Visão geral do IGMP Snooping

Benefícios do IGMP Snooping

• Optimized bandwidth utilization— O principal benefício do IGMP é reduzir a inundação de pacotes. O dispositivo encaminha seletivamente dados multicast IPv4 para uma lista de portas que desejam receber os dados em vez de inunda-los para todas as portas em uma VLAN.

• Improved security— evita ataques de negação de serviço de fontes desconhecidas.

Como funciona a espionagem do IGMP

Os dispositivos geralmente aprendem endereços MAC unicast verificando o campo de endereço fonte dos quadros que recebem e depois enviam qualquer tráfego para esse endereço unicast apenas para as interfaces apropriadas. No entanto, um endereço MAC multicast nunca pode ser o endereço fonte de um pacote. Como resultado, quando um dispositivo recebe tráfego para um endereço de destino multicast, ele inunda o tráfego na VLAN relevante, enviando uma quantidade significativa de tráfego para a qual pode não haver necessariamente receptores interessados.

A espionagem do IGMP evita essa inundação. Quando você permite a espionagem do IGMP, o dispositivo monitora pacotes IGMP entre receptores e roteadores multicast e usa o conteúdo dos pacotes para construir uma tabela de encaminhamento multicast — um banco de dados de grupos multicast e as interfaces que estão conectadas aos membros dos grupos. Quando o dispositivo recebe pacotes multicast, ele usa a tabela de encaminhamento multicast para encaminhar o tráfego seletivamente apenas para as interfaces conectadas aos membros dos grupos multicast apropriados.

Nos switches da Série EX e da Série QFX que não oferecem suporte ao estilo de configuração de Software de Camada 2 (ELS), a espionagem IGMP é habilitada por padrão em todas as VLANs (ou apenas no VLAN padrão em alguns dispositivos) e você pode desabilitar isso seletivamente em uma ou mais VLANs. Em todos os outros dispositivos, você deve configurar explicitamente o IGMP bisbilhotando uma VLAN ou em um domínio de ponte para habilitá-la.

Como o IGMP Snooping funciona com interfaces VLAN roteadas

O dispositivo pode usar uma interface VLAN roteada (RVI) para encaminhar tráfego entre VLANs em sua configuração. A espionagem de IGMP funciona com interfaces de Camada 2 e RVIs para encaminhar tráfego multicast em uma rede comutada.

Quando o dispositivo recebe um pacote multicast, seus Mecanismos de encaminhamento de pacotes realizam uma pesquisa multicast no pacote para determinar como encaminhar o pacote para suas interfaces locais. A partir dos resultados da pesquisa, cada Mecanismo de encaminhamento de pacotes extrai uma lista de interfaces de Camada 3 que têm portas locais para o Mecanismo de encaminhamento de pacotes. Se a lista incluir um RVI, o dispositivo oferece uma ID de grupo multicast de ponte para o RVI para o Mecanismo de encaminhamento de pacotes.

Para VLANs que incluem receptores multicast, o ID multicast da ponte inclui um ID sub-next-hop, que identifica as interfaces de Camada 2 na VLAN que estão interessadas em receber o fluxo multicast. O Mecanismo de encaminhamento de pacotes então encaminha tráfego multicast para unir IDs multicast que têm receptores multicast para um determinado grupo multicast.

Tipos de mensagem de IGMP

Os roteadores multicast usam o IGMP para saber quais grupos têm espectadores interessados em cada uma de suas redes físicas anexadas. Em qualquer sub-rede, um roteador multicast atua como um querier IGMP. O querier do IGMP envia os seguintes tipos de consultas aos hosts:

• Consulta geral — Pergunta se algum host está ouvindo algum grupo.

• Consulta específica do grupo — (apenas IGMPv2 e IGMPv3) Pergunta se algum host está ouvindo um grupo multicast específico. Essa consulta é enviada em resposta a um host que deixa o grupo multicast e permite que o roteador determine rapidamente se algum hosts remanescentes estão interessados no grupo.

• Consulta específica de grupo e fonte — (apenas IGMPv3) Pergunta se algum host está ouvindo o tráfego multicast em grupo a partir de uma fonte multicast específica. Essa consulta é enviada em resposta a um host indicando que ele não está mais interessado em receber tráfego multicast em grupo da fonte multicast e permite que o roteador determine rapidamente se os hosts restantes estão interessados em receber tráfego multicast do grupo dessa fonte.

Os hosts que são escutadores multicast enviam os seguintes tipos de mensagens:

• Relatório de associação — indica que o host deseja participar de um grupo multicast específico.

• Deixe o relatório — (apenas IGMPv2 e IGMPv3) Indica que o host deseja deixar um grupo multicast específico.

Como os hosts se juntam e deixam grupos multicast

Os hosts podem se juntar a grupos multicast de duas maneiras:

• Ao enviar uma mensagem de junção de IGMP não solicitada a um roteador multicast que especifica o grupo ip multicast que o host deseja participar.

• Ao enviar uma mensagem de junção de IGMP em resposta a uma consulta geral de um roteador multicast.

