配置第 6 根软线
配置第 6 个软线集中器
第 6 个功能在 M Series 路由器上的多服务 100、400 和 500 PIC 以及配备多服务 DPC 的 MX 系列路由器上受支持。带有 MS-MPC 或 MS-MIC 的 MX 系列路由器不支持第 6 个功能。
要配置第 6 个软线集中器,请执行以下作:
对第 6 个软线集中器的配置更改在数据包转发引擎中不起作用。这是一个已知的限制。如果您尝试通过覆盖 1024 个软线集中器的现有配置(系统支持的软线集中器的最大限制)来添加软线集中器的新配置,则新配置不会更新。要变通解决此限制,必须删除现有配置并提交设置,然后添加软件线集中器的新配置并提交设置。
对于第 6 个软线集中器,如果在更换接口期间将一个内联服务 (si-
) 接口替换为另一个 si-
接口而未停止流量,则会观察到数据包丢弃,并在虚拟终端会话 (VTY) 控制台上记录错误消息。如果 si-
某个接口与具有大量软线集中器的服务集相关联,则在不停止流量的情况下替换该接口会导致流量中断。在将接口更换 si-
为第 6 个软线集中器期间,您必须停止流量并重新启动流量。FPC 的 VTY 控制台上显示以下错误消息:
packet discarded because no ifl or not SI ifl
为第 6 条软线配置有状态防火墙规则
您必须配置有状态防火墙规则,以便与第 6 条软线配合使用。状态防火墙服务仅用于将数据包定向到软线,不用于设置防火墙。第 6 个软线服务本身必须是无状态的。若要支持无状态处理,必须在状态防火墙策略的两个方向上都包含 允许 术语。
第 6 个功能在 M Series 路由器上的多服务 100、400 和 500 PIC 以及配备多服务 DPC 的 MX 系列路由器上受支持。带有 MS-MPC 或 MS-MIC 的 MX 系列路由器不支持第 6 个功能。
要为第 6 个软线处理添加有状态防火墙规则,请执行以下作:
另见
示例:第 6 个基本配置
要求
第 6 个功能在 M Series 路由器上的多服务 100、400 和 500 PIC 以及配备多服务 DPC 的 MX 系列路由器上受支持。带有 MS-MPC 或 MS-MIC 的 MX 系列路由器不支持第 6 个功能。
此示例介绍如何为第 6 个域 D1 配置第 6 个集中器以提供 IPv6 互联网连接。
以下硬件组件可以执行第 6 次:
具有多服务 PIC 的 M Series 多服务边缘路由器
具有多服务 PIC 的 T Series 核心路由器
具有多服务 DPC 的 MX 系列 5G 通用路由平台
概述
此配置示例介绍如何配置基本的第 6 个隧道解决方案。
配置
CLI 快速配置
要快速配置此示例,请复制以下命令,将其粘贴到文本文件中,删除所有换行符,更改详细信息,以便与网络配置匹配,然后将命令复制并粘贴到层 [edit]
级的 CLI 中。
set interfaces ge-1/2/0 unit 0 family inet service input service-set v6rd-dom1-service-set set interfaces ge-1/2/0 unit 0 family inet service output service-set v6rd-dom1-service-set set interfaces ge-1/2/0 unit 0 family inet address 10.10.10.1/24 set interfaces ge-1/2/0 unit 0 family inet6 service input service-set v6rd-dom1-service-set set interfaces ge-1/2/0 unit 0 family inet6 service output service-set v6rd-dom1-service-set set interfaces ge-1/2/2 unit 0 family inet6 address 3abc::1/16 set interfaces sp-0/2/0 unit 0 family inet set interfaces sp-0/2/0 unit 0 family inet6 set services softwire softwire-concentrator v6rd v6rd-dom1 softwire-address 30.30.30.1 set services softwire softwire-concentrator v6rd v6rd-dom1 ipv4-prefix 10.10.10.0/24 set services softwire softwire-concentrator v6rd v6rd-dom1 v6rd-prefix 3040::0/16 set services softwire softwire-concentrator v6rd v6rd-dom1 mtu-v4 9192 set services softwire rule v6rd-dom1 match-direction input set services softwire rule v6rd-dom1 term t1 then v6rd v6rd-dom1 set services service-set v6rd-dom1-service-set softwire-rules v6rd-dom1 set services service-set v6rd-dom1-service-set stateful-firewall-rules r1 set services service-set v6rd-dom1-service-set interface-service service-interface sp-0/2/0 set services stateful-firewall rule r1 match-direction input-output set services stateful-firewall rule r1 term t1 then accept
