EVPN-VXLAN 环境中的 MAC 过滤、风暴控制和端口镜像支持

EVPN-VXLAN 环境中 MAC 过滤、风暴控制和端口镜像支持的优势

• MAC 过滤使您能够过滤并接受来自面向 CE 的入口接口的数据包，从而减少以太网交换表中的关联 MAC 地址量和 VXLAN 中的流量。

• 风暴控制使您能够监控 EVPN-VXLAN 接口上的流量级别，如果超出指定的流量级别，将丢弃广播、未知单播和组播 （BUM） 数据包，并在某些瞻博网络交换机上禁用该接口指定的时间。此功能可以防止过多的流量降低网络性能。

• 借助端口镜像和分析器，您可以在 EVPN-VXLAN 环境中分析低至数据包级别的流量。您可以使用此功能强制实施与网络使用和文件共享相关的策略，并通过查找特定工作站或应用程序的异常或大量带宽使用情况来识别问题来源。

MAC 过滤

MAC 过滤使您能够过滤 MAC 地址并接受流量。我们仅在面向 CE 的入口接口上支持此功能，这些接口通常不会启用 VXLAN 封装。要使用此功能，您必须执行以下操作：

• 创建一个防火墙过滤器，您可以在其中指定 表 1 和 表 2 中支持的一个或多个匹配条件。

• 将防火墙过滤器应用于层次结构中配置的第 [edit interfaces interface-name unit logical-unit-number family ethernet-switching filter] 2 层接口。

通过防火墙过滤器，您可以指定特定接口上允许的与 VXLAN 关联的 MAC 地址。

QFX5110交换机上的以下示例配置会创建一个名为 DHCP-Discover-In 的防火墙过滤器，该过滤器接受并计算在第 2 层逻辑接口 xe-0/0/6.0 上满足多个匹配条件（源 MAC 地址、目标 MAC 地址、目标端口和 VLAN ID）的传入流量：

风暴控制

默认情况下，在 QFX 和 EX 交换机上为与 VXLAN 关联的第 2 层接口启用风暴控制。风暴控制级别设置为组合 BUM 流量流的 80%。

在 EVPN-VXLAN 环境中，风暴控制在与 VXLAN 关联的第 2 层接口上实施和配置，与在非 EVPN-VXLAN 环境中相同，但存在以下差异：

• 在 EVPN-VXLAN 环境中，风暴控制监视器的流量类型如下：

  • 源自 VXLAN 并转发至同一 VXLAN 中的接口的第 2 层 BUM 流量。

  • 由 VXLAN 中的集成路由和桥接 （IRB） 接口接收并转发到另一个 VXLAN 中的接口的第 3 层组播流量。

• 创建风暴控制配置文件后，必须将其绑定到层次结构中的 [edit interfaces interface-name unit logical-unit-number family ethernet-switching] 入口第 2 层接口。

  注意：

  将配置文件绑定到第 2 层接口后，该接口将驻留在默认交换机实例中。

• 如果接口上的流量超过指定的风暴控制级别，瞻博网络交换机将丢弃多余的数据包，这称为速率限制。此外，EVPN-VXLAN 环境中的QFX10000交换机支持在指定时间内使用层次结构级别的recovery-timeout配置语句[edit forwarding-options storm-control-profiles]和层次结构级别的配置语句[edit interfaces interface-name unit logical-unit-number family ethernet-switching]禁用action-shutdown接口。

  注意：

  EVPN-VXLAN 环境中的QFX5100和QFX5110交换机不支持在指定时间内禁用接口。

  注意：

  在 QFX5110 交换机上，如果在接口上配置了增强型风暴控制和本机分析器，并且本机分析器将 VxLAN VLAN 作为输入，则关闭操作将不适用于该接口上的 VLAN。速率限制将按预期工作。

以下配置将创建一个名为 scp 的配置文件，该配置文件指定，如果组合 BUM 流量流使用的带宽在第 2 层逻辑接口 et-0/0/23.0 上超过 5%，则该接口将丢弃多余的 BUM 流量。

以下配置将创建一个名为 scp 的配置文件，该配置文件指定如果组播流量流（不包括广播和未知单播流量流）在第 2 层逻辑接口 et-0/0/23.0 上使用的带宽超过 5%，则该接口将丢弃多余的组播流量。

QFX10000交换机上的以下配置将创建与先前配置中相同的配置文件。但是，如果流量流超过 5%，则不会隐式丢弃组播流量，而是以下配置显式禁用接口 120 秒，然后恢复接口。

端口镜像和分析器

为了分析 EVPN-VXLAN 环境中的流量，我们支持以下端口镜像和分析器功能：

• 本地镜像

  • 在接口上

  • 在 VXLAN 上

• 远程镜像

  • 在接口上

  • 在 VXLAN 上

以下各节提供有关受支持功能的详细信息，并包括示例配置。

• 本地镜像
• 配置本地镜像
• 远程镜像

使用 GRE 封装配置远程镜像

使用 VXLAN 封装配置远程镜像

要了解哪些平台在哪些版本中支持此功能，请参阅 使用 VXLAN 封装的远程端口镜像的功能资源管理器页面。

• 基于分析器的配置
• 基于防火墙过滤器的配置

使用 VNI 匹配条件的远程端口镜像

对于 QFX10002、QFX10008 和 QFX10016 系列交换机，在过滤远程端口镜像流量时，您可以将 VXLAN 网络标识符 （VNI） 值用作匹配条件。此功能通常用于网络规划和深度包检测 （DPI） 等分析。

远程端口镜像功能用于创建目标入口数据包的副本，这些数据包封装在外部 IPv4 GRE 标头中，然后转发到指定的远程目标。支持 VNI 匹配条件意味着您可以根据数据包的 VNI 选择要镜像的数据包，以便仅将这些流量定向到远程镜像端口。您还可以配置差异服务代码点 （DSCP） 值以确定流的优先级，例如，高优先级或尽力交付。不支持将集成路由和桥接 （IRB） 接口用作目标镜像端口。

概括而言，基于 VNI 的远程端口镜像过程是创建远程端口镜像实例，在防火墙过滤器系列中提升 VNI 以处理 VNI，创建必要的过滤规则和操作，然后将防火墙策略应用于入口接口。用于发送镜像数据包的接口上也应设置 GRE 隧道。

Remote Port Mirroring on the Basis of VNI Use Case: Sample Configuration

以下代码示例重点介绍了根据 VNI 镜像数据包所需的关键 Junos CLI 配置。

1. 启用远程端口镜像，并配置要将镜像数据包发送到的流量源和目标。
2. 创建一个防火墙过滤器（此处名为 bf_vni_st），并将此过滤器中的 VNI 提升为数据包转发模块（换句话说，此命令将整个过滤器设置为优化 VNI 匹配条件）。
3. 创建一个入口防火墙过滤器 （bf_vni_st），用于指定 VNI 匹配条件（此示例中为 6030）和操作（此示例中为 count）。
4. 将过滤器应用于要镜像的接口上的入口流量。