Um roteador multicast continua a encaminhar tráfego multicast para uma VLAN desde que pelo menos um host naquele VLAN responda às consultas gerais periódicas do IGMP. Para que um host permaneça membro de um grupo multicast, ele deve continuar a responder às consultas gerais periódicas do IGMP.

Os hosts podem deixar um grupo multicast de duas maneiras:

• Ao não responder a consultas periódicas em um determinado intervalo de tempo, o que é considerado uma "licença silenciosa". Este é o único método de licença para hosts IGMPv1.

• Enviando um relatório de licença. Esse método pode ser usado por hosts IGMPv2 e IGMPv3.

Suporte para fontes multicast IGMPv3

No IGMPv3, um host pode enviar um relatório de associação que inclui uma lista de endereços de origem. Quando o host envia um relatório de associação no modo INCLUDE, o host tem interesse no tráfego multicast em grupo apenas dessas fontes na lista de endereços de origem. Se o host enviar um relatório de associação no modo EXCLUDE, o host terá interesse no tráfego multicast em grupo de qualquer fonte , exceto nas fontes da lista de endereços de origem. Um host também pode enviar um relatório EXCLUDE no qual o parâmetro da lista de origem está vazio, que é conhecido como um relatório EXCLUDE NULL. Um relatório EXCLUDE NULL indica que o host deseja se juntar ao grupo multicast e receber pacotes de todas as fontes.

Dispositivos que oferecem suporte ao processo IGMPv3 incluem e EXCLUem relatórios de associação, e a maioria dos dispositivos encaminha tráfego multicast específico de origem (SSM) apenas de fontes solicitadas para receptores subscritos de acordo. No entanto, você pode ver que o dispositivo não encaminha estritamente o tráfego multicast por fonte em algumas configurações, como:

• Switches série EX e QFX que não usam o estilo de configuração de Software de Camada 2 (ELS) aprimorado

• Switches EX2300 e EX3400 que executam versões do Junos OS antes do 18.1R2

• Switches EX4300 que executam versões do Junos OS antes de 18.2R1, 18.1R2, 17.4R2, 17.3R3, 17.2R3 e 14.1X53-D47

• Gateways de serviços da Série SRX

Nesses casos, o dispositivo pode consolidar todos os relatórios de modo INCLUDE e EXCLUDE que eles recebem em uma VLAN para um grupo especificado em uma única rota que inclui todas as fontes multicast para esse grupo, com o próximo salto representando todas as interfaces que têm receptores interessados para o grupo. Como resultado, os receptores interessados na VLAN podem receber tráfego de uma fonte que não incluíram em seu relatório INCLUDE ou de uma fonte que eles excluiram em seu relatório EXCLUDE. Por exemplo, se o Host 1 quiser tráfego para G da Fonte A e do Host 2 quiser tráfego para o grupo G da Fonte B, ambos receberão tráfego para o grupo G, independentemente de A ou B enviarem o tráfego.

Interfaces de snooping e encaminhamento do IGMP

Para determinar como encaminhar o tráfego multicast, o dispositivo com snooping IGMP habilitado mantém informações sobre as seguintes interfaces em sua tabela de encaminhamento multicast:

• Interfaces de roteador multicast — essas interfaces levam a roteadores multicast ou queriers IGMP.

• Interfaces de membros de grupo — essas interfaces levam a hosts que são membros de grupos multicast.

O dispositivo aprende sobre essas interfaces monitorando o tráfego IGMP. Se uma interface receber consultas de IGMP ou atualizações do Protocol Independent Multicast (PIM), o dispositivo adiciona a interface à sua tabela de encaminhamento multicast como uma interface de roteador multicast. Se uma interface receber relatórios de associação para um grupo multicast, o dispositivo adiciona a interface à sua tabela de encaminhamento multicast como uma interface de membro do grupo.

As entradas da tabela de interface aprendidas envelhecem após um período. Por exemplo, se uma interface multicast-router aprendida não receber consultas IGMP ou olás PIM em um determinado intervalo, o dispositivo remove a entrada dessa interface de sua tabela de encaminhamento multicast.

Você pode configurar estaticamente uma interface para ser uma interface de roteador multicast ou uma interface de membro de grupo. O dispositivo adiciona uma interface estática à sua tabela de encaminhamento multicast sem precisar aprender sobre a interface, e a entrada na tabela não está sujeita ao envelhecimento. Um dispositivo pode ter uma mistura de interfaces configuradas e aprendidas dinamicamente.

Regras gerais de encaminhamento

Uma interface em uma VLAN com snooping IGMP habilitado recebe tráfego multicast e a encaminha de acordo com as seguintes regras.

Tráfego IGMP:

• Encaminhamento de consultas gerais de IGMP recebidas em uma interface de roteador multicast para todas as outras interfaces na VLAN.

• Encaminhe consultas específicas do grupo IGMP recebidas em uma interface de roteador multicast apenas para essas interfaces na VLAN que são membros do grupo.