机箱配置
分步过程
要配置机箱,请执行以下作:
定义入口接口。
user@host# edit interfaces ge-1/2/0
配置入口接口、逻辑单元和输入/输出服务选项。
[edit interfaces ge-1/2/0] user@host# set unit 0 family inet service input service-set v6rd-dom1-service-set user@host# set unit 0 family inet service output service-set v6rd-dom1-service-set user@host# set unit 0 family inet6 service input service-set v6rd-dom1-service-set user@host# set unit 0 family inet6 service output service-set v6rd-dom1-service-set
配置入口接口的地址。
[edit interfaces ge-1/2/0]
user@host# set unit 0 family inet address 10.10.10.1/24定义出口接口。
user@host# up
[edit interfaces]
user@host# edit ge-1/2/2定义出口接口的逻辑单元和地址。
[edit interfaces ge-1/2/2]
user@host# set unit 0 family inet6 address 3ABC::1/16定义服务 PIC。
[edit interfaces ge-1/2/2]
user@host# up[edit interfaces]
user@host# edit sp-0/2/0为服务 PIC 配置逻辑单元。
[edit interfaces sp-0/2/0]
user@host# up[edit interfaces]
user@host# set unit 0 family inet user@host# set unit 0 family inet6
结果
[edit interfaces] user@host# show sp-0/2/0 { unit 0 { family inet; family inet6; } } ge-1/2/0 { unit 0 { family inet { service { input { service-set v6rd-dom1-service-set; } output { service-set v6rd-dom1-service-set; } } address 10.10.10.1/24; } family inet6 { service { input { service-set v6rd-dom1-service-set; } output { service-set v6rd-dom1-service-set; } } } } } ge-1/2/2 { unit 0 { family inet6 { address 3abc::1/16; } } }
软线集中器、软线规则和有状态防火墙规则配置
分步过程
要配置软线集中器、软线规则和有状态防火墙规则:
定义第 6 个软线集中器。
user@host# top user@host# edit services softwire softwire-concentrator v6rd v6rd-dom1
配置软线集中器属性。其中,软线地址 30.30.30.1 是软线集中器 IPv4 地址,10.10.10.0/24 是 CE WAN 端的 IPv4 前缀,3040::0/16 是第 6 个域 D1 的 IPv6 前缀。
[edit services softwire softwire-concentrator v6rd v6rd-dom1] user@host# set softwire-address 30.30.30.1 user@host# set ipv4-prefix 10.10.10.0/24 user@host# set v6rd-prefix 3040::0/16 user@host# set mtu-v4 9192
定义软线规则。
[edit services softwire softwire-concentrator v6rd v6rd-dom1] user@host# up 2 [edit services softwire] user@host# edit rule v6rd-dom1 [edit services softwire rule v6rd-dom1] user@host# set match-direction input [edit services softwire rule v6rd-dom1] user@host# set term t1 then v6rd v6rd-dom1
定义有状态防火墙规则和属性。您必须配置一个有状态防火墙规则,该规则接受输入和输出方向上的所有流量,以便第 6 个工作正常;但是,这不会通过 CLI 强制实施。这是因为在 IPv6 中,预计会出现免费 IPv6 数据包(由于任播),不应被丢弃。服务 PIC 可以在不查看所有正向流量的情况下处理反向流量。在会话中间切换服务 PIC 时也会发生这种情况。默认情况下,服务 PIC 上的状态防火墙将丢弃所有流量,除非显式配置了允许的规则。
