NDP 代理和 DAD 代理

NDP 和 DAD 代理（接口受限模式）

NDP 代理功能（接口限制模式）允许在同一子网中且限制彼此直接通信的主机之间转发数据包。此功能主要用于代理节点需要应用访问控制并拦截主机之间流动的流量的情况。在 SRX 系列防火墙上配置 NDP 代理时，设备将发送 NA，并响应寻求分配给 SRX 系列防火墙内主机的 IPv6 前缀的 MAC 地址的设备发出的请求。

DAD 功能使用邻接方请求 （NS） 消息检测本地链路上重复地址的使用情况。DAD 功能适用于 IPv6 地址，其功能类似于 IPv4 中的免费 ARP。

NDP 和 DAD 代理（接口不受限制模式）

从 Junos OS 22.1R1 版开始，我们支持跨多个代理配置的接口的 NDP 和 DAD 代理功能（接口无限制模式）。NDP 接口无限制代理在现有 IPv6 ND 功能中工作，并且仅在启用时才会调用。接口不受限制模式：ND 功能在 NDP 和 DAD 代理的所有配置接口上协同工作。

在早期版本中，NDP 和 DAD 代理功能受到限制，并且仅限于配置的接口。目前，NDP 和 DAD 代理功能适用于多个配置的接口（接口无限制模式）。

在接口无限制模式下使用 NDP 和 DAD 代理功能时，配置的接口可以一起运行，以代表不同物理分段中的节点向邻居请求 （NS） 发送邻居通告 （NA） 回复，而这些节点无法被始发分段中的节点直接访问，而无需额外前缀分配的开销。

使用 set interfaces interface-name unit number family inet6 ndp-proxy interface-unrestricted 命令在接口上以接口无限制模式启用 NDP 代理时，代理接口：

• 为 NS 请求生成 NA。然后，代表可通过代理接口在子网上访问的其他主机从主机发送请求。

• 当 NS 中请求的地址在邻接方表中不可用时，生成 NS 并发送到子网的所有代理接口。

  在属于 NS 数据包入口接口的路由表中查找目标地址的可转发路由。路由查找提供指向解析下一跃点的路由列表。代理使用这些下一跃点在配置的不同端口上发送 NS。

  注意：

  当代理进行路由查找并且生成的下一跃点指向 NS 到达的同一接口时，代理就会丢弃该 NS。

• 允许您强制实施邻接方不可达性检测 （NUD），即使请求的目标地址在邻接方缓存中可用且可访问。当主机从一个段移动到另一个段时，强制 ND 功能很有用。要启用 NDP 代理强制解析功能，请使用命令 set protocols neighbor-discovery ndp-proxy proxy-force-resolve 。

• 在其代理的主机之间转发数据包，从而在解析邻居后允许主机之间进行通信。

DAD 功能使用邻接方请求 （NS） 消息检测本地链路上重复地址的使用情况。

使用 set interfaces interface-name unit <number> family inet6 dad-proxy interface-unrestricted 命令在多个接口上启用 DAD 代理时：

• 如果可通过其他代理接口访问 NS 暂定地址，则 DAD 代理将代表其他主机为 DAD NS 请求生成 NA 回复。

• 当 DAD NS 请求到达时，如果暂定地址在邻居缓存中不可用或处于过时状态，则 DAD 代理将在除收到的代理接口之外的所有其他代理接口上启动 NUD。

• 如果 DAD 请求来自某一主机，而该请求已处于另一台主机 DAD 进程中间的暂定地址，则 DAD 代理会为两台主机回复 NA。