Filtragem seletiva baseada em classe em roteadores PTX

Para roteadores e placas de linha da Série PTX suportados, você pode filtrar o tráfego IPv4 e IPv6 com base na classificação de origem ou destino (Uso de classe fonte, SCU) e (Uso de classe de destino, DCU). Isso é útil porque significa que você pode aplicar um filtro seletivamente, em um subconjunto de pacotes em uma classe, em vez de todos os pacotes da classe. Além disso, o fluxo de pacotes pelo mecanismo de encaminhamento de pacotes (PFE) é otimizado, e a filtragem é mais eficiente.

Para provedores de serviços, a filtragem baseada em classe permite que você forneça serviços avançados como:

• Manipulação de comportamento por salto ajustando a classe de encaminhamento do pacote com base na classe de pacotes de origem ou destino e outros critérios de filtro.

• Taxa de tráfego limitando para determinadas interfaces de clientes, com alto volume de tráfego a cair (por exemplo, sob ataque DDoS). Normalmente, você implantaria um filtro de interface de saída para avaliar o tráfego. No entanto, isso pode ser ineficiente porque o tráfego ainda atravessa a malha em sistemas distribuídos e consome largura de banda de malha limitada. A ineficiência se torna ainda mais visível em um sistema de fila de saída virtual, como o PTX, onde a admissão na fila de saída está acontecendo antes que o filtro de saída seja executado e qualquer ação subsequente de queda no filtro de saída requer compensação – mais tráfego precisa ser admitido na fila, o que requer mais largura de banda de malha e mais espaço buffer de saída no chip (que é um recurso limitado). Os filtros baseados em classe são executados no pipeline de entrada antes da admissão dos pacotes na fila de saída. Esse mecanismo é recomendado por filtros de interface de saída regulares, caso você espere lançar grandes volumes de tráfego em direção a determinados destinos.

A filtragem baseada em classe também é eficaz para ataques DoS "baixo e lento" que visam recursos de aplicativos e servidores imitando padrões de tráfego normais.

Para oferecer suporte à filtragem baseada em classe, dois novos pontos de vinculação são introduzidos na tabela de encaminhamento para roteadores PTX: source-class e destination-class...

A hierarquia da CLI é mostrada aqui, onde o nome da classe src ou nome de primeira classe é o nome do filtro que você definiu na política correspondente.

Você também pode configurar filtros específicos de instâncias em várias classes de SCU e DCU. Por padrão, apenas um conjunto de contadores e policiais é instanciado para um filtro. No filtro específico de instâncias, um conjunto separado de contadores e policiais é criado para cada ponto de acoplamento de filtro.

Inicialmente, o recurso de uso de classe fonte (SCU) foi introduzido para fornecer estatísticas de detalhamento do tráfego enviado para interface específica por prefixo de origem (identificado pela classe de origem). O uso de classe de destino (DCU) foi originalmente introduzido para fornecer estatísticas de detalhamento do tráfego recebido em uma interface por prefixo de destino (identificado pela classe de destino).

As aulas de origem ou destino são atribuídas ao pacote no processo de busca de origem ou destino. Portanto, as condições de correspondência de filtro de origem e destino só podem ser avaliadas se o filtro for executado após a pesquisa.

Os roteadores Juniper oferecem suporte a vários pontos de vinculação de filtros, aqueles que podem aproveitar o resultado da classificação de origem e destino estão listados abaixo, com diretrizes de uso:

• Filtro de interface de saída (definir interfaces <interface> taxa < de > do filtro de inet da família. Suportado em qualquer plataforma PTX, mas não recomendado se é esperado descartar grandes volumes de tráfego em um estado estável (por exemplo, ao implementar um filtro de mitigação de ataque DDoS). O tráfego de ataque DDoS descartado pode não ser compensado por outro tráfego que não corresponda aos critérios de ataque DDoS devido à largura de banda de malha limitada e espaço de buffer de saída limitado no chip.

• Filtrar após encaminhar a pesquisa do filtro de tabela (definir opções de encaminhamento da família de inet filter < nome do filtro> saída). Suporte nas plataformas Express 2 (PE) e Express 3 (ZX). No entanto, os filtros são instanciados no pipeline de saída, portanto, o comportamento de descarte é semelhante ao filtro de interface de saída regular.

• Ponto de ligação específico da classe de origem ou de destino (definir opções de roteamento família de nome de classe src de classe src de classe fonte [inet | inet6] filtro <filtro>). Suporte nas plataformas Express 2 (PE), Express 3 (ZX) e Express 4 (BT). Este filtro é instanciado no pipeline de entrada. Esta é a opção recomendada para descartar grandes volumes de tráfego. Essa opção também é recomendada se você precisar substituir a classe de encaminhamento e, posteriormente, a atribuição da fila de saída. Em um sistema de fila de saída virtual, a fila é selecionada no pipeline de entrada e qualquer substituição também deve acontecer no pipeline de entrada.

Este exemplo mostra como aplicar ações de firewall (descartar, rejeitar ou policiar) aos fluxos de tráfego IPv4 e IPv6 com base na classificação de origem ou destino. Aplica-se a PTX10001-36MR, PTX10003-160C, PTX10003-80C, PTX10004 e PTX10008 roteadores que executam o Junos Evolved OS versão 21.2, PTX10016 roteadores que executam o JUNOS Evolved OS versão 21.4, ou PTX3000, PTX-5000, PTX1000, PTX10002, PTX10008, PTX10016 roteadores que executam o software Junos OS 21.2 ou posterior.

• Requisitos
• Visão geral
• Configuração

Visão geral

Este exemplo usa três dispositivos de roteamento: um dispositivo de borda do cliente (CE), um dispositivo de borda (PE) de provedor e um dispositivo de núcleo (P) de provedor. A configuração para tráfego IPv4 é mostrada e inclui dois conjuntos de aulas de SCU e DCU, além dos filtros de firewall. No número a seguir, os prefixos de IP /32 representam hosts conectados aos roteadores de borda do cliente (CE) e provedor (P), respectivamente.

Figura 1: Rede de amostra

Neste exemplo, definimos duas classes de tráfego: scu-1 e scu-2, o primeiro é atribuído a prefixos na sub-rede 172.16.2.0/24 e o segundo é atribuído a prefixos na sub-rede 172.16.3.0/24. Outros prefixos não têm atribuições de classe. Como mostrado no seguinte trecho de CLI, a política de roteamento é definida no roteador PE para atribuir prefixos ao scu-1 de classe fonte e scu-2 de classe fonte.

Para explicar a entrada de tráfego das interfaces de PE da CE, a política chamada classe dcu definida no roteador PE usa filtros de rota para colocar o tráfego no dcu-1, outros prefixos não têm atribuições de classe.

As políticas são então aplicadas à tabela de encaminhamento.

Na próxima etapa, configuramos um filtro no roteador PE.

E conecte esse filtro aos pontos de ligação de classe de origem e destino específicos no roteador PE.