositivos.

Verifique o túnel dinâmico

Propósito

Verifique se o túnel dinâmico está funcionando e o BGP sinalizado.

Ação

R2

Significado

A saída R2 indica que o túnel está para cima e o BGP sinalizado.

Verificar a resolução da rota

Propósito

Para verificar a resolução de rota da rota na tabela inetcolor.0, use os comandos do show route table inetcolor.0 modo operacional.

Ação
Significado

A saída R2 indica que o túnel 10.1.255.4 é sinalizado pelo BGP.

Verifique a acessibilidade de ponta a ponta

Propósito

Verifique se o R1 pode ping R5 usando o comando de ping 192.168.255.5 source 192.168.255.1 count 2 modo operacional.

Ação
Significado

A saída do R1 mostra que o R1 pode ping R5.

Tópicos relacionados

Tabela de histórico de alterações

A compatibillidadde com o recurso dependerá da platadorma e versão utilizada. Use o Feature Explorer para saber se o recurso é compatível com sua plataforma.

Versão
Descrição
19.2R1
A partir do Junos Release 19.2R1, em roteadores da Série MX com MPCs e MICs, a arquitetura de operadora de suporte para operadoras (CSC) pode ser implantada com túneis MPLS-over-UDP que transportam tráfego MPLS em túneis IPv4 UDP dinâmicos estabelecidos entre os dispositivos PE da operadora de suporte.
18.3R1
A partir do Junos OS Release 18.3R1, os túneis MPLS-over-UDP são suportados em roteadores da Série PTX e switches da Série QFX.
18.2R1
A partir do Junos OS Release 18.2R1, em roteadores da série PTX e QFX10000 com túneis MPLS-over-UDP unidirecionais, você deve configurar o dispositivo PE remoto com um filtro de entrada para pacotes MPLS-over-UDP e uma ação para descapsular os cabeçalhos IP e UDP para o encaminhamento dos pacotes na direção do túnel reverso.
17.4R1
A partir do Junos OS Release 17.4R1, nos roteadores da Série MX, os túneis MPLS-over-UDP dinâmicos baseados em próximo salto são sinalizados usando a comunidade estendida de encapsulamento BGP.
17.1R1
A partir do Junos OS Release 17.1, em roteadores da Série MX com MPCs e MICs, o limite de escala dos túneis MPLS sobre UDP é aumentado.