EVPN-VXLAN 环境中的 MAC 过滤、风暴控制和端口镜像支持

EVPN-VXLAN 环境中 MAC 过滤、风暴控制和端口镜像支持的优势

• MAC 过滤允许您过滤和接受来自面向入口客户边缘的接口的数据包，从而减少以太网交换表中关联的 MAC 地址量和 VXLAN 中的流量。

• 风暴控制使您能够监控 EVPN-VXLAN 接口上的流量级别，如果超过指定的流量级别，则丢弃广播、未知单播和组播 （BUM） 数据包以及某些瞻博网络交换机上的流量级别，禁用接口指定的时间。此功能可以防止过多流量降低网络性能。

• 借助端口镜像和分析器，您可以在 EVPN-VXLAN 环境中分析数据包级别的流量。您可以使用此功能实施与网络使用和文件共享相关的策略，并通过定位特定站点或应用程序的异常或大量带宽使用情况来识别问题来源。

MAC 过滤

您可以通过 MAC 过滤过滤 MAC 地址并接受流量。我们仅在面向客户边缘的入口接口上支持此功能，这些接口通常不启用 VXLAN 封装。要使用此功能，您必须执行以下作：

• 创建防火墙过滤器，在其中指定 表 1 和 表 2 中支持的一个或多个匹配条件。

• 将防火墙过滤器应用于层次结构中 [edit interfaces interface-name unit logical-unit-number family ethernet-switching filter] 配置的第 2 层接口。

通过防火墙过滤器，您可以指定与特定接口上允许的 VXLAN 相关联的 MAC 地址。

在 QFX5110 交换机上，以下示例配置创建了一个名为 DHCP-Discover-In 的防火墙过滤器，用于接受并计算第 2 层逻辑接口 xe-0/0/6.0 上满足多个匹配条件（源 MAC 地址、目标 MAC 地址、目标端口和 VLAN ID）的传入流量：

风暴控制

默认情况下，对于与 VXLAN 关联的第 2 层接口，QFX 和 EX 交换机会启用风暴控制。风暴控制级别设置为组合 BUM 流量流的 80%。

在 EVPN-VXLAN 环境中，风暴控制在与 VXLAN 关联的第 2 层接口上实施和配置与非 EVPN-VXLAN 环境相同，但存在以下区别：

• 在 EVPN-VXLAN 环境中，风暴控制监控的流量类型如下：

  • 源自 VXLAN 并转发至同一 VXLAN 内的接口的第 2 层 BUM 流量。

  • 第 3 层组播流量，由 VXLAN 中的集成路由和桥接 （IRB） 接口接收并转发至其他 VXLAN 中的接口。

• 创建风暴控制配置文件后，您必须将其绑定到层次结构中的 [edit interfaces interface-name unit logical-unit-number family ethernet-switching] 入口第 2 层接口。

  注意：

  将配置文件绑定到第 2 层接口后，该接口将驻留在默认交换机实例中。

• 如果接口上的流量流超过指定的风暴控制级别，瞻博网络交换机将丢弃多余的数据包，这称为速率限制。此外，EVPN-VXLAN 环境中的 QFX10000 交换机支持在层次结构级别使用[edit forwarding-options storm-control-profiles]配置语句和recovery-timeout在层次结构级别使用配置语句[edit interfaces interface-name unit logical-unit-number family ethernet-switching]在action-shutdown指定时间内禁用接口。

  注意：

  EVPN-VXLAN 环境中的 QFX5100 和 QFX5110 交换机不支持在指定时间内禁用接口。

  注意：

  在 QFX5110 交换机上，如果在某个接口上配置了增强型风暴控制和本机分析器，并且本机分析器将 VXLAN VLAN 作为输入，则关闭作将不适用于该接口上的 VLAN。速率限制将按预期工作。

以下配置将创建一个名为 scp 的配置文件，该配置文件指定如果组合 BUM 流量流使用的带宽在第 2 层逻辑接口 et-0/0/23.0 上超过 5%，则接口将丢弃多余的 BUM 流量。

以下配置可创建一个名为 scp 的配置文件，其指定如果第 2 层逻辑接口 et-0/0/23.0 上组播流量流（不包括广播和未知单播流量流）使用的带宽超过 5%，则接口将丢弃多余的组播流量。