• Encaminhamento de relatórios IGMP recebidos em uma interface de host para interfaces de roteador multicast na mesma VLAN, mas não para as outras interfaces de host na VLAN.

Tráfego multicast que não é tráfego IGMP:

• Pacotes multicast flood com um endereço de destino de 233.252.0.0/24 para todas as outras interfaces na VLAN.

• Encaminhe pacotes multicast não registrados (pacotes para um grupo que não tem membros atuais) para todas as interfaces de roteador multicast na VLAN.

• Encaminhe pacotes multicast registrados para essas interfaces de host na VLAN que são membros do grupo multicast e para todas as interfaces de roteador multicast na VLAN.

Usando o dispositivo como um Querier IGMP

Com o IGMP bisbilhotando uma rede local de Camada 2 pura (ou seja, a Camada 3 não está habilitada na rede), se a rede não incluir um roteador multicast, o tráfego multicast pode não ser encaminhado adequadamente pela rede. Você pode ver esse problema se a rede local estiver configurada de modo que o tráfego multicast deve ser encaminhado entre dispositivos para alcançar um receptor multicast. Neste caso, um dispositivo upstream não encaminha tráfego multicast para um dispositivo downstream (e, portanto, para os receptores multicast conectados ao dispositivo downstream) porque o dispositivo downstream não encaminha relatórios IGMP para o dispositivo upstream. Você pode resolver esse problema configurando um dos dispositivos para ser um querier IGMP. O dispositivo querier IGMP envia pacotes de consulta geral periódicos para todos os dispositivos da rede, o que garante que as tabelas de associação de espionagem sejam atualizadas e evita a perda de tráfego multicast.

Se você configurar vários dispositivos para serem queriers IGMP, o dispositivo com o endereço de origem mais antigo (menor) IGMP tem precedência e atua como o querier. Os dispositivos com endereços de origem mais importantes do IGMP param de enviar consultas de IGMP a menos que não recebam consultas de IGMP por 255 segundos. Se o dispositivo com um endereço de origem mais importante do IGMP não receber nenhuma consulta de IGMP durante esse período, ele começará a enviar consultas novamente.

Para configurar um dispositivo para agir como um querier IGMP, digite o seguinte:

Para configurar um switch de dispositivo de nós QFabric para agir como um querier de IGMP, digite o seguinte:

IGMP snooping em VLANs privadas (PVLANs)

Uma PVLAN consiste em VLANs isoladas secundárias e comunitárias configuradas dentro de uma VLAN primária. Sem o IGMP bisbilhotar o suporte nas VLANs secundárias, os fluxos multicast recebidos na VLAN primária são inundados para as VLANs secundárias.

A partir do Junos OS Release 18.3R1, switches EX4300 e Virtual Chassis EX4300 oferecem suporte a espionagem IGMP com PVLANs. A partir do Junos OS Release 19.2R1, os switches modelo multigigabit EX4300 oferecem suporte a espionagem IGMP com PVLANs. Ao habilitar o IGMP a bisbilhotar uma VLAN primária, você também a habilitou implicitamente em todas as VLANs secundárias. O dispositivo aprende e armazena informações de grupos multicast sobre a VLAN primária, e também aprende as informações de grupo multicast sobre as VLANs secundárias no contexto da VLAN primária. Como resultado, o dispositivo restringe ainda mais fluxos multicast apenas para receptores interessados em VLANs secundárias, em vez de inundar o tráfego em todas as VLANs secundárias.

A CLI impede que você configure explicitamente o IGMP bisbilhotando VLANs isoladas ou comunitárias secundárias. Você só precisa configurar o IGMP bisbilhotando a VLAN primária sob a qual as VLANs secundárias são definidas. Por exemplo, para um VLAN vlan-pri primário com VLAN vlan-iso isolado secundário e uma VLAN vLAN-comm comunitária secundária:

Os relatórios de IGMP e as mensagens de licença recebidas em portas VLAN secundárias são aprendidas no contexto da VLAN primária. Portas de tronco promíscuas ou links entre switches atuando como interfaces de roteador multicast para o PVLAN recebem fluxos de dados multicast de entrada de fontes multicast e os encaminham apenas para as portas VLAN secundárias com entradas de grupo multicast aprendidas.

Esse recurso não oferece suporte a portas VLAN secundárias como interfaces de roteador multicast. A CLI não impede estritamente que você configure estaticamente uma interface em uma VLAN comunitária como uma porta de roteador multicast, mas a espionagem IGMP não funciona corretamente em PVLANs com essa configuração. Quando a espionagem do IGMP é configurada em uma PVLAN, o switch também desativa automaticamente o aprendizado dinâmico de porta de roteador multicast em quaisquer interfaces VLAN isoladas ou comunitárias. A espionagem de IGMP com PVLANs também não oferece suporte a configurações com um querier IGMP em interfaces VLAN isoladas ou comunitárias.

Veja a compreensão das VLANs privadas e a criação de uma VLAN privada que abrange vários switches da Série EX com suporte a ELS (Procedimento CLI) para obter detalhes sobre a configuração de PVLANs.