[edit services softwire softwire-concentrator v6rd v6rd-dom1] user@host# up 3 [edit servicesl] user@host# edit services stateful-firewall [edit services stateful-firewall] user@host# edit rule r1 [edit services stateful-firewall rule r1] user@host# set match-direction input-output user@host# set term t1 then accept
结果
[edit services softwire] user@host# show softwire-concentrator { v6rd v6rd-dom1 { softwire-address 30.30.30.1; ipv4-prefix 10.10.10.0/24; v6rd-prefix 3040::0/16; mtu-v4 9192; } } rule v6rd-dom1-r1 { match-direction input; term t1 { then { v6rd v6rd-dom1; } } }
服务集配置
分步过程
要配置服务集,请执行以下作:
定义用于第 6 次处理的服务集。
user@host# top user@host# edit services service-set v6rd-dom1-service-set
为服务集定义软线和有状态防火墙规则。
[edit services service-set v6rd-dom1-service-set] user@host# set softwire-rules v6rd-dom1 user@host# set stateful-firewall-rules r1
定义服务集的接口服务。
[edit services service-set v6rd-dom1-service-set] user@host# set interface-service service-interface sp-0/2/0
结果
[edit service-set v6rd-dom1-service-set] user@host# show softwire-rules v6rd-dom1-r1 interface-service { service-interface sp-0/2/0; }
第 6 条软线的高可用性和负载平衡
第 6 个功能在 M Series 路由器上的多服务 100、400 和 500 PIC 以及配备多服务 DPC 的 MX 系列路由器上受支持。带有 MS-MPC 或 MS-MIC 的 MX 系列路由器不支持第 6 个功能。
跨多个服务 PIC 对第 6 个域进行负载平衡
第 6 个域是 IPv6 网络,该网络可能非常大。多服务 DPC 上的单个 PIC 或网络处理单元 (NPU) 可能无法处理第 6 个域的所有流量。为了缓解负载问题,可以跨多个 PIC 对第 6 个域流量进行负载平衡。为此,请将相同的软线规则分配给使用不同接口的不同服务集。配置显式路由和等价多路径 (ECMP),以实现第 6 个流量的负载平衡。
示例:跨多个服务 PIC 对第 6 个域进行负载平衡
硬件和软件要求
此示例需要以下硬件:
一个 MX 系列 5G 通用路由平台,带有一个服务 DPC 和两个可用 NPU,或者一个 M Series 多服务边缘路由器,带有两个服务 PIC,可用于处理第 6 个软线集中器
域名服务器 (DNS)
此示例使用以下软件:
Junos OS 11.4 或更高版本
概述
由于预期的流量,提供商需要在两个服务 PIC 之间平衡第 6 条软线流量。
配置
机箱配置
分步过程
要配置机箱,请执行以下作:
定义入口接口及其属性。
user@host# edit interfaces ge-1/2/0 user@host# set unit 0 family inet address 10.10.10.1/16
定义出口接口及其属性。在此示例中,IPv6 客户端尝试访问位于 3abc::2/16 的 IPv6 服务器。
user@host# edit interfaces ge-1/2/2 user@host# set unit 0 family inet6 address 3ABC::1/16
定义服务 PIC,以便在负载平衡过程中选择为软线集中器。此配置使用两个 PIC/NPU:sp-3/0/0 和 sp-3/1/0。配置下一跃点样式的服务集(将在下一节中显示)。
user@host# edit interfaces sp-3/0/0 [edit interfaces ge-3/0/0] user@host# set services-options syslog host local services any user@host# set unit 0 family inet user@host# set unit 0 family inet6 user@host# set unit 1 family inet service-domain inside user@host# set unit 1 family inet service-domain outside user@host# set unit 2 family inet service-domain inside user@host# set unit 2 family inet service-domain outside user@host# up 1 [edit] user@host# edit interfaces sp-3/1/0 [edit interfaces sp-3/1/0] user@host# set services-options syslog host local services any user@host# set unit 0 family inet user@host# set unit 0 family inet6 user@host# set unit 1 family inet service-domain inside user@host# set unit 1 family inet service-domain outside user@host# set unit 2 family inet service-domain inside user@host# set unit 2 family inet service-domain outside
