在 cSRX 容器防火墙容器上配置流量转发

root@csrx-ubuntu3:~/csrx# docker run -d --privileged --network=mgt_bridge -e CSRX_FORWARD_MODE="routing" --name=<csrx-container-name> <csrx-image-name>

从 19.2R1.8 开始，每台 cSRX 容器防火墙可配置多达 15 个面间收入：eth1、eth2 等，直到 eth15。启动 cSRX 容器防火墙时，可以预定义接口数量。通常，在旋转 cSRX 容器防火墙（-network=mgt_bridge）时，docker 会根据网络设置分配 cSRX 容器防火墙上的管理 IP。如果未指定此变量，docker 将分配默认 docker 网络桥接的 IP。

cSRX 容器防火墙使用 eth0 进行带外管理，以接受管理会话和流量，cSRX 容器防火墙使用 eth1 和 eth2 作为两个收入端口来处理带内数据流量（ge-0/0/0 和 ge-0/0/1 接口）。

对于此示例，假设 docker 默认或自定义网络管理桥接为 172.31.21.0/24，docker 会从此网络分配一个 IP 地址。如果您的 cSRX 容器防火墙是系统上的第一个容器，则分配的 cSRX 容器防火墙将采用 172.31.21.2，cSRX 容器防火墙管理平面的默认网关为 172.31.21.1。

表 1：接口的 IP 地址分配

接口	IP 地址
管理接口 eth0 （fxp0）	172.31.21.1
cSRX 容器防火墙管理平面的默认网关	172.31.21.2
Eth1 （ge-0/0/0）	172.19.0.2/24
Eth2 （ge-0/0/1）	172.20.0.2/24
外部服务器	10.10.10.0

root@csrx# show | display set

root@csrx# set interfaces ge-0/0/0 unit 0 family inet address 172.19.0.2/24

root@csrx# set interfaces ge-0/0/1 unit 0 family inet address 172.20.0.2/24

配置静态路由并指定下一跃点地址。

root@csrx# set routing-options static route 0.0.0.0/0 next-hop 172.19.0.2/24

root@csrx> show route forwarding-table

root@csrx% route add -net 10.10.10.0/24 gw 172.31.21.1

root@csrx% route -n

[edit routing-options]

root@csrx# set routing-options rib inet6.0 static route 3000::0/64 next-hop 1000::10/128

[edit interfaces]

root@csrx# commit

root@csrx# show routing-options rib inet6.0

static {

route 3000::0/64 next-hop 1000::10/128;

}

注意：

虽然在 cSRX 容器容器内创建了多个接口，但 srxpfe 中只有两个接口（ge-0/0/0 和 ge-0/0/1）可见。

root@csrx% arp -a

默认 ARP/NDP 条目超时设置为 1200 秒。启动 cSRX 容器防火墙容器时，可以通过修改 ARP_TIMEOUT 环境变量或 NDP_TIMEOUT 环境变量来调整此值。例如：

root@csrx-ubuntu3:~/csrx# docker run -d --privileged --network=mgt_bridge -e CSRX_FORWARD_MODE="routing" -e CSRX_ARP_TIMEOUT=<seconds> -e CSRX_NDP_TIMEOUT=<seconds> --name=<csrx-container-name> <csrx-image-name>

最大 ARP 条目编号由 Linux 主机内核控制。如果存在大量邻接方，则可能需要调整 Linux 主机上的 ARP 或 NDP 条目限制。Linux 主机上的 sysctl 命令中有一些选项，用于调整 ARP 或 NDP 条目限制。

例如，要将最大 ARP 条目调整为 4096：

# sysctl -w net.ipv4.neigh.default.gc_thresh1=1024

# sysctl -w net.ipv4.neigh.default.gc_thresh2=2048

# sysctl -w net.ipv4.neigh.default.gc_thresh3=4096

例如，要将最大 NDP 条目调整为 4096：

# sysctl -w net.ipv6.neigh.default.gc_thresh1=1024

# sysctl -w net.ipv6.neigh.default.gc_thresh1=2048

# sysctl -w net.ipv6.neigh.default.gc_thresh1=4096