QFX10000 交换机上的以下配置将创建与之前配置相同的配置文件。但是，如果流量流超过 5%，以下配置不会隐式丢弃组播流量，而是显式禁用接口 120 秒，然后重新启用接口。

端口镜像和分析器

为了分析 EVPN-VXLAN 环境中的流量，我们支持以下端口镜像和分析器功能：

• 本地镜像

  • 在接口上

  • 在 VXLAN 上

• 远程镜像

  • 在接口上

  • 在 VXLAN 上

以下部分提供了有关支持功能的详细信息，并包括示例配置。

• 本地镜像
• 配置本地镜像
• 远程镜像

使用 GRE 封装配置远程镜像

以下示例配置用于使用 GRE 封装进行基于分析器的远程镜像。

Use Case 1

通过 analyzer 在层次结构级别使用 [set forwarding-options] configuration 语句，此配置指定进入逻辑接口 xe-0/0/8.0 的第 2 层流量将镜像到 IP 地址为 10.9.9.2 的远程逻辑接口。

Use Case 2

通过在[set forwarding-options]层次结构级别使用 analyzer configuration 语句，此配置指定退出逻辑接口 xe-0/0/8.0 的第 2 层流量将镜像到 IP 地址为 10.9.9.2 的远程逻辑接口。

Use Case 3

通过 analyzer 在层次结构级别使用 [set forwarding-options] configuration 语句，此配置指定进入逻辑接口 xe-0/0/29.0 的第 2 层流量将镜像到 IP 地址为 10.9.9.2 的远程逻辑接口。

Use Case 4

通过 analyzer 在层次结构级别使用 [set forwarding-options] configuration 语句，此配置指定退出逻辑接口 xe-0/0/29.0 的第 2 层流量将镜像到 IP 地址为 10.9.9.2 的远程逻辑接口。

Use Case 5

通过 analyzer 在层次结构级别使用 [set forwarding-options] configuration 语句，此配置指定进入 VXLAN100 的第 2 层流量（映射到逻辑接口 xe-0/0/8.0）将镜像到 IP 地址为 10.9.9.2 的远程逻辑接口。

使用 VXLAN 封装配置远程镜像

要了解哪些平台在哪些版本中支持此功能，请参阅“功能浏览器”页面，了解 使用 VXLAN 封装的远程端口镜像。

• 基于分析器的配置
• 基于防火墙过滤器的配置

使用 VNI 匹配条件的远程端口镜像

对于 QFX10002、QFX10008 和 QFX10016 系列交换机，在过滤流量以进行远程端口镜像时，可以使用 VXLAN 网络标识符 （VNI） 值作为匹配条件。这种能力通常用于网络规划和分析，例如深度包检测 （DPI）。

远程端口镜像功能用于创建目标入口数据包的副本，这些数据包封装在外部 IPv4 GRE 报头中，然后转发到指定的远程目标。支持 VNI 匹配条件意味着您可以基于其 VNI 选择要镜像的数据包，以便仅将这些流量定向至远程镜像端口。您还可以配置差异服务代码点 （DSCP） 值来确定流的优先级，例如，高优先级或尽力而为的交付。集成路由和桥接 （IRB） 接口不支持作为目标镜像端口。

概括而言，基于 VNI 的远程端口镜像过程是创建远程端口镜像实例，将防火墙过滤器家族中的 VNI 提升以处理 VNI，创建必要的过滤器规则和作，然后将防火墙策略应用于入口接口。用于发送镜像数据包的接口上也应建立 GRE 隧道。

Remote Port Mirroring on the Basis of VNI Use Case: Sample Configuration

以下代码示例重点介绍了根据 VNI 镜像数据包所需的关键 Junos CLI 配置。

1. 启用远程端口镜像，并配置要将镜像数据包发送到的流量源和目标。
2. 创建防火墙过滤器（此处名为 bf_vni_st），并将此过滤器中的 VNI 提升为数据包转发模块（换句话说，此命令可设置整个过滤器以优化 VNI 匹配条件）。
3. 创建入口防火墙过滤器 （bf_vni_st），用于指定 VNI 匹配条件（此示例中为 6030）和作（此示例中为 count）。
4. 将过滤器应用于要镜像的接口上的入口流量。