软线集中器和软线规则配置
分步过程
软线配置简单明了。在此示例中,第 6 个域前缀为 3040::0/16,第 6 个软线集中器 IPv4 地址为 30.30.30.1,客户 IPv4 网络为 10.10.0.0/16。在客户端设备 (CPE) 网络中,所有客户边缘 (CE) 设备的地址都属于 10.10.0.0/16 网络。要配置软线,请执行以下作:
转到
[edit services softwire]
层次结构级别。user@host# edit services softwire
配置 IPv6 组播。
[edit services softwire] user@host# set ipv6-multicast-interfaces all
转到软线集中器 v6rd 层次结构级别,并将软线集中器命名为 shenick01-rd1。
[edit services softwire] user@host# edit softwire-concentrator v6rd shenick01-rd1
配置软线集中器属性。
[edit services softwire softwire-concentrator v6rdshenick01-rd1 ] user@host# set softwire-address 30.30.30.1 user@host# set ipv4-prefix 10.10.0.0/16 user@host# set v6rd-prefix 3040::/16 user@host# set mtu-v4 9192
为传入的第 6 个流量配置软线规则。
[edit services softwire softwire-concentrator v6rd shenick01-rd1 ] user@host# up 1 [edit services softwire ] user@host# edit rule shenick01-r1 [edit services softwire rule shenick01-r1] user@host# set match-direction input user@host# set term t1 then v6rd shenick01-rd1
状态式防火墙配置
分步过程
要配置状态式防火墙规则,请执行以下作:
转到有状态防火墙层次结构级别并定义规则。
user@host# edit services stateful-firewall rule r1
设置匹配方向。
[edit services stateful-firewall rule r1] user@host# set match-direction input-output
配置接受所有流量的术语。
[edit services stateful-firewall rule r1] user@host# set term t1 then accept
服务集配置
分步过程
此配置提供两个服务集,每个服务集指向不同的网络处理单元 (NPU)。这两个服务集使用相同的状态防火墙和软线规则。由于它们使用相同的软线规则,因此它们指的是相同的第 6 个软线集中器。这导致软件集中器托管在两个 NPU 上。
要配置服务集,请执行以下作:
为第一个 NPU 定义服务集。
user@host# edit services service-set v6rd-sset1
为第一个 NPU 配置软线和有状态防火墙规则。
[edit services service-set v6rd-sset1] user@host# set softwire-rules shenick01-r1 user@host# set stateful-firewall-rules r1
为下一跃点服务配置内部和外部接口。
[edit services service-set v6rd-sset1] user@host# set next-hop-service inside-service-interface sp-3/0/0.1 user@host# set next-hop-service outside-service-interface sp-3/0/0.2
为第二个 NPU 定义服务集。
user@host# edit services service-set v6rd-sset2
为第二个 NPU 配置软线和有状态防火墙规则。
[edit services service-set v6rd-sset2] user@host# set softwire-rules shenick01-r1 user@host# set stateful-firewall-rules r1
为下一跃点服务配置内部和外部接口。
[edit services service-set v6rd-sset1] user@host# set next-hop-service inside-service-interface sp-3/1/0.1 user@host# set next-hop-service outside-service-interface sp-3/1/0.2
负载平衡配置
分步过程
要配置负载平衡,请执行以下作:
配置显式路由和 ECMP,以便对第 6 个流量进行负载平衡。为第 6 个集中器 IPv4 地址和第 6 个域前缀配置显式路由,以便它们指向两个 NPU。
要使用路由表 inet6.0 为第 6 个域配置静态路由,请转到
[edit forwarding-options rib inet6.0 static]
层次结构级别,为第 6 个域和第 6 个集中器 IPv4 地址设置路由。user@host edit forwarding-options rib inet6.0 static [edit forwarding-options rib inet6.0 static] user@host# set route 3040::0/16 next-hop [ sp-3/0/0.2 sp-3/1/0.2 ] user@host# set route 30.30.30.1/32 next-hop [ sp-3/0/0.1 sp-3/1/0.1 ]
服务 PIC 守护程序 (spd) 还会将默认路由添加到指向 NPU 的这些地址。但是,spd 添加的路由使用不同的指标,这些指标是根据 FPC、PIC、插槽编号和服务 PIC 的子单元(如果在服务集配置中使用)计算得出的。此示例配置中配置的静态路由的指标为 5,因此优先级高于 spd 添加的路由。
显式配置的路由如下所示:
root@host# run show route 30.30.30.1 inet.0: 37 destinations, 40 routes (36 active, 0 holddown, 1 hidden) + = Active Route, - = Last Active, * = Both 30.30.30.1/32 *[Static/5] 00:00:10 > via sp-3/0/0.1 via sp-3/1/0.1 [Static/786433] 00:23:03 > via sp-3/0/0.1 [Static/851969] 00:00:09 > via sp-3/1/0.1 root@host# run show route 3040::/16 inet6.0: 20 destinations, 33 routes (20 active, 0 holddown, 0 hidden) + = Active Route, - = Last Active, * = Both 3040::/16 *[Static/5] 00:00:15 via sp-3/0/0.2 > via sp-3/1/0.2 [Static/786434] 00:23:08 > via sp-3/0/0.2 [Static/851970] 00:00:14 > via sp-3/1/0.2
最佳实践:spd 安装的路由具有更高的指标值(因此优先级较低),并且指标不同。如果指标不同且未启用 ECMP,即使同一目标存在多个路由,系统也会始终只选取其中一个路由(基于指标)。对于 ECMP,您必须配置等价路由,因此需要手动配置路由,如上所示。
通过在
[edit forwarding-optionshash-key]
层次结构级别配置哈希密钥,配置等价多路径 (ECMP) 负载平衡。user@host# forwarding-options hash-key [edit forwarding-options hash-key] user@host# set family inet layer-3 destination-address user@host# set family inet layer-3 source-address user@host# set family inet6 layer-3 destination-address user@host# set family inet6 layer-3 source-address
通过显示
forwarding-options
来验证您的配置。user@host# show forwarding-options hash-key { family inet { <== IPv4 traffic from CEs uses this layer-3 { destination-address; source-address; } } family inet6 { <== IPv6 traffic from Internet uses this layer-3 { destination-address; source-address; } } }
提示:必须同时配置 IPv4 和 IPv6 哈希密钥。IPv4 哈希密钥用于将来自 CPE 设备的流量分发到第 6 分支中继。IPv6 哈希密钥用于将来自 IPv6 互联网的流量分发到第 6 个域。由于正向和反向散列适用于不同的家族,因此来自同一会话的不同流量可以驻留在不同的 NPU 上。但是,第 6 次处理是无状态的(就将 IPv6 数据包映射到软线而言),因此这应该不是问题。
使用第 6 个任播为第 6 个配置高可用性
您可以通过在两个服务集中定义两个使用相同软线规则的服务集来配置第 6 个任播,就像您为 6 个服务集配置负载平衡时一样。但是,您未配置 ECMP,因此,服务 PIC 守护程序 (spd) 会为软 线集中器地址和指向每个服务接口的第 6 个域安装两个路由。转发平面可以根据优先级选择任何路由,该优先级在 spd 安装路由时计算。优先级根据 sp 接口上使用的 FPC、PIC、插槽编号和子单元编号计算。根据路由优先级 ,仅使用一个 PIC ,并且该 PIC 获取所有第 6 个流量。如果 PIC 出现故障。指向它的路由也将被删除,并且转发平面会自动选择备用的可用 PIC。
6rd Anycast 是完全无状态的。spd 安装路由,并且不为 PIC 运行任何状态机。由于路由已预安装,并且服务集已在 PIC 上,因此如果发生故障转移,则不会出现服务延迟。